Microsoft 365 Backup: Warum Papierkorb und Cloud keine Datensicherung ersetzen

Viele Unternehmen gehen davon aus, dass ihre Daten in Microsoft 365 automatisch gesichert sind. Schließlich liegen sie in Rechenzentren von Microsoft, und es gibt Papierkörbe für E-Mails und Dateien. Das stimmt nur zum Teil. Microsoft hält den Dienst am Laufen, eine Datensicherung im klassischen Sinn, mit der Sie einen früheren Zustand Ihres Postfachs oder Ihrer Ablage zurückholen können, ist im Standard nicht enthalten. Dieser Artikel zeigt, wo die Grenze verläuft, wie lange die eingebauten Wiederherstellungsfunktionen greifen und welche Backup-Optionen es gibt.

Sichert Microsoft Ihre Daten in Microsoft 365?

Microsoft sichert den Betrieb von Microsoft 365, nicht Ihre Daten gegen Fehler oder Angriffe innerhalb Ihres Kontos. Diese Aufteilung heißt Shared-Responsibility-Modell (Modell der geteilten Verantwortung). Microsoft beschreibt es so: Bei allen Cloud-Modellen, also auch bei Software as a Service wie Microsoft 365, gehören Ihnen Ihre Daten und Identitäten, und Sie sind für deren Schutz verantwortlich.

In der Verantwortungsmatrix von Microsoft stehen für SaaS folgende Bereiche vollständig beim Kunden:

• Kundendaten, also E-Mails, Dateien, Kalender, Kontakte
• Konfigurationen und Einstellungen
• Identitäten und Benutzerkonten

Microsoft übernimmt Rechenzentren, physische Server, Netzwerk, Betriebssystem und die Plattform selbst. Dazu gehört, dass Daten mehrfach und georedundant gespeichert werden. Diese Redundanz schützt vor einem defekten Server oder einem ausgefallenen Rechenzentrum. Sie schützt nicht davor, dass ein Mitarbeiter einen Ordner löscht, dass Ransomware synchronisierte Dateien verschlüsselt oder dass ein Angreifer mit gestohlenem Admin-Zugang Postfächer leert. Solche Änderungen werden sofort auf alle Kopien übertragen.

Wie lange lassen sich gelöschte Daten ohne Backup wiederherstellen?

Ohne zusätzliches Backup lassen sich gelöschte Daten in Microsoft 365 nur innerhalb fester Fristen zurückholen, je nach Dienst zwischen 14 und 93 Tagen. Die folgende Übersicht fasst die Standardwerte laut Microsoft-Dokumentation zusammen (Stand September 2026):

Die Tabelle zeigt schon die wichtigsten Schwächen:

• Die Fristen sind kurz. Wenn eine gelöschte Mail erst nach sechs Wochen vermisst wird, ist sie im Standard weg.
• Papierkörbe helfen nur bei Löschungen. Wenn eine Datei überschrieben oder verschlüsselt wird, landet nichts im Papierkorb. Hier hilft höchstens der Versionsverlauf, und der muss Datei für Datei zurückgesetzt werden.
• Der Papierkorb der Websitesammlung hat eine Obergrenze. Laut Microsoft beginnt er bei Überschreitung seines Kontingents, die ältesten Elemente zu löschen.
• Die Wiederherstellung über den Microsoft-Support betrifft nur ganze Websitesammlungen, nicht einzelne Dateien oder Bibliotheken.

Ein Punkt, der in der Praxis oft übersehen wird: Die Standardfrist für die Aufbewahrung des OneDrive eines gelöschten Benutzers beträgt 30 Tage. Wird das Konto eines ausgeschiedenen Mitarbeiters gelöscht und niemand sichert rechtzeitig die Dateien, sind sie nach Ablauf der Fristen verloren.

Welche Risiken deckt ein Microsoft 365 Backup ab?

Ein Microsoft 365 Backup schützt vor Datenverlust, der innerhalb Ihres Kontos entsteht und den Microsofts Redundanz deshalb nicht abfängt. Typische Fälle, die wir bei KMU sehen:

1. Versehentliches Löschen: Ein Mitarbeiter räumt einen freigegebenen Ordner auf und entfernt dabei Unterlagen, die andere noch brauchen.
2. Ransomware auf einem Arbeitsplatz: Die Schadsoftware verschlüsselt lokale Dateien, und die OneDrive-Synchronisierung überträgt die verschlüsselten Versionen in die Cloud.
3. Übernahme eines Kontos: Ein Angreifer mit gestohlenen Zugangsdaten löscht Postfachinhalte oder manipuliert Dateien, um Spuren zu verwischen.
4. Ausscheiden von Mitarbeitenden: Konto und Lizenz werden entfernt, später stellt sich heraus, dass wichtige Korrespondenz nur in diesem Postfach lag.
5. Fehler bei Migrationen oder Skripten: Eine Massenänderung durch Administratoren oder ein Synchronisierungsfehler betrifft viele Dateien auf einmal.

Wie ein Backup in eine vollständige Sicherungsstrategie passt, beschreibt der Artikel Backup-Strategie nach der 3-2-1-Regel.

Was ist Microsoft 365 Backup von Microsoft?

Microsoft 365 Backup ist ein eigenes, kostenpflichtiges Produkt von Microsoft, mit dem Sie Exchange-Online-Postfächer, OneDrive-Konten und SharePoint-Websites sichern und im Microsoft 365 Admin Center wiederherstellen. Es ist nicht in den Microsoft-365-Lizenzen enthalten, sondern wird separat nach Verbrauch abgerechnet.

Die wichtigsten Eigenschaften laut Microsoft-Dokumentation (Stand September 2026):

Die Stärke des Produkts ist die Geschwindigkeit: Weil die Sicherung innerhalb der Microsoft-Infrastruktur liegt, lassen sich auch große Datenmengen schnell zurückspielen. Für einzelne OneDrive-Konten oder SharePoint-Websites nennt Microsoft typische Wiederherstellungszeiten ab etwa 10 Minuten bis zu zwei Stunden, abhängig von der Größe.

Zu beachten ist, was nicht abgedeckt ist. Microsoft 365 Backup sichert die drei genannten Dienste. Einstellungen in Entra ID, Benutzerkonten, Gruppen, Intune-Richtlinien oder Konfigurationen in Teams sind keine eigenen Sicherungsbereiche. Teams-Dateien liegen technisch in SharePoint und werden darüber erfasst.

Microsoft 365 Backup oder Drittanbieter: Was passt besser?

Microsoft 365 Backup ist die einfachste Lösung, wenn schnelle Wiederherstellung innerhalb von Microsoft 365 im Vordergrund steht. Ein Drittanbieter ist sinnvoll, wenn Sie eine Kopie außerhalb der Microsoft-Infrastruktur, eine Wiederherstellung einzelner Dateien direkt am ursprünglichen Ort oder weitere Bereiche wie Entra ID sichern möchten.

Die Frage nach dem Speicherort ist mehr als eine technische Feinheit. Die 3-2-1-Regel verlangt eine Kopie an einem anderen Ort. Wenn ein Angreifer die Kontrolle über Ihren Microsoft-365-Mandanten übernimmt, sind Sicherung und Originaldaten auf derselben Plattform und unter derselben Verwaltung. Microsoft begegnet dem mit Append-only-Speicher, einer 90-tägigen Karenzzeit nach dem Offboarding und Benachrichtigungen an mehrere Administratoren. Eine Kopie bei einem anderen Anbieter mit getrennten Zugangsdaten bleibt trotzdem die stärkere Absicherung.

Einige Drittanbieter nutzen die Speicherplattform von Microsoft 365 Backup als Grundlage und bieten sie in ihrer eigenen Oberfläche an. Laut Microsoft wird das Produkt in diesem Fall über den Partner verwaltet und bezahlt. Fragen Sie bei Angeboten deshalb nach, wo die Sicherungsdaten tatsächlich liegen.

Aus unserer Praxis-Sicht ist für die meisten kleinen und mittleren Unternehmen ein Drittanbieter-Backup mit Speicherung außerhalb von Microsoft die solidere Basis. Microsoft 365 Backup kann sinnvoll ergänzen, wenn große SharePoint-Bestände im Ernstfall schnell zurück müssen.

Wie führen Sie ein Microsoft 365 Backup ein?

Ein Microsoft 365 Backup lässt sich in wenigen Tagen einrichten, wenn vorher klar ist, was gesichert werden muss und wie lange. Diese Schritte haben sich bewährt:

1. Bestand erfassen: Welche Postfächer, freigegebenen Postfächer, OneDrive-Konten, SharePoint-Websites und Teams gibt es, und wie groß sind sie?
2. Anforderungen festlegen: Wie weit zurück muss eine Wiederherstellung möglich sein, und wie schnell muss sie gehen? Gesetzliche Aufbewahrungspflichten gehören in die Archivierung, nicht ins Backup, sollten aber mitgedacht werden.
3. Lösung auswählen: Speicherort, Einzeldatei-Wiederherstellung, Abdeckung von Entra ID und Preismodell vergleichen. Auf einen Auftragsverarbeitungsvertrag nach DSGVO und den Speicherort in der EU achten.
4. Admin-Zugänge absichern: Backup-Konsole nur mit Mehrfaktor-Anmeldung, getrennte Administratorkonten, Benachrichtigung bei Löschungen oder Richtlinienänderungen.
5. Automatische Aufnahme regeln: Neue Mitarbeitende und neue Teams müssen automatisch in die Sicherung kommen. Das ist die häufigste Lücke, die wir bei Prüfungen finden.
6. Wiederherstellung testen: Mindestens einmal pro Quartal eine einzelne Mail, eine Datei und ein komplettes Postfach zurückspielen und das Ergebnis dokumentieren.

Bei Kanzleien und anderen Berufsgeheimnisträgern gehört zusätzlich die Frage dazu, ob der Backup-Anbieter als Dienstleister vertraglich zur Verschwiegenheit verpflichtet ist. Das ist keine Rechtsberatung, sondern ein Punkt, den Sie mit Ihrem Berater klären sollten. Worin sich Backup und revisionssichere Archivierung unterscheiden, erklärt der Artikel E-Mail-Archivierung: Pflichten und Fristen.

Welche Fehler passieren bei der Datensicherung von Microsoft 365?

Der häufigste Fehler ist, sich auf Papierkörbe und die Redundanz von Microsoft zu verlassen, bis zum ersten Ernstfall. Weitere Schwachstellen, die uns regelmäßig begegnen:

• Nur Postfächer werden gesichert, SharePoint und OneDrive nicht, obwohl dort inzwischen die meisten Dateien liegen.
• Die Sicherung wurde einmal eingerichtet, neue Nutzer werden aber nicht automatisch aufgenommen.
• Die Konten ausgeschiedener Mitarbeitender werden gelöscht, bevor deren Daten gesichert oder übergeben wurden.
• Das Admin-Konto der Backup-Lösung ist dasselbe wie das globale Administratorkonto in Microsoft 365.
• Es gibt keinen dokumentierten Wiederherstellungstest. Ob die Sicherung funktioniert, weiß niemand.

Wie Sie sich im Fall eines Angriffs verhalten sollten, beschreibt der Artikel Ransomware: Was tun bei einem Cyberangriff?.

Unterstützung durch Visgenix

Visgenix betreut Microsoft 365 für kleine und mittlere Unternehmen in Rhein-Main und Rhein-Neckar und unterstützt bei Auswahl und Einrichtung einer passenden Datensicherung. Was in der laufenden Betreuung enthalten ist, sehen Sie unter Managed IT Services. Für die Planung Ihrer Microsoft-365-Umgebung ist die Beratung zum digitalen Arbeitsplatz der passende Einstieg.