Microsoft 365 Backup: Warum Microsoft Ihre Daten nicht sichert und wie Sie es richtig machen
Bünyamin Pollin
Geschäftsführung & Technische Leitung
Microsoft sorgt dafür, dass Microsoft 365 läuft. Dass Ihre Daten wiederherstellbar bleiben, wenn jemand sie löscht, verschlüsselt oder überschreibt, ist Ihre Aufgabe. Microsoft sagt das selbst: Im Modell der geteilten Verantwortung liegen Kundendaten, Konfigurationen und Benutzerkonten bei SaaS-Diensten wie Microsoft 365 in der Verantwortung des Kunden.
Was Microsoft mitliefert, sind Papierkörbe und Aufbewahrungsfristen. Die helfen bei einem versehentlich gelöschten Ordner. Sie helfen nicht, wenn ein Angreifer mit Admin-Rechten aufräumt, wenn ein Postfach nach dem Austritt eines Mitarbeiters verfällt oder wenn Sie eine Datei vom Stand vor vier Monaten brauchen.
Was sagt Microsofts Shared Responsibility Model?
Microsoft teilt die Verantwortung in der Cloud nach Dienstmodell auf. Für SaaS, also auch für Microsoft 365, übernimmt Microsoft Rechenzentrum, physische Server, physisches Netz, Betriebssystem und Netzwerksteuerung. Beim Kunden bleiben laut Microsoft Learn immer vier Bereiche, unabhängig vom Dienstmodell: Daten, Endgeräte, Konten und Zugriffsverwaltung.
| Bereich | Bei Microsoft 365 verantwortlich |
|---|---|
| Kundendaten (Mails, Dateien, Chats) | Kunde |
| Konfigurationen und Einstellungen | Kunde |
| Identitäten und Benutzer | Kunde |
| Endgeräte | geteilt |
| Anwendungen | geteilt |
| Netzwerksteuerung | Microsoft |
| Betriebssystem, physische Server, Netz, Rechenzentrum | Microsoft |
Auch im Microsoft-Servicevertrag, der für Microsofts Verbraucherdienste gilt, steht in Abschnitt 6.b die Empfehlung, Inhalte und Daten regelmäßig zu sichern. Die Botschaft ist in beiden Dokumenten dieselbe: Microsoft hält den Dienst verfügbar. Ihre Daten sichern Sie selbst.
Was Microsoft 365 von sich aus wiederherstellt
| Was | Wiederherstellbar | Grenze |
|---|---|---|
| Gelöschte E-Mails (Exchange Online) | 14 Tage Standard, einstellbar bis 30 Tage | Danach endgültig entfernt, sofern keine Aufbewahrungsrichtlinie greift |
| Gelöschte SharePoint-Websites | 93 Tage | Danach mit allen Inhalten endgültig gelöscht |
| Gelöschte Benutzerkonten samt Postfach | 30 Tage | Danach sind Konto und Postfach weg |
| Ressourcen einer Microsoft-365-Gruppe | 30 Tage | Die zugehörige Website bleibt 93 Tage, die übrigen Gruppendaten nur 30 |
Das sind Löschschutz-Mechanismen, keine Backups. Sie liegen im selben Tenant wie die Originaldaten. Wer dort Admin-Rechte hat, kann sie verkürzen oder leeren. Und sie bilden keinen Zeitpunkt ab: Sie holen eine gelöschte Datei zurück, aber nicht den Zustand Ihres gesamten SharePoint vom 3. März.
Fünf Situationen, in denen der Papierkorb nicht reicht
- Ransomware auf einem Notebook. OneDrive synchronisiert verschlüsselte Dateien in die Cloud. Die Versionierung hilft bei einzelnen Dateien. Bei zehntausenden Dateien in dutzenden Bibliotheken wird die Wiederherstellung ohne Backup zu Handarbeit. Mehr unter Ransomware.
- Kompromittiertes Admin-Konto. Ein Angreifer mit globalen Admin-Rechten kann Postfächer, Websites und Papierkörbe löschen. Eine Sicherung im selben Tenant ist dann mitbetroffen.
- Mitarbeiter-Austritt. Die Lizenz wird entfernt, das Konto gelöscht. 30 Tage später ist das Postfach weg. Die Frage nach einer Kundenkorrespondenz kommt oft erst Monate später.
- Fehlerhafte Synchronisation oder Migration. Ein Skript oder ein Sync-Client überschreibt Dateien mit älteren Ständen. Das fällt oft erst auf, wenn die Fristen abgelaufen sind.
- Absichtliches Löschen. Ein Mitarbeiter löscht vor seinem Austritt Projektordner und leert den Papierkorb. Ohne unabhängige Kopie ist das nach Ablauf der Fristen nicht umkehrbar.
Aufbewahrungsrichtlinien sind kein Backup
Mit Microsoft Purview lassen sich Aufbewahrungsrichtlinien und Holds einrichten. Sie verhindern das endgültige Löschen, dienen aber Compliance und Rechtsfällen. Die Daten bleiben im selben Tenant, eine Wiederherstellung ganzer Postfächer oder Websites auf einen Zeitpunkt ist damit umständlich, und ein Admin kann die Richtlinie ändern.
Was gehört in ein Microsoft-365-Backup?
Ein belastbares Backup deckt alle Arbeitsbereiche ab und liegt außerhalb der Reichweite eines kompromittierten Admin-Kontos. Die klassische 3-2-1-Regel gilt auch hier: drei Kopien, zwei Speichermedien, eine Kopie außer Haus. Bei Cloud-Daten heißt außer Haus: mindestens eine Kopie außerhalb des Tenants.
- Exchange-Postfächer, auch freigegebene Postfächer und Archive.
- OneDrive aller Nutzer, auch von ausgeschiedenen Mitarbeitenden.
- SharePoint-Websites, einschließlich der Dateien aus Teams-Kanälen, die in SharePoint liegen.
- Sicherung mindestens täglich, mit festgelegtem RPO und RTO.
- Speicherort getrennt vom produktiven Tenant, mit eigenen Zugangsdaten und MFA.
- Unveränderbare Sicherungen, die auch ein Admin für die Aufbewahrungsdauer nicht löschen kann.
- Aufbewahrungsdauer nach Ihren Pflichten festgelegt, unabhängig von den Microsoft-Standards.
- Verschlüsselte Speicherung, Standort und Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geklärt.
- Regelmäßige Restore-Tests: ein Postfach, eine Website, ein einzelnes Dokument. Mit Protokoll.
Microsoft 365 Backup oder Drittanbieter?
Microsoft bietet seit einiger Zeit ein eigenes Produkt an: Microsoft 365 Backup. Es sichert Exchange, OneDrive und SharePoint und wird nach Verbrauch abgerechnet. Der Listenpreis liegt laut Microsoft Learn bei 0,15 US-Dollar pro GB geschützter Daten und Monat. Wiederherstellungspunkte werden bis zu einem Jahr vorgehalten.
Der Vorteil ist die schnelle Wiederherstellung großer Datenmengen innerhalb von Microsoft. Der Nachteil ist derselbe Punkt von der anderen Seite betrachtet: Die Sicherung bleibt beim selben Anbieter. Für eine unabhängige Kopie nach der 3-2-1-Regel brauchen Sie zusätzlich einen Speicherort außerhalb der Microsoft-Cloud, etwa bei einem Backup-Anbieter mit Rechenzentrum in Deutschland.
Welche Lösung passt, hängt von Datenmenge, Aufbewahrungspflichten und dem gewünschten Wiederherstellungstempo ab. Rechnen Sie die Kosten über drei Jahre, einschließlich wachsender Datenmengen.
So führen Sie ein Microsoft-365-Backup ein
Bestand aufnehmen
Wie viele Postfächer, OneDrive-Konten und SharePoint-Websites gibt es, wie groß sind sie? Die Nutzungsberichte im Microsoft 365 Admin Center liefern die Zahlen.
Anforderungen festlegen
Wie viel Datenverlust ist tragbar (RPO), wie schnell muss es wieder laufen (RTO), wie lange muss aufbewahrt werden?
Lösung auswählen
Microsoft 365 Backup, Drittanbieter oder beides. Speicherort, Verschlüsselung, Unveränderbarkeit und AV-Vertrag prüfen.
Zugriff absichern
Backup-Konsole mit eigenem Konto, MFA und möglichst wenigen Berechtigten. Nicht mit dem globalen Admin des Tenants.
Restore testen
Direkt nach der Einrichtung und danach regelmäßig. Ein Backup, dessen Wiederherstellung nie geprobt wurde, ist eine Annahme.
Offboarding anpassen
Beim Austritt von Mitarbeitenden prüfen, ob Postfach und OneDrive gesichert sind, bevor die Lizenz entfernt wird.
Wie Visgenix Backups betreibt
In unserer IT-Betreuung gelten für Backup und Disaster Recovery feste Regeln: tägliche Sicherung, Verschlüsselung mit AES-256, lokale und georedundante Speicherung in Deutschland, unveränderbare Sicherungen gegen Ransomware und regelmäßige Restore-Tests. Welche Microsoft-365-Daten in welcher Tiefe und wie lange gesichert werden, prüfen wir im Erstgespräch anhand Ihres konkreten Bedarfs und schlagen eine passende Backup-Lösung vor.
Den Tenant selbst betreuen wir mit der IT-Betreuung für Microsoft 365, inklusive On- und Offboarding in der Stufe Visgenix 365°.
Sichert Microsoft meine Microsoft-365-Daten?
Nicht im Sinne eines Backups. Microsoft sorgt für Verfügbarkeit und Redundanz der Plattform. Für die Daten selbst ist laut Microsofts Shared Responsibility Model der Kunde verantwortlich. Papierkörbe und Aufbewahrungsfristen schützen nur begrenzt vor Löschung.
Wie lange kann ich gelöschte E-Mails in Exchange Online wiederherstellen?
Standardmäßig 14 Tage nach dem endgültigen Löschen aus dem Ordner Gelöschte Elemente. Administratoren können die Frist auf bis zu 30 Tage verlängern.
Was passiert mit dem Postfach, wenn ich einen Benutzer lösche?
Das Konto und das Postfach lassen sich 30 Tage lang wiederherstellen. Danach sind sie endgültig gelöscht, sofern keine Aufbewahrungsrichtlinie oder ein Backup greift.
Was kostet Microsoft 365 Backup?
Microsoft rechnet nach Verbrauch ab. Der Listenpreis liegt bei 0,15 US-Dollar pro GB geschützter Daten und Monat (Microsoft Learn, Stand September 2026).
Reichen Aufbewahrungsrichtlinien in Microsoft Purview als Backup?
Nein. Sie verhindern das endgültige Löschen für Compliance-Zwecke, liegen aber im selben Tenant und können von Administratoren geändert werden. Eine Wiederherstellung auf einen bestimmten Zeitpunkt leisten sie nicht.