Microsoft 365 ist für zahlreiche mittelständische Unternehmen längst das Rückgrat des täglichen Geschäftsbetriebs – E-Mail, Dateiablage, Teams, Kalender und ganze Workflows liegen dort. Wer aber glaubt, dass Microsoft die Daten in der Cloud automatisch und komplett sichert, irrt sich. Das sogenannte Shared Responsibility Model definiert klar: Für den Schutz und die Wiederherstellung Ihrer Inhalte sind Sie als Verbraucher verantwortlich – nicht Microsoft.

Nehmen Sie an, ein Mitarbeiter entfernt aus Versehen einen kompletten SharePoint-Ordner mit Hunderten von Vertragsdokumenten – und dies fällt erst nach drei Monaten auf. Oder Ransomware verschlüsselt OneDrive- und Teams-Beiträge. Oder ein weggehender Mitarbeiter räumt sein Postfach präzise auf, bevor sein Konto deaktiviert wird. Was viele Unternehmen erst in derartigen Momenten realisieren: Die Cloud ist verfügbar – das heißt aber noch lange nicht, dass die Daten wiederherstellbar sind.

Microsoft 365 wird weltweit von vielen Hundert Millionen Anwendern verwendet und ist im Moment im deutschen Mittelstand zur Norm geworden. Trotz dieser Verbreitung vertraut ein erheblicher Teil der Unternehmen lediglich auf die nativen Schutzmechanismen der Plattform. Im eigenen Servicevertrag rät Microsoft indessen ausdrücklich, periodisch eigene Backups anzulegen (https://www.microsoft.com/de-de/servicesagreement) – eine Aussage, die in der Praxis erstaunlich oft übersehen wird.

Cloud-Verantwortung: Die unsichtbare Trennlinie zwischen Microsoft und Kunde

Microsoft erläutert das Verantwortungsmodell hinsichtlich Cloud-Dienste eindeutig: Der Konzern gewährleistet die Verfügbarkeit der Umgebung, die physische Absicherung der Datacenter, die Authentifizierungs-Infrastruktur und den Schutzschirm vor Hardware- und Infrastrukturausfällen. Was Microsoft allerdings nicht übernimmt, ist die Zuständigkeit für die Inhalte: für E-Mails, Unterlagen, Teams-Chats, SharePoint-Sites und alle Konfigurationen, die Sie als Mandant im Tenant anlegen.

Wir sehen in der alltäglichen Praxis als IT-Dienstleister regelmäßig, dass diese Trennlinie in mittelgroßen Betrieben unterschätzt wird – meist nur als Folge, wenn der Notfall eintritt. Microsoft selber definiert es deutlich: Im Servicevertrag werden Auftraggeber explizit aufgefordert, separate Sicherungskopien zu erzeugen. Replikation in geografisch redundanten Datacentern ist absolut kein Backup, vielmehr Hochverfügbarkeit – ein wichtiger Unterschied, den wir Ihnen im nachfolgenden Verlauf konkret erläutern.

Native M365-Schutzfunktionen und ihre Lücken

Microsoft 365 verfügt über eingebaute Mechanismen, die im Alltag oft den Eindruck einer Sicherung erwecken. Bei genauerer Betrachtung zeigt sich schnell, dass sie für eine vollwertige Sicherungsstrategie nicht genügen.

• Papierkorb in OneDrive und SharePoint: Entfernte Dateien werden insgesamt 93 Tage gespeichert – aufgeteilt auf einen primären und einen sekundären Papierkorb (https://learn.microsoft.com/en-us/sharepoint/retention-and-deletion). Danach sind sie dauerhaft gelöscht.

• Recycle Bin in Exchange Online: E-Mails liegen standardmäßig 14 Tage im wiederherstellbaren Bereich, einstellbar auf höchstens 30 Tage.

• Versionshistorie: Nützlich für Änderungen am einzelnen Dokument, aber kein Instrument für die Wiederherstellung umfangreicher, strukturierter Datenmengen nach einem Vorfall.

• Retention Policies und Litigation Hold: Diese Mechanismen sind für Compliance-Vorgaben und eDiscovery konzipiert, nicht für gezielte Rücksicherungen. Sie binden Daten zwar an Aufbewahrungsvorgaben, stellen sie aber nicht zu einem definierten Zeitpunkt erneut bereit.

• Microsoft 365 Backup (kostenpflichtiges Add-on): Microsoft hat mittlerweile ein eigenständiges Backup-Produkt im Portfolio. Es beseitigt einige Lücken, deckt jedoch nicht alle Workloads vollständig ab und befindet sich weiterhin im selben Microsoft-Ökosystem – ein klassisches Klumpenrisiko.

Insgesamt bietet die Plattform eine vorübergehende Sicherheitsleine, kein umfassendes Backup. Wenn ein Vorfall verzögert auffällt, ein Account entfernt wird oder Ransomware aktiv ist, werden die nativen Funktionen rasch zur Sackgasse.

Praxis-Risiken: So gehen Microsoft-365-Daten verloren

In unserer täglichen Arbeit als IT-Dienstleister erleben wir immer wieder dieselben Muster. Datenverluste in Microsoft 365 entstehen selten durch Microsoft-Ausfälle, sondern nahezu immer durch Ursachen, für die Microsoft per Vertrag nicht verantwortlich ist:

• Unbeabsichtigtes Löschen: Ein Klick zu viel im verkehrten Ordner, ein versehentliches Drag-and-Drop, eine vorschnelle Löschaktion am Quartalsende.

• Absichtliches Löschen durch Beschäftigte: Beispielsweise beim Ausscheiden, bei betrieblichen Konflikten oder durch ein übernommenes Benutzerkonto eines Angreifers.

• Ransomware und Malware: Verschlüsselte Daten werden über die OneDrive-Synchronisation in die Cloud übertragen – und überschreiben dort die unveränderten Dateiversionen.

• Fehlkonfigurationen durch Administratoren: Eine irrtümlich gelöschte SharePoint-Site, eine fehlerhaft konfigurierte Retention-Policy oder eine Löschaktion in Entra ID kann ganze Datenbestände kosten.

• Schwachstellen beim Mitarbeiteraustritt: Ohne strukturierten Offboarding-Prozess geraten Postfach- und OneDrive-Inhalte schnell in Aufbewahrungsfristen, die ablaufen, bevor das Fehlen überhaupt auffällt.

Jede dieser Szenarien ist praxisnah, alle haben wir in mittelständischen Unternehmen erlebt. In den überwiegenden Fällen genügten die nativen Bordmittel für eine saubere Wiederherstellung nicht aus.

So sieht eine moderne Backup-Strategie für Microsoft 365 aus

Die seit vielen Jahren bewährte 3-2-1-Regel der Datenspeicherung gilt auch in der Cloud-Welt uneingeschränkt: drei Kopien der Daten, auf zwei unterschiedlichen Speichermedien, davon eine an einem externen Speicherort. Übertragen auf Microsoft 365 bedeutet das, dass mindestens eine Backup-Kopie außerhalb des Microsoft-Tenants liegen sollte – vorzugsweise bei einem unabhängigen Anbieter mit separater Speicherarchitektur.

Eine leistungsfähige Backup-Lösung für Microsoft 365 sollte unserer Auffassung nach folgende Eigenschaften erfüllen:

• Umfassende Workload-Abdeckung: Exchange Online, SharePoint, OneDrive, Teams (inklusive Chats und Kanäle) und idealerweise Entra ID.

• Zeitpunktgenaue Wiederherstellung: Wiederherstellung auf jeden beliebigen Zeitpunkt, nicht bloß auf den letzten Stand vor dem Vorfall.

• Granulare Wiederherstellung: Vom einzelnen E-Mail-Anhang über einen einzelnen Ordner bis hin zu vollständigen Postfächern oder Sites.

• Unabhängiger Speicherort: Backups sollten nicht im selben Microsoft-Tenant oder Konto liegen, das sie absichern sollen.

• Unveränderlicher Speicher (Immutable / WORM): Absicherung dagegen, dass Cyberkriminelle mit Tenant-Zugang auch die Backups manipulieren oder entfernen können.

• Revisionssichere Aufbewahrung über Jahre: Regulatorische Anforderungen wie DSGVO, Aufbewahrungspflichten nach HGB oder branchenspezifische Vorgaben (beispielsweise NIS-2 oder KRITIS) verlangen Restore-Fähigkeit über Jahre, keinesfalls über Tage.

• Regelmäßige Restore-Tests: Ein nie getestetes Backup ist im Ernstfall keine Versicherung, eher eine Hoffnung.

Fazit: M365 abzusichern ist Pflicht – nicht Kür

Die Microsoft-365-Umgebung ist eine leistungsstarke Plattform, die für viele Mittelständler kaum noch wegzudenken ist. Eben deshalb benötigt sie auch eine Absicherung, die ihrer Bedeutung angemessen ist. Hochverfügbarkeit und Replikation in der Microsoft-Infrastruktur sind hervorragend – sie bewahren Ihre Daten aber nicht vor dem, was nachweislich viel häufiger passiert: vor Bedienfehlern, Ransomware, internen Vorgängen und Konfigurationspannen. Diese Gefahren sind klar in der Zuständigkeit des Kunden – und sie lassen sich mit einem unabhängigen Backup zuverlässig absichern.

Wir empfehlen unseren Kunden, das Thema Microsoft-365-Backup nicht als untergeordnetes IT-Detail zu behandeln, sondern als festen Bestandteil ihres Risiko- und Compliance-Managements. Eine sorgfältig konfigurierte und regelmäßig getestete Backup-Lösung kostet einen geringen Teil dessen, was ein tatsächlicher Datenverlust oder ein Ransomware-Angriff an Ausfallzeiten und Wiederbeschaffung verursacht.

Sie möchten überprüfen, ob Ihre Microsoft-365-Plattform im Notfall wirklich vollständig wiederhergestellt werden kann – oder Sie planen die Einführung einer eigenständigen Backup-Lösung für Exchange, SharePoint, OneDrive und Teams? Sprechen Sie uns gerne an.