Microsoft 365 ist hochverfügbar gebaut. Postfächer liegen in mehreren Kopien in verschiedenen Rechenzentren, SharePoint und OneDrive speichern Inhalte redundant. Fällt ein Server oder ein ganzer Standort aus, merkt davon im besten Fall niemand etwas. Das ist Ausfallsicherheit. Eine Datensicherung im eigentlichen Sinn ist es nicht: Wenn ein Inhalt gelöscht, überschrieben oder verschlüsselt wird, repliziert der Dienst genau diesen Zustand zuverlässig in alle Kopien.
Das deutlichste Argument liefert Microsoft selbst. Mit Microsoft 365 Backup verkauft Microsoft seit 2024 ein eigenes, nutzungsabhängig abgerechnetes Sicherungsprodukt, ausdrücklich für Ransomware, versehentliches oder böswilliges Löschen und Überschreiben. Wäre die Grundausstattung dafür ausreichend, gäbe es dieses Produkt nicht.
Geteilte Verantwortung: wer wofür zuständig ist
Bei Cloud-Diensten teilen sich Anbieter und Kunde die Verantwortung. Für Microsoft 365 heißt das vereinfacht:
| Microsoft | Ihre Organisation |
|---|---|
| Rechenzentren, Hardware, Netz | Inhalte in Postfächern, OneDrive, SharePoint und Teams |
| Verfügbarkeit und Replikation des Dienstes | Konten, Berechtigungen, Freigaben |
| Sicherheit der Plattform | Konfiguration: Conditional Access, Exchange-Regeln, Richtlinien |
| Wiederherstellung des Dienstes nach Störungen | Wiederherstellung von Daten nach Fehlern, Angriffen und Fehlbedienung |
Die rechte Spalte ist der Grund für eine eigene Datensicherung. Für Einrichtungen, die unter § 30 BSIG fallen, ist „Backup-Management und Wiederherstellung nach einem Notfall“ ausdrücklich eine Mindestmaßnahme. Der branchenspezifische Sicherheitsstandard für Krankenhäuser verlangt ein Datensicherungskonzept und dokumentierte Wiederherstellungstests.
Was Microsoft 365 von Haus aus bietet
Die eingebauten Wiederherstellungsfunktionen sind nützlich, aber zeitlich eng begrenzt. Stand Oktober 2026 laut Microsoft-Dokumentation:
| Objekt | Eingebaute Wiederherstellung | Frist |
|---|---|---|
| Gelöschte Mails in Exchange Online | Ordner „Wiederherstellbare Elemente“ | Standard 14 Tage, maximal 30 Tage einstellbar. Kalenderelemente 120 Tage. |
| Gelöschtes Postfach (Benutzer gelöscht) | Benutzer wiederherstellen | 30 Tage, danach endgültig entfernt |
| Dateien in SharePoint | Papierkorb, erste und zweite Stufe | 93 Tage ab Löschung, beide Stufen zusammen |
| Ganzes OneDrive oder ganze Bibliothek | Auf früheren Zeitpunkt zurücksetzen | bis 30 Tage zurück |
| OneDrive eines gelöschten Benutzers | Aufbewahrung für gelöschte Benutzer | Standard 30 Tage (einstellbar), danach 93 Tage im Papierkorb der Websitesammlung, Wiederherstellung nur per PowerShell |
| Gelöschte Microsoft-365-Gruppe bzw. gelöschtes Team | Gruppe wiederherstellen | 30 Tage, nicht verlängerbar |
Die Frist für wiederherstellbare Elemente lässt sich pro Postfach anheben. Das schadet nicht und kostet nichts:
Get-Mailbox -ResultSize Unlimited | Set-Mailbox -RetainDeletedItemsFor 30
Get-Mailbox -ResultSize Unlimited | Select-Object DisplayName, RetainDeletedItemsFor, SingleItemRecoveryEnabledDas Problem aller Fristen: Sie laufen ab Löschung, nicht ab Entdeckung. Fällt ein Fehler erst nach drei Monaten auf, etwa bei einer Prüfung, einem Austritt oder einem Rechtsstreit, sind die meisten Wege bereits verschlossen.
Aufbewahrungsrichtlinien: Schutz vor Löschung, keine Wiederherstellung
Häufig wird auf Microsoft Purview verwiesen: Aufbewahrungsrichtlinien und Litigation Hold sorgen dafür, dass nichts endgültig gelöscht wird. Das stimmt, ist aber eine Compliance-Funktion und keine Datensicherung:
- Kein Zurück auf einen Zeitpunkt. Aufbewahrte Inhalte liegen in versteckten Bereichen wie den wiederherstellbaren Elementen oder der Preservation Hold Library. Ein Postfach oder eine Site lässt sich damit nicht auf den Stand von letztem Dienstag zurücksetzen.
- Wiederherstellung über eDiscovery. Der Weg zurück führt über Suche und Export. Ordnerstruktur, Berechtigungen und Zusammenhänge müssen Sie danach selbst wiederherstellen. Für ein einzelnes Dokument geht das, für eine verschlüsselte Abteilungsbibliothek nicht.
- Gleiche Umgebung. Aufbewahrte Daten liegen im selben Tenant wie die Originale. Ein Angreifer mit weitreichenden Administratorrechten bewegt sich in derselben Umgebung.
- Keine Konfiguration. Richtlinien, Regeln, Gruppenmitgliedschaften und Berechtigungen werden nicht aufbewahrt.
Aufbewahrungsrichtlinien sind trotzdem sinnvoll, und Archivierungspflichten erfüllt man mit einem Archiv. Für die schnelle Rückkehr zu einem funktionsfähigen Zustand braucht es zusätzlich eine Sicherung.
Szenarien, in denen es ohne Backup eng wird
| Szenario | Was ohne Backup bleibt |
|---|---|
| Ransomware verschlüsselt über den Sync-Client OneDrive und eingebundene Bibliotheken | OneDrive- bzw. Bibliothekswiederherstellung bis 30 Tage, sofern früh bemerkt und nicht auch Versionen betroffen |
| Kompromittiertes Konto löscht gezielt Mails und Dateien | Papierkörbe und wiederherstellbare Elemente, wenn der Angreifer sie nicht ebenfalls leert |
| Fehlerhaftes Skript oder Migrationswerkzeug überschreibt Inhalte massenhaft | Versionsverlauf pro Datei, aber kein konsistenter Gesamtstand |
| Ausgeschiedene Mitarbeitende, Postfach nach 30 Tagen weg | Nur was archiviert oder durch Aufbewahrung geschützt ist |
| Team versehentlich gelöscht, Fehler nach sechs Wochen bemerkt | Nichts. Die 30 Tage sind abgelaufen. |
| Fehlkonfiguration von Regeln oder Richtlinien | Nur eine vorher exportierte Konfiguration |
Die letzte Zeile wird oft vergessen. Datensicherungsprodukte sichern Inhalte, nicht die Konfiguration des Tenants. Exchange-Regeln, Connectors, Conditional Access und Sicherheitsrichtlinien sichern Sie separat, zum Beispiel durch regelmäßige Exporte als JSON, wie im Artikel Mail-Gateway und M365-Backup konsolidieren gezeigt.
Was eine M365-Datensicherung leisten muss
Ob Sie Microsoft 365 Backup, eine Drittanbieter-Lösung oder eine Suite wie Hornetsecurity 365 Total Protection (ab Plan 3 mit Backup) einsetzen: Prüfen Sie diese Punkte.
- Umfang: Benutzerpostfächer, Archive, freigegebene Postfächer, OneDrive, SharePoint, Teams mit Kanälen. Teams-Chats sind ein eigener Fall. Nicht jede Lösung sichert sie, Microsoft 365 Backup deckt derzeit Exchange Online, OneDrive und SharePoint ab.
- Häufigkeit und Tiefe: Wie viel Datenverlust ist tolerierbar (Recovery Point Objective), und wie weit müssen Sicherungen zurückreichen? Microsoft 365 Backup bietet je nach Richtlinie drei Monate bis zwei Jahre.
- Trennung vom Quellsystem: Eigene Anmeldung mit MFA, getrennte Administratorrollen, unveränderbare oder nur anhängende Speicherung. Microsoft 365 Backup speichert bewusst innerhalb der Microsoft-365-Grenze, was schnelle Wiederherstellung ermöglicht, aber keine Kopie außerhalb des Anbieters ist.
- Speicherort und Nachweise: Rechenzentren in der EU bzw. in Deutschland, Auftragsverarbeitungsvertrag, Testate. Im Gesundheitswesen verlangt § 393 SGB V für die Verarbeitung von Gesundheitsdaten in der Cloud ein aktuelles C5-Testat Typ 2 oder einen gleichwertigen Nachweis.
- Wiederherstellung: Element, Ordner, Postfach, Datei, Bibliothek, Site, Team. Am Originalort, an einem anderen Ort oder als Export. Mit Rollen, die festlegen, wer was wiederherstellen darf.
- Schnittstellen: Sicherungen müssen über Microsoft Graph oder die Microsoft 365 Backup Storage-Schnittstelle laufen. Exchange Web Services blockiert Microsoft in Exchange Online seit dem 1. Oktober 2026 standardmäßig, zum 1. April 2027 entfällt es ganz.
- Überwachung: Meldung bei fehlgeschlagenen Sicherungen und nicht gesicherten neuen Objekten, etwa neu angelegten Teams.
- Ausstieg: Wie kommen die Daten bei Vertragsende heraus, und in welchem Format?
Tipp: Fragen Sie nicht nur, ob neue Postfächer und Sites automatisch in die Sicherung aufgenommen werden, sondern auch, ob Sie benachrichtigt werden, wenn etwas ausgeschlossen bleibt. Ein Backup, das neue Teams stillschweigend nicht sichert, fällt erst beim Wiederherstellen auf.
Microsoft 365 Backup oder Drittanbieter?
Beide Wege sind legitim, sie lösen unterschiedliche Teile des Problems:
| Microsoft 365 Backup | Drittanbieter mit eigenem Speicher | |
|---|---|---|
| Speicherort | innerhalb der Microsoft-365-Grenze, nur anhängende Speicherung | beim Anbieter oder im eigenen Speicher, außerhalb des Tenants |
| Wiederherstellung großer Mengen | sehr schnell, Microsoft nennt mehrere Terabyte pro Stunde im Median | abhängig von Anbieter und Microsoft-Drosselung |
| Umfang | Exchange Online, OneDrive, SharePoint | je nach Produkt zusätzlich Teams, teils Endgeräte |
| Abrechnung | nach gesichertem Datenvolumen, Azure-Abonnement nötig | meist pro Benutzer |
| Abhängigkeit | gleicher Anbieter wie das Quellsystem | zusätzlicher Anbieter mit eigenem Vertrag und eigenen Nachweisen |
Für Organisationen mit hohem Schutzbedarf ist die Kombination naheliegend: schnelle Wiederherstellung im Tenant für den häufigen Fall, eine Kopie außerhalb für den seltenen, schweren Fall. Entscheidend ist, dass die Wahl begründet und im Datensicherungskonzept dokumentiert ist.
Restore-Tests: ohne Test keine Sicherung
Ein Backup ist erst dann eines, wenn die Wiederherstellung nachweislich funktioniert. Wir empfehlen einen festen Testplan mit dokumentierten Ergebnissen:
| Test | Turnus (Vorschlag) | Was gemessen wird |
|---|---|---|
| Einzelne Mail und Kalenderelement | quartalsweise | Vollständigkeit, Anhänge, Ordner |
| Komplettes Postfach in alternatives Ziel | halbjährlich | Dauer, Elementanzahl im Vergleich |
| OneDrive auf Zeitpunkt vor simuliertem Schaden | halbjährlich | Dauer, Versionen, Freigaben |
| SharePoint-Bibliothek bzw. Site | halbjährlich | Dauer, Metadaten, Berechtigungen |
| Team mit Kanälen und Dateien | jährlich | Was zurückkommt und was nicht |
| Großschaden: viele OneDrives gleichzeitig | jährlich als Übung | Realistische Wiederherstellungszeit für die Notfallplanung |
Der letzte Test liefert die wichtigste Zahl: Wie lange dauert es, nach einem Angriff hundert oder tausend Konten zurückzuholen? Diese Zahl gehört in den Notfallplan, sonst plant dieser mit einer Annahme.
Checkliste
- Wiederherstellbare Elemente in Exchange Online auf 30 Tage angehoben
- Datensicherung für Exchange Online, OneDrive, SharePoint und Teams mit definiertem Umfang
- Recovery Point Objective und Aufbewahrungstiefe schriftlich festgelegt
- Sicherung getrennt administriert, mit MFA und unveränderbarer Speicherung
- Speicherort, AVV und Testate geprüft
- Keine Abhängigkeit mehr von Exchange Web Services
- Tenant-Konfiguration separat exportiert
- Restore-Tests nach Plan durchgeführt und dokumentiert
Fazit
Microsoft 365 schützt zuverlässig vor dem Ausfall von Technik. Gegen menschliche Fehler, Angriffe und spät entdeckte Schäden bietet es Fristen von 14 bis 93 Tagen und Werkzeuge, die für Compliance gebaut sind, nicht für die schnelle Rückkehr in den Betrieb. Eine eigene Datensicherung mit klarer Aufbewahrung, getrennter Administration und regelmäßig getesteter Wiederherstellung schließt diese Lücke. Wie wir das aufsetzen und betreiben, beschreibt unsere Seite zum M365-Backup.
Schreibt hier über Probleme, die in echten Projekten auftreten: Microsoft 365, Security, Automatisierung und digitale Systeme. Hängen Sie gerade an genau diesem Thema? Dann lösen wir es gemeinsam, von der Diagnose bis zur Umsetzung.
Kontakt aufnehmen