Es gibt einen Satz, der in Gesprächen über Microsoft 365 zuverlässig fällt: “Das liegt doch in der Cloud, das ist gesichert.” Der Satz stimmt und führt trotzdem in die Irre, weil er zwei verschiedene Dinge verwechselt.

Microsoft betreibt Exchange, SharePoint und OneDrive mit mehrfach redundanten Kopien Ihrer Daten. Fällt ein Rechenzentrum aus, merken Sie es im Normalfall nicht. Das ist Hochverfügbarkeit, und sie ist ausgezeichnet. Nur ist Hochverfügbarkeit kein Garant für Ausfallsicherheit. Sie schützt gegen den Ausfall von Technik. Sie schützt nicht gegen das, was Sie selbst mit Ihren Daten tun, und auch nicht gegen jemanden, der sich mit gültigen Zugangsdaten anmeldet.

Die Arbeitsteilung ist klar geregelt: Microsoft ist für die Plattform zuständig, Sie für Ihre Daten, Ihre Konten und die Zugriffsverwaltung. Wer diese Zeile im Kleingedruckten überliest, hat kein Backup, sondern eine Annahme.

Was die Bordmittel tatsächlich abdecken

Papierkorb und Aufbewahrungsrichtlinien werden regelmäßig für ein Backup gehalten. Sie sind keines, und zwar aus einem einfachen Grund: Sie sind zeitlich eng begrenzt, und sie liegen in derselben Umgebung wie die Originaldaten.

• SharePoint und OneDrive: Gelöschtes bleibt insgesamt 93 Tage erhalten, verteilt über den Papierkorb der Website und den der Websitesammlung. Diese 93 Tage laufen einmal, nicht zweimal.
• Exchange Online: Endgültig gelöschte Elemente liegen standardmäßig 14 Tage im Ordner für wiederherstellbare Elemente, maximal einstellbar sind 30 Tage.

Für den versehentlich gelöschten Anhang von letzter Woche reicht das. Für einen Verschlüsselungsvorfall, der drei Monate zurückreicht, oder für einen Mitarbeiter, der beim Ausscheiden aufgeräumt hat, reicht es nicht.

Microsoft 365 Backup, seit Ende 2024 allgemein verfügbar

Microsoft hat für genau diese Lücke ein eigenes Produkt gebaut. Es lief lange als Preview, ist seit Ende 2024 allgemein verfügbar und hat seitdem deutlich zugelegt. Die granulare Wiederherstellung einzelner Dateien und Ordner für SharePoint und OneDrive ist seit dem Frühjahr 2026 allgemein verfügbar, vorher ging nur die komplette Website oder das komplette Konto zurück.

Der Stand laut Microsofts eigener Dokumentation:

Das Tempo ist das eigentliche Verkaufsargument, und es ist ein echtes. Die Sicherung entsteht innerhalb der Datengrenzen des jeweiligen Dienstes, es muss also nichts über das Internet zurückkopiert werden. Wer einmal erlebt hat, wie sich mehrere Terabyte aus einem externen Speicher zurückziehen, weiß, welchen Unterschied das im Ernstfall macht. Die Sicherungen liegen zudem auf Append-only-Speicher, können also nicht nachträglich überschrieben werden.

Wo das Produkt aufhört

Drei Punkte, die in der Produktbeschreibung nicht fett gedruckt sind und die wir jedes Mal ansprechen.

1. Die Sicherung verlässt Ihren Tenant nicht

Genau die Eigenschaft, die das Produkt so schnell macht, ist zugleich seine Grenze. Die Daten verlassen die Vertrauensgrenze von Microsoft 365 nie. Das heißt: Wenn nicht einzelne Daten das Problem sind, sondern der Tenant selbst, liegt die Sicherung im Schadensradius.

Die Fälle, um die es geht, sind unspektakulär und kommen trotzdem vor: ein übernommenes globales Administratorkonto, eine versehentliche oder böswillige Abmeldung vom Dienst, ein Abrechnungs- oder Vertragsproblem, das den Zugang sperrt. Microsoft baut hier Schutzmaßnahmen ein, etwa eine Karenzzeit von 90 Tagen nach dem Offboarding und Benachrichtigungen an mehrere Administratoren bei kritischen Aktionen. Aber die alte Regel bleibt: eine Kopie außerhalb. Wenn Ihre einzige Sicherung von denselben Zugangsdaten abhängt wie die Produktivumgebung, ist es keine unabhängige Sicherung. Das ist derselbe Gedanke, den wir schon beim Ransomware-Schutz beschrieben haben.

2. Es sichert nicht alles, was Sie in Microsoft 365 haben

Abgedeckt sind Exchange, SharePoint und OneDrive. Das ist der Großteil des Datenvolumens, aber nicht der Großteil dessen, woran Ihr Betrieb hängt.

Teams-Dateien liegen in SharePoint und sind damit mit drin. Chatverläufe sind dagegen kein unterstütztes Wiederherstellungsszenario. Und ganz außen vor bleibt Entra ID, also Benutzer, Gruppen, Rollen, Berechtigungen und Richtlinien. Das ist unangenehm, denn nach einem Vorfall sind die Daten oft schneller zurück als die Frage geklärt, wer eigentlich auf was zugreifen durfte. Wer eine Umgebung nach einer Kompromittierung neu aufbaut, verbringt die meiste Zeit nicht mit Dateien, sondern mit Berechtigungen.

3. Ein Jahr ist ein Backup, kein Archiv

Die Aufbewahrung liegt fest bei einem Jahr, sie lässt sich nicht verlängern. Für die Wiederherstellung nach einem Vorfall ist das reichlich. Für Aufbewahrungspflichten ist es zu kurz, und zwar deutlich.

Nach § 147 Abgabenordnung gelten für Buchungsbelege und Rechnungen acht Jahre, seit dem 1. Januar 2025 herabgesetzt von zuvor zehn. Empfangene und abgesandte Handels- und Geschäftsbriefe, und dazu zählen E-Mails, sind sechs Jahre aufzubewahren. Bücher und Jahresabschlüsse zehn Jahre.

Backup und Archivierung sind zwei verschiedene Aufgaben mit zwei verschiedenen Werkzeugen. Ein Backup beantwortet “Wie komme ich zurück?”, ein Archiv beantwortet “Was war damals?”. Microsoft 365 Backup ist eindeutig Ersteres, und es ersetzt keine revisionssichere Archivierung.

Was es kostet, an einem Beispiel

Ein Betrieb mit rund 30 Mitarbeitenden und 1,5 TB Daten in Microsoft 365 zahlt bei 0,15 US-Dollar je GB etwa 225 US-Dollar im Monat. Zu beachten ist dabei: Abgerechnet wird alles, was geschützt ist, inklusive gelöschter Elemente, die noch in der Sicherung liegen, und aller Versionsstände. Die Datenmenge in der Sicherung ist also größer als die, die Sie im Tenant sehen.

Damit ist das Produkt kein Schnäppchen. Klassische Drittanbieter sind je nach Anbieter und Umfang günstiger, sichern gegen ein separates Ziel und decken die oben genannten Lücken teilweise mit ab. Dafür sind sie im Ernstfall langsamer, weil die Daten von außen zurückmüssen.

Wie wir das in der Praxis lösen

Es gibt hier kein pauschal richtiges Produkt, aber es gibt eine pauschal richtige Reihenfolge.

Zuerst klären wir, was überhaupt geschützt werden muss, und trennen dabei sauber zwischen Wiederherstellung und Aufbewahrungspflicht. Das sind zwei Anforderungen, die zwei Antworten brauchen. Danach entscheidet der Ernstfall über die Technik: Wer Terabyte im Zugriff hat und im Vorfall nicht tagelang stillstehen darf, fährt mit der Geschwindigkeit von Microsoft 365 Backup gut. Wer vor allem eine unabhängige Kopie außerhalb des Tenants braucht, ist mit einem Drittanbieter besser bedient. Häufig läuft es auf eine Kombination hinaus, und das ist kein Verkaufstrick, sondern folgt direkt aus Punkt 1 oben.

Und dann der Teil, den alle überspringen: einmal zurückspielen. Ein Backup, das nie wiederhergestellt wurde, ist eine Annahme, kein Schutz.

Sollen wir uns Ihre Sicherung ansehen?

Wir prüfen, was heute tatsächlich gesichert ist, wo die Lücken liegen und ob Ihre Aufbewahrungspflichten abgedeckt sind. Sie bekommen eine klare Aussage darüber, wie lange eine Wiederherstellung bei Ihnen realistisch dauern würde.

Mehr zu unseren Security-Leistungen oder direkt ein Erstgespräch anfragen.

Bild: Data backup von Nick Youngson, CC BY-SA 3.0, Pix4free.