Microsoft 365 Backup: Warum es Pflicht ist

Microsoft 365 ist kein Backup: der Unterschied zwischen Plattform und Datensicherung

Wer Microsoft 365 produktiv nutzt, vertraut sensible Geschäftsdaten der Cloud an. E-Mails, Verträge, Projektdateien, Teams-Chats, ganze Postfächer. Viele Unternehmen gehen dabei davon aus, dass Microsoft die Daten automatisch und vollumfänglich sichert. Das ist ein gefährlicher Irrtum. Ein dediziertes Microsoft 365 Backup ist und bleibt Aufgabe des Unternehmens, nicht des Cloud-Anbieters. Wer das übersieht, riskiert verlorene Daten, Compliance-Verstöße und im Ernstfall den Stillstand des Geschäftsbetriebs.

Die Verwechslung beginnt oft beim Wort „Cloud“. Wer seine Daten in Microsoft 365 speichert, profitiert von hoher Verfügbarkeit, geografischer Replikation und einer professionell betriebenen Plattform. Microsoft repliziert Datenbanken über mehrere Rechenzentren, betreibt redundante Netzwerke und sorgt für eine vertraglich zugesicherte Verfügbarkeit von 99,9 Prozent. Das alles ist beeindruckend, hat aber einen entscheidenden blinden Fleck: Diese Mechanismen schützen die Plattform, nicht den Inhalt.

Wenn ein Anwender eine wichtige E-Mail dauerhaft löscht, repliziert Microsoft diese Löschung zuverlässig in alle Rechenzentren. Wenn ein Ransomware-Angriff Dateien in OneDrive verschlüsselt, repliziert Microsoft auch diese verschlüsselten Versionen. Replikation bedeutet Verfügbarkeit, nicht Wiederherstellbarkeit. Genau hier setzt ein dediziertes Backup an. Es bewahrt eine unabhängige, zeitversetzte Kopie der Daten auf, aus der sich konkrete Stände wiederherstellen lassen, auch Wochen oder Jahre später.

Praxis-Tipp: Stellen Sie sich Microsoft 365 wie einen modernen Bürokomplex vor. Microsoft sorgt für Stromversorgung, Sicherheitsdienst und stabiles Gebäude. Wer aber wichtige Akten versehentlich schreddert, dem hilft das beste Gebäude nicht. Dafür braucht es eine separate, kontrollierte Aktenkopie an einem anderen Ort.

Das Shared Responsibility Model bei Microsoft 365

Microsoft kommuniziert die Verantwortungsteilung offiziell unter dem Begriff Shared Responsibility Model. Bei Software-as-a-Service liegt die Aufteilung klar: Microsoft verantwortet die Plattform und ihre Infrastruktur, das Unternehmen verantwortet seine Daten, Identitäten und Konfigurationen.

Grafik 1: Shared Responsibility Model bei Microsoft 365 (SaaS)

Konkret bedeutet das: Microsoft kümmert sich um Rechenzentren, physische Hardware, Netzwerke, Hypervisor und die Software-Plattform selbst. Das Unternehmen ist verantwortlich für Endgeräte, Benutzerkonten, Berechtigungen, Konfigurationseinstellungen und vor allem für die Daten. Damit ist auch die Datensicherung eine Pflicht des Unternehmens, nicht des Anbieters. Microsoft selbst weist darauf in seinen Service-Verträgen hin und empfiehlt explizit eine zusätzliche Datensicherung durch Drittanbieter-Lösungen.

Was Microsoft nativ leistet und wo die Grenzen sind

Microsoft 365 bietet einige eingebaute Schutzmechanismen, die in vielen Unternehmen mit „Backup“ verwechselt werden. Diese Funktionen sind nützlich, decken aber nur kurze Zeiträume und einfache Wiederherstellungs-Szenarien ab.

Exchange Online

Gelöschte E-Mails wandern zunächst in den Ordner „Gelöschte Elemente“. Werden sie auch dort entfernt, landen sie für 14 Tage in den „Wiederherstellbaren Elementen“. Danach sind sie verloren. Wird ein Postfach komplett gelöscht, etwa nach dem Austritt eines Mitarbeiters, bleibt es 30 Tage erhalten und wird dann endgültig entfernt.

SharePoint Online und OneDrive

Gelöschte Dateien liegen für 93 Tage im zweistufigen Papierkorb. Danach sind sie unwiederbringlich weg. Versionsverläufe schützen vor Überschreibungen, aber nicht vor flächendeckender Verschlüsselung durch Ransomware, weil auch alte Versionen mitverschlüsselt werden können.

Microsoft Teams

Teams-Chats und Channel-Nachrichten werden im Hintergrund in Exchange- und SharePoint-Speichern abgelegt. Sie unterliegen damit deren Aufbewahrungsregeln, aber eine granulare Wiederherstellung einzelner Nachrichten oder Chats ist nativ kaum möglich.

Wichtig: Aufbewahrungsrichtlinien (Retention Policies) sind ebenfalls kein Backup. Sie verhindern das Löschen von Daten innerhalb der Microsoft-Plattform, schützen aber nicht vor Konfigurationsfehlern, böswilligen Administratoren oder einer kompletten Mandanten-Kompromittierung.

Typische Ursachen für Datenverlust in Microsoft 365

Wer an Datenverlust denkt, hat oft Hardware-Crashs oder Naturkatastrophen vor Augen. In der Realität sieht das Bild anders aus. Brancheneinschätzungen zeigen seit Jahren einen klaren Trend: Der Mensch ist die größte Risikoquelle, weit vor technischen Defekten.

Versehentliches Löschen ist die häufigste Ursache. Eine Mitarbeiterin räumt ihr Postfach auf und löscht dabei eine vermeintlich alte Mail mit Vertragsdetails. Ein Projektleiter schiebt einen ganzen SharePoint-Ordner versehentlich in den Papierkorb. Beides sind Alltagsszenarien, die ohne Backup nach kurzer Zeit unwiederbringlich werden.

Ransomware-Angriffe sind die zweitgrößte Bedrohung. Laut der Bitkom Wirtschaftsschutzstudie sind die meisten Unternehmen in Deutschland inzwischen direkt oder indirekt von Cyberangriffen betroffen. Verschlüsselte OneDrive-Daten lassen sich ohne sauberes Backup oft nur durch Lösegeldzahlung „retten“, was rechtlich und ethisch heikel ist.

Kompromittierte Konten durch Phishing oder Insider-Risiken sind die dritte große Kategorie. Hat ein Angreifer Admin-Zugriff, kann er Postfächer leeren, Aufbewahrungsregeln deaktivieren oder ganze Tenants löschen. Native Mechanismen helfen hier wenig.

Was DSGVO, BSI und NIS2 für Backups verlangen

Datensicherung ist nicht nur eine Frage der IT-Hygiene, sondern auch eine rechtliche Pflicht. Artikel 32 der DSGVO verlangt von Unternehmen die „Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“. Wer Personaldaten, Kundendaten oder Kommunikationsdaten in Microsoft 365 verarbeitet, muss diese im Zweifel binnen kurzer Zeit zurückspielen können.

Das BSI konkretisiert diese Anforderung im IT-Grundschutz-Baustein CON.3 „Datensicherungskonzept“. Gefordert sind unter anderem regelmäßige Sicherungen, eine geprüfte Wiederherstellbarkeit und eine räumliche Trennung von Originaldaten und Sicherungskopien. Für Branchen mit erhöhten Anforderungen, etwa unter NIS2, KRITIS oder DORA, kommen zusätzliche Pflichten hinzu.

Faustregel für die Entscheidung: Wenn die Wiederherstellung Ihrer Microsoft 365 Daten in einem Audit nicht in unter 24 Stunden nachweisbar ist, fehlt eine echte Backup-Lösung.

Die 3-2-1 Regel auch in der Cloud

Die in der IT-Sicherheit etablierte 3-2-1 Regel hat auch im Cloud-Zeitalter ihre Berechtigung: drei Kopien Ihrer Daten, auf zwei unterschiedlichen Speichermedien, eine davon außerhalb des Produktivsystems. Auf Microsoft 365 angewendet bedeutet das: Ihre Originaldaten liegen im Microsoft-Tenant, eine Kopie idealerweise bei einem unabhängigen Backup-Anbieter und eine weitere logisch oder physisch getrennt davon.

Der Vorteil eines externen Backups ist offensichtlich: Selbst wenn Ihr gesamter Microsoft-Tenant kompromittiert oder versehentlich gelöscht würde, wäre eine vollständige Wiederherstellung möglich. Bei Backup-Diensten mit deutschem oder europäischem Hosting ergibt sich zusätzlich ein Plus an DSGVO-Konformität und Datenresidenz.

Warum „mal eben selbst machen“ selten reicht

In der Praxis versuchen einige Unternehmen, Microsoft 365 Backup mit Bordmitteln nachzubauen, etwa durch PowerShell-Skripte, manuelle PST-Exporte oder lokale Kopien einzelner Dateien. Diese Ansätze sind besser als nichts, haben aber gravierende Schwächen: Sie sind unvollständig, schwer zu auditieren, schützen nicht vor Identitätsdiebstahl und versagen bei größeren Wiederherstellungs-Szenarien.

Der Haken: Wer im Schadensfall feststellt, dass das selbstgebaute Backup unvollständig ist, hat keine zweite Chance. Professionelle Backup-Lösungen für Microsoft 365 bieten Granularität bis auf einzelne Mails, Dateien oder Chat-Nachrichten, eine geprüfte Wiederherstellung und nachvollziehbare Compliance-Berichte.

Unser Ansatz bei CodeKlar

CodeKlar begleitet Unternehmen bei der Einführung eines belastbaren Microsoft 365 Backups, das zur jeweiligen Größe und Risikostruktur passt:

1. Bedarfsanalyse und Risikobewertung. Wir prüfen, welche Datenklassen in Ihrem Microsoft 365 Tenant liegen, welche Aufbewahrungspflichten gelten und wo die größten Risiken bestehen. Daraus leiten wir konkrete Schutzziele ab, die zu Ihrem Geschäft passen.
2. Auswahl der passenden Backup-Lösung. Es gibt nicht das eine Backup-Tool für alle. Wir vergleichen marktreife Lösungen anhand Ihrer Anforderungen, von Speicherort und Aufbewahrungsdauer bis zu Wiederherstellungs-Granularität, und empfehlen ein passendes Produkt.
3. Strukturierte Implementierung. Wir konfigurieren das gewählte Backup, definieren Sicherungs-Pläne, Aufbewahrungsfristen und Zugriffsrechte. Eingebunden werden Exchange Online, OneDrive, SharePoint und Microsoft Teams.
4. Wiederherstellungs-Tests. Ein Backup ohne getestete Wiederherstellung ist kein Backup. Wir simulieren typische Schadensfälle und dokumentieren Recovery-Zeiten als belastbare Nachweise für Audits.
5. Laufender Betrieb und Monitoring. Auf Wunsch übernehmen wir das Monitoring der Backup-Jobs, regelmäßige Reviews und die Anpassung an neue Microsoft 365 Funktionen oder geänderte Compliance-Anforderungen.

Fazit

Microsoft 365 ist eine leistungsfähige, hochverfügbare Plattform, aber kein Ersatz für ein dediziertes Backup. Verantwortlich für Daten, Identitäten und Konfigurationen ist und bleibt das Unternehmen. Wer auf native Mechanismen alleine vertraut, riskiert nicht nur Datenverluste, sondern auch Compliance-Verstöße gegen DSGVO, BSI und branchenspezifische Vorgaben. Ein professionelles Microsoft 365 Backup ist daher kein optionales Extra, sondern Teil moderner IT-Hygiene. Je früher Unternehmen das Thema strukturiert angehen, desto belastbarer ist ihr Schutz im Ernstfall.

Jetzt Microsoft 365 Backup strategisch absichern

Steht bei Ihnen die Frage im Raum, ob Ihre Microsoft 365 Umgebung im Ernstfall wirklich wiederherstellbar wäre? Möchten Sie wissen, ob Ihr aktueller Schutz den Anforderungen von DSGVO und BSI standhält?

Unser Angebot: CodeKlar erstellt für Sie eine fundierte Bewertung Ihrer aktuellen Datenschutz-Situation in Microsoft 365, empfiehlt eine passende Backup-Strategie und übernimmt auf Wunsch Implementierung und Betrieb. Sie erhalten einen dedizierten Ansprechpartner, klare Kosten und eine Lösung, die zu Ihrer Unternehmensgröße passt.

Sprechen Sie mit uns über ein verlässliches Microsoft 365 Backup, bevor der Ernstfall eintritt.