Microsoft 365 sichern: Warum das native Backup nicht reicht — und wie automatisiertes M365-Backup funktioniert

Microsoft 365 läuft in der Cloud, wird von Microsoft betrieben und ist hochverfügbar — daraus ziehen viele Betriebe den verständlichen Schluss: "Meine Daten sind da automatisch gesichert." Dieser Schluss ist gefährlich. Denn Microsoft schützt zuverlässig seine Rechenzentren und Dienste, aber nicht dich vor dem versehentlichen oder böswilligen Löschen deiner eigenen Daten.

Der Unterschied klingt akademisch, wird aber schnell konkret: Wenn ein Mitarbeiter ein Postfach leert, ein Projektordner in SharePoint verschwindet oder ein Ransomware-Angriff die OneDrive-Dateien verschlüsselt, ist die native Wiederherstellung oft schon zu spät.

Das Modell der geteilten Verantwortung

Microsoft arbeitet nach dem Prinzip der geteilten Verantwortung ("Shared Responsibility"). Vereinfacht gesagt:

• Microsoft ist verantwortlich für die Verfügbarkeit der Dienste, die Sicherheit der Infrastruktur und den Schutz vor Ausfällen auf Hardware-Ebene.
• Du bist verantwortlich für deine Daten — also dafür, dass du sie wiederherstellen kannst, wenn sie durch menschliche Fehler, böswillige Löschung oder Angriffe verloren gehen.

Das steht sinngemäß in den Nutzungsbedingungen von Microsoft selbst. Der Konzern empfiehlt sogar ausdrücklich, Drittanbieter-Backups einzusetzen. Wer das überliest, verwechselt "hochverfügbar" mit "gesichert" — und das sind zwei völlig verschiedene Dinge.

Was der Papierkorb kann — und wo er aufhört

Natürlich gibt es in Microsoft 365 Papierkörbe, Versionsverläufe und Aufbewahrungsrichtlinien. Die helfen im Alltag und fangen kleine Missgeschicke auf. Aber sie haben feste Grenzen:

• Der Papierkorb behält gelöschte Elemente nur für einen begrenzten Zeitraum (oft 30, maximal 93 Tage) — danach sind sie endgültig weg.
• Wird ein Benutzerkonto gelöscht, verschwinden nach einer Karenzzeit auch dessen OneDrive und Postfach.
• Ein Angreifer mit Zugriff kann Papierkörbe gezielt leeren.
• Manche Fehler fallen erst nach Monaten auf — dann ist die Aufbewahrungsfrist längst abgelaufen.

Ein echtes Backup unterscheidet sich genau hier: Es liegt außerhalb der Reichweite des Tagesgeschäfts und hält Stände so lange vor, wie du es festlegst.

Was ein automatisiertes M365-Backup abdeckt

Ein sauber eingerichtetes Backup sichert die vier zentralen Bereiche von Microsoft 365:

• Exchange Online: E-Mail-Postfächer inklusive Anhängen, Kalendern und Kontakten.
• SharePoint: Team- und Projektseiten mit allen Dokumentbibliotheken.
• OneDrive: die persönlichen Ablagen der Mitarbeiter.
• Teams: Chats, Kanäle und die dahinterliegenden Dateien.

Die Sicherungen laufen zeitgesteuert — typischerweise jede Nacht — ohne dass jemand daran denken muss. Alte Stände werden nach klaren Aufbewahrungsregeln aufgeräumt, jeder Lauf wird protokolliert, und bei einem Fehler geht eine Benachrichtigung raus. Einmal eingerichtet, arbeitet das System still im Hintergrund.

Ein Beispiel aus dem Alltag

Ein kleiner Betrieb mit rund fünfzehn Mitarbeitern arbeitet komplett in Microsoft 365. Eine Mitarbeiterin verlässt das Unternehmen, ihr Konto wird — wie üblich — zeitnah deaktiviert und später gelöscht. Zwei Monate danach fällt auf, dass in ihrem OneDrive die einzige aktuelle Version einer wichtigen Kalkulation lag. Ohne Backup wäre diese Datei unwiederbringlich verloren, denn die Karenzzeit ist abgelaufen. Mit einem nächtlichen Backup lässt sich der Stand von vor der Löschung einfach zurückholen — eine Sache von Minuten statt eines echten Datenverlusts.

Der DSGVO-Blick

Datensicherung ist nicht nur Bequemlichkeit, sondern berührt auch die DSGVO. Der Grundsatz der Integrität und Vertraulichkeit (Art. 32) verlangt, dass personenbezogene Daten gegen Verlust geschützt und wiederherstellbar sind. Gleichzeitig gilt: Ein Backup muss selbst datenschutzkonform sein — also wissen, wo die Daten gespeichert werden, wie lange sie aufbewahrt und wann sie wieder gelöscht werden. Ein gutes Konzept denkt Aufbewahrung und Löschung deshalb von Anfang an zusammen.

Wenn dich das Thema interessiert

Wie so eine Lösung konkret aussieht, zeige ich im Projekt Microsoft-365-Backup.

Ich baue solche Backup-Systeme und beschäftige mich damit, wie man sie zuverlässig und nachvollziehbar aufsetzt. Wenn dich das Thema interessiert oder du wissen willst, ob so etwas in deinem Betrieb funktionieren würde — schreib mir einfach eine kurze Mail an marcel@neckarai.de. Ich freue mich über jede Nachricht.