Microsoft 365 Backup: Warum Aufbewahrungsrichtlinien kein Backup sind

„Unsere Daten sind in der Cloud — die sind doch sicher.“ Diesen Satz hören wir oft. Und er stimmt — teilweise. Microsoft sichert die Infrastruktur von Microsoft 365 ab, garantiert die Verfügbarkeit und schützt vor Hardware-Ausfällen. Aber Microsoft macht kein Backup Ihrer Daten im klassischen Sinne. Und das ist auch kein Versehen, sondern Teil des Shared-Responsibility-Modells, das Microsoft offen kommuniziert. In diesem Beitrag zeigen wir, was die nativen Aufbewahrungsrichtlinien können, wo sie versagen — und welche Backup-Lösungen sich in der Praxis bewährt haben.

Microsoft 365 hat mehrere Mechanismen, die manchmal als Backup verstanden werden — es aber nicht sind: Gelöschte Elemente in Exchange Online: Werden für 14 Tage (Standard) bis maximal 30 Tage vorgehalten. Danach landen sie im Ordner „Wiederherstellbare Elemente“ und sind dort weitere 14 Tage greifbar. Insgesamt also bis zu rund 30 Tage. Papierkorb in OneDrive und SharePoint: Gelöschte Dateien sind 93 Tage rückholbar (Standard). Danach sind sie endgültig weg. Versionsverwaltung in SharePoint und OneDrive: Versionen einer Datei werden vorgehalten — wie viele, hängt von der Konfiguration ab. Microsoft Teams Aufbewahrung: Chat-Nachrichten und Kanal-Beiträge folgen den definierten Aufbewahrungsrichtlinien Ihrer Organisation. Das klingt zunächst nach viel. Bis Sie ein konkretes Recovery-Szenario haben.

Ein Mitarbeiter klickt auf einen Phishing-Anhang. Die Ransomware verschlüsselt alle Dateien im lokalen OneDrive-Sync-Ordner — und synchronisiert die verschlüsselten Versionen automatisch in die Cloud. Mit OneDrive-Versionsverwaltung können Sie zwar einzelne Dateien auf eine ältere Version zurücksetzen. Aber wenn tausende Dateien betroffen sind, ist das praktisch nicht machbar. Microsoft bietet eine „Dateien wiederherstellen“-Funktion, die einen kompletten Roll-back für einen Zeitraum macht — aber sie ist nur für 30 Tage nutzbar und scheitert in komplexen Szenarien. Ein echtes Backup mit Point-in-Time-Recovery löst das Problem in Minuten.

Ein Geschäftsführer löscht ein altes Teams-Team — und stellt drei Monate später fest, dass darin wichtige Kunden-Kommunikation und Dateien lagen, die nirgendwo anders abgelegt waren. Microsoft Teams behält gelöschte Teams 30 Tage. Danach sind sie weg. Nicht nur die Chats, sondern auch die SharePoint-Sites, die zum Team gehörten. Ein Drittanbieter-Backup bewahrt die Daten so lange auf, wie Sie es konfigurieren — typischerweise mehrere Jahre.

Ein Administrator setzt aus Versehen eine Aufbewahrungsrichtlinie, die alte E-Mails endgültig löscht. Oder noch schlimmer: Ein Angreifer kompromittiert ein Admin-Konto und löscht systematisch Daten. In beiden Fällen sind die nativen Microsoft-Funktionen wirkungslos — entweder weil die Daten regelkonform gelöscht wurden, oder weil der Angreifer hohe Privilegien hat. Nur ein unabhängiges Backup außerhalb des Tenants schützt. Microsoft selbst formuliert das im Service Trust Portal und in der Dokumentation eindeutig: Ein Drittanbieter-Backup wird ausdrücklich empfohlen.

Seit Sommer 2024 bietet Microsoft ein eigenes Produkt namens „Microsoft 365 Backup“ an — allgemein verfügbar seit Juli/August 2024. Das ist ein echter Fortschritt gegenüber den reinen Aufbewahrungsrichtlinien, löst das Grundproblem aber nur teilweise: Speicherort in derselben Cloud: Die Backup-Daten verlassen die Microsoft-365-Trust-Boundary nicht. Es ist also keine unabhängige Kopie außerhalb des Anbieters — die klassische 3-2-1-Regel bleibt verletzt. Nur drei Dienste: Abgedeckt sind Exchange, OneDrive und SharePoint. Entra ID (Identitäten, Gruppen, Conditional Access) und Teams-Chats fehlen. Feste Aufbewahrung von einem Jahr: Längere Compliance-Fristen (handels- oder steuerrechtlich oft 6 bis 10 Jahre) lassen sich damit nicht abbilden. Kein Export: Wiederhergestellt wird nur zurück in denselben Tenant. Die Backup-Daten lassen sich nicht in ein eigenes Rechenzentrum oder eine andere Cloud auslagern. Verbrauchsabrechnung: rund 0,15 US-Dollar pro GB und Monat — bei größeren Tenants summiert sich das spürbar. Kurz: Microsoft 365 Backup ist eine schnelle Wiederherstellungs-Ebene innerhalb von Microsoft — aber kein Ersatz für ein unabhängiges Drittanbieter-Backup. Praktischer Nebeneffekt: Anbieter wie Veeam oder CodeTwo können die neue Microsoft-Plattform nutzen und deren Tempo mit ihrer Unabhängigkeit, langen Aufbewahrung und Governance kombinieren.

<p>Für unsere Kunden setzen wir je nach Anforderung auf drei unterschiedliche Backup-Lösungen für Microsoft 365: CodeTwo Backup for Office 365 (clientlos, gehostet): Die Lösung läuft als Service in EU-Rechenzentren von CodeTwo. Sie sichert Exchange Online, SharePoint, OneDrive und Microsoft Teams. Die Wiederherstellung ist granular bis auf einzelne Mails oder Dateien möglich. Für KMU ohne eigene Backup-Infrastruktur ist das die einfachste Lösung — wir sind autorisierter CodeTwo Reseller. Veeam Backup for Microsoft 365 (selbst gehostet): Die klassische Lösung, wenn Sie ohnehin Veeam für Server-Backups nutzen oder das Backup auf eigener Infrastruktur halten möchten. Maximale Kontrolle, aber höherer Verwaltungsaufwand. Hornetsecurity 365 Total Backup (gehostet): Eine weitere gehostete Variante mit breiter Abdeckung — inklusive Teams — aus EU-Rechenzentren. Sinnvoll, wenn Sie Backup als reinen Managed Service beziehen möchten. Alle Varianten sind DSGVO-konform — bei den gehosteten Lösungen (CodeTwo, Hornetsecurity) schließen wir mit dem Hersteller einen AVV ab, bei Veeam auf Ihrer Infrastruktur sind Sie selbst Verantwortlicher.</p>

<p>Microsoft 365 ohne zusätzliches Backup ist wie ein Auto ohne Reserverad: Es funktioniert die meiste Zeit, aber im Ernstfall stehen Sie still. Die Kosten für ein Drittanbieter-Backup liegen typischerweise im Bereich weniger Euro pro Postfach und Monat — verglichen mit den Kosten eines verlorenen Datensatzes ein Bruchteil. Wir beraten Sie gerne zur passenden Backup-Strategie für Ihren Microsoft-365-Tenant. Sprechen Sie uns an — wir prüfen Ihren aktuellen Tenant, identifizieren die größten Risiken und schlagen eine konkrete Backup-Architektur vor.</p>