Microsoft 365 Backup: Warum Papierkorb und Versionen nicht reichen

Ein Microsoft 365 Backup ist eine eigenständige Sicherung Ihrer Postfächer, OneDrive-Konten, SharePoint-Seiten und Teams-Daten, die unabhängig vom Papierkorb funktioniert. Microsoft betreibt die Plattform ausfallsicher, für die Wiederherstellbarkeit Ihrer Inhalte sind Sie selbst verantwortlich. Papierkörbe und Aufbewahrungsfristen helfen nur für einige Wochen. Wer gelöschte, verschlüsselte oder manipulierte Daten nach Monaten zurückholen muss, braucht eine echte Datensicherung.

In diesem Ratgeber erfahren Sie, was Microsoft von Haus aus wiederherstellen kann, wo die Lücken liegen, welche Lösungen es gibt und worauf Sie bei der Auswahl achten sollten. Ein aktueller Angriff auf eine verbreitete Backup-App zeigt außerdem, warum auch die Sicherung selbst abgesichert werden muss.

Microsoft 365 Backup: Was Microsoft sichert und was nicht

Microsoft speichert Ihre Daten redundant in mehreren Rechenzentren. Fällt dort ein Server oder ein ganzer Standort aus, laufen Exchange Online, SharePoint und OneDrive weiter. Diese Hochverfügbarkeit schützt vor Hardwareausfällen bei Microsoft. Sie schützt nicht vor Fehlern, die in Ihrem eigenen Mandanten passieren.

Löscht ein Mitarbeiter einen Ordner, verschlüsselt Ransomware synchronisierte Dateien oder entfernt ein Angreifer Postfachinhalte, dann repliziert Microsoft diese Änderung zuverlässig in alle Rechenzentren. Die Redundanz kopiert also auch den Schaden. Microsoft nennt diese Aufteilung das Modell der geteilten Verantwortung: Microsoft verantwortet den Betrieb der Plattform, Sie verantworten Ihre Daten, Konten und Berechtigungen.

Microsoft empfiehlt in seinem Servicevertrag selbst, Inhalte regelmäßig zu sichern. Für Unternehmen bedeutet das: Ein Microsoft 365 Backup ist keine Kür, sondern Teil einer ordentlichen Datensicherung, genau wie früher die Sicherung des eigenen Exchange-Servers.

Diese Wiederherstellung bringt Microsoft 365 schon mit

Ganz ohne Schutz sind Sie nicht. Microsoft 365 bietet mehrere eingebaute Funktionen, um Gelöschtes zurückzuholen. Sie haben aber feste Fristen und decken jeweils nur einen Teil der Fälle ab.

Die Details zu Exchange beschreibt Microsoft in der Dokumentation zum Ordner „Wiederherstellbare Elemente" in Exchange Online. Für viele Alltagsfälle reicht das: Eine versehentlich gelöschte Datei aus der Vorwoche ist schnell zurückgeholt.

Und was ist mit Aufbewahrungsrichtlinien?

Aufbewahrungsrichtlinien in Microsoft Purview sorgen dafür, dass Inhalte nicht endgültig gelöscht werden, etwa für rechtliche Aufbewahrungspflichten. Sie sind ein Compliance-Werkzeug, kein Backup. Eine Wiederherstellung an den ursprünglichen Ort mit Ordnerstruktur und Berechtigungen ist damit umständlich, und gegen einen Angreifer mit Administratorrechten helfen sie nur begrenzt, weil er die Richtlinien ändern kann.

Warum Papierkorb und Versionsverlauf kein Ersatz sind

Die eingebauten Funktionen haben drei grundsätzliche Schwächen. Erstens laufen die Fristen ab. Zweitens liegen sie im selben Mandanten wie die Originaldaten. Drittens kann jeder, der genügend Rechte hat, sie leeren. In der Praxis führen vor allem diese Situationen zu Datenverlust:

• Spät bemerkte Löschung: Ein Projektordner wird im Frühjahr gelöscht, gebraucht wird er im Herbst. Nach 93 Tagen ist er aus dem Papierkorb verschwunden.
• Ausgeschiedene Mitarbeitende: Das Konto wird gelöscht, die Lizenz frei. Nach 30 Tagen sind Postfach und OneDrive weg, obwohl darin noch Kundenkorrespondenz lag.
• Ransomware auf dem Arbeitsplatz: Verschlüsselte Dateien werden über den OneDrive-Client synchronisiert und überschreiben die Cloud-Version.
• Übernommenes Administratorkonto: Ein Angreifer löscht Postfächer, leert Papierkörbe und entfernt Aufbewahrungsrichtlinien.
• Fehler durch Skripte oder Synchronisation: Eine fehlerhafte Migration oder ein falsch konfiguriertes Tool ändert Tausende Dateien auf einmal.

Gegen all diese Fälle hilft nur ein Microsoft 365 Backup mit eigener Aufbewahrungsdauer, eigenen Zugangsdaten und einer getesteten Wiederherstellung.

Aktueller Fall: Angriff über eine Backup-App

Wie wichtig auch die Absicherung der Sicherung ist, zeigt ein Vorfall aus dieser Woche. Unbekannte Angreifer haben sich Zugriff auf Anwendungsidentitäten des Dienstes ConnectWise Cloud Backup verschafft, früher bekannt als SkyKick Cloud Backup. Darüber meldeten sie sich in zahlreichen Microsoft-365-Mandanten von Kunden an. Der Anbieter hat laut seinen Sicherheitshinweisen sieben betroffene Anwendungsidentitäten deaktiviert und den Backup-Dienst vorerst abgeschaltet.

Das Bemerkenswerte: Die Angreifer brauchten kein Benutzerkennwort. Sie nutzten die Berechtigungen, die Kunden der Backup-App einmal erteilt hatten. Weil sich eine Anwendung ohne Benutzer anmeldet, greift die Mehrstufige Authentifizierung hier nicht. In einigen Mandanten wiesen sich die Anwendungen sogar Administratorrollen für Exchange zu.

Was Sie daraus für Ihr Microsoft 365 Backup lernen

Eine Backup-Lösung braucht weitreichende Leserechte, oft auch Schreibrechte für die Wiederherstellung. Damit ist sie ein attraktives Ziel. Daraus folgt nicht, auf eine Sicherung zu verzichten, sondern sie wie jede privilegierte Identität zu behandeln:

• Prüfen Sie in Microsoft Entra ID unter „Unternehmensanwendungen", welche Apps Zugriff auf Ihren Mandanten haben, und entfernen Sie alles, was nicht mehr genutzt wird.
• Kontrollieren Sie die erteilten API-Berechtigungen. Microsoft erklärt das Vorgehen unter Verwalten von Berechtigungen für Unternehmensanwendungen.
• Achten Sie auf Warnungen zu neuen Rollenzuweisungen und auf Anmeldungen von Dienstprinzipalen aus unbekannten Netzen.
• Fragen Sie Ihren Backup-Anbieter, ob er eigene App-Registrierungen pro Kunde nutzt oder einen gemeinsamen Zugang für alle.

Wenn Sie ConnectWise oder SkyKick einsetzen oder früher eingesetzt haben, sollten Sie die Anmeldeprotokolle seit Mitte Oktober prüfen und alte App-Zugänge entfernen. Bei konkretem Verdacht hilft unsere IT-Notfall-Soforthilfe.

Microsoft 365 Backup einrichten: Worauf es ankommt

Ein gutes Microsoft 365 Backup erkennen Sie nicht am Funktionsumfang im Prospekt, sondern daran, ob Sie im Ernstfall schnell und vollständig wiederherstellen können. Diese Punkte sollten Sie vor der Auswahl klären.

Was gesichert werden muss

Mindestens gehören Exchange-Postfächer inklusive freigegebener Postfächer und Archive, alle OneDrive-Konten und alle SharePoint-Seiten in die Sicherung. Teams speichert Dateien in SharePoint, Chats und Kanalnachrichten aber getrennt davon. Wer Teams-Chats sichern muss, braucht eine Lösung, die das ausdrücklich unterstützt. Prüfen Sie auch, ob neue Benutzer und neue Seiten automatisch in die Sicherung aufgenommen werden.

Wie lange und wie oft gesichert wird

Legen Sie fest, wie weit Sie zurückgehen können müssen und wie viel Datenverlust höchstens tragbar ist. Für die meisten kleinen und mittleren Unternehmen sind mehrere Sicherungen pro Tag und eine Aufbewahrung von mindestens einem Jahr sinnvoll. Gesetzliche Aufbewahrungspflichten für Geschäftsbriefe regeln Sie besser über eine E-Mail-Archivierung, nicht über das Backup.

Wo die Sicherung liegt und wer darauf zugreift

Entscheidend ist die Trennung: Die Sicherung braucht eigene Zugangsdaten mit Mehrstufiger Authentifizierung, die nicht an Ihr Microsoft-365-Administratorkonto gekoppelt sind. Idealerweise sind Sicherungen unveränderbar, sodass sie auch mit gestohlenen Rechten nicht vorzeitig gelöscht werden können. Für Daten mit Personenbezug sollte der Speicherort in der EU liegen und ein Vertrag zur Auftragsverarbeitung vorliegen.

Die Wiederherstellung testen

Ein Backup, das nie zurückgespielt wurde, ist eine Annahme. Testen Sie mindestens zweimal im Jahr: eine einzelne E-Mail, einen Ordner in SharePoint und ein komplettes Postfach. Notieren Sie, wie lange es gedauert hat. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt die Anforderungen an ein Datensicherungskonzept im Baustein CON.3 des IT-Grundschutz-Kompendiums.

Microsoft-eigenes Backup oder Lösung eines Drittanbieters?

Seit einiger Zeit bietet Microsoft mit „Microsoft 365 Backup" einen eigenen Sicherungsdienst im Microsoft 365 Admin Center an. Daneben gibt es zahlreiche spezialisierte Anbieter. Beide Wege haben Vor- und Nachteile.

Microsoft 365 Backup von Microsoft

Der Dienst sichert SharePoint-Seiten, OneDrive-Konten und Exchange-Postfächer. Laut der Übersicht zu Microsoft 365-Backup auf Microsoft Learn ist das Wiederherstellungsfenster pro Richtlinie konfigurierbar, und große Datenmengen lassen sich besonders schnell zurückspielen, weil die Sicherung innerhalb der Microsoft-Infrastruktur liegt.

Abgerechnet wird nach Verbrauch: Der Listenpreis liegt bei 0,15 US-Dollar pro Gigabyte geschützter Daten und Monat, Wiederherstellungen sind kostenlos. Gelöschte und ältere Versionen zählen mit, solange sie in der Sicherung liegen. Der Nachteil: Die Sicherung bleibt bei Microsoft. Teams-Chats sind nicht enthalten, und eine Kopie außerhalb der Microsoft-Cloud entsteht nicht.

Backup-Lösungen von Drittanbietern

Spezialisierte Anbieter speichern die Daten meist in eigenen Rechenzentren, also außerhalb Ihres Mandanten. Viele sichern zusätzlich Teams-Chats, bieten unveränderbaren Speicher und lizenzieren pro Benutzer zum Festpreis. Dafür ist die Wiederherstellung großer Datenmengen langsamer, und Sie geben einer weiteren Anwendung weitreichende Rechte, wie der aktuelle Vorfall zeigt.

Was ein Microsoft 365 Backup ungefähr kostet

Ein Rechenbeispiel mit angenommenen Werten: Ein Betrieb mit 20 Mitarbeitenden hat im Schnitt 15 GB Postfach und 10 GB OneDrive pro Person, dazu 200 GB in SharePoint. Das sind rund 700 GB. Mit dem Microsoft-Dienst wären das nach Listenpreis etwa 105 US-Dollar im Monat, zuzüglich der gesicherten gelöschten Versionen. Drittanbieter rechnen meist pro Benutzer ab, die Preise unterscheiden sich stark.

Dazu kommt der einmalige Aufwand für Auswahl, Einrichtung und den ersten Wiederherstellungstest. Diesen rechnen wir transparent nach Aufwand ab, mit Wartungsvertrag zu 100 Euro netto pro Stunde, sonst zu 120 Euro netto. Alle Sätze finden Sie auf unserer Preisseite.

Typische Fehler bei der Sicherung von Microsoft 365

Bei der Sicherung von Microsoft 365 in kleinen und mittleren Unternehmen gibt es einige typische Schwachstellen. Die meisten lassen sich mit wenig Aufwand beheben, sobald sie bekannt sind.

Nur ein Teil der Daten wird gesichert

Häufig wurde die Sicherung einmal eingerichtet und seitdem nicht angepasst. Neue Mitarbeitende, neue Teams und neue SharePoint-Seiten fehlen dann. Wählen Sie eine Einstellung, die neue Konten und Seiten automatisch aufnimmt, und kontrollieren Sie die Liste der gesicherten Objekte regelmäßig.

Das Backup hängt am Administratorkonto

Liegt die Anmeldung zur Sicherung beim selben Konto wie die Microsoft-365-Verwaltung, kann ein Angreifer mit einem Kennwort beides löschen. Nutzen Sie getrennte Konten, Mehrstufige Authentifizierung und, wenn möglich, eine Freigabe durch eine zweite Person für das Löschen von Sicherungen.

Lizenzen werden zu früh entfernt

Beim Ausscheiden von Mitarbeitenden wird das Konto oft sofort gelöscht, um die Lizenz zu sparen. Klären Sie vorher, ob Postfach und OneDrive in der Sicherung liegen oder in ein freigegebenes Postfach überführt werden. Eine feste Offboarding-Checkliste verhindert, dass Kundenkorrespondenz verloren geht.

Niemand schaut auf die Fehlermeldungen

Viele Lösungen melden abgebrochene Sicherungen nur per E-Mail an ein Postfach, das keiner liest. Leiten Sie Warnungen an eine Stelle weiter, die sie auch bearbeitet, und dokumentieren Sie, wer bei Fehlern zuständig ist.

Checkliste: Ist Ihr Microsoft 365 ausreichend gesichert?

Beantworten Sie die folgenden Fragen ehrlich. Jede Antwort mit „Nein" oder „Weiß ich nicht" ist ein Punkt, den Sie angehen sollten.

1. Gibt es eine Datensicherung außerhalb von Papierkorb und Versionsverlauf?
2. Werden alle Postfächer, OneDrive-Konten und SharePoint-Seiten gesichert, auch neu angelegte?
3. Können Sie Daten von vor einem Jahr wiederherstellen?
4. Hat das Backup eigene Zugangsdaten mit Mehrstufiger Authentifizierung?
5. Wissen Sie, welche Apps mit welchen Rechten auf Ihren Mandanten zugreifen?
6. Wurde die Wiederherstellung in den letzten sechs Monaten getestet?
7. Prüft jemand regelmäßig, ob die Sicherungen fehlerfrei durchlaufen?

Gerade der letzte Punkt wird oft übersehen. Ein Backup-Job, der seit Wochen mit einem Fehler abbricht, fällt erst auf, wenn er gebraucht wird. In unseren Managed IT-Services gehört die Kontrolle der Sicherungen zur laufenden Betreuung.

Unterstützung in Euskirchen, Bonn und im Rheinland

Als IT-Systemhaus aus Euskirchen betreuen wir Unternehmen im Kreis Euskirchen, in Bonn, Köln und im Rheinland. Wir prüfen Ihren Mandanten, entfernen überflüssige App-Zugänge, wählen mit Ihnen eine passende Lösung aus und richten das Microsoft 365 Backup so ein, dass die Wiederherstellung im Ernstfall funktioniert. Mehr zu unserem Angebot rund um Microsoft 365 für Unternehmen und zur IT-Sicherheit finden Sie auf den jeweiligen Seiten.

Häufige Fragen zum Microsoft 365 Backup

Sichert Microsoft meine Daten in Microsoft 365?

Microsoft speichert Ihre Daten redundant und schützt sie vor Ausfällen im Rechenzentrum. Gegen Löschungen, Ransomware oder Fehler im eigenen Mandanten hilft das nicht. Dafür gibt es nur Papierkörbe mit begrenzten Fristen. Eine echte Sicherung müssen Sie selbst einrichten.

Wie lange kann ich gelöschte E-Mails wiederherstellen?

Standardmäßig 14 Tage nach dem endgültigen Löschen, die Frist lässt sich auf 30 Tage erhöhen. Ein vorläufig gelöschtes Postfach bleibt 30 Tage erhalten. Danach ist eine Wiederherstellung nur mit einem Backup möglich.

Was kostet Microsoft 365 Backup von Microsoft?

Der Listenpreis liegt bei 0,15 US-Dollar pro Gigabyte geschützter Daten und Monat. Wiederherstellungen sind kostenlos. Gelöschte und ältere Versionen, die in der Sicherung liegen, werden mitberechnet.

Werden Teams-Chats mitgesichert?

Dateien aus Teams liegen in SharePoint und werden mit dessen Sicherung erfasst. Chats und Kanalnachrichten sind davon getrennt und werden nicht von jeder Lösung gesichert. Prüfen Sie das vor der Auswahl ausdrücklich.

Reicht eine Aufbewahrungsrichtlinie statt eines Backups?

Nein. Aufbewahrungsrichtlinien verhindern das endgültige Löschen für Compliance-Zwecke. Eine schnelle Wiederherstellung an den ursprünglichen Ort bieten sie nicht, und ein Angreifer mit Administratorrechten kann sie ändern.

Fazit: Microsoft 365 Backup gehört zur Grundausstattung

Microsoft 365 ist hochverfügbar, aber nicht automatisch gesichert. Papierkörbe decken einige Wochen ab, für alles darüber hinaus brauchen Sie ein Microsoft 365 Backup mit eigener Aufbewahrung, getrennten Zugangsdaten und regelmäßigen Wiederherstellungstests. Der aktuelle Angriff über eine Backup-App zeigt zudem: Auch die Sicherung braucht Kontrolle.

Sie möchten wissen, wie gut Ihr Mandant geschützt ist? Sprechen Sie uns an. Wir prüfen Ihre Microsoft-365-Umgebung und zeigen Ihnen, welche Lücken Sie schließen sollten.