Microsoft sichert deine Microsoft-365-Daten nicht. Punkt.
Die meisten Geschäftsführer gehen davon aus, dass ihre Daten bei Microsoft sicher liegen. Es ist die Cloud, es ist Microsoft, es kostet jeden Monat Geld. Da wird doch wohl ein Backup dabei sein.
Ist es nicht. Microsoft sichert seine Infrastruktur. Deine Daten sicherst du selbst. Das steht so in den Vertragsbedingungen, und die meisten merken es erst, wenn eine wichtige E-Mail weg ist und der Papierkorb sie auch nicht mehr hergibt.
Das Modell der geteilten Verantwortung
Microsoft arbeitet nach einem Prinzip, das im englischen Original “Shared Responsibility Model” heißt. Übersetzt: geteilte Verantwortung. Die Aufgaben sind klar verteilt, nur weiß kaum jemand wie.
Microsoft kümmert sich um die technische Seite des Dienstes. Die Rechenzentren laufen, die Server sind redundant, die Verfügbarkeit ist über das Service Level Agreement garantiert. Wenn ein Server in einem Microsoft-Rechenzentrum ausfällt, merkst du davon nichts. Auch gegen Datenverlust durch defekte Hardware bist du abgesichert, weil Microsoft deine Daten intern repliziert.
Hier hört Microsofts Zuständigkeit auf.
Was mit deinen Inhalten passiert, liegt bei dir. Löscht ein Mitarbeiter ein wichtiges Postfach, ist das deine Sache. Verschlüsselt Ransomware die Dateien in SharePoint, ist das deine Sache. Konfiguriert jemand eine Aufbewahrungsrichtlinie falsch und Daten verschwinden, deine Sache. Microsoft schützt die Plattform, nicht deinen Umgang mit ihr.
Der entscheidende Satz aus Microsofts eigener Dokumentation lautet sinngemäß: Du behältst jederzeit das Eigentum und die Kontrolle über deine Daten. Eigentum und Kontrolle klingen gut. Im Klartext heißt es: Du bist verantwortlich, sie zu sichern.
Das ist keine Spitzfindigkeit im Kleingedruckten. Es ist das gleiche Prinzip, das du von deinem Mietwagen kennst. Der Vermieter sorgt dafür, dass das Auto fährt, gewartet ist und einen TÜV hat. Was du damit transportierst und ob du es heil zurückbringst, liegt an dir. Microsoft stellt das Auto. Die Ladung gehört dir.
Was die Microsoft-365-Aufbewahrung wirklich abdeckt
Microsoft hat eingebaute Mechanismen, die nach Backup aussehen, aber keins sind. Das ist die gefährlichste Stelle, weil sie ein falsches Sicherheitsgefühl erzeugt.
Exchange Online. Eine gelöschte E-Mail landet im Papierkorb, danach im Ordner für wiederherstellbare Elemente. Standardmäßig hält Exchange gelöschte Elemente 14 Tage, einstellbar auf maximal 30 Tage. Löscht ein Mitarbeiter ein komplettes Postfach und du fällst es nach Ablauf der Frist auf, ist es weg. Bei einem ausgeschiedenen Mitarbeiter, dessen Lizenz du entfernst, läuft die Uhr noch schneller.
OneDrive und SharePoint. Gelöschte Dateien gehen in den Papierkorb des Nutzers, danach in den Papierkorb der Website-Sammlung. Zusammen sind das etwa 93 Tage. Die Versionierung speichert ältere Stände einer Datei, aber sie ist begrenzt und schützt nicht vor dem Löschen der Datei selbst. Verschlüsselt Ransomware tausende Dateien und legt von jeder eine neue Version an, frisst sich der Schädling unter Umständen durch deine Versionshistorie.
Teams. Hier wird es richtig unübersichtlich. Teams speichert Daten verteilt: Chat-Nachrichten liegen in versteckten Exchange-Postfächern, Dateien in SharePoint, Kalendereinträge wieder woanders. Ein einheitliches Wiederherstellungs-Werkzeug für ein komplettes Team gibt es nicht. Wird ein Team gelöscht, hast du eine kurze Frist, dann ist die Struktur dahin.
Aufbewahrungsrichtlinien, das sogenannte Retention, kannst du verlängern. Das ist sinnvoll für Compliance und rechtliche Aufbewahrungspflichten. Aber Retention ist kein Backup. Retention hält Daten innerhalb des Tenants vor. Geht der Tenant kaputt, wird kompromittiert oder löscht ein Administrator großflächig, hilft dir Retention nicht. Du brauchst eine Kopie außerhalb von Microsofts Welt.
Microsofts Verantwortung gegen deine
Die Trennlinie wird oft erst dann verstanden, wenn man sie nebeneinander sieht.
| Bereich | Microsoft übernimmt | Du übernimmst |
|---|---|---|
| Infrastruktur und Hardware | Betrieb, Redundanz, Reparatur | nichts |
| Verfügbarkeit des Dienstes | SLA, Uptime, Wartung | nichts |
| Schutz der Rechenzentren | physische Sicherheit, Replikation | nichts |
| Versehentliches Löschen | begrenzter Papierkorb, kurze Fristen | langfristige Wiederherstellbarkeit |
| Ransomware und Malware | Basis-Schutz der Plattform | Wiederherstellung deiner Daten |
| Fehlbedienung durch Mitarbeiter | nichts | komplette Absicherung |
| Falsche Konfiguration | nichts | komplette Absicherung |
| Böswilliger Innentäter | nichts | komplette Absicherung |
| Aufbewahrung über Jahre | nur per Richtlinie im Tenant | externes Backup |
Lies die rechte Spalte noch einmal. Alles, was nach echtem Datenverlust aussieht, steht dort. Genau diese Spalte ist es, die ein eigenständiges Backup abdeckt.
Warum ein Drittanbieter-Backup nötig ist
Ein eigenständiges Microsoft 365 Backup zieht regelmäßig eine vollständige Kopie deiner Daten und speichert sie unabhängig vom Microsoft-Tenant. Drei Szenarien, in denen das den Unterschied macht:
Der ausgeschiedene Mitarbeiter. Sechs Monate nach der Kündigung braucht die Buchhaltung eine E-Mail aus seinem alten Postfach. Ohne Backup ist die Lizenz längst aufgelöst und die Daten unwiederbringlich weg. Mit Backup holst du das komplette Postfach in fünf Minuten zurück.
Der Ransomware-Angriff. Ein verschlüsselter Anhang gelangt über ein synchronisiertes OneDrive in die Cloud und verschlüsselt dort weiter. Ein externes Backup hängt nicht am Tenant und wird nicht mitverschlüsselt. Du stellst den Stand von gestern wieder her.
Der Fehlgriff. Jemand löscht aus Versehen eine ganze SharePoint-Bibliothek mit Projektdaten. Nach Ablauf der 93 Tage ist sie endgültig fort. Ein Backup kennt diese Frist nicht.
Und dann gibt es noch den Fall, an den niemand gern denkt: der verärgerte Mitarbeiter. Wer Zugriff hat, kann auch Schaden anrichten. Postfächer leeren, Dateien löschen, Teams zerstören, kurz bevor er das Haus verlässt. Microsoft sieht in solchen Aktionen keinen Angriff, sondern legitime Nutzung durch einen berechtigten Account. Es greift kein Schutz, weil aus Sicht der Plattform alles korrekt abläuft. Nur ein externes Backup, auf das dieser Mitarbeiter keinen Zugriff hat, fängt das auf.
Worauf du beim Backup achten musst
Nicht jedes Microsoft 365 Backup taugt etwas. Drei Punkte entscheiden, ob es im Ernstfall hilft.
Aufbewahrungsdauer. Wie lange werden die gesicherten Stände vorgehalten? Ein gutes Backup speichert unbegrenzt oder zumindest über mehrere Jahre, nicht nur 30 Tage. Sonst hast du dasselbe Problem wie bei Microsofts eingebauten Fristen, nur an anderer Stelle.
Granularität. Kannst du eine einzelne E-Mail wiederherstellen oder nur ein komplettes Postfach? Eine einzelne Datei oder nur die ganze Bibliothek? Im Alltag brauchst du fast immer das kleine Detail, nicht den Rundumschlag. Eine feine Granularität spart Stunden.
Wiederherstellung. Wie schnell und wie zuverlässig kommen die Daten zurück, und wohin? Manche Werkzeuge stellen nur an den Ursprungsort wieder her, andere auch an einen anderen. Teste das, bevor du es brauchst. Ein Backup, dessen Wiederherstellung du nie geprüft hast, ist eine Annahme, kein Schutz.
Achte zusätzlich auf den Speicherort. Für Unternehmen in Deutschland gehört die Sicherung in ein Rechenzentrum innerhalb der EU, sauber verschlüsselt, DSGVO-konform. Genau hier prüfen wir in unserer Microsoft-365-Beratung gemeinsam, was zu deinem Tenant und deinen Pflichten passt.
Der Bezug zur 3-2-1-Regel
Die 3-2-1-Backup-Regel gilt seit Jahrzehnten als Goldstandard: drei Kopien deiner Daten, auf zwei verschiedenen Medien, eine davon extern. Diese Regel kennen viele für ihre Server. Für Microsoft 365 wenden sie dieselbe Logik aber nicht an, weil sie glauben, die Cloud sei schon das Backup.
Rechne nach. Deine Daten in Microsoft 365 sind genau eine Kopie, auf genau einem Medium, bei genau einem Anbieter. Das ist eine Eins-zu-eins-zu-eins-Situation. Genau das Gegenteil dessen, was die Regel verlangt.
Ein Drittanbieter-Backup macht aus dieser einen Kopie endlich mehrere. Das Original liegt in Microsoft 365, die zweite Kopie beim Backup-Anbieter, idealerweise mit unveränderbaren Sicherungsständen, die selbst ein Administrator nicht löschen kann. Erst dann erfüllt deine Cloud die gleichen Anforderungen, die du an deinen lokalen Server stellst.
Schließe die Lücke, bevor sie dich erwischt
Microsoft 365 ist ein hervorragender Dienst. Verfügbar, ausfallsicher, gut gewartet. Nur ist Verfügbarkeit etwas anderes als Datensicherheit, und diese Lücke füllt niemand außer dir.
Die gute Nachricht: Ein sauber eingerichtetes Backup läuft danach unsichtbar im Hintergrund. Einmal richtig aufgesetzt, sichert es täglich automatisch und meldet sich nur, wenn du es brauchst.
Wenn du wissen willst, wie gut dein Microsoft 365 heute wirklich abgesichert ist und wo Daten ungeschützt liegen, schauen wir uns das gemeinsam an. Auch unsere IT-Sicherheit setzt genau hier an. Schreib uns über das Kontaktformular und wir prüfen deinen Tenant.
