\ Microsoft 365 Backup:\ Die Cloud ist keine Sicherung.
\Microsoft betreiben den Dienst. Ihre Mails, Dateien und Chats bleiben Ihre Verantwortung.
\Wer nach einem Backup für Microsoft 365 sucht, hat meistens schon ein Gefühl dafür, dass etwas fehlt. Das Modell der geteilten Verantwortung sagt genau, was: Microsoft sichert den Dienstbetrieb, der Kunde sichert die Daten. Diese Seite zeigt anhand der Herstellerdokumentation, wo die Grenze verläuft — und woran man erkennt, dass die eigene Kopie nicht trägt.
Der Anruf kommt sieben Wochen später
\Der Anruf kommt sieben Wochen später. Eine Kollegin ist gegangen, ihr Konto ist deaktiviert — sauber, dokumentiert, nach Vorgabe. Jetzt bittet ein Kunde um eine Zusage, die nur in ihren Mails steht. Und niemand weiß mehr, ob sie noch existieren.
\Das Konto existiert noch, die Daten im Papierkorb sind längst abgelaufen, die Aufbewahrungsrichtlinie greift nur teilweise und für den Rest gibt es ein Wiederherstellungsfenster, das nie jemand eingestellt hat. Es gibt eine Sicherung — die liegt aber in derselben Umgebung wie das Original und hat den Zustand von gestern, nicht den von vor sieben Wochen.
\Gefehlt hat nicht die Technik. Gefehlt hat die eine Kopie, die nicht im Mandanten hängt, und ein Zeitraum, den jemand bewusst festgelegt hat. Beides ist an einem Nachmittag zu klären — und danach nie wieder eine offene Frage.
\Woran Sie erkennen, dass Microsoft 365 nicht reicht
\- Die Kopie liegt auf einem Speicher, den ein M365-Administrator nicht erreichen kann.
- Der Aufbewahrungszeitraum ist selbst festgelegt — nicht der Papierkorb, nicht die Aufbewahrungsrichtlinie.
- Eine Löschung, die erst nach zwei Wochen auffällt, ist noch zurückholbar.
- Die Wiederherstellung eines einzelnen Postfachs wurde mindestens einmal geübt.
- Für ein ausgeschiedenes Konto existiert eine Kopie außerhalb des Mandanten.
Replikation ist kein Backup. Aufbewahrung ist kein Backup. Ein Backup ist die Kopie, die den Mandanten verlässt.
\Was ein Backup für Microsoft 365 leisten muss
\Außerhalb des Mandanten
Die Kopie muss dort liegen, wo eine M365-Administratorrolle nicht hinführt: eigener Objektspeicher, anderer Cloud-Anbieter oder Speicher eines Dienstleisters unter einem getrennten Konto. Eine Sicherung im selben Mandanten teilt die Fehlerdomäne mit dem, was sie schützen soll.
Aufbewahrung, die Sie bestimmen
Papierkorb und Aufbewahrungsrichtlinien sind Ausnahmen für den Alltag, kein Archiv. Der Zeitraum der Sicherung muss allein aus Ihrer Sicherungsrichtlinie folgen — bei Microsoft 365 Backup ist dieses Fenster standardmäßig auf ein Jahr eingestellt.
Verschlüsselt, bevor sie das Haus verlässt
Die Sicherung sollte verschlüsselt ankommen, bevor sie den Mandanten verlässt. Wer erst beim Speicheranbieter verschlüsselt, gibt den Klartext aus der Hand.
Wiederherstellbar, in Teilen und im Ganzen
Gebraucht wird beides: eine einzelne Mail, ein Ordner, ein ganzes Postfach, ein ganzer Nutzer. Dazu die Frage, ob die Wiederherstellung im gleichen Mandanten oder in einen sauberen Mandanten erfolgt.
Nachgewiesen, nicht angenommen
Art. 32 Abs. 1 lit. c DSGVO verlangt die Fähigkeit, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem Zwischenfall rasch wiederherzustellen. Diese Fähigkeit belegt man mit einem Protokoll, nicht mit einer Produktbeschreibung.
Was sich ändert
\- Prüfen
Welche Daten liegen in Exchange Online, OneDrive, SharePoint und Teams — und was davon ist geschäftskritisch?
- Trennen
Mindestens eine Kopie in einen Speicher bringen, der nicht am Mandanten hängt.
- Üben
Eine Wiederherstellung durchspielen, die wirklich weh tut: ein ganzes Postfach, nicht eine einzelne Datei.
- Belegen
Durchführung, Ergebnis und Nachbesserung schriftlich festhalten — das ist der Teil, den Versicherer und Prüfer sehen wollen.
Häufige Fragen zum Microsoft 365 Backup
\Sichert Microsoft Microsoft 365 nicht ohnehin schon?
Microsoft betreibt den Dienst hochverfügbar und repliziert Daten, damit der Betrieb nicht ausfällt. Nach dem Modell der geteilten Verantwortung sind die Inhalte darin aber weiterhin Sache des Kunden — die Herstellerdokumentation hält ausdrücklich fest, dass Kunden die Verantwortung für ihre Informationen und Daten behalten. Replikation schützt gegen einen Ausfall bei Microsoft, nicht gegen einen Fehler bei Ihnen.
Was ist der Unterschied zwischen Aufbewahrung und Backup?
Papierkorb, Versionsverlauf, Litigation Hold und Aufbewahrungsrichtlinien beantworten die Frage, was zu einem Zeitpunkt existierte — sie sind auf Compliance ausgerichtet. Ein Backup beantwortet die Frage, ob Sie es zurückholen können. Bei Microsoft 365 Backup fließen Aufbewahrungs- und Löschrichtlinien nicht in die Sicherungen ein; das Wiederherstellungsfenster bestimmt allein die Sicherungsrichtlinie und ist standardmäßig auf ein Jahr eingestellt.
Was passiert bei einer Löschung auf Anfrage einer betroffenen Person?
Das ist der Punkt, an dem viele Sicherungen still werden: Nach der Herstellerdokumentation löschen Löschaktionen, die auf dem Mandanten ausgeführt werden, keine Daten in den Sicherungen. Sie müssen nach einer Wiederherstellung erneut ausgeführt werden, damit der ursprüngliche Antrag berücksichtigt ist. Wer eine Sicherung betreibt, braucht deshalb einen Prozess für beides: zurückholen und endgültig löschen.
Reicht Microsoft 365 Backup von Microsoft selbst?
Microsoft bietet für Exchange Online, OneDrive und SharePoint ein eigenes Backup-Produkt an — nach eigener Dokumentation verbleiben diese Daten im Mandanten der Organisation. Damit liegt die Kopie in derselben Umgebung wie das Original. Wer eine Kopie außerhalb dieser Umgebung braucht, kommt mit dem Bordmittel allein nicht aus. Welcher Weg passt, hängt davon ab, welche Daten geschäftskritisch sind.
Kann man aus den Sicherungen heraus nach Daten suchen?
Nach der Herstellerdokumentation nicht: Daten in den Exchange-Online-Sicherungen lassen sich nicht über die üblichen eDiscovery-Werkzeuge ermitteln, und Inhalte, die ausschließlich in OneDrive- oder SharePoint-Sicherungen liegen, sind ebenfalls nicht auffindbar. Das ist kein Fehler, sondern eine Eigenschaft der Trennung — es bedeutet aber, dass eine juristische Suche nicht auf die Sicherung zeigt.
Was verlangt die DSGVO konkret?
Art. 32 Abs. 1 lit. b und lit. c DSGVO verlangen Belastbarkeit der Systeme und die Fähigkeit, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem Zwischenfall rasch wiederherzustellen; Abs. 1 lit. d verlangt die regelmäßige Überprüfung dieser Wirksamkeit. Ob eine Kopie das erfüllt, entscheidet nicht das Produkt, sondern der letzte Wiederherstellungstest. Diese Seite ist keine Rechtsberatung.
Wir prüfen, welche Kopie außerhalb des Mandanten liegt
\Im kostenlosen IT-Gesundheitscheck sehen wir uns an, welche Daten in Microsoft 365 liegen, welcher Zeitraum tatsächlich eingestellt ist und wann zuletzt eine vollständige Wiederherstellung gelaufen ist. Danach wissen Sie, was fehlt — und was nicht.
Oder direkt anrufen: 08141 – 509 123 40 · Mo–Fr 9:00–17:00 Uhr
\