Microsoft 365 Backup für Unternehmen: Warum eine eigene Backup-Strategie unverzichtbar ist

Microsoft 365 ist für viele Unternehmen längst die zentrale Arbeitsplattform. E-Mails und Kalender liegen in Exchange Online, Dokumente in OneDrive und SharePoint, die tägliche Zusammenarbeit findet über Microsoft Teams statt. Fallen diese Daten aus oder werden sie gelöscht, steht häufig nicht nur die IT, sondern ein wesentlicher Teil des Unternehmens still.

Viele Verantwortliche gehen davon aus, dass alle Daten in Microsoft 365 automatisch und zeitlich unbegrenzt gesichert werden. Ganz so einfach ist es jedoch nicht. Microsoft sorgt für eine hochverfügbare Cloud-Infrastruktur und stellt nützliche Funktionen wie Papierkörbe, Versionierung und Aufbewahrungsrichtlinien bereit. Für die Konfiguration, den Schutz und die Wiederherstellbarkeit der eigenen Unternehmensdaten bleibt jedoch auch der Kunde verantwortlich. Genau hier setzt eine geplante Microsoft-365-Backup-Strategie an.

In diesem Artikel erfahren Sie, welche Risiken die Standardfunktionen allein nicht vollständig abdecken, welche Daten ein M365 Backup schützen sollte und worauf Unternehmen bei einer professionellen Lösung achten müssen.

Ist in Microsoft 365 bereits ein Backup enthalten?

Microsoft betreibt seine Rechenzentren redundant und schützt die Plattform gegen Hardwareausfälle, Störungen und den Ausfall einzelner Systeme. Diese Ausfallsicherheit ist ein entscheidender Vorteil der Cloud. Sie beantwortet aber eine andere Frage als ein Backup.

Ausfallsicherheit hält einen Dienst verfügbar. Ein Backup stellt einen früheren, intakten Datenstand wieder her.

Wird zum Beispiel eine Datei versehentlich überschrieben, ein Ordner durch eine fehlerhafte Synchronisierung gelöscht oder ein Postfach von einem Angreifer manipuliert, kann die Plattform technisch weiterhin einwandfrei funktionieren. Die falsche Änderung wird dabei unter Umständen ebenfalls synchronisiert. Das Problem ist dann nicht die Verfügbarkeit von Microsoft 365, sondern der Verlust eines benötigten Datenstands.

Microsoft beschreibt dieses Prinzip im Modell der geteilten Verantwortung: Auch bei Software-as-a-Service bleiben Kundendaten, Identitäten sowie wesentliche Konfigurationen im Verantwortungsbereich des Unternehmens.

Standardschutz, Aufbewahrung und Backup im Vergleich

Funktion	Wofür sie geignet ist	Wo die Grenzen liegen
Redundante Microsoft-Infrastruktur	Schutz vor technischen Ausfällen der Cloud-Plattform	Stellt nicht automatisch jeden gewünschten historischen Datenstand eines Kunden wieder her
Papierkorb und Versionsverlauf	Schnelle Wiederherstellung einzelner, kürzlich gelöschter oder geänderter Inhalte	Zeiträume und Anzahl der Versionen sind begrenzt beziehungsweise konfigurationsabhängig; eine Massenwiederherstellung kann aufwendig sein
Microsoft-Purview-Aufbewahrung und eDiscovery	Regelbasierte Aufbewahrung, Suche und rechtliche Untersuchungen	Für Compliance und Export optimiert, nicht für eine schnelle operative Wiederherstellung nach einem Großschaden
Professionelle Microsoft-365-Backup-Lösung	Gezielte, zeitpunktbezogene und je nach Anforderung auch granulare oder umfangreiche Wiederherstellung	Muss korrekt eingerichtet, überwacht und regelmäßig getestet werden

Die entscheidende Frage lautet daher nicht nur: „Gibt es ein Backup?“, sondern: Passt die eingesetzte Lösung zu den Risiken und Wiederherstellungszielen Ihres Unternehmens? Eine professionelle Backup-Strategie muss sowohl alltägliche Einzelfälle als auch großflächige Schadensszenarien zuverlässig abdecken.

Warum die vorhandenen Wiederherstellungsfunktionen nicht immer ausreichen

Die integrierten Schutzmechanismen von Microsoft 365 sind hilfreich und sollten sinnvoll konfiguriert werden. Sie ersetzen jedoch nicht in jedem Szenario ein eigenständiges Backup-Konzept.

Ein Beispiel: Dauerhaft gelöschte Elemente in Exchange Online werden standardmäßig 14 Tage aufbewahrt; Administratoren können diesen Zeitraum auf bis zu 30 Tage erhöhen. Gelöschte SharePoint-Sites werden laut Microsoft 93 Tage vorgehalten. Wird ein Verlust erst nach Ablauf des jeweiligen Zeitfensters bemerkt, kann eine Wiederherstellung über die Standardfunktion unmöglich sein. Zudem können Aufbewahrungsrichtlinien, Berechtigungen und individuelle Einstellungen den tatsächlichen Wiederherstellungsweg beeinflussen.

Auch ein Versionsverlauf ist wertvoll, aber kein vollständiger Ersatz für eine Backup-Lösung. Nach einem großflächigen Ransomware-Angriff müssten möglicherweise Tausende Dateien und viele Benutzerkonten auf einen konsistenten Zeitpunkt zurückgesetzt werden. Einzelne Versionen manuell auszuwählen, dauert dann zu lange und erhöht das Risiko weiterer Fehler.

Sieben typische Ursachen für Datenverlust in Microsoft 365

1. Versehentliches Löschen

Ein Mitarbeiter löscht einen Ordner, verschiebt eine umfangreiche Verzeichnisstruktur oder entfernt wichtige E-Mails. Häufig fällt der Fehler erst Wochen oder Monate später auf – etwa wenn ein altes Projekt erneut benötigt wird oder ein Kunde eine Rückfrage stellt.

2. Fehlerhafte OneDrive-Synchronisierung

OneDrive synchronisiert Änderungen schnell auf alle verbundenen Geräte. Das ist komfortabel, kann aber auch unerwünschte Änderungen verbreiten. Wird ein lokaler Ordner gelöscht, beschädigt oder durch eine Software verändert, kann sich dieser Zustand mit der Cloud synchronisieren.

3. Ransomware und Schadsoftware

Hat Schadsoftware Zugriff auf synchronisierte Dateien, kann sie Dokumente verschlüsseln oder manipulieren. Ein Backup mit geschützten Wiederherstellungspunkten ermöglicht es, auf einen Datenstand vor dem Angriff zurückzukehren. Dabei zählt nicht nur, ob Daten vorhanden sind, sondern auch, wie schnell große Datenmengen wiederhergestellt werden können.

4. Kompromittierte Benutzer- oder Administratorkonten

Nach einem erfolgreichen Phishing-Angriff können Kriminelle E-Mails löschen, Weiterleitungen einrichten oder auf SharePoint- und OneDrive-Daten zugreifen. Besonders kritisch wird es, wenn ein privilegiertes Administratorkonto betroffen ist. Backup-Administratoren, Löschschutz und Mehr-Faktor-Authentifizierung sollten deshalb getrennt und konsequent abgesichert werden.

5. Fehlerhafte Aufbewahrungsrichtlinien

Eine falsch konfigurierte Richtlinie kann Daten früher löschen als beabsichtigt. Umgekehrt kann eine pauschal zu lange Aufbewahrung den Grundsätzen der Datenminimierung und Speicherbegrenzung widersprechen. Backup- und Retention-Konzept müssen deshalb aufeinander abgestimmt sein.

6. Ausscheiden von Mitarbeitern

Beim Löschen eines Benutzerkontos geraten Postfach- und OneDrive-Daten schnell aus dem Blick. Ohne definierten Offboarding-Prozess fehlen später möglicherweise Projektunterlagen, Korrespondenz oder Freigaben. Eine gute Backup-Lösung bezieht ausgeschiedene Benutzer und deren Aufbewahrungsfristen ausdrücklich ein.

7. Vorsätzliche Manipulation

Nicht jeder Datenverlust ist ein Versehen. Unzufriedene Mitarbeiter oder externe Angreifer können Inhalte gezielt löschen oder verändern. Deshalb sollte die Sicherung nicht mit denselben alltäglichen Benutzerrechten erreichbar und manipulierbar sein wie die produktiven Daten.

Welche Microsoft-365-Daten sollten gesichert werden?

Ein wirksames Backup betrachtet nicht nur einzelne Postfächer. Es orientiert sich an den tatsächlichen Geschäftsprozessen und umfasst alle relevanten Datenbereiche.

Exchange Online

Zu schützen sind Benutzer- und Funktionspostfächer, freigegebene Postfächer, E-Mails, Anhänge, Kalender, Kontakte und – je nach Lösung – Onlinearchive. Für den täglichen Support ist eine granulare Wiederherstellung einzelner Elemente besonders wichtig. Bei einem größeren Vorfall muss aber auch ein gesamtes Postfach auf einen konsistenten Zeitpunkt zurückgesetzt werden können.

OneDrive for Business

OneDrive enthält häufig persönliche Arbeitsunterlagen, Entwürfe und über Teams-Chats geteilte Dateien. Neben aktiven Konten müssen auch Daten ausgeschiedener Mitarbeiter und neu angelegte Benutzer automatisch in das Sicherungskonzept aufgenommen werden.

SharePoint Online

In SharePoint liegen Team- und Projektdokumente, Intranet-Inhalte, Listen, Bibliotheken und Berechtigungsstrukturen. Eine Backup-Lösung sollte nicht nur einzelne Dateien finden, sondern – abhängig vom Schaden – Ordner, Bibliotheken oder vollständige Sites wiederherstellen können.

Microsoft Teams

Teams ist keine isolierte Datenablage. Dateien aus Standardkanälen liegen typischerweise in SharePoint, in Chats geteilte Dateien häufig im OneDrive des Absenders. Nachrichten und weitere Inhalte werden über zusätzliche Microsoft-365-Dienste verarbeitet. Deshalb muss vor der Produktauswahl genau geprüft werden, welche Teams-Inhalte tatsächlich gesichert und in welcher Form sie wiederhergestellt werden können. Ein pauschales Versprechen „Teams wird gesichert“ ist ohne diese Prüfung zu ungenau.

Backup, Aufbewahrung und Archivierung sind nicht dasselbe

Diese drei Begriffe werden häufig vermischt, erfüllen aber unterschiedliche Aufgaben:

• Backup: Dient der operativen Wiederherstellung nach Löschen, Beschädigung, Fehlkonfiguration oder Cyberangriff.
• Aufbewahrung: Legt fest, wie lange Inhalte aufgrund interner, rechtlicher oder regulatorischer Vorgaben erhalten oder anschließend gelöscht werden.
• Archivierung: Bewahrt bestimmte geschäftliche Informationen langfristig, nachvollziehbar und je nach Anforderung unveränderbar auf. Ein typisches Beispiel ist die revisionssichere E-Mail-Archivierung.

Ein Backup ersetzt daher keine rechtssichere E-Mail-Archivierung. Ebenso ist ein Archiv nicht automatisch für eine schnelle Wiederherstellung kompletter Arbeitsbereiche geeignet. Unternehmen benötigen ein abgestimmtes Konzept, das Verfügbarkeit, gesetzliche Aufbewahrung und fristgerechte Löschung gemeinsam berücksichtigt.

Microsoft 365 Backup und Datenschutz

Ein Backup allein macht ein Unternehmen nicht DSGVO-konform. Es kann jedoch ein wichtiger Bestandteil der technischen und organisatorischen Maßnahmen sein. Artikel 32 DSGVO nennt unter anderem die Fähigkeit, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen.

Gleichzeitig enthält auch die Sicherung personenbezogene Daten und muss entsprechend geschützt werden. Bei der Auswahl und Einrichtung sind daher unter anderem folgende Punkte zu prüfen:

– Speicherort und Datenresidenz

– Verschlüsselung bei Übertragung und Speicherung

– Auftragsverarbeitungsvertrag und eingesetzte Unterauftragnehmer

– Rollen- und Berechtigungskonzept

– Protokollierung administrativer Vorgänge

– definierte Aufbewahrungs- und Löschfristen

– Verfahren für Auskunft, Löschung und rechtliche Aufbewahrung

Welche Maßnahmen angemessen sind, hängt vom Risiko, von der Art der Daten und von den gesetzlichen beziehungsweise vertraglichen Anforderungen des Unternehmens ab. Eine Backup-Lösung sollte deshalb nie losgelöst vom Datenschutz- und Berechtigungskonzept eingeführt werden.

Woran erkennen Unternehmen eine gute M365-Backup-Lösung?

Ein Produktvergleich nur anhand des Preises greift zu kurz. Entscheidend ist, ob sich ein realer Schaden innerhalb der für das Unternehmen akzeptablen Zeit beheben lässt.

Vollständige und automatische Abdeckung

Neue Benutzer, Postfächer, OneDrive-Konten und SharePoint-Sites sollten automatisch oder durch zuverlässig überwachte Regeln in die Sicherung aufgenommen werden. Sonst entstehen unbemerkt Schutzlücken.

Passende Wiederherstellungspunkte

Das Recovery Point Objective (RPO) beschreibt vereinfacht, wie viel Datenverlust gemessen in Zeit akzeptabel ist. Wenn Sicherungen nur einmal täglich erfolgen, können im ungünstigsten Fall viele Stunden Arbeit fehlen. Die Häufigkeit muss zur Bedeutung und Änderungsrate der Daten passen.

Schnelle Wiederherstellung

Das Recovery Time Objective (RTO) definiert, wie schnell ein Dienst oder Datenbestand wieder nutzbar sein muss. Eine Sicherung ist erst dann wertvoll, wenn die Wiederherstellung innerhalb des benötigten Zeitfensters möglich ist – auch bei vielen Postfächern oder SharePoint-Sites gleichzeitig.

Granulare Suche und flexible Wiederherstellung

Im Alltag werden meist einzelne E-Mails, Dateien oder Ordner benötigt. Bei einem Cyberangriff kann dagegen eine zeitpunktbezogene Wiederherstellung in größerem Umfang erforderlich sein. Eine geeignete Lösung sollte beide Szenarien abdecken und möglichst auch die Wiederherstellung an einen alternativen Ort erlauben.

Schutz des Backups

Backup-Daten benötigen eine eigene Sicherheitsgrenze. Dazu gehören je nach Konzept unveränderbare oder nachträglich nicht überschreibbare Wiederherstellungspunkte, ein Löschschutz, getrennte Administratorrollen, MFA und Benachrichtigungen bei kritischen Änderungen. Ob die Sicherung innerhalb der Microsoft-Datengrenze oder in einer getrennten Infrastruktur liegt, ist eine bewusste Risiko- und Compliance-Entscheidung.

Monitoring und verständliche Berichte

Fehlgeschlagene Sicherungen dürfen nicht erst beim Wiederherstellungsversuch auffallen. Automatische Zustandsberichte, Alarmierungen und eine regelmäßige Kontrolle der geschützten Konten gehören zum laufenden Betrieb.

Regelmäßige Wiederherstellungstests

„Backup erfolgreich“ bedeutet lediglich, dass Daten geschrieben wurden. Erst ein Test zeigt, ob die benötigten Inhalte vollständig, auffindbar und innerhalb der erwarteten Zeit wiederherstellbar sind. Die Ergebnisse sollten dokumentiert und erkannte Probleme behoben werden.

Ein praxisnaher Weg zum Microsoft 365 Backup

Eine belastbare Lösung beginnt nicht beim Produkt, sondern bei den Anforderungen:

1. Daten erfassen: Welche Postfächer, OneDrive-Konten, SharePoint-Sites und Teams-Arbeitsbereiche sind geschäftskritisch?
2. Risiken bewerten: Welche Folgen hätten Löschen, Verschlüsselung, Manipulation oder ein längerer Ausfall?
3. RPO und RTO festlegen: Wie viel Datenverlust und Wiederherstellungszeit kann das Unternehmen je Datenbereich akzeptieren?
4. Aufbewahrung definieren: Welche Daten müssen wie lange verfügbar bleiben – und wann müssen sie gelöscht werden?
5. Lösung auswählen und absichern: Wiederherstellungsumfang, Speicherort, Datenschutz, Rollen, Löschschutz und Kosten vergleichen.
6. Betrieb überwachen: Sicherungsstatus kontrollieren, neue Datenquellen automatisch aufnehmen und Warnmeldungen bearbeiten.
7. Wiederherstellung testen: Einzelne Elemente und größere Datenbestände regelmäßig testweise zurückholen und das Vorgehen dokumentieren.

So entsteht aus einem technischen Produkt ein belastbares Backup- und Recovery-Konzept.

Fazit: Microsoft 365 Backup schützt den Geschäftsbetrieb

Microsoft 365 bietet eine sehr zuverlässige Plattform und hilfreiche Standardfunktionen. Doch Papierkorb, Versionierung und Aufbewahrungsrichtlinien decken nicht automatisch jedes Verlustszenario und jede gewünschte Wiederherstellungszeit ab. Besonders bei verspätet bemerktem Löschen, kompromittierten Konten, Fehlkonfigurationen oder Ransomware ist ein geplant eingerichtetes Microsoft 365 Backup entscheidend.

Eine gute Lösung sichert nicht einfach nur Daten. Sie schützt alle relevanten Dienste, erkennt Fehler, begrenzt administrative Risiken und ermöglicht eine getestete Wiederherstellung innerhalb klar definierter Zeitziele.

Sie möchten wissen, ob Ihre Microsoft-365-Daten heute vollständig und zuverlässig wiederherstellbar sind? HarmonicNet bietet Ihnen eine professionelle Microsoft-365-Backup-Lösung für den Schutz Ihrer geschäftskritischen Cloud-Daten. Wir analysieren Ihre Umgebung, legen die benötigten Sicherungs- und Aufbewahrungsziele fest und sorgen dafür, dass Ihre Daten im Ernstfall gezielt wiederhergestellt werden können – transparent, datenschutzbewusst und zuverlässig überwacht.

Jetzt unverbindliche Beratung anfragen oder informieren Sie sich über unsere Leistungen rund um Microsoft 365 und Intune sowie Backup und Recovery für Unternehmen im Allgäu.

Häufige Fragen zum Microsoft 365 Backup

Sichert Microsoft meine Microsoft-365-Daten automatisch?

Microsoft schützt die Verfügbarkeit und Ausfallsicherheit seiner Cloud-Dienste und stellt Wiederherstellungsfunktionen wie Papierkörbe und Versionierung bereit. Ein auf die Anforderungen Ihres Unternehmens abgestimmtes Backup muss jedoch separat geplant, eingerichtet und überwacht werden. Die Backup-Lösung von HarmonicNet ergänzt die vorhandenen Schutzfunktionen um definierte Sicherungs- und Wiederherstellungsmöglichkeiten für Ihre geschäftskritischen Daten.

Reichen Papierkorb und Versionsverlauf als Backup aus?

Für einzelne, schnell bemerkte Fehler können diese Funktionen ausreichen. Bei abgelaufenen Wiederherstellungsfristen, gezielten Manipulationen oder einem großflächigen Angriff stoßen sie jedoch an praktische und zeitliche Grenzen. Ein dediziertes Backup bietet definierte Wiederherstellungspunkte und auf größere Schadensfälle ausgerichtete Restore-Funktionen.

Wie oft sollten Microsoft-365-Daten gesichert werden?

Das hängt davon ab, wie häufig sich die Daten ändern und wie viel Verlust das Unternehmen akzeptieren kann. Geschäftskritische Postfächer und Dokumentenbereiche benötigen meist engere Wiederherstellungspunkte als selten genutzte Ablagen. Die Sicherungshäufigkeit sollte daher aus dem festgelegten RPO abgeleitet werden.

Wie lange sollte ein M365 Backup aufbewahrt werden?

Es gibt keine für alle Unternehmen passende Dauer. Die Aufbewahrung richtet sich nach Geschäftsrisiko, internen Vorgaben, gesetzlichen Pflichten, Löschanforderungen und Kosten. Unterschiedliche Datenarten können unterschiedliche Fristen benötigen.

Kann Microsoft Teams vollständig gesichert werden?

Das hängt von der eingesetzten Lösung und vom jeweiligen Teams-Inhalt ab. Dateien, Chats, Kanalbeiträge, Aufzeichnungen und angebundene Anwendungen liegen nicht alle am selben Ort. Vor der Auswahl muss deshalb konkret geprüft werden, welche Inhalte gesichert und wie sie wiederhergestellt werden können.

Ersetzt ein Microsoft 365 Backup die E-Mail-Archivierung?

Nein. Ein Backup dient der Wiederherstellung nach Datenverlust. Eine E-Mail-Archivierung verfolgt langfristige Aufbewahrungs-, Nachweis- und Unveränderbarkeitsanforderungen. Beide Lösungen können notwendig sein und sollten aufeinander abgestimmt werden.