„Wir haben alles in Microsoft 365, also macht Microsoft die Backups.“ Diesen Satz hören wir in fast jedem ersten Gespräch mit einem Unternehmen, das in die Cloud umgezogen ist. Er klingt logisch: Sie bezahlen für einen Dienst, der Dienst läuft rund um die Uhr, und Ihre Daten liegen in mehreren Rechenzentren von Microsoft. Was braucht es noch?
Man muss zwei Dinge trennen: die Verfügbarkeit des Dienstes und die Wiederherstellbarkeit Ihrer Daten. Das Erste garantiert Microsoft. Das Zweite nicht. Das ist kein Kleingedrucktes in einem Vertrag, sondern ein offizielles Modell der geteilten Verantwortung, das Microsoft in der eigenen Dokumentation beschreibt. Das Problem ist, dass Unternehmen es erst in dem Moment kennenlernen, in dem sie ein Postfach wiederherstellen müssen, das vor sechs Monaten gelöscht wurde.
In diesem Artikel erklären wir, wo die Verantwortung von Microsoft endet und Ihre beginnt, welche Aufbewahrungsfristen die Plattform standardmäßig anwendet und wie ein echtes Microsoft-365-Backup aussieht.
Was das Modell der geteilten Verantwortung bedeutet
Das Modell ist einfach: Microsoft ist dafür verantwortlich, dass der Dienst läuft, und Sie sind dafür verantwortlich, was darin liegt. Es ist wie bei einer gemieteten Lagerhalle: Der Eigentümer haftet für Dach, Strom und Schloss, nicht aber dafür, was Sie in die Halle bringen und was Sie wieder herausnehmen.
Auf der Seite von Microsoft liegen:
- die physische Infrastruktur: Rechenzentren, Server, Netzwerk;
- die Verfügbarkeit der Plattform: Exchange, SharePoint, OneDrive und Teams am Laufen halten;
- die Replikation von Daten zwischen Rechenzentren: Fällt ein Rechenzentrum aus, läuft der Dienst aus einem anderen weiter;
- die Sicherheit der Plattform: dafür sorgen, dass niemand in die eigene Infrastruktur von Microsoft eindringt.
Auf Ihrer Seite liegen:
- die Daten: E-Mails, Dateien, Kalender, Teams-Chats und deren Wiederherstellung;
- Konten und Zugriffe: wer worauf zugreifen darf, Passwörter, Zwei-Faktor-Authentifizierung;
- menschliche Fehler: versehentliches Löschen, Überschreiben, falsche Freigaben;
- Bedrohungen von innen: ein verärgerter Mitarbeiter, ein scheidender Kollege, der sein Postfach „aufräumt“;
- Bedrohungen von außen: Phishing-E-Mails, kompromittierte Konten, Ransomware, die über die Synchronisierung in OneDrive gelangt.
Die Replikation zwischen Rechenzentren wird oft mit einem Backup verwechselt. Der Unterschied ist grundlegend: Die Replikation kopiert alles, auch Ihre Fehler. Löscht ein Mitarbeiter einen Ordner, ist er sofort in jedem Rechenzentrum von Microsoft gelöscht. Verschlüsselt Ransomware Dateien in OneDrive, werden die verschlüsselten Versionen ebenso zuverlässig synchronisiert.
Was Microsoft nicht für Sie wiederherstellt
Einige Szenarien, auf die wir ständig stoßen.
Gelöschte E-Mails nach Ablauf der Aufbewahrungsfrist
Eine gelöschte E-Mail landet zunächst im Ordner „Gelöschte Elemente“. Wird sie dort gelöscht, wandert sie in den Ordner „Wiederherstellbare Elemente“, wo sie standardmäßig 14 Tage aufbewahrt wird; ein Administrator kann die Frist auf 30 Tage verlängern. Danach ist die E-Mail endgültig weg. Wenn eine Buchhalterin im Januar eine E-Mail vom September mit einer Rechnung im Anhang braucht, kann der Microsoft-Support nicht helfen.
Verschlüsselte Dateien in OneDrive und SharePoint
OneDrive speichert Dateiversionen und hat einen Papierkorb, in dem Elemente 93 Tage lang aufbewahrt werden. Das hilft bei einem einzelnen versehentlich überschriebenen Dokument. Verschlüsselt Ransomware jedoch Zehntausende Dateien über den Synchronisierungsclient, funktioniert die Wiederherstellung einzelner Versionen oder selbst ein Massen-Rollback mit der Funktion „OneDrive wiederherstellen“ nur 30 Tage lang und nur dann, wenn die Versionierung nicht abgeschaltet oder ausgeschöpft wurde.
Konten ehemaliger Mitarbeitender
Der häufigste schmerzhafte Fall. Ein Mitarbeiter verlässt das Unternehmen, die Lizenz ist teuer, der Administrator entzieht sie und löscht das Konto. Microsoft bewahrt das Konto und alle zugehörigen Daten noch 30 Tage auf. Danach nichts mehr. Drei Monate später stellt sich heraus, dass nur dieses Postfach die Korrespondenz mit einem wichtigen Lieferanten enthielt oder dass im OneDrive-Ordner Projektdateien lagen, die sonst niemand hatte.
Teams-Chats und freigegebene Kanäle
Teams-Chats liegen tatsächlich in Exchange und SharePoint, aber sie mit Standardwerkzeugen wiederherzustellen ist noch schwieriger als bei E-Mails. Für einen gelöschten Kanal oder ein gelöschtes Team gelten eigene Fristen, und aus Sicht der Wiederherstellung bleibt der Chat-Inhalt oft in einer „Grauzone“.
Aufbewahrungsfristen im Überblick
| Was gelöscht wurde | Wie lange es sich mit Standardwerkzeugen noch wiederherstellen lässt |
|---|---|
| Eine E-Mail aus „Gelöschte Elemente“ | 14 Tage (bis zu 30, wenn der Administrator verlängert hat) |
| Eine Datei aus dem Papierkorb von OneDrive oder SharePoint | 93 Tage |
| Ein gelöschtes Benutzerkonto mit allen Daten | 30 Tage |
| Massenwiederherstellung in OneDrive nach Verschlüsselung | 30 Tage |
Alle diese Fristen schützen vor einem Fehler, der schnell bemerkt wird. Keine davon ist ein Backup. Ein Backup bedeutet, dass Sie Daten auch ein Jahr später wiederherstellen können, und zwar aus einem Zeitpunkt vor dem Vorfall, unabhängig davon, ob und wann jemand das Problem bemerkt hat. Aufbewahrungsrichtlinien in einem Microsoft-365-Tenant können bei rechtlichen Anforderungen helfen, halten die Daten aber auf derselben Plattform, hinter demselben Administratorzugang. Wird ein Administratorkonto übernommen, lassen sie sich abschalten.
Wie ein echtes Microsoft-365-Backup aussieht
Wir setzen Veeam Backup for Microsoft 365 ein. Das Prinzip:
- Es wird alles gesichert: Exchange-Postfächer, OneDrive, SharePoint-Websites und Teams-Daten.
- Die Backups liegen außerhalb der Microsoft-Plattform, in unserem Rechenzentrum in Litauen (EU) und, falls Sie es wünschen, zusätzlich in einem Amazon-Rechenzentrum in Deutschland. Ein Vorfall auf der Microsoft-Plattform oder ein kompromittiertes Administratorkonto erreicht die Backups nicht.
- Sie legen die Aufbewahrungsdauer fest: ein Jahr, drei Jahre, so lange, wie Ihre geschäftlichen oder buchhalterischen Vorgaben es verlangen.
- Die Wiederherstellung reicht bis auf eine einzelne E-Mail, eine einzelne Datei, einen einzelnen Kalendereintrag. Sie müssen kein ganzes Postfach wiederherstellen, um einen Anhang zu finden. Sie können in dasselbe Konto, in ein anderes Konto wiederherstellen oder als Datei herunterladen.
- Die Daten ehemaliger Mitarbeitender bleiben nach dem Löschen des Kontos in den Backups erhalten, sodass die Lizenz sofort entfernt werden kann, statt sie „für alle Fälle“ weiterzubezahlen.
Ausführlicher beschreiben wir das auf der Leistungsseite Microsoft-365-Backup. Beachten Sie, dass ein Backup die Frage der Wiederherstellung löst, nicht die Frage des Zugriffs: Ein kompromittiertes Konto, das Phishing-E-Mails an Ihre Kunden verschickt, ist ein anderes Problem, das mit Maßnahmen der Microsoft-365-Sicherheit wie Zwei-Faktor-Authentifizierung, Conditional Access und Warnungen bei verdächtigen Anmeldungen angegangen wird.
Was NIS2 und DORA dazu sagen
Fällt Ihr Unternehmen in den Anwendungsbereich von NIS2 oder DORA, wird die Frage „Wer ist für die Daten in Microsoft 365 verantwortlich?“ zu einer Compliance-Frage statt zu einer technischen. Beide Regelwerke behandeln Dienstleister als Risiko, das gesteuert und nicht abgewälzt werden muss. „Die Daten liegen bei Microsoft, also sind sie sicher“ ist für einen Prüfer keine Antwort. Die Antwort ist eine dokumentierte Backup-Richtlinie, Aufbewahrungsfristen, Nachweise über Wiederherstellungstests und eine klar benannte verantwortliche Person.
Wo Sie anfangen
- Prüfen Sie, wie viele Tage Ihr Exchange gelöschte Elemente aufbewahrt, und verlängern Sie die Frist auf 30 Tage. Das kostet nichts und verschafft Ihnen Zeit.
- Listen Sie die Konten von Mitarbeitenden auf, die im letzten Monat ausgeschieden und gelöscht wurden, und klären Sie, ob jemand ihre Daten noch braucht. Falls ja, stellen Sie sie jetzt wieder her, solange es noch geht.
- Legen Sie fest, wie lange Ihr Unternehmen E-Mails und Dateien aufbewahren muss. Die Antwort ergibt sich meist aus Buchhaltung und Verträgen, nicht aus der IT.
- Setzen Sie eine eigene Backup-Lösung außerhalb der Microsoft-Plattform ein und stellen Sie mindestens eine E-Mail und einen OneDrive-Ordner wieder her, damit das Verfahren getestet ist.
- Wenn wir das für Sie übernehmen sollen, schreiben Sie uns über das Kontaktformular. Das erste Microsoft-365-Backup läuft in der Regel noch am Tag, an dem wir den Zugang erhalten.
