Braucht Microsoft 365 ein eigenes Backup?
Ja, für fast jedes Unternehmen. Microsoft sorgt dafür, dass die Dienste laufen und Rechenzentren redundant ausgelegt sind. Für die Inhalte selbst, also Postfächer, OneDrive, SharePoint und Teams, gilt ein Modell der geteilten Verantwortung: Was ein Benutzer löscht, überschreibt oder verschlüsselt, stellt Microsoft nur innerhalb bestimmter Fristen wieder her. Danach ist es weg.
Ein Microsoft 365 Backup ist deshalb eine eigenständige Kopie Ihrer Daten, die außerhalb des Mandanten liegt, unabhängig versioniert wird und länger aufbewahrt werden kann, als es die eingebauten Funktionen erlauben.
Was die eingebauten Funktionen leisten, und wo sie enden
Die Bordmittel sind nicht schlecht, aber sie sind für den Alltag gedacht, nicht für Katastrophen. Die wichtigsten Grenzen in der Standardeinstellung:
| Bereich | Eingebaute Wiederherstellung | Grenze |
|---|---|---|
| Exchange Online | Ordner „Gelöschte Elemente“ und wiederherstellbare Elemente | nach endgültigem Löschen standardmäßig rund 14 Tage, maximal 30 Tage |
| OneDrive und SharePoint | zweistufiger Papierkorb | insgesamt rund 93 Tage |
| OneDrive „Dateien wiederherstellen“ | Rücksprung auf einen früheren Zeitpunkt | bis zu 30 Tage zurück |
| Gelöschte Benutzerkonten | Konto samt Postfach reaktivierbar | rund 30 Tage, danach endgültig gelöscht |
| Teams-Chats | abhängig von Aufbewahrungsrichtlinien | ohne Richtlinie in der Regel kaum wiederherstellbar |
Die genauen Fristen legt Microsoft fest, sie können sich ändern und lassen sich teilweise anpassen. Prüfen Sie den aktuellen Stand in der Dokumentation des Herstellers. Das Muster bleibt: Alles, was länger als einige Wochen zurückliegt oder erst spät bemerkt wird, ist mit Bordmitteln oft nicht mehr zu retten.
Vier Situationen, in denen der Papierkorb versagt
In der Praxis sind es selten spektakuläre Angriffe, sondern ganz normale Abläufe, die zum Datenverlust führen.
- Austritt einer Mitarbeiterin: Das Konto wird gelöscht, um eine Lizenz zu sparen. Drei Monate später braucht die Geschäftsführung ein Angebot aus ihrem Postfach. Ohne Aufbewahrungsrichtlinie ist das Postfach nach rund 30 Tagen in der Regel endgültig entfernt.
- Spät entdecktes Löschen: Jemand räumt einen SharePoint-Ordner auf und löscht versehentlich ein ganzes Projektverzeichnis. Aufgefallen ist es erst beim Jahresabschluss, nach mehr als 93 Tagen.
- Schadsoftware auf einem Notebook: Ransomware verschlüsselt lokale Dateien, der OneDrive-Client synchronisiert die verschlüsselten Versionen brav in die Cloud. Die Wiederherstellung auf einen früheren Zeitpunkt hilft, sofern der Angriff innerhalb von 30 Tagen bemerkt wird und die Versionen nicht ebenfalls manipuliert wurden.
- Kompromittiertes Administratorkonto: Ein Angreifer mit globalen Rechten kann Papierkörbe leeren, Aufbewahrungsrichtlinien entfernen und Postfächer löschen. Eine Sicherung im selben Mandanten ist in diesem Fall wertlos.
Aufbewahrungsrichtlinien sind kein Backup
Microsoft Purview bietet Aufbewahrungsrichtlinien, die das endgültige Löschen verhindern. Das ist wertvoll, etwa für Unterlagen, die unter die siebenjährige Aufbewahrungspflicht nach der Bundesabgabenordnung (BAO) fallen. Als Datensicherung taugen diese Richtlinien aber nur bedingt:
- Die Daten bleiben im selben Mandanten, also im Zugriff derselben Administratorkonten.
- Eine Wiederherstellung ganzer Ordnerstrukturen an ihren ursprünglichen Platz ist mühsam und läuft oft über die eDiscovery-Suche.
- Zeitpunktgenaue Wiederherstellung, etwa „SharePoint-Bibliothek Stand letzter Dienstag“, ist nicht vorgesehen.
Ob und wie lange Sie E-Mails aufbewahren müssen, klären Sie am besten mit Ihrer Steuerberatung. Technisch sollten Aufbewahrung und Backup nebeneinander existieren, nicht einander ersetzen.
Eine Sicherung, auf die derselbe Administrator Zugriff hat wie auf die Originaldaten, schützt nicht vor dem gefährlichsten Szenario: dem Verlust genau dieses Kontos.
Worauf es bei einem Microsoft 365 Backup ankommt
Am Markt gibt es mehrere etablierte Lösungen, etwa Veeam Backup for Microsoft 365, Acronis Cyber Protect Cloud, Synology Active Backup for Microsoft 365 oder den kostenpflichtigen Dienst Microsoft 365 Backup. Welche passt, hängt weniger vom Namen ab als von einigen Eigenschaften:
- Umfang: Exchange, OneDrive, SharePoint und Teams, inklusive freigegebener Postfächer und Gruppen.
- Speicherort: getrennt vom Mandanten, idealerweise in Rechenzentren in Österreich oder der EU. Für Gesundheits- oder Mandantendaten ist das oft auch eine Frage des Datenschutzes.
- Unveränderbarkeit: Sicherungen, die für einen festgelegten Zeitraum nicht gelöscht werden können, zum Beispiel über S3-Objektspeicher mit Object Lock.
- Häufigkeit: mehrmals täglich statt einmal pro Nacht, wenn intensiv mit geteilten Dokumenten gearbeitet wird.
- Granulare Wiederherstellung: eine einzelne Mail, eine Datei in einer bestimmten Version oder ein ganzes Postfach, am ursprünglichen Ort oder als Export.
- Eigene Zugangsdaten: Die Backup-Konsole sollte mit separatem Konto und Mehrfaktor-Anmeldung geschützt sein, nicht mit dem globalen Administrator.
Ein Beispiel aus einem Planungsbüro
Nehmen wir ein Architekturbüro in Salzburg mit neun Beschäftigten. Alle Pläne liegen in SharePoint, die Kommunikation mit Bauherren läuft über Outlook, abgestimmt wird in Teams. Ein Praktikant verschiebt beim Aufräumen einen Projektordner in einen falschen Kanal und löscht dort später „alte Kopien“. Bemerkt wird das vier Monate danach, als der Bauherr Änderungen am Einreichplan verlangt.
Ohne eigenes Backup bleibt dem Büro nur, alte Stände von Laufwerken und Mailanhängen zusammenzusuchen. Mit einer täglichen Sicherung und einem Jahr Aufbewahrung wird der Ordner in wenigen Minuten auf den gewünschten Stand zurückgesetzt, ohne dass die aktuellen Dateien überschrieben werden.
Der Aufwand für die Einrichtung ist überschaubar: Backup-Dienst auswählen, per Anwendungsberechtigung an den Mandanten anbinden, Umfang und Aufbewahrung festlegen, erste Vollsicherung abwarten. Danach geht es vor allem um Kontrolle, also tägliche Prüfung der Berichte und einen Wiederherstellungstest pro Quartal.
Drei Fragen für den eigenen Mandanten
Ob Handlungsbedarf besteht, lässt sich mit drei einfachen Fragen an Ihre IT oder Ihren Dienstleister klären. Erstens: Gibt es eine Sicherung außerhalb von Microsoft 365, und wann wurde zuletzt daraus etwas zurückgeholt? Zweitens: Was passiert mit Postfach und OneDrive, wenn jemand das Unternehmen verlässt, und wer entscheidet darüber? Drittens: Wie viele Personen haben globale Administratorrechte, und sind diese Konten zusätzlich geschützt? Wenn eine dieser Antworten „weiß ich nicht“ lautet, lohnt sich ein genauerer Blick, bevor der Ernstfall die Antwort liefert.
Fazit: Kleine Investition, großer Unterschied
Für ein Büro mit zehn oder zwanzig Benutzern kostet ein Microsoft 365 Backup derzeit in der Regel nur wenige Euro pro Benutzer und Monat, je nach Anbieter und Speichermenge. Verglichen mit dem Aufwand, verlorene Pläne, Angebote oder Buchhaltungskorrespondenz zu rekonstruieren, ist das ein geringer Betrag.
Wenn Sie die Sicherung nicht selbst aufbauen und überwachen wollen, übernehmen wir das im Rahmen der Leistung Cloud-Backup, mit Speicher in europäischen Rechenzentren und regelmäßigen Tests. Einen Überblick über alle Varianten der Datensicherung finden Sie im Bereich Datensicherung und Wiederherstellung. Und wie Backup in eine umfassende Planung für Ausfälle passt, beschreibt die Seite Ausfallvorsorge.
Redaktion Apply
Cloud, Daten und Software