Cloud-Backup für Microsoft 365: Warum Microsofts Retention nicht reicht

Das Shared-Responsibility-Modell: Was Microsoft sichert und was nicht

Microsoft betreibt eine der zuverlässigsten Cloud-Infrastrukturen der Welt. Rechenzentren mit redundanter Stromversorgung, georedundanter Datenhaltung und garantierten SLAs von 99,9 % Verfügbarkeit. Das erzeugt bei vielen Unternehmen den Eindruck, dass ihre Daten in Microsoft 365 automatisch geschützt sind. Das ist ein Trugschluss.

Microsoft unterscheidet klar zwischen der Verantwortung für die Infrastruktur (Microsofts Aufgabe) und der Verantwortung für die Daten (deine Aufgabe). Dieses Prinzip nennt sich Shared-Responsibility-Modell und ist in den Microsoft-Servicebedingungen dokumentiert.

Microsoft übernimmt den Schutz der physischen Infrastruktur (Rechenzentren, Netzwerk, Hardware), die Verfügbarkeit der Dienste (SLA von 99,9 %), die Replikation der Daten innerhalb der Infrastruktur (georedundant) und den Schutz vor Ausfällen auf Plattformebene.

Du übernimmst den Schutz vor versehentlichem Löschen durch Benutzer, den Schutz vor böswilligem Löschen durch Insider oder Angreifer, die Einhaltung regulatorischer Aufbewahrungspflichten, die Wiederherstellung von Daten nach Ransomware oder Malware und die Datensicherung über die Microsoft-Retention-Fristen hinaus.

Das ist keine akademische Unterscheidung. Wenn ein Mitarbeiter versehentlich ein SharePoint-Dokumentenbibliothek löscht und die Aufbewahrungsfrist abgelaufen ist, kann Microsoft die Daten nicht wiederherstellen. Wenn Ransomware die OneDrive-Dateien eines Benutzers verschlüsselt und die Versionierung die verschlüsselten Dateien als neue Versionen speichert, hilft Microsofts Replikation nicht, weil sie die verschlüsselten Versionen repliziert.

Was Microsofts eingebaute Schutzmechanismen leisten

Microsoft bietet durchaus Schutzmechanismen für Daten in Microsoft 365. Sie sind hilfreich, aber nicht ausreichend für ein vollständiges Backup.

Exchange Online: Papierkorb und Retention

Wenn ein Benutzer eine E-Mail löscht, landet sie im Ordner "Gelöschte Elemente". Von dort kann der Benutzer sie selbst wiederherstellen. Wenn der Benutzer den Ordner "Gelöschte Elemente" leert oder die E-Mail dauerhaft löscht (Shift+Delete), wandert sie in den "Wiederherstellbare Elemente"-Ordner (Recoverable Items). Dort bleibt sie standardmäßig 14 Tage (konfigurierbar auf bis zu 30 Tage). Nach Ablauf der Frist ist die E-Mail unwiderruflich gelöscht.

Mit einer Exchange Online Retention Policy oder einem Litigation Hold kannst du die Aufbewahrung verlängern, theoretisch unbegrenzt. Das klingt nach einer Lösung, hat aber Einschränkungen. Retention Policies verhindern das Löschen, ermöglichen aber keine granulare Point-in-Time-Recovery. Du kannst nicht sagen: "Stelle mir das Postfach wieder her, wie es am 15. Januar um 14:00 Uhr aussah." Du kannst nur einzelne gelöschte Elemente wiederherstellen, sofern sie unter die Retention Policy fallen.

Außerdem zählt der "Wiederherstellbare Elemente"-Ordner gegen das Postfach-Kontingent. Bei aktivem Litigation Hold kann dieser Ordner erheblich anwachsen und das Postfach an seine Grenzen bringen.

SharePoint und OneDrive: Versionierung und Papierkorb

SharePoint und OneDrive bieten Dateiversionierung (standardmäßig bis zu 500 Versionen pro Datei) und einen zweistufigen Papierkorb. Gelöschte Dateien landen im Benutzer-Papierkorb (93 Tage), dann im Site-Papierkorb (verbleibende Zeit bis 93 Tage gesamt), und werden danach unwiderruflich gelöscht.

Die Versionierung schützt gegen versehentliches Überschreiben, hat aber Grenzen. Bei einem Ransomware-Angriff, der tausende Dateien verschlüsselt, wird jede verschlüsselte Datei als neue Version gespeichert. Die alten Versionen sind zwar noch vorhanden, aber die Wiederherstellung von tausenden Dateien auf eine ältere Version ist manuell extrem aufwändig. Microsoft bietet seit 2022 eine "Files Restore"-Funktion für OneDrive, die alle Dateien auf einen früheren Zeitpunkt zurücksetzen kann. Für SharePoint-Bibliotheken ist diese Funktion eingeschränkter.

Was passiert, wenn ein Administrator eine gesamte SharePoint-Site löscht? Sie bleibt 93 Tage im Site-Collection-Papierkorb. Danach ist sie weg. Wenn der Administrator auch den Papierkorb leert, ist sie sofort weg. Kein Backup, kein Recovery.

Teams: Das Sorgenkind

Microsoft Teams ist aus Backup-Sicht das komplizierteste Microsoft-365-Produkt, weil Teams-Daten an verschiedenen Orten gespeichert werden. Chat-Nachrichten liegen in den Exchange-Online-Postfächern der Benutzer (für 1:1-Chats) oder in Gruppen-Postfächern (für Kanal-Nachrichten). Dateien, die in Teams-Kanälen geteilt werden, liegen in der SharePoint-Dokumentenbibliothek des Teams. Dateien, die in 1:1-Chats geteilt werden, liegen im OneDrive des Senders. Teams-Einstellungen (Kanalstruktur, Mitgliedschaften, Tabs, Konnektoren) liegen in der Microsoft-Graph-API und sind über Standard-Backup-Tools nur eingeschränkt sicherbar.

Das bedeutet: Selbst wenn du Exchange und SharePoint sicherst, fehlen möglicherweise die Teams-Metadaten (wer war in welchem Kanal, welche Tabs und Apps waren konfiguriert). Eine vollständige Wiederherstellung eines Teams-Teams erfordert mehr als nur die Wiederherstellung der Dateien und Nachrichten.

Fünf Szenarien, in denen Microsofts Schutzmechanismen versagen

Szenario 1: Der vergessene Offboarding-Prozess

Ein Mitarbeiter verlässt das Unternehmen. Sein Microsoft-365-Konto wird nach 30 Tagen gelöscht. Ein sauberes User Lifecycle Management hätte dieses Problem adressiert. Drei Monate später stellt sich heraus, dass in seinem OneDrive wichtige Projektdokumente lagen, die nirgendwo sonst gespeichert sind. Das Konto ist gelöscht, die Daten sind weg. Microsoft kann nicht helfen.

Szenario 2: Ransomware verschlüsselt SharePoint

Ein Benutzer führt unwissentlich Ransomware aus, die über den OneDrive-Sync-Client alle synchronisierten SharePoint-Dateien verschlüsselt. Die verschlüsselten Dateien werden als neue Versionen in SharePoint hochgeladen. Die "Files Restore"-Funktion kann OneDrive auf einen früheren Zeitpunkt zurücksetzen, aber für die SharePoint-Bibliothek, auf die 50 Benutzer zugreifen, ist das komplizierter. Und die Versionierung hilft nur, wenn nicht mehr als 500 Versionen pro Datei erstellt wurden.

Szenario 3: Der böswillige Administrator

Ein IT-Administrator, der das Unternehmen im Streit verlässt, löscht vor seinem letzten Arbeitstag mehrere SharePoint-Sites und leert die Papierkörbe. Er hat die nötigen Rechte, und Microsofts Papierkorb-Mechanismus greift nicht, wenn der Papierkorb manuell geleert wird. Ohne ein externes Backup sind die Daten unwiederbringlich verloren.

Szenario 4: Compliance-Anforderungen über die Retention hinaus

Dein Unternehmen unterliegt einer gesetzlichen Aufbewahrungspflicht von 10 Jahren für geschäftsrelevante E-Mails (HGB, AO). Microsoft Retention Policies können zwar auf 10 Jahre konfiguriert werden, aber die Konfiguration ist komplex, und ein Fehler in der Policy (z.B. eine falsche Bedingung) kann dazu führen, dass E-Mails doch gelöscht werden. Ein unabhängiges Backup gibt dir die Sicherheit, dass die Daten auch dann vorhanden sind, wenn die Retention Policy nicht korrekt funktioniert.

Szenario 5: Tenant-Kompromittierung

Bei einem gezielten Angriff auf deinen Microsoft-365-Tenant erlangt der Angreifer globale Administratorrechte. Er kann Retention Policies deaktivieren, Papierkörbe leeren, Litigation Holds aufheben und Daten löschen. Microsofts interne Schutzmechanismen sind alle über administrative Rechte steuerbar und bieten in diesem Szenario keinen Schutz. Nur ein externes Backup, das außerhalb des Microsoft-365-Tenants liegt, ist sicher.

Microsoft 365 Backup-Tools im Vergleich

Es gibt zahlreiche Tools für Microsoft-365-Backups. Hier die etabliertesten Optionen für den Mittelstand.

Veeam Backup for Microsoft 365

Veeam ist der Marktführer im Bereich Virtualisierungs-Backup und bietet mit "Veeam Backup for Microsoft 365" eine dedizierte M365-Backup-Lösung.

Stärken: Granulare Recovery (einzelne E-Mails, Dateien, Kontakte, Kalendereinträge), Unterstützung für Exchange Online, SharePoint Online, OneDrive for Business und Teams, verschiedene Speicherziele (lokaler Speicher, S3-kompatibler Cloud-Speicher, Azure Blob), Object Lock-Unterstützung für immutable Backups, kostenlose Community Edition für bis zu 10 Benutzer und 1 TB SharePoint-Daten.

Schwächen: Erfordert einen eigenen Server (physisch oder VM) für die Backup-Infrastruktur, Verwaltung über Veeam-Konsole (nicht cloud-nativ), Speicherkosten kommen zusätzlich zur Veeam-Lizenz.

Kosten: Die Community Edition ist kostenlos. Die lizenzierte Version kostet ca. 3 bis 4 Euro pro Benutzer pro Monat (abhängig von Lizenzmodell und Rabattstaffel). Speicherkosten kommen hinzu (z.B. Wasabi: 6,99 USD pro TB pro Monat).

Geeignet für: Unternehmen, die bereits Veeam für ihre On-Premise-Backups nutzen und eine einheitliche Backup-Verwaltung wünschen. Unternehmen, die die Kontrolle über den Backup-Speicher behalten möchten.

AvePoint Cloud Backup

AvePoint ist auf Microsoft-365-Management und -Backup spezialisiert und bietet eine rein cloudbasierte Lösung.

Stärken: Vollständig cloud-nativ (kein eigener Server nötig), Unterstützung für Exchange, SharePoint, OneDrive, Teams, Groups und Dynamics 365, automatische Erkennung neuer Benutzer und Sites, granulare Recovery mit Vergleichsfunktion (vorher/nachher), Compliance-Reports und Audit-Logs.

Schwächen: Der Backup-Speicher liegt bei AvePoint (Azure-basiert), du hast keine Kontrolle über den physischen Speicherort. Höhere Kosten pro Benutzer im Vergleich zu Self-Hosted-Lösungen.

Kosten: Ca. 4 bis 6 Euro pro Benutzer pro Monat, inklusive Speicher.

Geeignet für: Unternehmen ohne eigene Backup-Infrastruktur, die eine einfach zu verwaltende Cloud-Lösung bevorzugen.

Hornetsecurity 365 Total Backup

Hornetsecurity (ehemals Altaro) bietet mit "365 Total Backup" eine M365-Backup-Lösung, die in ihre breitere E-Mail-Sicherheitsplattform integriert ist.

Stärken: Vollständig cloud-nativ, Unterstützung für Exchange, OneDrive, SharePoint und Teams, unbegrenzter Backup-Speicher (kein Speicherlimit pro Benutzer), einfache Einrichtung (Tenant verbinden und fertig), Integration mit Hornetsecurity E-Mail-Security.

Schwächen: Weniger granulare Wiederherstellungsoptionen als Veeam oder AvePoint, der Backup-Speicher liegt bei Hornetsecurity (kein BYOS), begrenzte Reporting-Funktionen.

Kosten: Ca. 2 bis 4 Euro pro Benutzer pro Monat, je nach Paket.

Geeignet für: Unternehmen, die eine unkomplizierte Lösung mit unbegrenztem Speicher suchen und bereits Hornetsecurity für E-Mail-Sicherheit nutzen.

Microsofts eigenes Backup (Microsoft 365 Backup)

Microsoft hat 2024 eine eigene Backup-Lösung für Microsoft 365 angekündigt und schrittweise eingeführt. Sie bietet schnelle Backups und Restores für Exchange, SharePoint und OneDrive, mit Point-in-Time-Recovery und granularer Wiederherstellung.

Stärken: Native Integration in Microsoft 365, sehr schnelle Backup- und Restore-Geschwindigkeiten (laut Microsoft bis zu 2 TB pro Stunde Restore), Verwaltung über das Microsoft 365 Admin Center.

Schwächen: Abhängigkeit vom selben Anbieter (wenn der Tenant kompromittiert ist, ist möglicherweise auch das Backup betroffen), begrenzte Unterstützung für Teams (zum Zeitpunkt der Veröffentlichung), keine Möglichkeit, Backups außerhalb von Microsoft zu speichern (kein BYOS), relativ hohe Kosten pro GB.

Kosten: 0,15 USD pro GB pro Monat (geschätzt, Pay-as-you-go). Für 100 Benutzer mit durchschnittlich 50 GB Daten pro Benutzer: ca. 750 USD pro Monat.

Geeignet für: Unternehmen, die eine Microsoft-native Lösung bevorzugen und die Einschränkungen akzeptieren.

Einrichtung: Microsoft 365 Backup mit Veeam

Hier ein konkretes Beispiel für die Einrichtung eines M365-Backups mit Veeam Backup for Microsoft 365.

Voraussetzungen

Du brauchst einen Server (physisch oder VM) mit Windows Server 2019/2022 oder Ubuntu. Veeam empfiehlt mindestens 4 Kerne, 16 GB RAM und schnellen lokalen Speicher für die Proxy-Rolle. Dazu brauchst du eine Microsoft-365-Anwendungsregistrierung (App Registration) im Azure AD mit den nötigen API-Berechtigungen. Veeam stellt einen Assistenten bereit, der die App Registration automatisch erstellt.

Schritt-für-Schritt

1. Veeam installieren: Lade Veeam Backup for Microsoft 365 herunter und installiere es auf dem vorbereiteten Server. Die Installation ist straightforward und dauert wenige Minuten.

2. Organisation hinzufügen: Füge deine Microsoft-365-Organisation hinzu. Veeam führt dich durch die Erstellung der App Registration und die Vergabe der nötigen Berechtigungen (Application Permissions für Exchange, SharePoint und Teams).

3. Backup-Repository erstellen: Erstelle ein Backup-Repository, also den Speicherort für die Backups. Für lokalen Speicher wählst du "Local" und gibst den Pfad an. Für S3-kompatiblen Cloud-Speicher wählst du "Object Storage" und konfigurierst den Endpunkt (z.B. Wasabi: s3.eu-central-1.wasabisys.com), den Bucket, die Zugangsdaten und optional Object Lock.

4. Backup-Job erstellen: Erstelle einen Backup-Job, der die gewünschten Objekte sichert: alle Benutzer, alle Sites, alle Teams oder eine Auswahl. Konfiguriere den Backup-Zeitplan (z.B. alle 6 Stunden).

5. Retention konfigurieren: Lege fest, wie lange Backup-Daten aufbewahrt werden. Für die meisten Unternehmen sind 1 bis 3 Jahre sinnvoll. Wenn gesetzliche Aufbewahrungspflichten bestehen: entsprechend länger.

6. Backup starten und überwachen: Starte den ersten Backup-Job. Das initiale Backup kann je nach Datenmenge Stunden bis Tage dauern. Folge-Backups sind inkrementell und deutlich schneller.

Kosten und Speicherplanung

Datenvolumen abschätzen

Ein typischer Microsoft-365-Benutzer erzeugt folgendes Datenvolumen: Exchange-Online-Postfach 5 bis 15 GB (Standardkontingent 50 GB, mit Archiv-Postfach bis zu 100 GB), OneDrive 5 bis 20 GB (Standardkontingent 1 TB), SharePoint 1 bis 5 GB pro Benutzer (gemeinsam genutzt, daher schwer pro Benutzer zu beziffern).

Für 100 Benutzer ergibt sich ein geschätztes Gesamtvolumen von 2 bis 5 TB, je nach Nutzungsintensität.

Kosten kalkulieren

Veeam + Wasabi: Veeam-Lizenz ca. 350 EUR pro Monat (100 Benutzer) + Wasabi-Speicher ca. 25 EUR pro Monat (3,5 TB) = ca. 375 EUR pro Monat.

AvePoint: Ca. 500 EUR pro Monat (100 Benutzer, inklusive Speicher).

Hornetsecurity: Ca. 300 EUR pro Monat (100 Benutzer, inklusive Speicher).

Microsoft 365 Backup: Ca. 600 EUR pro Monat (100 Benutzer, 4 TB geschätzt).

Für ein 100-Benutzer-Unternehmen liegen die Kosten also zwischen 300 und 600 EUR pro Monat, abhängig vom Tool und dem Datenvolumen. Das ist ein überschaubarer Betrag im Vergleich zu den potenziellen Kosten eines Datenverlusts.

M365-Backup und Compliance

Ein dediziertes M365-Backup hilft dir bei mehreren Compliance-Anforderungen. Für die DSGVO (Recht auf Löschung) musst du personenbezogene Daten auf Anfrage löschen können, auch im Backup. Die meisten M365-Backup-Tools unterstützen das über gezielte Löschung einzelner Benutzer oder Elemente im Backup. Für die GoBD und HGB (Aufbewahrungspflichten) musst du geschäftsrelevante E-Mails und Dokumente 6 bis 10 Jahre aufbewahren. Deine Datensicherungsrichtlinie sollte diese Fristen explizit abbilden. Ein M365-Backup mit entsprechender Retention bietet einen zusätzlichen Schutz neben den Microsoft-Retention-Policies. Für NIS2 (Backup-Management) musst du nachweisen, dass du ein funktionierendes Backup-Management betreibst. Ein dokumentiertes M365-Backup mit regelmäßigen Restore-Tests erfüllt diese Anforderung.

Restore-Tests für Microsoft 365

Wie bei jedem Backup gilt: Ein M365-Backup, das nie getestet wurde, ist kein Backup. Teste regelmäßig folgende Szenarien.

E-Mail-Restore: Stelle eine einzelne gelöschte E-Mail wieder her. Stelle einen kompletten Ordner wieder her. Stelle ein ganzes Postfach wieder her.

SharePoint-Restore: Stelle eine einzelne Datei aus einer SharePoint-Bibliothek wieder her. Stelle eine komplette Dokumentenbibliothek wieder her. Stelle eine gesamte SharePoint-Site wieder her.

OneDrive-Restore: Stelle eine einzelne Datei wieder her. Stelle den gesamten OneDrive eines Benutzers wieder her.

Teams-Restore: Stelle einen Teams-Kanal mit seinen Dateien wieder her. Prüfe, ob die Kanalstruktur und Mitgliedschaften korrekt wiederhergestellt werden.

Dokumentiere jeden Test mit Datum, Szenario, Ergebnis und Dauer. In ISMS Lite lassen sich Backup-Strategien, Restore-Tests und Retention-Richtlinien für Microsoft 365 strukturiert nachweisen. Diese Dokumentation ist dein Nachweis für Audits.

Weiterführende Artikel

• SharePoint und OneDrive absichern: Berechtigungen, Sharing und DLP
• Exchange Online absichern: SPF, DKIM, DMARC und mehr
• Datensicherung nach BSI: Das 3-2-1-1-0-Prinzip in der Praxis
• Immutable Backups mit Veeam, Wasabi oder S3 Object Lock einrichten
• Teams-Sicherheit: Gastzugriff, Dateifreigabe und Compliance