Ein Ingenieurbüro in Erlangen, 35 Mitarbeitende, arbeitet seit drei Jahren komplett mit Microsoft 365: Mails in Exchange Online, Projektdateien in SharePoint, persönliche Ablagen in OneDrive. Im Sommer verlässt der Projektleiter für Tiefbau das Unternehmen. Die IT löscht sein Konto, um die Lizenz zu sparen. Vier Monate später fragt ein Auftraggeber nach der Korrespondenz zu einer Bauabnahme aus dem Vorjahr – sie lag im Postfach des ehemaligen Projektleiters. Das Postfach ist weg, die Frist für die Wiederherstellung gelöschter Konten längst abgelaufen. Ein Anruf bei Microsoft bringt nichts: Die Daten sind unwiederbringlich gelöscht, und das ist so vorgesehen.

Das Szenario ist fiktiv. Der Ablauf ist es nicht – er gehört zu den häufigsten Gründen, aus denen Unternehmen in Mittelfranken bei uns nach einem Backup für Microsoft 365 fragen. Meist zu spät.

Sichert Microsoft meine Daten nicht automatisch?

Die kurze Antwort: Microsoft sichert die Verfügbarkeit des Dienstes, nicht die Wiederherstellbarkeit Ihrer Daten. Das Prinzip heißt Shared Responsibility – geteilte Verantwortung – und steht sinngemäß in den Nutzungsbedingungen.

Microsoft ist verantwortlich für:

• den Betrieb der Rechenzentren und der Plattform,
• die Verfügbarkeit der Dienste (mit vertraglich zugesagter Quote),
• die Replikation der Daten zwischen Rechenzentren gegen Hardwareausfälle,
• die Sicherheit der Infrastruktur.

Der Kunde ist verantwortlich für:

• die Daten selbst – ihre Sicherung, Aufbewahrung und Wiederherstellung,
• die Konfiguration von Berechtigungen und Sicherheitsrichtlinien,
• die Nutzerkonten und deren Verhalten,
• die Einhaltung gesetzlicher Aufbewahrungspflichten.

Microsoft empfiehlt selbst, Daten regelmäßig mit Diensten von Drittanbietern zu sichern. Wer also annimmt, die Cloud sei ein Backup, verwechselt Hochverfügbarkeit mit Datensicherung. Ein Server, der nie ausfällt, schützt nicht vor einer Datei, die jemand löscht.

Wie lange bleiben gelöschte Daten in Microsoft 365 erhalten?

Microsoft 365 hat mehrere Papierkörbe mit gestaffelten Fristen. Die Logik lässt sich am Beispiel erklären; die exakten Werte hängen von Dienst, Lizenz und Konfiguration ab und sollten im eigenen Mandanten geprüft werden.

E-Mails in Exchange Online: Eine gelöschte Mail landet im Ordner „Gelöschte Elemente“. Wird sie dort gelöscht, wandert sie in den Ordner „Wiederherstellbare Elemente“, wo sie standardmäßig noch rund 14 Tage liegt (auf maximal 30 Tage verlängerbar). Danach ist sie weg – es sei denn, eine Aufbewahrungsrichtlinie oder eine Beweissicherung hält sie fest.

Dateien in OneDrive und SharePoint: Gelöschte Dateien liegen zunächst im Papierkorb der Seite, dann im Papierkorb der Websitesammlung – insgesamt rund 93 Tage. Danach sind sie endgültig gelöscht.

Gelöschte Nutzerkonten: Ein gelöschtes Konto lässt sich etwa 30 Tage lang wiederherstellen, inklusive Postfach und OneDrive. Danach werden die Daten dauerhaft entfernt – wie im Szenario des Ingenieurbüros.

Teams: Ein gelöschtes Team kann rund 30 Tage wiederhergestellt werden; Chatnachrichten unterliegen eigenen Regeln.

Die Fristen klingen komfortabel. In der Praxis werden Löschungen aber oft erst bemerkt, wenn jemand nach den Daten fragt – Wochen oder Monate später. Und bei Verschlüsselung durch Ransomware sind die Papierkörbe ohnehin nicht die Rettung, weil die Dateien nicht gelöscht, sondern überschrieben werden.

Sind Aufbewahrungsrichtlinien nicht dasselbe wie ein Backup?

Nein, und die Verwechslung ist gefährlich. Aufbewahrungsrichtlinien (Retention Policies) sorgen dafür, dass Inhalte für einen definierten Zeitraum nicht endgültig gelöscht werden können. Das ist nützlich – für Compliance, für Rechtsstreitigkeiten, als Schutz vor voreiligen Löschungen. Aber sie unterscheiden sich in fünf Punkten von einem Backup:

1. Kein zweiter Ort. Die Daten liegen weiterhin im selben Mandanten, auf derselben Plattform, unter denselben Admin-Zugängen. Wer den Mandanten kompromittiert, kommt an alles.
2. Kein Schutz vor Verschlüsselung. Ransomware, die über den OneDrive-Client synchronisiert, überschreibt Dateien. Versionierung hilft begrenzt, wird aber bei großen Datenmengen unhandlich und kann von Angreifern mit Admin-Rechten ausgehebelt werden.
3. Keine Wiederherstellung auf Zeitpunkt. Sie können nicht sagen: „Stelle SharePoint auf den Stand von Dienstag 18 Uhr zurück.“ Sie können einzelne Objekte suchen und exportieren – mühsam und langsam.
4. Abhängig von der Lizenz. Wird ein Konto gelöscht oder eine Lizenz entzogen, greifen andere Regeln. Was mit den Daten passiert, ist im Detail komplex.
5. Änderbar durch Administratoren. Wer Admin-Rechte hat, kann Richtlinien ändern oder aufheben – ob versehentlich oder böswillig.

Ein Backup dagegen ist eine Kopie an einem anderen Ort, mit eigenen Zugangsdaten, eigener Aufbewahrungsfrist und der Möglichkeit, jeden gesicherten Zeitpunkt vollständig wiederherzustellen. Das ist die 3-2-1-Regel – drei Kopien, zwei Medien, eine außer Haus –, und sie gilt in der Cloud genauso wie im Serverraum.

Welche Szenarien führen tatsächlich zu Datenverlust in Microsoft 365?

Aus unserer Erfahrung mit Unternehmen in Nürnberg, Schwabach und Umgebung sind es vier Muster, die immer wiederkehren.

Ausgeschiedene Mitarbeitende. Das Konto wird gelöscht, um Lizenzkosten zu sparen. Postfach und OneDrive verschwinden nach der Frist. Monate später fehlt eine Kundenkorrespondenz, ein Vertrag, eine Kalkulation.

Versehentliches Löschen und Überschreiben. Ein Mitarbeitender räumt einen SharePoint-Ordner auf und löscht den falschen. Ein Kollege überschreibt eine Datei mit einer alten Version. Es fällt erst auf, als der Papierkorb geleert ist.

Ransomware und kompromittierte Konten. Ein Phishing-Angriff verschafft Angreifern Zugriff auf ein Konto. Sie verschlüsseln Dateien über die Synchronisation, löschen Mails, ändern Regeln. Mit Admin-Rechten heben sie Aufbewahrungsrichtlinien auf. Ohne externes Backup gibt es keinen sauberen Stand mehr.

Administratorfehler. Eine Aufbewahrungsrichtlinie wird falsch konfiguriert und löscht Daten statt sie zu behalten. Ein Skript zur Lizenzbereinigung entfernt die falschen Konten. Eine SharePoint-Seite wird gelöscht, weil sie ungenutzt aussah.

In keinem dieser Fälle hilft Microsoft. In allen hilft ein externes Backup.

Was hat das mit GoBD und E-Mail-Archivierung zu tun?

Beim Thema Datensicherung in Microsoft 365 wird oft ein drittes Thema vermengt: die gesetzliche Aufbewahrungspflicht. Die GoBD verlangen, dass steuerlich relevante E-Mails – Angebote, Auftragsbestätigungen, Rechnungen – über die gesetzliche Frist von in der Regel sechs bis zehn Jahren unveränderbar, vollständig und nachvollziehbar aufbewahrt werden.

Das leistet weder eine Aufbewahrungsrichtlinie allein noch ein Backup. Ein Backup wird nach Ablauf seiner Aufbewahrungsfrist überschrieben und beweist nicht, dass eine Mail unverändert ist. Eine Aufbewahrungsrichtlinie hält Mails im produktiven System, ohne die erforderliche Verfahrensdokumentation und ohne Trennung vom Postfach. Beides ersetzt keine E-Mail-Archivierung, die jede Mail beim Ein- und Ausgang unveränderbar wegschreibt.

Drei Werkzeuge, drei Zwecke:

Die drei Werkzeuge ergänzen sich. Wer alle Anforderungen erfüllen will, braucht in der Regel mindestens Backup und Archivierung; Aufbewahrungsrichtlinien kommen als Ergänzung für bestimmte Compliance-Fälle hinzu.

Wie sieht ein richtiges Microsoft 365 Backup aus?

Ein Backup für Microsoft 365, das seinen Namen verdient, erfüllt folgende Kriterien:

• Alle Dienste: Exchange Online (Mails, Kalender, Kontakte), OneDrive, SharePoint, Teams inklusive Kanälen und Dateien.
• Tägliche Sicherung oder häufiger, automatisch, mit Überwachung und Meldung bei Fehlern.
• Getrennter Speicherort mit eigenen Zugangsdaten, idealerweise in einem deutschen Rechenzentrum, unveränderbar gespeichert (Immutable Backup).
• Frei wählbare Aufbewahrung – von wenigen Monaten bis zu mehreren Jahren, unabhängig davon, ob das Nutzerkonto noch existiert.
• Granulare Wiederherstellung: einzelne Mails, Dateien, Ordner, komplette Postfächer oder Seiten, auf Zeitpunkt, in das Original oder an einen anderen Ort.
• Getestete Wiederherstellung: Regelmäßige Probeläufe, dokumentiert – ein Backup, das nie zurückgespielt wurde, ist ein Versprechen ohne Beleg.
• Berichte, die ein Geschäftsführer versteht: Was wurde gesichert, was ist fehlgeschlagen, wie alt ist der letzte erfolgreiche Stand.

Und es gehört in den IT-Notfallplan: Wer stellt was in welcher Reihenfolge wieder her, und wie lange darf das dauern?

Fazit: Die Cloud ist kein Backup – aber ein Backup für die Cloud ist einfach

Microsoft 365 ist eine stabile Plattform, und die Papierkörbe und Aufbewahrungsrichtlinien sind nützliche Werkzeuge. Aber sie sind nicht dafür gemacht, Ihre Daten gegen Löschung, Verschlüsselung, Fehlbedienung und den Weggang von Mitarbeitenden zu schützen. Dafür braucht es eine Kopie an einem anderen Ort – wie im Serverraum auch.

BES Systemhaus richtet für Unternehmen in Mittelfranken das Microsoft 365 Backup & Archivierung als Managed Service ein: tägliche Sicherung aller Dienste in deutschen Rechenzentren, Aufbewahrung nach Ihrer Vorgabe, getestete Wiederherstellung, Status im Monatsreport. Auf Wunsch kombiniert mit E-Mail-Archivierung nach GoBD und – für Unternehmen mit eigenen Servern – mit Cloud-Backup und Disaster Recovery aus der TERRA Cloud.

Erstgespräch vereinbaren – wir prüfen in 30 Minuten, wie Ihre Microsoft-365-Daten heute geschützt sind und was fehlt.

Häufige Fragen