Frag einen beliebigen Inhaber einer 30-Personen-Firma, ob er ein E-Mail-Backup hat. Er wird sagen ja, er nutzt Microsoft 365. Frag dann, ob er schon mal das Postfach eines Mitarbeiters wiederhergestellt hat, der vor einem Jahr gegangen ist. Hier endet das Gespräch meistens.
Microsoft 365 ist ein gutes Produkt. Du bekommst E-Mail, OneDrive, SharePoint, Teams, Kalender und das Office-Paket zu einem fairen Preis. Eine Sache ist im Preis nicht enthalten: ein Backup deiner Daten. Das ist kein versteckter Sternchen-Hinweis. Es steht offen in Microsofts Dokumentation als „Shared Responsibility Model". Microsoft sorgt dafür, dass die Infrastruktur läuft und sicher ist. Für deine Daten — Kopien, Aufbewahrung, Schutz vor Fehlern und Angriffen — bist du selbst verantwortlich. Das sind zwei verschiedene Dinge, auch wenn sie in den Köpfen der meisten KMU-Inhaber zu einem verschmelzen.
Was Microsoft tatsächlich tut
Microsoft 365 hat eingebaute Wiederherstellungsmechanismen, aber das ist kein Backup im Sinne von jemandem, der schon einmal Dateien von vor sechs Monaten zurückholen musste.
- Papierkorb in OneDrive/SharePoint: 93 Tage nach dem Löschen. Danach ist die Datei mit Standardmitteln nicht mehr wiederherstellbar.
- E-Mail-Aufbewahrung: standardmäßig 14 Tage für ein gelöschtes Postfach, bis zu 30 Tage für einzelne Elemente im Papierkorb.
- Postfach nach Offboarding: sobald die Lizenz entfernt wird, beginnt der Countdown zur Löschung. Man kann „Litigation Hold" aktivieren, aber das ist eine zusätzliche Lizenz und eine manuelle Entscheidung, die niemand wirklich trifft.
- Dateiversionen: ja, es gibt Versionsverlauf — aber wenn Ransomware eine Datei 50 Mal verschlüsselt, bekommst du 50 verschlüsselte Versionen.
Das sind brauchbare Mechanismen. Sie sind auch für typische Fehler entworfen — „ups, ich habe die falsche Datei gelöscht". Sie sind nicht für die Situationen entworfen, die wirklich wehtun.
Wo diese Mechanismen nicht reichen
Vier Szenarien, die wir bei Kunden regelmäßig sehen:
1. Der Mitarbeiter ist vor 4 Monaten gegangen. Du brauchst seine E-Mails zu einem Projekt, das gerade wieder aktuell wurde. Das Postfach wurde 30 Tage nach dem Offboarding gelöscht. Die Mails sind weg.
2. Ransomware über OneDrive. Ein Mitarbeiter klickt auf einen infizierten Anhang. Die Schadsoftware verschlüsselt Dateien auf der lokalen Platte, OneDrive synchronisiert die Änderungen in die Cloud. Versionsverlauf ist da — aber für jede der mehreren tausend Dateien musst du die Version einzeln oder per Skript zurücksetzen. Machbar, aber das sind zwei Wochen Arbeit einer Person.
3. Eine Panne in SharePoint. Jemand will die Ordnerstruktur „aufräumen", verschiebt einen Kundenordner, klickt „löschen" statt „verschieben", leert den Papierkorb. 93 Tage vergehen unbemerkt — weil niemand ein Quartal lang in diesen Ordner geschaut hat.
4. Bösartiger Abgang. Ein Mitarbeiter weiß, dass er entlassen wird, und löscht vor dem Abmelden Dateien in OneDrive und ausgewählte Threads im Postfach. Microsofts Standard-Aufbewahrung holt einen Teil zurück — aber nicht alles.
In jedem dieser Szenarien können Microsofts Mechanismen einen Teil der Daten retten. „Ein Teil" ist nicht dasselbe wie „alles". Und das ist meistens der ganze Unterschied.
Ein konkretes Beispiel aus einem polnischen KMU
Ein 22-Personen-Steuerberatungsbüro bei Posen. Standard-Microsoft-365-Business-Standard-Setup, SharePoint als Dokumentenablage für Mandantenakten. Stabile Prozesse, organisiertes Team.
Was passiert ist: ein neuer Mitarbeiter hat beim „Aufräumen" der Ordnerstruktur den Ordner eines Mandanten verschoben und teilweise gelöscht. Bemerkt wurde es 4 Monate später, als der Mandant eine Kopie der Vorjahresunterlagen fürs Finanzamt verlangte. Der SharePoint-Papierkorb war leer — die 93 Tage waren vorbei. Versioning half auch nicht — der Ordner wurde komplett gelöscht, nicht überschrieben.
Was sie gerettet hat: ein Jahr zuvor hatten sie ein externes Microsoft-365-Backup-Tool eingeführt (Veeam Backup for Microsoft 365, etwa 1 EUR pro Nutzer pro Monat — insgesamt rund 22 EUR/Monat für die ganze Firma). Die Wiederherstellung des Ordners dauerte 40 Minuten.
Wie es ohne Backup ausgesehen hätte: Rekonstruktion der Dokumente aus Papieroriginalen und Mandantenkontakt — geschätzt 80–120 Arbeitsstunden plus ein reales Risiko für die Mandantenbeziehung (und ein Steuerberatungsbüro hat wenig außer Mandantenbeziehungen). In Geld: 12 Jahre Backup-Gebühren zurückverdient in einem einzigen Vorfall im ersten Jahr nach Einführung.
Diese Rechnung ist im Nachhinein offensichtlich. Im Vorhinein ist sie schwer zu sehen.
Wie ein gutes M365-Backup aussehen sollte
Vier Kriterien, die du an ein externes Tool stellen solltest:
- Voller Umfang: E-Mail, OneDrive, SharePoint, Teams (Chats und Dateien). Nicht nur E-Mail — heute leben die meisten Dokumente in SharePoint und Teams.
- Lange Aufbewahrung: 7 Jahre sind die Basislinie passend zu den polnischen Archivierungsanforderungen für die meisten Branchen. Manche (Medizin, Recht) brauchen mehr.
- Granulare Wiederherstellung: eine einzelne E-Mail, eine einzelne Datei, ein einzelner Ordner. Nicht nur „das ganze Postfach" — denn in einem echten Vorfall brauchst du eine konkrete Sache, keinen kompletten Re-Import.
- Backup außerhalb der Microsoft-Infrastruktur: die Daten müssen bei einem anderen Anbieter liegen. Wenn das Problem in deinem M365-Tenant liegt (kompromittiertes Admin-Konto, Störung auf deren Seite), rettet dich ein Backup innerhalb derselben Infrastruktur nicht.
Die Werkzeuge, die wir bei polnischen KMU am häufigsten sehen: Veeam Backup for Microsoft 365, Acronis Cyber Protect, Synology Active Backup for Microsoft 365 (wenn schon eine Synology-Box vorhanden ist), Barracuda Cloud-to-Cloud Backup. Die Kosten liegen bei etwa 0,70–1,40 EUR pro Nutzer pro Monat für sinnvolle Aufbewahrung und vollen Umfang.
Was du diese Woche tun kannst
Du musst morgen kein Tool aussuchen. Aber diese Woche kannst du drei Dinge tun:
- Prüfe deine aktuellen M365-Aufbewahrungsregeln. Geh in Microsoft Purview (früher Compliance Center) und schau, was wirklich aktiv ist. Wenn nichts — ist das dein Ausgangspunkt, nicht dein Ziel.
- Prüfe deinen Offboarding-Prozess. Was passiert mit dem Postfach und OneDrive einer Person, die geht? Wenn die Antwort lautet „wird nach 30 Tagen gelöscht", hast du eine Lücke, die irgendwann wehtun wird.
- Mach eine Liste deiner wichtigsten M365-Daten. Verträge? Buchhaltungsunterlagen? Projektarchiv? Die Backup-Entscheidung trifft man auf Basis dessen, was am schwersten zu rekonstruieren wäre — nicht auf Basis dessen, wovon es am meisten gibt.
Das sind zehn Minuten Nachdenken, die sich eines Tages als die beste IT-Investition des Jahres erweisen werden.
Microsoft 365 verliert keine Daten. Das tut der Nutzer. Und ob du sie zurückbekommst, ist nicht Microsofts Verantwortung — sondern deine.