Warum Microsoft 365 kein Backup ist: Shared Responsibility erklärt

„Das liegt doch bei Microsoft, die haben doch sicher ein Backup.“ Der Satz fällt in fast jedem Gespräch über Microsoft 365, und er ist halb richtig. Microsoft sichert die Plattform: die Server, die Rechenzentren, die Verfügbarkeit des Dienstes. Was Microsoft nicht sichert, sind Ihre Daten in dem Sinn, den ein Backup meint: eine Kopie, die Sie zu einem beliebigen Zeitpunkt zurückholen können, unabhängig davon, was in Ihrem Tenant passiert ist.

Dieser Artikel erklärt das Modell der geteilten Verantwortung, zeigt, was die Bordmittel von Microsoft leisten und wo sie enden, und beschreibt, was ein Backup für Microsoft 365 anders macht.

Was Microsoft zusagt und was nicht

Microsoft beschreibt die Aufteilung in seinen Vertragsbedingungen und in der Dokumentation zum „Shared Responsibility Model“. Vereinfacht: Microsoft ist verantwortlich für den Betrieb des Dienstes, also für Hardware, Netz, physische Sicherheit und dafür, dass Exchange Online, SharePoint und Teams laufen. Der Kunde ist verantwortlich für seine Daten, seine Konten, seine Geräte und die Einstellungen seines Tenants.

Konkret heißt das: Fällt ein Rechenzentrum aus, sorgt Microsoft dafür, dass Ihre Postfächer weiter erreichbar sind. Löscht ein Mitarbeiter versehentlich einen SharePoint-Ordner, verschlüsselt ein Angreifer mit gestohlenen Zugangsdaten Ihr OneDrive oder verschwindet das Postfach eines ausgeschiedenen Kollegen nach Ablauf der Frist, ist das aus Sicht von Microsoft ein Vorgang in Ihrer Verantwortung. Der Dienst hat funktioniert, er hat genau das getan, was jemand mit Ihren Zugangsdaten angewiesen hat.

Microsoft empfiehlt in seinen Servicebedingungen selbst, Inhalte regelmäßig mit Diensten Dritter zu sichern. Das ist kein Kleingedrucktes, das jemand verstecken will, sondern die logische Folge des Modells.

Was die Bordmittel leisten

Microsoft 365 bringt einige Mechanismen mit, die im Alltag wie ein Backup wirken und in vielen Fällen ausreichen. Es lohnt sich, sie genau zu kennen, bevor man über ein zusätzliches Backup nachdenkt.

Der Papierkorb in Exchange Online, OneDrive und SharePoint hält gelöschte Elemente für eine begrenzte Zeit, in der Regel einige Wochen, in zwei Stufen. Danach sind sie weg.
Die Versionierung in OneDrive und SharePoint bewahrt frühere Fassungen einer Datei auf. Sie hilft gegen versehentliches Überschreiben, nicht gegen Löschen und nicht gegen eine Verschlüsselung, die jede Version anfasst.
Aufbewahrungsrichtlinien und Litigation Hold können Inhalte über die Papierkorbfrist hinaus festhalten. Sie sind für rechtliche Zwecke gedacht, brauchen passende Lizenzen und erfordern, dass jemand sie vorher richtig eingerichtet hat.
Die Frist für gelöschte Nutzerkonten hält ein Postfach nach der Lizenzentnahme noch eine Zeit lang. Danach ist es endgültig gelöscht.

Allen vier Mechanismen ist gemeinsam: Sie liegen im selben Tenant, unterliegen denselben Berechtigungen und laufen nach Fristen ab. Wer Administratorrechte hat, ob rechtmäßig oder nach einem erfolgreichen Angriff, kann sie ändern oder umgehen. Und wer erst nach drei Monaten merkt, dass ein Ordner fehlt, findet ihn im Papierkorb nicht mehr.

Vier Fälle, in denen es eng wird

Die Theorie wird greifbar an den Fällen, die in mittelständischen Unternehmen tatsächlich vorkommen. Keiner davon ist exotisch.

Ein Mitarbeiter verlässt das Unternehmen, die Lizenz wird sofort entzogen, um Kosten zu sparen. Wochen später sucht der Nachfolger einen Vorgang in dessen Postfach. Die Frist ist abgelaufen, das Postfach existiert nicht mehr.
Ein Angreifer erbeutet per Phishing die Zugangsdaten eines Nutzers, meldet sich an und verschlüsselt über einen synchronisierten Client die Dateien in OneDrive und in freigegebenen SharePoint-Bibliotheken. Die Versionierung hilft, ist aber mühsam und deckt nicht alles ab, wenn der Angreifer auch Versionen bereinigt hat.
Ein Administrator räumt auf und löscht eine Microsoft-365-Gruppe samt Team, SharePoint-Site und Postfach. Die Wiederherstellungsfrist ist begrenzt, und die Löschung fällt erst auf, als ein Projekt Monate später Unterlagen braucht.
Ein Wirtschaftsprüfer oder eine Behörde verlangt geschäftliche E-Mails aus einem Zeitraum vor zwei Jahren. Die Postfächer wurden zwischenzeitlich aufgeräumt, eine Archivierung gab es nicht.

In allen vier Fällen hat Microsoft nichts falsch gemacht. Der Dienst lief. Die Daten fehlen trotzdem.

Was ein Backup anders macht

Ein Backup für Microsoft 365 kopiert die Inhalte aus Exchange Online, OneDrive, SharePoint, Teams und Entra ID regelmäßig in einen Speicher außerhalb des Tenants. Drei Eigenschaften machen den Unterschied zu den Bordmitteln aus.

Erstens die Unabhängigkeit: Die Kopie liegt in einem anderen System, mit anderen Zugangsdaten. Wer Ihren Tenant übernimmt, kommt an das Backup nicht heran. Ist der Speicher zusätzlich unveränderbar, kann die Kopie für die eingestellte Frist auch von niemandem gelöscht werden.

Zweitens die Frist: Sie bestimmen, wie lange Sicherungen aufbewahrt werden, ob ein Jahr oder zehn. Ein Postfach eines ausgeschiedenen Mitarbeiters bleibt so lange abrufbar, wie Sie es festlegen, unabhängig von der Lizenz.

Drittens die Wiederherstellung: Aus dem Backup lässt sich eine einzelne Mail, eine Datei, ein Ordner, ein ganzes Postfach oder ein ganzes Team zurückholen, zu einem Zeitpunkt Ihrer Wahl, in das ursprüngliche oder ein anderes Konto. Nach einem Verschlüsselungsangriff ist das der Unterschied zwischen einem Nachmittag und einer Woche.

Backup und Archivierung sind zwei Dinge

Ein Punkt sorgt regelmäßig für Verwirrung: Backup und Archivierung werden in einem Atemzug genannt, lösen aber verschiedene Probleme. Ein Backup dient der Wiederherstellung, es holt einen früheren Zustand zurück. Eine Archivierung dient dem Nachweis: Sie bewahrt jede geschäftliche E-Mail vollständig, unveränderbar und durchsuchbar auf, so lange die gesetzliche Aufbewahrungsfrist läuft.

Für die Anforderungen der GoBD an geschäftliche Korrespondenz ist deshalb die Archivierung der passende Baustein, das Backup ergänzt sie. Wer nur eines von beiden hat, hat eine Lücke: mit Backup allein fehlt der revisionssichere Nachweis, mit Archivierung allein fehlt die schnelle Wiederherstellung von Dateien und Teams.

Was es kostet und was gezählt wird

Ein Microsoft-365-Backup wird üblicherweise je Nutzer und Monat abgerechnet. Gezählt werden dabei Nutzer mit eigenem Postfach oder OneDrive; Shared Mailboxes, Raum- und Gerätepostfächer und Kollegen, die nur auf SharePoint oder Teams zugreifen, kosten bei uns nichts. Der Speicher ist je Nutzer unbegrenzt, unter der Fair-Use-Richtlinie des Plattformherstellers.

Für ein Unternehmen mit zwanzig Nutzern liegt der Monatsbetrag damit in der Größenordnung eines Mittagessens für das Team. Der Preis je Nutzer steht auf unserer Preisseite, ohne Anfrage und ohne Registrierung.

Fazit

Microsoft 365 ist ein zuverlässiger Dienst, und Microsoft hält, was es zusagt. Nur sagt es kein Backup Ihrer Daten zu, und es sagt das auch so. Wer die Bordmittel kennt, kann für sich entscheiden, ob sie reichen. Für die meisten Unternehmen mit Aufbewahrungspflichten, Mitarbeiterwechseln und einem realistischen Blick auf Phishing lautet die Antwort: nicht ganz.

Ein Backup außerhalb des Tenants schließt die Lücke für einen festen Betrag je Nutzer. Es ist eine der wenigen Maßnahmen in der IT-Sicherheit, bei der Aufwand und Nutzen so klar auseinanderfallen.