Wie stellen Sie Microsoft 365 nach einem Ransomware-Angriff wieder her?

Was ist der Unterschied zwischen Verfügbarkeit und Wiederherstellbarkeit in Microsoft 365?

Verfügbarkeit heißt, dass der Dienst läuft und Ihre Nutzer sich anmelden können. Wiederherstellbarkeit heißt, dass Sie genau die Daten zurückholen können, die Sie verloren haben, und zwar von einem Zeitpunkt vor dem Schaden, in einer Zeit, die das Unternehmen vereinbart hat.

Das Erste beherrscht Microsoft sehr gut. Microsoft repliziert Ihre Daten über Rechenzentren hinweg, sodass Hardwareausfälle Exchange Online oder SharePoint nicht unterbrechen. Aber Replikation kopiert jede Änderung mit. In der Dokumentation zur Azure-Storage-Redundanz formuliert Microsoft das Prinzip deutlich: „Redundanz schützt vor Hardwareausfällen, nicht vor Vorgängen, die Daten verändern.“ Löschungen und Überschreibungen gelten sofort für alle Kopien, und die Verschlüsselung durch Ransomware ist ein Vorgang, der Daten verändert.

Für die Wiederherstellbarkeit sind Sie zuständig. Sie entsteht durch eine unabhängige Kopie, und genau die liefert Backup as a Service. Wenn Sie noch unsicher sind, wer wofür verantwortlich ist, beginnen Sie mit Sichert Microsoft 365 meine Daten?

Ein Beispiel: ein Buchhaltungsbüro mit zehn Mitarbeitenden am Montagmorgen. Outlook öffnet sich, Teams funktioniert, die Statusseite von Microsoft ist grün. Doch die Hälfte der Kundenordner in SharePoint ist seit Freitagnacht durch verschlüsselte Kopien ersetzt. Der Dienst ist verfügbar. Die Daten sind nicht wiederherstellbar, wenn niemand vorgesorgt hat.

Wie gelangt Ransomware in einen Microsoft-365-Tenant?

Meist über eine gestohlene Identität, nicht über eine Schwachstelle in Microsofts Plattform. Hat ein Angreifer ein gültiges Konto, sieht alles, was er tut, wie normale Nutzer- oder Administratoraktivität aus.

Der Microsoft Digital Defense Report 2025 stellte fest, dass identitätsbasierte Angriffe im ersten Halbjahr 2025 um 32 % zunahmen, dass mehr als 97 % der Identitätsangriffe Passwortangriffe sind und dass Multi-Faktor-Authentifizierung (MFA) über 99 % davon blockieren kann. Typische Wege in Microsoft 365 sind:

• Ein kompromittiertes Nutzerkonto: Ein synchronisierter Laptop wird verschlüsselt, und OneDrive lädt brav die verschlüsselten Versionen hoch.
• Ein kompromittiertes Administratorkonto: Der Angreifer löscht Postfächer oder Websites, verkürzt die Aufbewahrung oder leert Papierkörbe.
• Eine schädliche oder zu weitreichend berechtigte App: Eine App, die durch Zustimmung breiten Zugriff erhalten hat, kann Daten in großem Umfang lesen, ändern oder löschen.

Angreifer wissen, dass Backups der Ausweg sind. In Microsofts Leitfaden zu Backup-Architekturen, die Ransomware standhalten, heißt es warnend: „Ransomware-Betreiber greifen häufig zuerst die Backup-Infrastruktur an, um Wiederherstellungsoptionen auszuschalten, bevor sie die Produktivsysteme angreifen.“ Deshalb ist es genauso wichtig, wo Ihr Backup liegt und wer darauf zugreifen kann, wie überhaupt eines zu haben.

Welche Schritte gehören zur Wiederherstellung von Microsoft 365 nach Ransomware?

Eindämmen, einen sauberen Wiederherstellungspunkt wählen, nach Priorität wiederherstellen, prüfen und berichten. Das Eindämmen auszulassen ist der teuerste Fehler, denn wiederhergestellte Daten können erneut verschlüsselt werden.

1. Den Vorfall eindämmen. Setzen Sie die Passwörter betroffener Konten zurück, widerrufen Sie aktive Sitzungen, erzwingen Sie MFA, entfernen Sie verdächtige App-Zustimmungen und Postfachregeln und trennen Sie infizierte Endgeräte vom Netz. Ziehen Sie Ihren MSP oder einen Incident-Responder hinzu.
2. Beweise sichern. Exportieren Sie die Audit-Protokolle, bevor Sie zu viel ändern. Sie brauchen sie für Versicherer, Aufsichtsbehörden und die Ursachenanalyse.
3. Den sauberen Zeitpunkt finden. Stellen Sie fest, wann die erste schädliche Änderung stattfand, und wählen Sie das letzte Backup davor.
4. Priorisieren. Stellen Sie zuerst wieder her, was das Unternehmen braucht: wichtige Postfächer, SharePoint-Bibliotheken für Finanzen und Kunden, danach den Rest.
5. Granular wiederherstellen. Stellen Sie am ursprünglichen Speicherort wieder her, wenn er sauber ist, oder an einem alternativen Speicherort, damit Nutzer vergleichen können.
6. Mit den Nutzern prüfen. Lassen Sie die Verantwortlichen bestätigen, dass wiederhergestellte Ordner und Postfächer vollständig sind, bevor Sie den Vorfall schließen.
7. Berichten und lernen. Fallen Sie unter NIS2, verlangt Art. 23 Abs. 4 NIS2-Richtlinie (EU) 2022/2555 eine Frühwarnung innerhalb von 24 Stunden, eine Meldung des Vorfalls innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats.

Realistische Dauern der einzelnen Phasen nennt unser Artikel Wie lange dauert die Wiederherstellung nach einem Ransomware-Angriff? Wenn man Sie zur Zahlung drängt, lesen Sie zuerst Sollten Sie nach einem Ransomware-Angriff das Lösegeld zahlen?

Welche nativen Microsoft-365-Tools helfen, und wo enden sie?

Native Tools reichen für einen einzelnen gelöschten Ordner oder eine Handvoll verschlüsselter Dateien, die man schnell bemerkt. Bei großen oder älteren Schäden und bei Schäden mit Administratorrechten helfen sie nicht mehr.

Die ersten fünf Zeilen stammen aus Microsofts Leitfaden zum Ransomware-Schutz in Microsoft 365, der Dokumentation zu Recoverable Items in Exchange und aus OneDrive Files Restore. Die Angaben zu Microsoft 365 Backup stammen aus den häufigen Fragen zu Microsoft 365 Backup, die für diese Workloads ein Recovery Point Objective (RPO) von 10 Minuten nennen.

Microsofts Leitfaden macht auch einen fairen Punkt: Drittanbieter-Tools, die Daten nur an einen anderen Ort kopieren, stellen bei einem Vorfall im gesamten Tenant möglicherweise nicht schnell genug wieder her. Verlassen Sie sich bei der Wiederherstellungsgeschwindigkeit auf kein Anbieterwort, auch nicht auf unseres. Messen Sie eine echte Wiederherstellung.

Was muss ein Microsoft-365-Backup leisten, damit eine Wiederherstellung möglich ist?

Es muss den Angriff überstehen und wiederherstellen, was Sie brauchen, in der Geschwindigkeit, die Sie brauchen. Die Grundsätze für ransomware-resistente Cloud-Backups des britischen National Cyber Security Centre sind ein guter Maßstab.

• Widerstandsfähig gegen zerstörerische Aktionen: Backups lassen sich während ihrer Aufbewahrungsdauer nicht löschen oder verändern, auch nicht von einem Administrator.
• Der Zugriff lässt sich nicht vollständig verweigern: Ein Angreifer, der Ihren Tenant übernimmt, kann Sie nicht von Ihren Backups aussperren.
• Wiederherstellung aus einer unbeschädigten Version: Sie können auf einen Zeitpunkt vor der Infektion zurückgehen, nicht nur auf die letzte Nacht.
• Schlüssel sind geschützt: Verschlüsselungsschlüssel werden so verwaltet, dass Angreifer sie nicht nutzen können.
• Warnungen bei privilegierten Änderungen: Löschungen und Richtlinienänderungen lösen Benachrichtigungen aus.

So deckt sich unser Microsoft-365-Backup damit: Backups von Exchange, OneDrive, SharePoint und Teams sind mit Object Lock unveränderlich und zusätzlich als Air-Gap-Kopie vorhanden, nach der 3-2-1-1-0-Regel. Administrative Aktionen erfordern MFA, die Daten werden bei der Übertragung mit AES-256 verschlüsselt und liegen in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, Backups werden auf Malware gescannt, und jeder Backup-Job wird automatisch geprüft und rund um die Uhr überwacht. Mit der granularen Wiederherstellung holen Sie einen einzelnen Postfachordner oder eine ganze Website zurück. Kritische Workloads stellen wir mit einem SLA von 4 Stunden wieder her.

Wie legen Sie Wiederherstellungsziele für Microsoft 365 fest und testen sie?

Legen Sie für jeden Workload einen RTO (Recovery Time Objective, wie lange Sie ohne die Daten auskommen) und einen RPO (Recovery Point Objective, wie viel aktuelle Arbeit Sie verlieren dürfen) fest. Belegen Sie beides dann mit zeitlich gemessenen Test-Wiederherstellungen.

Testen lohnt sich. In einer Sophos-Studie mit 2.974 Ransomware-Opfern stellten nur 26 % der Organisationen mit kompromittierten Backups innerhalb einer Woche vollständig wieder her, bei intakten Backups waren es 46 %. Testen steht auch im Gesetz: Art. 32 Abs. 1 DSGVO verlangt, dass sich Verfügbarkeit und Zugang zu personenbezogenen Daten rasch wiederherstellen lassen, und ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung dieser Maßnahmen.

Ein praxistauglicher Rhythmus:

• Monatlich: Stellen Sie ein einzelnes Postfach und einen SharePoint-Ordner von vor mindestens 30 Tagen wieder her.
• Vierteljährlich: Stellen Sie einen kompletten Nutzer wieder her (E-Mails, OneDrive, Teams-Dateien) und halten Sie fest, wie lange es dauerte, gemessen an Ihrem RTO.
• Jährlich: Spielen Sie mit der Geschäftsleitung einen Vorfall im gesamten Tenant als Planspiel durch, einschließlich der Frage, wer was entscheidet.

Sie brauchen Hilfe bei den Zahlen? Unser Ratgeber zu RTO und RPO führt Sie durch die Festlegung, und Woran erkennen Sie, ob Ihr Backup wirklich funktioniert? nennt die Kennzahlen, die Sie verfolgen sollten.

Ihre nächsten Schritte

Die Wiederherstellung von Microsoft 365 nach Ransomware entscheidet sich vor dem Angriff. Wenn Ihnen nur Papierkörbe und Versionsverlauf bleiben, können Sie kleine Vorfälle beheben, aber keinen kompromittierten Tenant und keinen Schaden, den Sie erst nach drei Monaten bemerken. Richten Sie ein unabhängiges, unveränderliches Backup ein, schreiben Sie Ihre Wiederherstellungsschritte auf und testen Sie sie.

Wie Microsoft 365 in Ihren umfassenderen Schutz passt, sehen Sie auf unserer Seite Backup as a Service. Oder vereinbaren Sie eine kostenlose 15-minütige Demo und sehen Sie live, wie wir ein Postfach und eine SharePoint-Bibliothek zu einem Zeitpunkt wiederherstellen, den Sie wählen.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.