Sichert Microsoft 365 meine Daten?

Was schützt Microsoft in Microsoft 365 eigentlich?

Microsoft schützt die Plattform: Rechenzentren, Hardware, Netzwerk und die Verfügbarkeit von Exchange Online, SharePoint, OneDrive und Teams. Ihre Daten, und wer sie ändern oder löschen darf, bleiben bei Ihnen.

Diese Aufteilung heißt Modell der geteilten Verantwortung. Die Microsoft-Seite Shared responsibility in the cloud nennt vier Dinge, die immer bei Ihnen bleiben, egal welcher Diensttyp: Ihre Daten, Ihre Endgeräte, Ihre Konten und Ihre Zugriffsverwaltung. Bei einem SaaS-Dienst wie Microsoft 365 übernimmt Microsoft das Betriebssystem, die physischen Hosts, das Netzwerk und das Rechenzentrum. Die Verantwortung für Ihre Inhalte übernimmt es nicht.

Wenn ein Nutzer einen Ordner löscht, ein Administrator das falsche Konto entfernt oder Ransomware eine SharePoint-Bibliothek verschlüsselt, führen die Microsoft-Systeme diese Änderungen korrekt aus. Der Dienst bleibt verfügbar, und genau das verspricht Microsoft. Die Wiederherstellung der Daten ist eine eigene Aufgabe, und dafür gibt es Backup as a Service. Das vollständige Modell behandeln wir in unserem Ratgeber zum Modell der geteilten Verantwortung bei Microsoft 365.

Replikation ist kein Backup

Microsoft repliziert Daten über mehrere Rechenzentren, damit ein Hardwareausfall Ihr Postfach nicht lahmlegt. Die Replikation kopiert jede Änderung, auch Löschungen und Verschlüsselung. Sie schützt die Verfügbarkeit, nicht Ihre Möglichkeit, zu einem sauberen Zeitpunkt zurückzukehren.

Wie lange bewahrt Microsoft 365 gelöschte Daten auf?

Bei den meisten Elementen zwischen 14 und 93 Tagen, je nach Workload und Einstellungen. Danach werden die Daten endgültig gelöscht, sofern Sie keine Aufbewahrungsrichtlinien oder kein unabhängiges Backup eingerichtet haben.

Microsoft bewahrt außerdem SharePoint-Backups 14 Tage über das 93-Tage-Fenster hinaus auf. Laut derselben Support-Seite kann der Microsoft Support damit ganze Websitesammlungen wiederherstellen, einzelne Dateien aber nicht. Das hilft nach einem großen Versehen. Es hilft nicht, wenn Sie erst nach drei Monaten merken, dass ein einzelner Vertragsordner fehlt.

Aufbewahrungsrichtlinien in Microsoft Purview können Inhalte jahrelang halten. Sie sind jedoch für Compliance-Anforderungen und eDiscovery gedacht, nicht für schnelle, gezielte Wiederherstellungen einer laufenden Umgebung.

Schützt Microsoft 365 vor Ransomware?

Teilweise. Microsoft blockt viel Malware und Phishing, und per Versionierung lassen sich manche verschlüsselte Dateien zurückrollen. Gelangt ein Angreifer aber in ein Konto, sehen seine Aktionen aus wie die des Nutzers. Die integrierten Wiederherstellungsfunktionen liegen im selben Mandanten, auf den er dann Zugriff hat.

Die Bedrohung betrifft Organisationen jeder Größe. Laut dem Verizon 2026 Data Breach Investigations Report, zusammengefasst von Help Net Security, war Ransomware an 48 % der untersuchten Datenpannen beteiligt, nach 44 % im Vorjahr. Der Microsoft Digital Defense Report 2025 stellte fest, dass mindestens 52 % der Angriffe mit bekanntem Motiv auf Erpressung oder Ransomware zurückgingen und dass mehr als 97 % der Identitätsangriffe Passwortangriffe sind.

Angreifer nehmen auch die Wiederherstellungsoptionen ins Visier. In einer Sophos-Umfrage unter 2.974 von Ransomware betroffenen Organisationen gaben 94 % an, die Kriminellen hätten versucht, ihre Backups zu kompromittieren, und 57 % dieser Versuche waren erfolgreich. Organisationen mit kompromittierten Backups meldeten im Median achtmal höhere Wiederherstellungskosten.

Microsofts eigene Anleitung zum Ransomware-Schutz in Microsoft 365 nennt, was Sie nativ nutzen können: standardmäßig 500 Dateiversionen, einen 93-Tage-Papierkorb, Files Restore für die letzten 30 Tage und die Wiederherstellung einzelner Elemente (Single Item Recovery) in Exchange. Das ist nützlich. Alles hängt aber davon ab, dass jemand rechtzeitig etwas bemerkt und der Angreifer keine Administratorrechte hat, um die Daten zu löschen. Mehr dazu in unserem Artikel zur Wiederherstellung von Microsoft 365 nach einem Ransomware-Angriff.

Reicht Microsoft 365 Backup allein aus?

Microsoft 365 Backup, die kostenpflichtige Erweiterung von Microsoft, ist eine echte Verbesserung gegenüber Papierkörben. Es bleibt aber ein Microsoft-Dienst, der aus Ihrem Microsoft-365-Mandanten verwaltet wird. Ob das reicht, hängt davon ab, wie viel Unabhängigkeit Ihre Risikobewertung und Ihre Prüfer verlangen.

Laut dem Microsoft 365 Backup FAQ von Microsoft schützt es Exchange Online, OneDrive und SharePoint, bewahrt Backups ein Jahr lang auf und bietet für diese Workloads ein Recovery Point Objective von 10 Minuten. (Das Recovery Point Objective, kurz RPO, gibt an, wie viel Ihrer jüngsten Arbeit Sie verlieren könnten.) Teams führt das FAQ nicht als eigenen Workload auf.

Microsoft empfiehlt in seiner Ransomware-Anleitung selbst, Microsoft 365 Backup oder eine Partnerlösung zu prüfen. Die entscheidende Frage ist einfach: Wenn Ihr Mandant oder Ihr Global-Admin-Konto heute Nacht kompromittiert würde, wäre Ihr Backup dann noch außer Reichweite des Angreifers?

Welche Microsoft-365-Daten sollten Sie selbst sichern?

Alle vier Kern-Workloads: Exchange Online, OneDrive, SharePoint und Teams. Am häufigsten fehlt einer davon, meist Teams oder SharePoint.

• Exchange Online: Postfächer, Kalender und Kontakte. E-Mails sind oft Ihr Nachweis für Absprachen und Entscheidungen.
• OneDrive: die Arbeitsdateien jedes Nutzers, auch Dateien, die nur im synchronisierten Ordner eines einzigen Laptops existierten.
• SharePoint: Teamwebsites und Dokumentbibliotheken, in denen meist Projekt- und Kundendateien liegen.
• Teams: Kanalunterhaltungen und die dort geteilten Dateien, die in SharePoint und Exchange gespeichert sind.

Achten Sie besonders auf Mitarbeitende, die das Unternehmen verlassen. Wenn Sie einen Nutzer löschen, beginnt für sein Postfach und sein OneDrive ein Countdown, wie die Tabelle oben zeigt. Mit einem Backup, das vor dem Löschen entstanden ist, können Sie die Dateien eines ehemaligen Kollegen auch ein Jahr später noch wiederherstellen.

Unser Microsoft-365-Backup sichert Exchange, OneDrive, SharePoint und Teams. Die Backups liegen in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, sind per Object Lock unveränderlich und zusätzlich als Air-Gap-Kopie abgelegt, also als Kopie ohne Verbindung zu Ihrem Netzwerk. Jeder Backup-Job wird automatisch geprüft. Wenn Sie unsicher sind, wo Synchronisierung endet und Backup beginnt, lesen Sie Cloud-Speicher oder Cloud-Backup.

Wie prüfen Sie den Schutz Ihrer Microsoft-365-Daten?

Gehen Sie fünf Punkte durch. Nach einem Nachmittag wissen Sie, ob Sie ein gelöschtes Postfach, eine SharePoint-Bibliothek oder einen kompletten Benutzer von vor zwei Monaten wiederherstellen können.

1. Workloads auflisten. Welche Dienste aus Exchange, OneDrive, SharePoint und Teams nutzen Sie, und in welchen liegen geschäftliche Unterlagen?
2. Aktuelle Fristen prüfen. Schauen Sie nach, wie lange Exchange gelöschte Elemente aufbewahrt und ob Purview-Aufbewahrungsrichtlinien gelten. Notieren Sie, was nach 30 und nach 93 Tagen passiert.
3. Unabhängigkeit bestätigen. Gibt es ein Backup außerhalb Ihres Mandanten, mit eigenen Zugangsdaten und Multi-Faktor-Authentifizierung (MFA) für administrative Aktionen?
4. Ziele festlegen. Legen Sie fest, wie viele Daten Sie verlieren dürfen (RPO) und wie schnell Sie sie zurückbrauchen (RTO). Unsere Erklärung zu RTO und RPO hilft bei der Wahl.
5. Wiederherstellung testen. Stellen Sie ein Postfach und einen SharePoint-Ordner von vor mindestens 60 Tagen wieder her und messen Sie die Zeit. Unser Ratgeber Woran erkennen Sie, ob Ihr Backup wirklich funktioniert? zeigt, was Sie messen sollten.

Ihre nächsten Schritte

Microsoft 365 sichert Ihre Daten nicht so, dass sie einen Ransomware-Angriff, Fehler von Administratoren oder ein gelöschtes Konto länger als wenige Wochen überstehen. Betrachten Sie die Papierkörbe als Komfortfunktion und stellen Sie ein unabhängiges, unveränderliches und getestetes Backup daneben.

Wenn Sie unter NIS2 fallen, ist das auch eine rechtliche Frage. Art. 21 Abs. 2 lit. c der NIS2-Richtlinie (EU) 2022/2555 nennt unter den vorgeschriebenen Maßnahmen die Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie das Krisenmanagement. Wie das in Ihr Gesamtkonzept passt, sehen Sie auf unserer Seite Backup as a Service.

Möchten Sie sehen, wie ein gelöschtes Postfach und eine SharePoint-Bibliothek aus einem EU-Rechenzentrum wiederhergestellt werden? Vereinbaren Sie eine kostenlose 15-minütige Demo. Sie sprechen mit einem Menschen, auf Deutsch, Niederländisch oder Englisch.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.