Was ist das Modell der geteilten Verantwortung bei Microsoft 365?

Was sagt das Modell der geteilten Verantwortung?

Microsoft ist für die Cloud verantwortlich. Sie sind verantwortlich für das, was Sie darin ablegen, und dafür, wer darauf zugreifen kann. Microsoft veröffentlicht diese Aufteilung für alle Cloud-Dienste, auch für Microsoft 365.

Laut der Microsoft-Seite zur geteilten Verantwortung in der Cloud „behalten Sie“ unabhängig vom Bereitstellungsmodell „immer“ die Verantwortung für Ihre Daten (einschließlich Datenschutz), Ihre Endgeräte, Ihre Konten und Ihre Zugriffsverwaltung. Bei einem SaaS-Dienst wie Microsoft 365 übernimmt Microsoft das physische Rechenzentrum, das physische Netzwerk, die physischen Hosts, das Betriebssystem und die Netzwerkkontrollen. Anwendungen und Client-Geräte teilen sich beide Seiten.

Für Organisationen, die unter NIS2 fallen, ist das wichtig: Die Richtlinie verlangt, dass Sie die Risiken auf Ihrer Seite steuern, nicht die von Microsoft. Alle Pflichten stellen wir auf unserer Seite zu NIS2 Compliance dar. Dieser Artikel konzentriert sich darauf, was das Modell für Ihre Microsoft-365-Daten bedeutet.

Wer ist in Microsoft 365 wofür verantwortlich?

Microsoft gehören die Infrastruktur und die Verfügbarkeit des Dienstes. Ihnen gehören Konfiguration, Identitäten, Daten und Wiederherstellung.

Die Tabelle folgt der von Microsoft veröffentlichten Aufteilung. Der Ransomware-Leitfaden für Microsoft 365 beschreibt es ähnlich: Er trennt „Kontrollen auf Tenant-Ebene“, also „die Personen in Ihrer Organisation sowie die Infrastruktur und Dienste, die Ihrer Organisation gehören und von ihr kontrolliert werden“, von den Kontrollen auf Dienstebene bei Microsoft. Nachzulesen in Ransomware protection in Microsoft 365.

Schützt die Replikation von Microsoft nicht meine Daten?

Sie schützt den Dienst vor Hardwareausfall, aber nicht Ihre Daten vor Änderungen. Replikation kopiert Löschungen, Überschreibungen und Verschlüsselung auf jede Replik.

Die Dokumentation zur Azure-Storage-Redundanz von Microsoft sagt es direkt: „Löschungen und Überschreibungen werden gleichzeitig auf alle Kopien angewendet. Redundanz schützt vor Hardwareausfällen, nicht vor datenverändernden Vorgängen.“ Sogar das Microsoft Services Agreement, das Verbraucherdienste regelt und nicht geschäftliche Tenants, rät den Nutzern: „Wir empfehlen, dass Sie Ihre Inhalte und Daten, die Sie auf den Diensten speichern, regelmäßig sichern.“

Native Papierkörbe und der Versionsverlauf sind nützlich, aber kurzlebig. Löschen Sie zum Beispiel einen Benutzer, haben Sie laut Microsofts eigener Administrationsdokumentation 30 Tage Zeit, das Konto wiederherzustellen. Danach liegt das OneDrive einer ausgeschiedenen Person 93 Tage im Papierkorb und wird dann endgültig gelöscht. Die vollständige Liste der nativen Fristen finden Sie unter Sichert Microsoft 365 meine Daten?

Wie passt das Modell der geteilten Verantwortung zu NIS2 und DSGVO?

Beide Regelwerke legen die Pflicht auf Sie, nicht auf Ihren Cloud-Anbieter. Wer Microsoft 365 nutzt, gibt seine NIS2- und DSGVO-Pflichten nicht an Microsoft ab. Microsoft wird zu einem der Lieferanten, deren Risiken Sie steuern.

Die NIS2-Angaben beziehen sich auf die Richtlinie (EU) 2022/2555, die DSGVO-Angaben auf die Verordnung (EU) 2016/679. In Deutschland gilt das NIS2UmsuCG seit dem 6. Dezember 2025, wie das BSI mitteilte. Zum Vergleich ein niederländisches Beispiel: In den Niederlanden gelten die NIS2-Regeln über das Cyberbeveiligingswet, seit dem 15. August 2026 in Kraft, laut der niederländischen Regierung. Die zehn Maßnahmen nach Artikel 21 haben wir separat aufgeschlüsselt.

Was geht schief, wenn das Modell falsch verstanden wird?

Daten verschwinden durch Handlungen, die harmlos aussehen und die Microsofts Plattform genau wie angewiesen ausführt. Der Dienst bleibt verfügbar, während die Daten verloren gehen.

• Aufräumen nach Austritten: Ein Konto wird gelöscht, die Aufbewahrungsfristen laufen ab, und Verträge oder Korrespondenz gehen mit verloren.
• Massenfehler: Ein Synchronisierungstool, ein Skript oder eine geänderte Aufbewahrungsrichtlinie löscht oder überschreibt viele Dateien auf einmal.
• Interne Täter: Eine Person, die das Unternehmen verlässt, leert ein Postfach oder eine SharePoint-Bibliothek.
• Kompromittierte Konten: Ein Angreifer mit gültigen Zugangsdaten verschlüsselt synchronisierte Dateien oder löscht mit Administratorrechten Daten und verkürzt die Aufbewahrung.

Der letzte Punkt nimmt zu. Laut Microsoft Digital Defense Report 2025 stiegen identitätsbasierte Angriffe im ersten Halbjahr 2025 um 32 %, und mindestens 52 % der Angriffe mit bekanntem Motiv gingen auf Erpressung oder Ransomware zurück. Derselbe Bericht sagt, MFA könne über 99 % der identitätsbasierten Angriffe blockieren. Deshalb liegt die Zugriffsverwaltung auf Ihrer Seite der Grenze.

Wie decken Sie Ihre Seite des Modells ab?

Sechs Schritte decken das meiste ab. Jeder liefert einen Nachweis, den Sie Prüfern oder Versicherern vorlegen können.

1. Erfassen Sie Ihre Daten. Listen Sie auf, was in Exchange, OneDrive, SharePoint und Teams liegt und welche Unterlagen Sie wie lange aufbewahren müssen.
2. Sichern Sie Identitäten ab. Erzwingen Sie MFA für alle, begrenzen Sie die Zahl der globalen Administratoren und prüfen Sie Administratorrollen regelmäßig.
3. Sichern Sie unabhängig. Halten Sie eine Kopie außerhalb Ihres Tenants vor, mit getrennten Zugangsdaten. Unser Microsoft-365-Backup deckt Exchange, OneDrive, SharePoint und Teams ab, speichert die Daten unveränderlich in eigenen Rechenzentren in Deutschland und den Niederlanden und verlangt MFA für administrative Aktionen.
4. Regeln Sie den Austrittsprozess. Stellen Sie sicher, dass ein Backup existiert, bevor ein Konto gelöscht wird.
5. Bewerten Sie Lieferanten. Behandeln Sie Microsoft und Ihren Backup-Anbieter als Teil Ihrer Lieferkette. Unser Ratgeber zur Sicherheit der Lieferkette nach NIS2 erklärt, wie.
6. Testen und dokumentieren Sie. Führen Sie mindestens vierteljährlich Testwiederherstellungen durch und bewahren Sie die Ergebnisse auf.

Dieselbe Aufteilung gilt in der Public Cloud. Wenn Sie auch Workloads in AWS oder Google Cloud betreiben, lesen Sie warum AWS-Daten noch kein Backup sind und das Modell der geteilten Verantwortung bei Google Cloud.

Ihre nächsten Schritte

Das Modell der geteilten Verantwortung ist keine Grauzone: Microsoft hält Microsoft 365 am Laufen, Ihre Daten, Identitäten und die Wiederherstellung verantworten und belegen Sie selbst. Unter NIS2 und DSGVO gehört dieser Nachweis zur Erfüllung Ihrer Pflichten, er ist kein optionales Extra.

Beginnen Sie mit einem klaren Bild Ihrer Lücken. Lesen Sie auf unserer Seite zu NIS2 Compliance, wie das zu den übrigen Pflichten passt, oder fordern Sie bei uns eine kostenlose Analyse an für Ihre Backup- und Wiederherstellungskonfiguration von Microsoft 365.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.