Microsoft-365-Backup — was KMU selbst sichern müssen

Shared Responsibility verstehen

Microsoft nennt das Modell klar: Betriebssystem, Physik, Hypervisor — Microsoft; Identitätskonfiguration, Datenklassifikation, Backup-Strategie — Kunde. Marketing „in der Cloud gesichert“ bedeutet nicht „jede Version Ihrer Akte für immer abrufbar“.

Retention Policies und Litigation Hold dienen Compliance und eDiscovery — sie ersetzen keine schnelle Point-in-Time-Wiederherstellung nach Ransomware. Angreifer mit Admin-Rechten können Retention umgehen oder Daten verschlüsseln, bevor Schutz greift.

Bußgelder und Mandantenverlust wiegen schwerer als monatliche Backup-Lizenz pro Nutzer — besonders bei Steuerberatern und Maklern.

Microsoft SLA garantiert Verfügbarkeit der Dienste — nicht Wiederherstellung Ihrer gelöschten Version von gestern. Verwechseln Sie Uptime mit Datenschutz.

Versicherungen und Audits fragen zunehmend nach Nachweis unabhängiger Backups — Screenshot grüner Jobs reicht selten, Protokoll Restore-Test schon.

Backup-Anbieter wechseln ist aufwendiger als Lizenz wechseln — deshalb vor Vertrag Export, Immutability und EU-Standort schriftlich klären. Ein günstiger Anbieter ohne Restore-Übung spart Monatsgebühr, nicht Ausfallkosten.

Was gesichert werden sollte

Exchange: Shared Mailboxes mit Mandantenverkehr zuerst. Kalender und Kontakte mitdenken — oft unterschätzt.

OneDrive: nicht alles, aber definierte kritische Ordner oder komplettes Konto je nach Rolle. SharePoint Sites nach Liste — Mandantenakte vor Marketing-Assets.

Teams-Chats und Channel-Files, wenn dort Entscheidungen und Verträge landen — Backup-Anbieter unterscheiden sich im Umfang.

Backup-Ziel: separater Cloud-Tenant oder Anbieter mit Object Lock / Immutability — gleicher Admin wie Produktion vermeiden.

Planner, To Do, Forms — prüfen ob business-kritisch; viele Backup-SKUs ignorieren sie. Entscheidung dokumentieren.

Hybrid-Nutzer mit lokalem PST-Archiv: PST gehört nicht ins Backup-Ziel M365 allein — separat sichern oder ins Tenant migrieren.

Backup-Umfang schriftlich festlegen: welche Postfächer, welche Sites, welche Teams — nicht „alles irgendwie“. Sonst entdecken Sie Lücken erst beim Restore-Versuch.

Native Fristen vs. echte Backup-Lösung

Exchange Online: gelöschte Items begrenzte Zeit, Mailbox soft delete länger — komplex und nicht Ersatz für tägliche unabhängige Snapshots. OneDrive/SharePoint Papierkorb 93 Tage — danach weg ohne Zusatzbackup.

Drittanbieter (Veeam, Acronis, AvePoint, Hornetsecurity u. a.) bieten granular Restore, Cross-Tenant-Option, längere Historie. EU-Rechenzentrum und AV-Vertrag prüfen.

Export per eDiscovery oder PowerShell für Winzige ohne Budget — manuell, fehleranfällig, besser als nichts.

Litigation Hold verhindert Löschung — erschwert aber normale Datenhygiene. Hold nur wo rechtlich nötig.

Version History in SharePoint 500 Versionen default — kein Ersatz für separates Backup bei Ransomware, das Versionen überschreibt.

Restore-Tests und RTO

Dokumentieren: Wer darf Restore anfordern? Wie lange dauerte letzter Test? GF-Unterschrift jährlich auf Backup-Bericht.

RTO für Buchhaltungs-SharePoint vs. Marketing-OneDrive unterschiedlich — Backup-Frequenz daran ausrichten.

Integration in IT-Notfallplan: bei Ransomware nicht sofort alles überschreiben — isolieren, Backup-Integrität prüfen, sauberer Restore.

it-security-expert und vergleichbare Partner überwachen Backup-Jobs und melden Fehler, bevor Sie es merken.

Restore-Übung: bewusst Testdatei löschen, aus Backup zurück — Dauer stoppen, Engpässe notieren. Gleiches für Mail in Quarantäne-Simulation.

Kommunikationsplan wenn Restore Stunden dauert — Mandanten informieren, nicht schweigen.

Kosten, DSGVO und Betrieb

Preismodelle: pro geschütztem Nutzer vs. pro GB — bei wenigen Heavy Usern rechnen. Speicherwachstum in SharePoint einplanen.

AV-Vertrag und Unterauftragsverarbeiterkette dokumentieren. Speicherort EU/DE wenn gefordert.

Backup-Admin-Konto getrennt, MFA, keine Alltagsnutzung. Gleiche Regeln wie für Produktions-Admins.

Backup ist Teil der Backup-Strategie im IT-Betrieb-Cluster — 3-2-1 mit unabhängiger Kopie außerhalb Microsoft 365.

Kündigung Backup-Vertrag: Export-Möglichkeit prüfen — Vendor-Lock vermeiden. Aufbewahrung exportierter Archive verschlüsselt lagern.

Monitoring: tägliche Job-Mails ignorieren nicht — drei rote Tage bedeuten Lücke. Eskalation an GF wenn Backup länger rot.

Backup-Register neben Server und NAS führen — Zeile Microsoft 365 mit Anbieter, Frequenz, letzter Test. Bei Prüfung keine Diskussion, ob Cloud „mitgedacht“ wurde.

Ransomware und Insider-Szenarien

Angriff erkennen: massenhaft umbenannte Dateien, Sync-Fehler, Admin-Alerts. Sofort: Sessions killen, Netz isolieren, nicht blind restore.

Immutable Backup verhindert, dass Ransomware auch Backup überschreibt — Object Lock AWS/Azure oder Anbieter-Feature.

Insider-Löschung: Audit Log wer hat wann geleert — Backup älterer Punkt restore, rechtliche Schritte parallel.

Playbook eine Seite: Kontakte, Reihenfolge, it-security-expert Hotline — vor Incident ausdrucken.

Anbieter auswählen und Vertrag

Checkliste: Exchange, OneDrive, SharePoint, Teams — ja/nein. Point-in-time Restore wie weit zurück? Self-Service oder nur Partner-Restore?

AV-Vertrag und Unterauftragsverarbeiter-Liste anfordern — DSGVO-Pflicht. Speicherort Deutschland/EU schriftlich.

Testphase: 14 Tage Backup laufen lassen, dann Pflicht-Restore — Anbieter, der Restore verweigert oder verzögert, raus.

Vertragliche SLA auf Job-Fehler-Benachrichtigung — nicht nur Marketing-Uptime. Kündigungsfrist und Datenexport bei Wechsel klären.

it-security-expert integriert Backup-Monitoring in Betreuung — ein Ansprechpartner für Tenant und Backup-Jobs reduziert Lücken.

Backup in die Gesamtstrategie einhängen

Register führen: System, Backup-Methode, Frequenz, letzter Test, Verantwortlicher. Exchange/SharePoint/onedrive explizit Zeile — nicht unter „Cloud“ verstecken.

RPO für Mail kürzer als für Marketing-Site — Backup-Jobs unterschiedlich schedulen. sharepoint Mandantenakte täglich, interne Vorlagen wöchentlich.

Restore-Priorität im IT-Notfallplan: zuerst Mail und Buchhaltungs-Site, dann Rest. GF kennt Reihenfolge — keine Debatte im Stress.

Pen-Test oder Audit: Backup-Restore live vorführen — stärker als Policy-PDF. Protokoll archivieren.

Kosten kommunizieren: pro Nutzer und Monat vs. ein Tag Ausfall — audience-kmu versteht Business-Sprache besser als Terabyte.

microsoft-365 ohne Backup ist wie Tresor ohne zweiten Schlüssel — Plattform sicher, Daten trotzdem vergänglich. it-security-expert schließt die Lücke mit Anbieterwahl, Monitoring und Test.

Retention vs. Backup — nicht verwechseln

Retention Label „7 Jahre Steuer“ auf SharePoint-Bibliothek — verhindert Löschen, ersetzt nicht unabhängige Kopie bei Ransomware.

Legal Hold auf Postfach — eDiscovery, nicht Alltags-Restore. Anwalt sagt Hold — IT setzt um, Backup läuft parallel weiter.

Kurze Retention für Marketing-OneDrive — DSGVO Löschpflicht. Lange Retention für Mandantenakte — rechtliche Pflicht, Backup-Frequenz täglich.

Konflikt: Nutzer will löschen, Retention blockiert — Prozess Datenschutz vs. Aufbewahrung vorab klären. Dokumentation Entscheidung.

Microsoft Purview Features wachsen — prüfen ob Labels in Ihrer SKU enthalten. Nicht jedes KMU braucht Purview Day eins.

sharepoint Version + externes Backup + sinnvolle Retention = drei Schichten. onedrive persönliche Daten kürzer aufbewahren als Team-Sites.

Restore-Szenarien durchspielen

Szenario A: Nutzer löscht Mail versehentlich — Wiederherstellung aus Backup vs. eDiscovery/Papierkorb, Dauer notieren.

Szenario B: Ransomware simuliert durch Testordner-Verschlüsselung — Restore ganzer Bibliothek aus immutable Backup.

Szenario C: Ausgeschiedener Mitarbeiter — OneDrive-Inhalt an Manager, dann Löschfrist. Backup muss Übergabezeit abdecken.

Ergebnisse an GF — Investition in Backup wird greifbar. Fehlende Schritte im Runbook nachziehen.

it-security-expert moderiert Übung halbjährlich — intern lernt wer Restore anfordert, ohne im Ernstfall zu suchen.

Backup-Budget neben microsoft-365-Lizenz einplanen — typisch deutlich weniger pro Nutzer als ein Tag Ausfall ohne Mail und Akten.

Compliance-Nachweise für Prüfer

Jährlicher Restore-Bericht: Datum, Szenario, Dauer, Ergebnis, Name Durchführende. GF-Kenntnisnahme.

AV-Vertrag Backup-Anbieter in Verarbeitungsverzeichnis verlinken. Speicherort EU dokumentieren.

Aufbewahrungsfrist Backup-Daten vs. DSGVO-Löschung — Löschkonzept schriftlich, Widersprüche auflösen.

Bei Prüfung durch Mandanten: anonymisiertes Restore-Beispiel zeigen — Vertrauen ohne Interna preiszugeben.

Verknüpfung backup-strategie Artikel IT-Betrieb — microsoft-365 ist ein Teil, nicht die ganze Strategie.

Aufbewahrungsfristen und Backup-Retention abstimmen: Mandantenakte sieben Jahre halten heißt nicht automatisch sieben Jahre tägliche Snapshots — aber Restore-Punkte müssen zu Ihren RPO-Vorgaben passen.

Häufige Einwände aus der Geschäftsführung

Shared Responsibility einseitig ausdrucken — Microsoft-Seite plus Ihre Pflichtzeile markieren.

Ein Tag ohne E-Mail und Akten: Umsatzschätzung vs. Jahresbackup — Rechnung auf einer Seite.

Konkurrenzfall anonym aus Branche — Mandantenwechsel nach Datenverlust teurer als Prävention.

Pilot-Backup 30 Tage — danach Restore-Showcase in GF-Runde. Entscheidung faktenbasiert.

Ohne Restore-Übung wissen Sie weder RTO noch wer anrufen muss — beides gehört ins IT-Notfallplan-Dokument neben Ransomware und Ausfall des Mailservers.

Technische Mindestanforderungen an Backup-Software

Einzel-Item-Restore Mail und Datei ohne Full-Tenant-Restore — Pflicht für Alltagsfälle.

Point-in-time mindestens 30 Tage, besser 365 für Mandantenarchive — RPO/RTO aus IT-Notfallplan.

Separate Admin-Credentials für Backup-Console — MFA, kein SSO mit Produktiv-Admin.

API-Limits Microsoft Graph berücksichtigen — große Tenants brauchen Anbieter mit Throttling-Erfahrung.

Restore in isolierte Umgebung testen — nicht produktiv überschreiben ohne Validierung.

Backup-Kosten in IT-Jahresbudget fest einplanen — wie Lizenzen, nicht „nice to have“. audience-kmu mit Mandantendaten hat keine Ausrede für fehlende Kopie.

Zusammenfassung für Entscheider

Ohne unabhängiges Backup riskieren Sie Mandantenakten, Mail und Teams-Inhalte — Papierkorb reicht nicht.

Kosten pro Nutzer und Monat sind planbar — ein Ausfalltag ist es nicht.

it-security-expert richtet Backup ein, überwacht Jobs und führt Restore-Tests mit Ihnen durch — Sie behalten die Freigabe, nicht die Technikdetails.

Nächster Schritt: Anbieter shortlist, Pilot, Restore-Showcase — dann rollout für Exchange, onedrive und sharepoint.

Wer heute Backup aufschiebt, zahlt morgen in Stressstunden und Mandantenvertrauen — microsoft-365 ohne Kopie ist keine vollständige Cloud-Strategie.

Verbinden Sie Backup mit dem IT-Notfallplan und der Backup-Strategie im IT-Betrieb-Cluster — dann ist microsoft-365 Teil eines Gesamtbilds, nicht Insellösung.

Starten Sie diese Woche mit Anbieter-Recherche — nicht nach dem ersten Datenverlust.

it-security-expert unterstützt bei Auswahl, Einrichtung und laufendem Monitoring — Sie behalten die Entscheidungshoheit über jeden einzelnen Schritt.

Backup ist keine Luxusversicherung, sondern Betriebsvoraussetzung sobald Mandantenakten und Verträge in Exchange, SharePoint oder Teams liegen. Wer heute mit Pilot und Restore-Showcase startet, vermeidet die teuerste Backup-Diskussion — die im laufenden Incident.

Microsoft 365 Backup schließt die Lücke zwischen Papierkorb und Business Continuity — wer sie offen lässt, hat produktive Cloud und trotzdem kein Netz unter den Daten.

Nächster konkreter Schritt: drei Anbieter vergleichen, 30-Tage-Pilot, Restore einer Test-Mail und einer Test-Datei — dann Entscheidung mit GF. Alles andere ist Aufschieben.

Exchange-Postfach ohne Backup ist für viele KMU das größte Einzelrisiko — dort beginnt die Priorisierung, bevor Teams-Chats und Planner nachziehen.

Restore-Test protokollieren und ablegen — Versicherung, Mandantenfragebogen und interne GF-Runde verlangen denselben Nachweis: nicht ob Backup existiert, sondern ob es funktioniert.

Ohne Test wissen Sie im Ernstfall nicht, ob Sie Stunden oder Tage brauchen — beides ist planbar, wenn Sie es vorher üben.