---
title: "Microsoft-365-Backup — was KMU selbst sichern müssen"
description_de: "Gelöschte Mails, Ransomware in SharePoint — warum Microsoft 365 zusätzliches Backup braucht."
description_en: "Deleted mail, SharePoint ransomware — why Microsoft 365 needs additional backup."
url: /wissen/microsoft-365/m365-backup
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Brauchen Unternehmen Backup für Microsoft 365?"
---
# Microsoft-365-Backup — was KMU selbst sichern müssen
[Microsoft 365](/wissen/microsoft-365) sichert Rechenzentren und Plattform — nicht Ihre Verantwortung, Mandanten- und Geschäftsdaten über Monate hinweg unabhängig wiederherzustellen; dafür brauchen KMU eigenes [Backup](/wissen/glossar/backup) und getestete Restore-Prozesse.
## Shared Responsibility verstehen
Ausfall eines Microsoft-Rechenzentrums ist deren Problem — gelöschtes Postfach, sync-überschriebene Datei oder verschlüsselte SharePoint-Bibliothek ist Ihres.
Microsoft nennt das Modell klar: Betriebssystem, Physik, Hypervisor — Microsoft; Identitätskonfiguration, Datenklassifikation, Backup-Strategie — Kunde. Marketing „in der Cloud gesichert“ bedeutet nicht „jede Version Ihrer Akte für immer abrufbar“.
Retention Policies und Litigation Hold dienen Compliance und eDiscovery — sie ersetzen keine schnelle Point-in-Time-Wiederherstellung nach [Ransomware](/wissen/glossar/ransomware). Angreifer mit Admin-Rechten können Retention umgehen oder Daten verschlüsseln, bevor Schutz greift.
Bußgelder und Mandantenverlust wiegen schwerer als monatliche Backup-Lizenz pro Nutzer — besonders bei Steuerberatern und Maklern.
Microsoft [SLA](/wissen/glossar/sla) garantiert Verfügbarkeit der Dienste — nicht Wiederherstellung Ihrer gelöschten Version von gestern. Verwechseln Sie Uptime mit Datenschutz.
Versicherungen und Audits fragen zunehmend nach Nachweis unabhängiger [Backups](/wissen/glossar/backup) — Screenshot grüner Jobs reicht selten, Protokoll Restore-Test schon.
Backup-Anbieter wechseln ist aufwendiger als Lizenz wechseln — deshalb vor Vertrag Export, Immutability und EU-Standort schriftlich klären. Ein günstiger Anbieter ohne Restore-Übung spart Monatsgebühr, nicht Ausfallkosten.
## Was gesichert werden sollte
Exchange, [OneDrive](/wissen/glossar/onedrive), [SharePoint](/wissen/glossar/sharepoint), [Teams](/wissen/glossar/teams) — priorisiert nach Geschäftskritikalität und regulärer Speicherung.
Exchange: Shared Mailboxes mit Mandantenverkehr zuerst. Kalender und Kontakte mitdenken — oft unterschätzt.
[OneDrive](/wissen/glossar/onedrive): nicht alles, aber definierte kritische Ordner oder komplettes Konto je nach Rolle. [SharePoint](/wissen/glossar/sharepoint) Sites nach Liste — Mandantenakte vor Marketing-Assets.
Teams-Chats und Channel-Files, wenn dort Entscheidungen und Verträge landen — Backup-Anbieter unterscheiden sich im Umfang.
Backup-Ziel: separater Cloud-Tenant oder Anbieter mit Object Lock / Immutability — gleicher Admin wie Produktion vermeiden.
Planner, To Do, Forms — prüfen ob business-kritisch; viele Backup-SKUs ignorieren sie. Entscheidung dokumentieren.
Hybrid-Nutzer mit lokalem PST-Archiv: PST gehört nicht ins Backup-Ziel [M365](/wissen/microsoft-365) allein — separat sichern oder ins Tenant migrieren.
Backup-Umfang schriftlich festlegen: welche Postfächer, welche Sites, welche [Teams](/wissen/glossar/teams) — nicht „alles irgendwie“. Sonst entdecken Sie Lücken erst beim Restore-Versuch.
## Native Fristen vs. echte Backup-Lösung
Papierkorb und kurze Retention reichen für Tippfehler — nicht für böswillige Löschung oder lang zurückliegende Wiederherstellung.
Exchange Online: gelöschte Items begrenzte Zeit, Mailbox soft delete länger — komplex und nicht Ersatz für tägliche unabhängige Snapshots. [OneDrive](/wissen/glossar/onedrive)/[SharePoint](/wissen/glossar/sharepoint) Papierkorb 93 Tage — danach weg ohne Zusatzbackup.
Drittanbieter (Veeam, Acronis, AvePoint, Hornetsecurity u. a.) bieten granular Restore, Cross-Tenant-Option, längere Historie. EU-Rechenzentrum und AV-Vertrag prüfen.
Export per eDiscovery oder PowerShell für Winzige ohne Budget — manuell, fehleranfällig, besser als nichts.
Litigation Hold verhindert Löschung — erschwert aber normale Datenhygiene. Hold nur wo rechtlich nötig.
Version History in [SharePoint](/wissen/glossar/sharepoint) 500 Versionen default — kein Ersatz für separates [Backup](/wissen/glossar/backup) bei [Ransomware](/wissen/glossar/ransomware), das Versionen überschreibt.
## Restore-Tests und [RTO](/wissen/glossar/rto)
Monatlich eine Mail und eine Datei zurückspielen — ohne Test ist [RTO](/wissen/glossar/rto) eine Schätzung.
Dokumentieren: Wer darf Restore anfordern? Wie lange dauerte letzter Test? GF-Unterschrift jährlich auf Backup-Bericht.
[RTO](/wissen/glossar/rto) für Buchhaltungs-SharePoint vs. Marketing-OneDrive unterschiedlich — Backup-Frequenz daran ausrichten.
Integration in [IT-Notfallplan](/wissen/glossar/it-notfallplan): bei [Ransomware](/wissen/glossar/ransomware) nicht sofort alles überschreiben — isolieren, Backup-Integrität prüfen, sauberer Restore.
it-security-expert und vergleichbare Partner überwachen Backup-Jobs und melden Fehler, bevor Sie es merken.
Restore-Übung: bewusst Testdatei löschen, aus [Backup](/wissen/glossar/backup) zurück — Dauer stoppen, Engpässe notieren. Gleiches für Mail in Quarantäne-Simulation.
Kommunikationsplan wenn Restore Stunden dauert — Mandanten informieren, nicht schweigen.
## Kosten, [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) und Betrieb
[Backup](/wissen/glossar/backup) pro Nutzer oft unter einem Kaffee pro Tag — Ausfalltag und Bußgeld nicht.
Preismodelle: pro geschütztem Nutzer vs. pro GB — bei wenigen Heavy Usern rechnen. Speicherwachstum in [SharePoint](/wissen/glossar/sharepoint) einplanen.
AV-Vertrag und Unterauftragsverarbeiterkette dokumentieren. Speicherort EU/DE wenn gefordert.
Backup-Admin-Konto getrennt, [MFA](/wissen/glossar/mfa), keine Alltagsnutzung. Gleiche Regeln wie für Produktions-Admins.
[Backup](/wissen/glossar/backup) ist Teil der Backup-Strategie im IT-Betrieb-Cluster — [3-2-1](/wissen/glossar/321-regel) mit unabhängiger Kopie außerhalb [Microsoft 365](/wissen/microsoft-365).
Kündigung Backup-Vertrag: Export-Möglichkeit prüfen — Vendor-Lock vermeiden. Aufbewahrung exportierter Archive verschlüsselt lagern.
Monitoring: tägliche Job-Mails ignorieren nicht — drei rote Tage bedeuten Lücke. Eskalation an GF wenn [Backup](/wissen/glossar/backup) länger rot.
Backup-Register neben Server und NAS führen — Zeile [Microsoft 365](/wissen/microsoft-365) mit Anbieter, Frequenz, letzter Test. Bei Prüfung keine Diskussion, ob Cloud „mitgedacht“ wurde.
## [Ransomware](/wissen/glossar/ransomware) und Insider-Szenarien
Verschlüsselte SharePoint-Bibliothek oder wütender Ex-Mitarbeiter mit Admin — [Backup](/wissen/glossar/backup) muss unabhängig und unveränderlich sein.
Angriff erkennen: massenhaft umbenannte Dateien, Sync-Fehler, Admin-Alerts. Sofort: Sessions killen, Netz isolieren, nicht blind restore.
Immutable [Backup](/wissen/glossar/backup) verhindert, dass [Ransomware](/wissen/glossar/ransomware) auch [Backup](/wissen/glossar/backup) überschreibt — Object Lock AWS/Azure oder Anbieter-Feature.
Insider-Löschung: Audit Log wer hat wann geleert — [Backup](/wissen/glossar/backup) älterer Punkt restore, rechtliche Schritte parallel.
Playbook eine Seite: Kontakte, Reihenfolge, it-security-expert Hotline — vor Incident ausdrucken.
## Anbieter auswählen und Vertrag
Backup-Anbieter vergleichen: Abdeckung, EU-Standort, Immutability, Restore-Granularität, Preis pro geschütztem Nutzer.
Checkliste: Exchange, [OneDrive](/wissen/glossar/onedrive), [SharePoint](/wissen/glossar/sharepoint), [Teams](/wissen/glossar/teams) — ja/nein. Point-in-time Restore wie weit zurück? Self-Service oder nur Partner-Restore?
AV-Vertrag und Unterauftragsverarbeiter-Liste anfordern — DSGVO-Pflicht. Speicherort Deutschland/EU schriftlich.
Testphase: 14 Tage [Backup](/wissen/glossar/backup) laufen lassen, dann Pflicht-Restore — Anbieter, der Restore verweigert oder verzögert, raus.
Vertragliche [SLA](/wissen/glossar/sla) auf Job-Fehler-Benachrichtigung — nicht nur Marketing-Uptime. Kündigungsfrist und Datenexport bei Wechsel klären.
it-security-expert integriert Backup-Monitoring in Betreuung — ein Ansprechpartner für Tenant und Backup-Jobs reduziert Lücken.
## [Backup](/wissen/glossar/backup) in die Gesamtstrategie einhängen
M365-Backup ergänzt lokale Server, NAS und Branchensoftware — ein Register zeigt, was wo geschützt ist.
Register führen: System, Backup-Methode, Frequenz, letzter Test, Verantwortlicher. Exchange/[SharePoint](/wissen/glossar/sharepoint)/[onedrive](/wissen/glossar/onedrive) explizit Zeile — nicht unter „Cloud“ verstecken.
[RPO](/wissen/glossar/rpo) für Mail kürzer als für Marketing-Site — Backup-Jobs unterschiedlich schedulen. [sharepoint](/wissen/glossar/sharepoint) Mandantenakte täglich, interne Vorlagen wöchentlich.
Restore-Priorität im [IT-Notfallplan](/wissen/glossar/it-notfallplan): zuerst Mail und Buchhaltungs-Site, dann Rest. GF kennt Reihenfolge — keine Debatte im Stress.
Pen-Test oder Audit: Backup-Restore live vorführen — stärker als Policy-PDF. Protokoll archivieren.
Kosten kommunizieren: pro Nutzer und Monat vs. ein Tag Ausfall — audience-kmu versteht Business-Sprache besser als Terabyte.
microsoft-365 ohne [Backup](/wissen/glossar/backup) ist wie Tresor ohne zweiten Schlüssel — Plattform sicher, Daten trotzdem vergänglich. it-security-expert schließt die Lücke mit Anbieterwahl, Monitoring und Test.
## Retention vs. [Backup](/wissen/glossar/backup) — nicht verwechseln
Retention hält Daten für Compliance fest — [Backup](/wissen/glossar/backup) erlaubt schnellen Rollback auf gestern; beide Konzepte ergänzen sich in audience-kmu.
Retention Label „7 Jahre Steuer“ auf SharePoint-Bibliothek — verhindert Löschen, ersetzt nicht unabhängige Kopie bei [Ransomware](/wissen/glossar/ransomware).
Legal Hold auf Postfach — eDiscovery, nicht Alltags-Restore. Anwalt sagt Hold — IT setzt um, [Backup](/wissen/glossar/backup) läuft parallel weiter.
Kurze Retention für Marketing-OneDrive — [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) Löschpflicht. Lange Retention für Mandantenakte — rechtliche Pflicht, Backup-Frequenz täglich.
Konflikt: Nutzer will löschen, Retention blockiert — Prozess Datenschutz vs. Aufbewahrung vorab klären. Dokumentation Entscheidung.
Microsoft Purview Features wachsen — prüfen ob Labels in Ihrer SKU enthalten. Nicht jedes KMU braucht Purview Day eins.
[sharepoint](/wissen/glossar/sharepoint) Version + externes [Backup](/wissen/glossar/backup) + sinnvolle Retention = drei Schichten. [onedrive](/wissen/glossar/onedrive) persönliche Daten kürzer aufbewahren als Team-Sites.
## Restore-Szenarien durchspielen
Drei Übungen reichen: gelöschte Mail, überschriebene Excel in [SharePoint](/wissen/glossar/sharepoint), gelöschter OneDrive-Ordner — dokumentierte Dauer pro Szenario.
Szenario A: Nutzer löscht Mail versehentlich — Wiederherstellung aus [Backup](/wissen/glossar/backup) vs. eDiscovery/Papierkorb, Dauer notieren.
Szenario B: [Ransomware](/wissen/glossar/ransomware) simuliert durch Testordner-Verschlüsselung — Restore ganzer Bibliothek aus immutable [Backup](/wissen/glossar/backup).
Szenario C: Ausgeschiedener Mitarbeiter — OneDrive-Inhalt an Manager, dann Löschfrist. [Backup](/wissen/glossar/backup) muss Übergabezeit abdecken.
Ergebnisse an GF — Investition in [Backup](/wissen/glossar/backup) wird greifbar. Fehlende Schritte im Runbook nachziehen.
it-security-expert moderiert Übung halbjährlich — intern lernt wer Restore anfordert, ohne im Ernstfall zu suchen.
Backup-Budget neben microsoft-365-Lizenz einplanen — typisch deutlich weniger pro Nutzer als ein Tag Ausfall ohne Mail und Akten.
## Compliance-Nachweise für Prüfer
Wiederherstellbarkeit zeigen, nicht nur behaupten — Backup-Report, Restore-Protokoll und Verantwortlichkeiten aufbereiten.
Jährlicher Restore-Bericht: Datum, Szenario, Dauer, Ergebnis, Name Durchführende. GF-Kenntnisnahme.
AV-Vertrag Backup-Anbieter in Verarbeitungsverzeichnis verlinken. Speicherort EU dokumentieren.
Aufbewahrungsfrist Backup-Daten vs. DSGVO-Löschung — Löschkonzept schriftlich, Widersprüche auflösen.
Bei Prüfung durch Mandanten: anonymisiertes Restore-Beispiel zeigen — Vertrauen ohne Interna preiszugeben.
Verknüpfung backup-strategie Artikel IT-Betrieb — microsoft-365 ist ein Teil, nicht die ganze Strategie.
Aufbewahrungsfristen und Backup-Retention abstimmen: Mandantenakte sieben Jahre halten heißt nicht automatisch sieben Jahre tägliche Snapshots — aber Restore-Punkte müssen zu Ihren RPO-Vorgaben passen.
## Häufige Einwände aus der Geschäftsführung
„Microsoft sichert doch alles“ und „[Backup](/wissen/glossar/backup) ist zu teuer“ — sachliche Antworten mit Zahlen und Szenarien.
Shared Responsibility einseitig ausdrucken — Microsoft-Seite plus Ihre Pflichtzeile markieren.
Ein Tag ohne E-Mail und Akten: Umsatzschätzung vs. Jahresbackup — Rechnung auf einer Seite.
Konkurrenzfall anonym aus Branche — Mandantenwechsel nach Datenverlust teurer als Prävention.
Pilot-Backup 30 Tage — danach Restore-Showcase in GF-Runde. Entscheidung faktenbasiert.
Ohne Restore-Übung wissen Sie weder [RTO](/wissen/glossar/rto) noch wer anrufen muss — beides gehört ins IT-Notfallplan-Dokument neben [Ransomware](/wissen/glossar/ransomware) und Ausfall des Mailservers.
## Technische Mindestanforderungen an Backup-Software
Granularität, Speicherort und Wiederherstellungsgeschwindigkeit — Checkliste vor Anbieterwahl.
Einzel-Item-Restore Mail und Datei ohne Full-Tenant-Restore — Pflicht für Alltagsfälle.
Point-in-time mindestens 30 Tage, besser 365 für Mandantenarchive — [RPO](/wissen/glossar/rpo)/[RTO](/wissen/glossar/rto) aus [IT-Notfallplan](/wissen/glossar/it-notfallplan).
Separate Admin-Credentials für Backup-Console — [MFA](/wissen/glossar/mfa), kein SSO mit Produktiv-Admin.
API-Limits Microsoft Graph berücksichtigen — große Tenants brauchen Anbieter mit Throttling-Erfahrung.
Restore in isolierte Umgebung testen — nicht produktiv überschreiben ohne Validierung.
Backup-Kosten in IT-Jahresbudget fest einplanen — wie Lizenzen, nicht „nice to have“. audience-kmu mit Mandantendaten hat keine Ausrede für fehlende Kopie.
## Zusammenfassung für Entscheider
Drei Sätze für die Geschäftsführung: Microsoft sichert die Plattform, nicht Ihre Datenhistorie; [Backup](/wissen/glossar/backup) ist Pflicht; Restore muss geübt sein.
Ohne unabhängiges [Backup](/wissen/glossar/backup) riskieren Sie Mandantenakten, Mail und Teams-Inhalte — Papierkorb reicht nicht.
Kosten pro Nutzer und Monat sind planbar — ein Ausfalltag ist es nicht.
it-security-expert richtet [Backup](/wissen/glossar/backup) ein, überwacht Jobs und führt Restore-Tests mit Ihnen durch — Sie behalten die Freigabe, nicht die Technikdetails.
Nächster Schritt: Anbieter shortlist, Pilot, Restore-Showcase — dann rollout für Exchange, [onedrive](/wissen/glossar/onedrive) und [sharepoint](/wissen/glossar/sharepoint).
Wer heute [Backup](/wissen/glossar/backup) aufschiebt, zahlt morgen in Stressstunden und Mandantenvertrauen — microsoft-365 ohne Kopie ist keine vollständige Cloud-Strategie.
Verbinden Sie [Backup](/wissen/glossar/backup) mit dem [IT-Notfallplan](/wissen/glossar/it-notfallplan) und der Backup-Strategie im IT-Betrieb-Cluster — dann ist microsoft-365 Teil eines Gesamtbilds, nicht Insellösung.
Starten Sie diese Woche mit Anbieter-Recherche — nicht nach dem ersten Datenverlust.
it-security-expert unterstützt bei Auswahl, Einrichtung und laufendem Monitoring — Sie behalten die Entscheidungshoheit über jeden einzelnen Schritt.
[Backup](/wissen/glossar/backup) ist keine Luxusversicherung, sondern Betriebsvoraussetzung sobald Mandantenakten und Verträge in Exchange, [SharePoint](/wissen/glossar/sharepoint) oder [Teams](/wissen/glossar/teams) liegen. Wer heute mit Pilot und Restore-Showcase startet, vermeidet die teuerste Backup-Diskussion — die im laufenden Incident.
[Microsoft 365](/wissen/microsoft-365) [Backup](/wissen/glossar/backup) schließt die Lücke zwischen Papierkorb und [Business Continuity](/wissen/glossar/business-continuity) — wer sie offen lässt, hat produktive Cloud und trotzdem kein Netz unter den Daten.
Nächster konkreter Schritt: drei Anbieter vergleichen, 30-Tage-Pilot, Restore einer Test-Mail und einer Test-Datei — dann Entscheidung mit GF. Alles andere ist Aufschieben.
Exchange-Postfach ohne [Backup](/wissen/glossar/backup) ist für viele KMU das größte Einzelrisiko — dort beginnt die Priorisierung, bevor Teams-Chats und Planner nachziehen.
Restore-Test protokollieren und ablegen — Versicherung, Mandantenfragebogen und interne GF-Runde verlangen denselben Nachweis: nicht ob [Backup](/wissen/glossar/backup) existiert, sondern ob es funktioniert.
Ohne Test wissen Sie im Ernstfall nicht, ob Sie Stunden oder Tage brauchen — beides ist planbar, wenn Sie es vorher üben.