Die Frage kommt fast immer zu spät. Eine Mitarbeiterin hat ein Postfach aufgeräumt, ein Projektordner in SharePoint ist verschwunden, oder ein Konto war kompromittiert und jemand hat Spuren beseitigt. Dann fällt der Satz: „Das liegt doch in der Cloud, das ist doch gesichert."
Microsoft betreibt die Plattform zuverlässig. Für den Schutz und die Wiederherstellung Ihrer Daten sind Sie selbst verantwortlich. Das ist keine Auslegung, sondern das ausdrückliche Modell, nach dem Microsoft 365 verkauft wird. Dieser Artikel zeigt, wie lange Microsoft Daten wirklich vorhält, in welchen vier Fällen der Papierkorb nicht hilft, und was ein echtes Backup leisten muss.
Inhaltsverzeichnis
Was Microsoft zusichert – und was nicht
Microsoft arbeitet nach einem geteilten Verantwortungsmodell. Vereinfacht gesagt:
- Microsoft verantwortet die Plattform. Rechenzentren, Verfügbarkeit, Ausfallsicherheit der Infrastruktur, Schutz gegen Hardwaredefekte. Wenn ein Server in einem Microsoft-Rechenzentrum ausfällt, ist das Microsofts Problem, nicht Ihres.
- Sie verantworten Ihre Daten. Wer worauf zugreifen darf, was gelöscht wird, wie lange etwas aufbewahrt wird – und die Wiederherstellung, wenn Daten durch menschliches Handeln oder einen Angriff verloren gehen.
Das ist wirtschaftlich nachvollziehbar: Microsoft kann nicht wissen, ob eine gelöschte Datei ein Versehen oder Absicht war. Es hat aber eine unangenehme Konsequenz. Für die häufigsten Ursachen von Datenverlust im Mittelstand – Fehlbedienung, Ransomware, ausgeschiedene Mitarbeitende, interne Sabotage – ist Microsoft ausdrücklich nicht zuständig.
Wie lange Daten tatsächlich vorgehalten werden
Es gibt Aufbewahrungsmechanismen in Microsoft 365 – sie sind nur kürzer und schwächer, als die meisten annehmen. Und sie unterscheiden sich je Dienst:
| Dienst | Standard-Wiederherstellungszeitraum | Was danach passiert |
|---|---|---|
| Exchange Online (E-Mail) | rund 30 Tage | Endgültige Löschung |
| SharePoint Online | rund 93 Tage | Endgültige Löschung |
| OneDrive | rund 93 Tage | Endgültige Löschung |
Teams-Inhalte haben keinen eigenen Papierkorb: Chats und Dateien liegen technisch in Exchange und SharePoint und folgen deren Fristen.
Der kritische Punkt an diesen Zahlen ist nicht ihre Länge, sondern der Vergleich mit der Zeit, die bis zur Entdeckung vergeht. Ein gelöschter Projektordner fällt oft erst auf, wenn das Projekt wieder aufgerufen wird – nach dem Quartalsabschluss, bei der nächsten Prüfung, bei einer Rückfrage vom Kunden. Wenn das mehr als drei Monate später ist, ist der Papierkorb längst leer.
Vier Fälle, in denen Microsoft nicht hilft
- Ransomware, die den Papierkorb mitnimmt. Moderne Angriffe löschen gezielt Wiederherstellungspunkte, bevor sie verschlüsseln. Der Papierkorb ist Teil derselben Umgebung und damit demselben Angreifer zugänglich, wenn er administrative Rechte hat.
- Der Fehler, der zu spät auffällt. Alles, was länger als 30 bzw. 93 Tage unentdeckt bleibt, ist nicht wiederherstellbar. Bei Archivdaten und abgeschlossenen Projekten ist das der Normalfall, nicht die Ausnahme.
- Der ausgeschiedene Mitarbeiter. Wird die Lizenz nach dem Austritt entfernt, geht das Postfach nach Ablauf der Frist verloren – inklusive Korrespondenz, die aufbewahrungspflichtig sein kann. Das ist der Fall, der am häufigsten Nachweisprobleme erzeugt.
- Absichtliches Löschen von innen. Wer legitime Rechte hat, löscht legitim. Für die Plattform ist das kein Vorfall, sondern eine normale Aktion.
Papierkorb oder Backup?
Ein Backup leistet
- Aufbewahrung so lange, wie Sie es festlegen – auch über Jahre
- Speicherung getrennt von der Microsoft-Umgebung
- Wiederherstellung einzelner Elemente ohne Vollrücksicherung
- Unabhängigkeit von den Rechten des Angreifers
- Nachweisbarkeit für Prüfungen und Aufbewahrungspflichten
Der Papierkorb leistet
- Aufbewahrung 30 bis 93 Tage, dann endgültige Löschung
- Speicherung in derselben Umgebung wie die Originaldaten
- Rückholung nur, solange die Frist läuft
- Keinen Schutz, wenn Angreifer administrative Rechte haben
- Keine belastbare Aufbewahrungsdokumentation
Zusammengefasst: Der Papierkorb ist eine Komfortfunktion gegen Versehen. Ein Backup ist eine Rückversicherung gegen Verlust. Das eine ersetzt das andere nicht.
Was ein echtes Microsoft-365-Backup leisten muss
Der bewährte Maßstab ist die 3-2-1-Regel: drei Kopien der Daten, auf zwei unterschiedlichen Medien oder Systemen, davon eine außerhalb der Produktivumgebung. Auf Microsoft 365 übertragen bedeutet das:
- Vollständiger Abdeckungsumfang. Exchange, SharePoint, OneDrive und Teams – nicht nur Postfächer. Teams ist der Bereich, der in Angeboten am häufigsten fehlt.
- Getrennter Speicherort. Ein Backup, das in derselben Microsoft-Umgebung liegt, teilt dessen Risiko. Sinnvoll ist ein separater Speicher, idealerweise mit deutschem oder EU-Standort.
- Unveränderbarkeit. Sicherungen, die für einen definierten Zeitraum nicht gelöscht oder überschrieben werden können, auch nicht von Administratoren. Das ist der wirksamste Einzelschutz gegen Ransomware.
- Granulare Wiederherstellung. Eine einzelne E-Mail, ein einzelner Ordner, ein einzelnes Postfach – ohne dass die ganze Umgebung angefasst wird.
- Getestete Rücksicherung. Der Punkt, an dem es in der Praxis scheitert. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme.
Für den letzten Punkt gibt es keinen technischen Ersatz. Er muss als wiederkehrende Aufgabe terminiert sein – oder im Vertrag mit dem Dienstleister stehen.
Worauf beim Backup zu achten ist
Drei Fragen, die ein Angebot beantworten sollte, bevor über Preise gesprochen wird:
- Wie lange wird aufbewahrt – und wer legt das fest? Aufbewahrungspflichten aus Handels- und Steuerrecht können deutlich über die Standardlaufzeiten hinausgehen. Die Backup-Aufbewahrung sollte daran ausgerichtet sein, nicht am Standardwert des Anbieters.
- Wo liegen die Daten? Für die DSGVO-Bewertung relevant, und bei Kundenfragebögen regelmäßig gefragt.
- Wie lange dauert eine Wiederherstellung – realistisch? Nicht „theoretisch möglich", sondern: Wie lange hat es beim letzten Test gedauert?
Wird Microsoft 365 im Rahmen von Managed IT Services betreut, gehört das Backup üblicherweise zum Leistungsumfang – inklusive Überwachung der Sicherungsläufe. Prüfen Sie in diesem Fall ausdrücklich, ob die Rücksicherungstests mitvereinbart sind.
Checkliste: Backup prüfen
In 15 Minuten klären, wie es tatsächlich steht
Abdeckung
Schutz
Nachweis
Fazit
Microsoft 365 hat kein Backup im eigentlichen Sinn, sondern befristete Wiederherstellungsfenster von rund 30 Tagen für E-Mail und rund 93 Tagen für SharePoint und OneDrive. Gegen Ransomware, spät entdeckte Löschungen, ausgeschiedene Mitarbeitende und absichtliches Löschen von innen schützt das nicht. Wer geschäftskritische Daten in Microsoft 365 hält, braucht eine getrennte, unveränderbare und getestete Sicherung.
Höll richtet Datensicherung für Microsoft 365 für Unternehmen in Karlsruhe, Baden-Baden, Rastatt und Offenburg ein – mit Überwachung der Sicherungsläufe und regelmäßigen Rücksicherungstests.
Häufige Fragen
Hat Microsoft 365 ein Backup?
Nein, nicht im eigentlichen Sinn. Es gibt befristete Wiederherstellungsfenster: rund 30 Tage für Exchange Online und rund 93 Tage für SharePoint und OneDrive. Danach werden Daten endgültig gelöscht.
Wie lange bleiben gelöschte E-Mails in Microsoft 365?
In Exchange Online sind es rund 30 Tage, danach erfolgt die endgültige Löschung. SharePoint und OneDrive halten Daten rund 93 Tage vor.
Schützt der Papierkorb vor Ransomware?
Nein. Der Papierkorb liegt in derselben Umgebung wie die Originaldaten. Angreifer mit administrativen Rechten können Wiederherstellungspunkte gezielt löschen, bevor sie verschlüsseln.
Was passiert mit dem Postfach ausgeschiedener Mitarbeitender?
Wird die Lizenz entfernt, geht das Postfach nach Ablauf der Aufbewahrungsfrist verloren – inklusive Korrespondenz, die aufbewahrungspflichtig sein kann. Das sollte vor dem Austritt geregelt sein.
Ist Teams im Backup enthalten?
Nicht automatisch. Teams-Inhalte liegen technisch in Exchange und SharePoint. In Backup-Angeboten fehlt Teams am häufigsten – es sollte ausdrücklich benannt sein.