Braucht Microsoft 365 ein Backup? Klar erklärt

Ein Mitarbeitender löscht versehentlich einen Projektordner in Teams. Die Änderung wird mit OneDrive und SharePoint synchronisiert, der Papierkorb wird später geleert. Oder ein kompromittiertes Benutzerkonto verschickt nicht nur Phishing-Mails, sondern löscht Nachrichten und Dateien gezielt. Braucht Microsoft 365 ein Backup? Für die meisten Unternehmen lautet die praktische Antwort: ja.

Microsoft 365 ist eine sehr zuverlässige Plattform. Doch Verfügbarkeit ist nicht dasselbe wie eine Wiederherstellungsgarantie für jede einzelne Datei, jedes Postfach und jeden vergangenen Zustand. Wer diesen Unterschied kennt, kann eine passende Entscheidung treffen - ohne unnötig komplizierte IT.

Was Microsoft 365 absichert - und was nicht

Microsoft betreibt die Infrastruktur hinter Exchange Online, OneDrive, SharePoint und Teams. Dazu gehören Rechenzentren, Hardware, Plattformdienste und die Verfügbarkeit der Anwendungen. Fällt ein Server aus, sorgt Microsoft dafür, dass der Dienst weiterläuft. Das ist ein zentraler Vorteil der Cloud.

Für die Daten Ihres Unternehmens gilt aber ein anderes Prinzip: Sie tragen Verantwortung dafür, wer auf Daten zugreift, wie lange sie aufbewahrt werden und ob sie nach einem Fehler wiederhergestellt werden können. Microsoft stellt dafür hilfreiche Funktionen bereit: Papierkörbe, Versionierung, Aufbewahrungsrichtlinien und Schutzmechanismen gegen bestimmte Bedrohungen.

Diese Funktionen sind wertvoll, aber sie sind kein vollständiges, unabhängiges Backup. Ein Papierkorb hat Löschfristen. Versionen können durch viele Änderungen verdrängt werden. Aufbewahrungsrichtlinien müssen korrekt geplant und laufend kontrolliert werden. Und wenn ein Konto mit weitreichenden Berechtigungen kompromittiert wird, können auch Einstellungen oder Sicherungsstände innerhalb desselben Mandanten betroffen sein.

Die einfache Frage lautet deshalb nicht: „Ist Microsoft 365 sicher?“ Natürlich ist es das. Die bessere Frage lautet: „Können wir unsere geschäftskritischen Daten in einem klar definierten Zeitraum und unabhängig vom ursprünglichen Fehlerfall wiederherstellen?“

Braucht Microsoft 365 ein Backup bei kleinen Unternehmen?

Auch ein Betrieb mit zehn oder zwanzig Mitarbeitenden arbeitet heute oft vollständig in Microsoft 365: Angebote und Verträge liegen in SharePoint, persönliche Arbeitsdateien in OneDrive, Kommunikation in Exchange und Teams. Entsprechend gross ist die Auswirkung, wenn Daten fehlen.

Ein separates Backup ist besonders sinnvoll, wenn mindestens eines der folgenden Szenarien auf Ihr Unternehmen zutrifft:

• Sie speichern Kundenunterlagen, Verträge, Buchhaltungsvorbereitungen oder Projektdokumente in Microsoft 365.
• Mehrere Personen bearbeiten Dateien gemeinsam und Fehler werden nicht immer sofort bemerkt.
• E-Mails enthalten auftragsrelevante Kommunikation, Freigaben oder technische Informationen.
• Sie müssen Daten über längere Zeit nachvollziehbar aufbewahren.
• Sie möchten sich gegen Ransomware, Fehlbedienung und kompromittierte Benutzerkonten absichern.

Für ein Unternehmen ohne eigene IT-Abteilung geht es dabei nicht um maximale Technik, sondern um Handlungsfähigkeit. Wenn eine Datei, ein ganzer Ordner oder ein Postfach verloren geht, sollte klar sein, wer den Fall übernimmt, wie lange die Wiederherstellung dauert und welche Datenstände verfügbar sind.

Die Risiken entstehen meist im Arbeitsalltag

Der klassische Serverausfall ist heute nicht mehr das wahrscheinlichste Problem. Häufiger sind menschliche Fehler, falsche Berechtigungen und Angriffe auf Benutzerkonten.

Versehentliches Löschen und Überschreiben

Dateien verschwinden oft nicht spektakulär. Ein Ordner wird falsch verschoben, eine Excel-Datei überschrieben oder ein Team gelöscht, das vermeintlich nicht mehr gebraucht wird. Wird der Fehler erst Wochen später entdeckt, reichen Papierkorb und Versionierung unter Umständen nicht mehr aus.

Ein Backup erlaubt die Wiederherstellung eines älteren, klar definierten Zeitpunkts. Das ist entscheidend, wenn nicht nur eine Datei, sondern eine ganze Struktur betroffen ist.

Ransomware und gestohlene Zugangsdaten

Ransomware betrifft nicht nur lokale Server. Angreifer nutzen Zugangsdaten, übernehmen Sitzungen oder täuschen Mitarbeitende mit gut gemachten Anmeldeseiten. Haben sie Zugriff auf Dateien, können sie diese verschlüsseln, löschen oder mit falschen Inhalten überschreiben.

Mehrstufige Anmeldung, sichere Geräteverwaltung und eingeschränkte Administratorrechte sind die erste Verteidigungslinie. Ein unabhängiges Backup ist die Rückfallebene, falls diese Schutzmassnahmen einmal nicht greifen. Es ersetzt keine IT-Sicherheit, macht einen Vorfall aber beherrschbarer.

Ehemalige Mitarbeitende und falsche Berechtigungen

Wenn Mitarbeitende austreten, müssen Konten, Lizenzen, Weiterleitungen und Datenübergaben sauber geregelt sein. In der Praxis passiert das oft unter Zeitdruck. Wird ein Benutzerkonto gelöscht oder eine Lizenz geändert, können wichtige Inhalte übersehen werden.

Auch zu weit gefasste Freigaben sind ein Risiko. Ein Backup schafft keine Ordnung in Berechtigungen, kann aber verhindern, dass ein Fehler bei der Bereinigung dauerhaft zum Datenverlust wird.

Aufbewahrung ist nicht gleich Wiederherstellung

Viele Unternehmen brauchen Daten aus rechtlichen oder geschäftlichen Gründen über Jahre. Aufbewahrungsrichtlinien in Microsoft 365 können dafür ein gutes Werkzeug sein. Sie beantworten aber eine andere Frage als ein Backup.

Aufbewahrung stellt sicher, dass bestimmte Inhalte nicht vorzeitig verschwinden. Ein Backup soll Daten möglichst einfach und gezielt zurückbringen - etwa ein einzelnes Postfach, einen SharePoint-Ordner oder eine Datei von einem bestimmten Datum. Beides kann nötig sein. Welche Kombination passt, hängt von Ihren Daten, Abläufen und Pflichten ab.

Welche Microsoft-365-Daten gesichert werden sollten

In den meisten KMU stehen vier Bereiche im Vordergrund: Exchange Online für E-Mails und Kalender, OneDrive for Business für persönliche Arbeitsdateien, SharePoint Online für gemeinsame Dokumente und Teams für die Zusammenarbeit.

Bei Teams ist ein genauer Blick sinnvoll. Viele Inhalte liegen technisch in SharePoint, OneDrive oder Exchange. Eine gute Sicherung muss diese Zusammenhänge berücksichtigen, damit nicht nur einzelne Dateien, sondern auch relevante Teamdaten und Gesprächsinhalte nachvollziehbar wiederhergestellt werden können.

Nicht jede Information hat denselben Wert. Temporäre Arbeitsstände brauchen vielleicht keine jahrelange Sicherung. Angebote, Verträge, technische Dokumentationen, Personalunterlagen oder Projektakten dagegen schon. Deshalb sollte ein Backup-Konzept nicht nur fragen, was technisch möglich ist, sondern auch: Welche Daten würden unseren Betrieb morgen wirklich bremsen, wenn sie fehlen?

Worauf es bei einer Backup-Lösung ankommt

Eine Backup-Lösung für Microsoft 365 muss vor allem verständlich und im Ernstfall nutzbar sein. Entscheidend sind regelmässige automatische Sicherungen, nachvollziehbare Aufbewahrungszeiten und die Möglichkeit, einzelne Elemente gezielt wiederherzustellen.

Ebenso wichtig ist die Trennung vom Produktivsystem. Liegt die einzige Kopie im selben Mandanten und unter denselben Berechtigungen, reduziert das den Schutz bei einem umfassenden Sicherheitsvorfall. Wie weit diese Trennung gehen sollte, ist eine Abwägung zwischen Risiko, Aufwand und den Anforderungen Ihres Unternehmens.

Achten Sie auch auf Zuständigkeiten. Ein Backup, das niemand prüft, ist nur eine Annahme. Es sollte festgelegt sein, wer Warnungen erhält, wer Wiederherstellungen anfordern kann und wie regelmässig die Funktion kontrolliert wird. Gerade bei kleineren Betrieben hilft ein fixer Ansprechpartner mehr als ein anonymes Ticketsystem.

Cloudschmiede begleitet solche Konzepte mit der BackupSchmiede: abgestimmt auf die genutzten Microsoft-365-Dienste, mit klaren Zuständigkeiten und ohne die Abläufe unnötig aufzublähen.

Backup allein löst kein Sicherheitsproblem

Ein Backup ist der Sicherheitsgurt, nicht der Motor des Autos. Es hilft nach einem Vorfall, verhindert ihn aber nicht. Deshalb gehört es in ein Gesamtbild aus Mehrfaktor-Authentifizierung, sicheren Administratorzugängen, Geräteverwaltung, E-Mail-Schutz, aktuellen Berechtigungen und Schulung der Mitarbeitenden.

Auch NIS2-relevante Unternehmen sollten das beachten. Die konkrete Betroffenheit und die daraus entstehenden Pflichten müssen individuell geprüft werden. Unabhängig davon erwartet eine verantwortungsvolle Geschäftsführung, dass Risiken erkannt, Schutzmassnahmen umgesetzt und Wiederanlaufprozesse dokumentiert sind. Ein getestetes Backup ist dabei ein nachvollziehbarer Baustein.

Der Wiederherstellungstest entscheidet

Die beste Sicherung ist nicht die mit dem längsten Datenblatt, sondern die, die im Ernstfall funktioniert. Testen Sie daher zumindest in sinnvollen Abständen eine Wiederherstellung: eine E-Mail, eine Datei, einen Ordner oder ein gelöschtes Benutzerkonto. Dabei zeigt sich auch, ob die Verantwortlichkeiten klar sind und ob die gewählte Aufbewahrungszeit zu Ihren Abläufen passt.

Wenn Sie Microsoft 365 als zentralen Arbeitsplatz nutzen, sollte die Frage nicht sein, ob ein Datenverlust theoretisch passieren kann. Er kann passieren - meist durch einen kleinen Fehler zur ungünstigen Zeit. Entscheidend ist, ob Ihr Unternehmen dann ruhig weiterarbeiten kann.