M365 Backup bewerten: Was wirklich zählt

Ein ausgeschiedenes Teammitglied löscht kurz vor dem Austritt einen Teams-Ordner. Eine Rechnung geht durch eine falsch gesetzte Regel im Exchange-Postfach verloren. Oder Ransomware verschlüsselt Dateien, die sich über OneDrive mit allen Geräten synchronisieren. Genau dann zeigt sich, ob Sie Ihr M365 Backup bewerten haben - oder nur davon ausgehen, dass Microsoft schon alles absichert.

Microsoft 365 ist für viele Betriebe der Ort, an dem täglich gearbeitet wird: E-Mails, Angebote, Verträge, Teams-Chats und Projektdaten liegen dort. Der Verlust einzelner Daten kann bereits unangenehm sein. Fehlen ganze Ordnerstrukturen, Postfächer oder wichtige Kommunikation, wird daraus rasch ein betrieblicher Schaden. Ein Backup ist deshalb keine Lizenzfrage, sondern eine Entscheidung über Handlungsfähigkeit.

Was Microsoft 365 absichert - und was nicht

Microsoft betreibt die Plattform zuverlässig und schützt sie vor Infrastrukturproblemen. Das ist ein wesentlicher Teil der Leistung. Verfügbarkeit ist aber nicht dasselbe wie eine unabhängige Datensicherung.

Wenn ein Benutzer eine Datei löscht, eine fehlerhafte Synchronisierung stattfindet oder ein Angreifer Zugang zu einem Konto erhält, bleibt die Ursache im eigenen Microsoft-365-Mandanten. Papierkorb- und Aufbewahrungsfunktionen können in vielen Fällen helfen. Sie ersetzen jedoch kein Backup mit klar definierten Wiederherstellungspunkten, eigenen Aufbewahrungsfristen und einer planbaren Rücksicherung.

Besonders kritisch wird es, wenn Löschfristen ablaufen oder sich ein Fehler erst spät bemerkbar macht. Wer nach mehreren Monaten feststellt, dass Vertragsunterlagen in einer SharePoint-Bibliothek fehlen, braucht mehr als einen Papierkorb. Er braucht eine Sicherung, die für diesen Zeitraum tatsächlich verfügbar ist.

M365 Backup bewerten: Die sechs entscheidenden Fragen

Eine sinnvolle Bewertung beginnt nicht bei einem Produktnamen. Sie beginnt bei Ihren Daten, Ihren Abläufen und den Folgen eines Ausfalls. Diese sechs Fragen bringen schnell Klarheit.

1. Welche Daten müssen wirklich wiederherstellbar sein?

Schreiben Sie nicht einfach „alles“ auf. Das ist verständlich, aber wenig hilfreich. Klären Sie stattdessen, welche Bereiche für den Betrieb unverzichtbar sind: Exchange-Postfächer, OneDrive-Dateien, SharePoint-Dokumente, Teams-Inhalte und möglicherweise Planner-Daten oder weitere Microsoft-365-Dienste.

Für ein kleines Unternehmen sind oft Postfächer und gemeinsame Projektordner geschäftskritisch. In anderen Betrieben sind Teams-Chats relevant, weil dort Absprachen zu Aufträgen, Terminen und Entscheidungen dokumentiert werden. Entscheidend ist nicht, was technisch vorhanden ist, sondern was Sie im Ernstfall benötigen.

2. Wie schnell müssen Daten zurück sein?

Nicht jeder Datenverlust verlangt dieselbe Reaktion. Eine einzelne gelöschte E-Mail sollte innerhalb weniger Minuten auffindbar sein. Bei einem verlorenen Projektordner kann es wichtiger sein, die vollständige Struktur sauber wiederherzustellen, auch wenn das etwas länger dauert.

Definieren Sie daher realistische Erwartungen. Muss ein Mitarbeiter sofort weiterarbeiten können? Reicht die Wiederherstellung bis zum nächsten Arbeitstag? Oder würde ein Ausfall von zwei Tagen zu Verzögerungen, Vertragsrisiken oder Umsatzverlust führen? Diese Antwort bestimmt, wie Backup, Zuständigkeiten und Wiederherstellungsprozess gestaltet werden müssen.

3. Wie lange sollen Sicherungen aufbewahrt werden?

Die Aufbewahrungsdauer sollte zu Ihren Geschäfts- und Compliance-Anforderungen passen. Manche Daten brauchen Sie nur für einen begrenzten Zeitraum. Andere Unterlagen müssen aus steuerlichen, vertraglichen oder organisatorischen Gründen deutlich länger verfügbar bleiben.

Dabei gilt: Eine lange Aufbewahrung ist nicht automatisch besser. Sie erhöht Datenmenge, Verwaltungsaufwand und gegebenenfalls Anforderungen an Datenschutz und Löschkonzepte. Sinnvoll ist eine nachvollziehbare Regel: Welche Daten werden wie lange gesichert, wer darf darauf zugreifen und wann werden Sicherungen endgültig gelöscht?

4. Können Sie einzelne Elemente gezielt wiederherstellen?

Ein gutes M365-Backup muss nicht immer ein ganzes Postfach oder eine komplette SharePoint-Site zurückspielen. Im Alltag geht es häufig um eine einzelne Nachricht, eine Datei oder einen Ordner.

Prüfen Sie deshalb, ob eine granulare Wiederherstellung möglich ist. Ebenso wichtig ist, wohin Daten zurückgespielt werden: an den ursprünglichen Ort, in einen separaten Bereich zur Kontrolle oder als Download für eine manuelle Prüfung. Gerade bei überschriebenen Dateien oder unklaren Löschvorgängen verhindert eine kontrollierte Wiederherstellung neue Probleme.

5. Ist das Backup vom produktiven Mandanten unabhängig?

Ein Backup erfüllt seinen Zweck nur, wenn es nicht vom selben Fehler betroffen ist wie die Produktivdaten. Wird ein Konto kompromittiert, darf ein Angreifer nicht einfach auch die Sicherungen löschen können. Wird eine falsche Berechtigung gesetzt, sollte sie nicht automatisch den Zugriff auf alle Sicherungen ermöglichen.

Achten Sie auf getrennte Administrationsrechte, Mehrfaktor-Authentifizierung und ein nachvollziehbares Berechtigungskonzept. Das ist kein technisches Detail. Es entscheidet darüber, ob eine Wiederherstellung nach einem Sicherheitsvorfall überhaupt noch möglich ist.

6. Wurde die Wiederherstellung schon getestet?

Ein grüner Status im Backup-Bericht ist gut, aber kein Beweis. Er zeigt, dass ein Sicherungslauf durchgeführt wurde. Ob die benötigte Datei vollständig, lesbar und am richtigen Ort wiederhergestellt werden kann, zeigt erst ein Test.

Für kleine und mittlere Unternehmen genügt meist ein pragmatischer Ansatz: In festen Abständen wird beispielhaft eine E-Mail, eine Datei und ein Ordner wiederhergestellt. Das Ergebnis wird kurz dokumentiert. So erkennen Sie frühzeitig falsche Erwartungen, fehlende Datenbereiche oder unklare Zuständigkeiten.

Aufbewahrung ist nicht Backup

Microsoft 365 bietet Funktionen für Aufbewahrung, eDiscovery und rechtssichere Archivierung. Diese Funktionen sind wertvoll, haben aber einen anderen Zweck als ein Backup. Aufbewahrung soll Daten nach festgelegten Regeln erhalten oder vor Veränderungen schützen. Ein Backup soll Daten nach Verlust, Beschädigung oder Fehlbedienung wiederherstellen.

In manchen Fällen ergänzen sich beide Ansätze. Ein Unternehmen kann etwa E-Mails aus Compliance-Gründen aufbewahren und dennoch ein Backup nutzen, um eine versehentlich gelöschte Struktur schnell zurückzuholen. Wer beides gleichsetzt, riskiert Lücken bei Wiederherstellung, Zugriff oder Aufbewahrungsdauer.

Die Verantwortung muss im Ernstfall klar sein

Bei einem Datenverlust zählt nicht nur die Technik. Es muss klar sein, wer entscheidet, wer die Wiederherstellung auslöst und wer den Erfolg kontrolliert. Wenn mehrere externe Anbieter beteiligt sind oder niemand den Microsoft-365-Mandanten vollständig kennt, gehen im Ernstfall wertvolle Stunden verloren.

Für Betriebe ohne eigenes IT-Team ist ein betreuter Backup-Service oft sinnvoller als ein Tool, das nach der Einrichtung niemand mehr überprüft. Wichtig sind dabei feste Zuständigkeiten, verständliche Berichte und ein Ansprechpartner, der Ihre Umgebung kennt. Bei Cloudschmiede ist genau das der Gedanke hinter BackupSchmiede: Sicherung, Kontrolle und Wiederherstellung gehören zusammen, nicht in drei verschiedene Zuständigkeiten.

Auch die Kostenfrage sollte ehrlich betrachtet werden. Ein Backup verursacht laufenden Aufwand. Kein Backup verlagert das Risiko jedoch in den Moment, in dem Daten fehlen und Entscheidungen unter Druck getroffen werden. Die passende Lösung ist nicht zwingend die mit den meisten Funktionen, sondern die, die Ihre kritischen Daten abdeckt und im Ernstfall verlässlich bedienbar bleibt.

Ein praxistauglicher Start für KMU

Beginnen Sie mit einer kurzen Bestandsaufnahme: Welche Microsoft-365-Dienste nutzen Sie tatsächlich? Welche Daten wären bei Verlust am folgenreichsten? Wie lange dürfen sie fehlen? Danach prüfen Sie Ihre bestehenden Einstellungen, Lizenzfunktionen und Sicherungen gegen diese Anforderungen.

Halten Sie die Ergebnisse auf einer Seite fest. Dazu gehören die gesicherten Bereiche, Aufbewahrungsfristen, verantwortlichen Personen, der Ablauf für einen Wiederherstellungsauftrag und der Termin für den nächsten Test. Dieses Dokument muss nicht kompliziert sein. Es muss im Stressfall brauchbar sein.

Ein gutes M365-Backup fällt im Alltag kaum auf. Seine Qualität zeigt sich nicht in einer langen Funktionsliste, sondern darin, dass Ihr Betrieb nach einem Fehler, einem Angriff oder einer versehentlichen Löschung weiterarbeiten kann.