Microsoft 365 ist zuverlässig. Aber zuverlässig bedeutet nicht automatisch: Ihre Daten sind in jeder Situation sicher wiederherstellbar. Genau hier liegt eines der größten Missverständnisse in vielen Unternehmen.
Viele kleine und mittelständische Unternehmen arbeiten heute fast vollständig mit Microsoft 365. E-Mails laufen über Exchange Online. Dateien liegen in OneDrive oder SharePoint. Teams ist zur Schaltzentrale für Abstimmung, Dokumente und Kommunikation geworden. Kalender, Kontakte, Angebote, Rechnungsentwürfe, Projektunterlagen, Kundendaten und interne Vorlagen liegen häufig nicht mehr auf dem klassischen Server im Büro, sondern in der Microsoft-Cloud.
Das ist grundsätzlich eine gute Entwicklung. Richtig eingerichtet kann Microsoft 365 den Arbeitsalltag deutlich einfacher, flexibler und sicherer machen. Mitarbeiter können von verschiedenen Standorten arbeiten, Daten sind zentral verfügbar und gemeinsame Dokumentenbearbeitung funktioniert besser als früher.
Aber aus genau dieser Stärke entsteht auch ein Risiko: Wenn Microsoft 365 zum zentralen Arbeitsraum eines Unternehmens wird, dann wird die Frage nach der Datensicherung plötzlich geschäftskritisch.
„Microsoft sichert das doch“ – ein gefährlicher Halbsatz
Diesen Satz hört man in der Praxis häufig: „Unsere Daten liegen doch bei Microsoft. Die werden das schon sichern.“ Der Gedanke ist verständlich. Microsoft betreibt große Rechenzentren, arbeitet mit hoher technischer Redundanz, investiert massiv in Sicherheit und Verfügbarkeit. Das ist nicht der Punkt.
Der Denkfehler liegt woanders. Microsoft sorgt vor allem dafür, dass die Plattform funktioniert, verfügbar bleibt und gegen viele infrastrukturelle Ausfälle abgesichert ist. Das heißt aber nicht automatisch, dass jedes Unternehmen seine eigenen Daten in jeder denkbaren Situation exakt so zurückbekommt, wie es sie braucht.
Wenn ein Mitarbeiter versehentlich einen wichtigen Ordner löscht, ist das kein Ausfall von Microsoft. Wenn jemand durch einen kompromittierten Zugang Daten verändert oder löscht, ist das kein Defekt im Rechenzentrum. Wenn eine Datei überschrieben wird, weil jemand mit falschen Berechtigungen gearbeitet hat, ist das kein Microsoft-Problem.
Man muss sauber unterscheiden zwischen der Verfügbarkeit der Plattform und der Wiederherstellbarkeit der eigenen Unternehmensdaten.
Papierkorb ist kein Backup
Microsoft 365 bietet verschiedene Schutzmechanismen: Papierkörbe, Versionierung, Aufbewahrungsrichtlinien, Wiederherstellungsoptionen und je nach Lizenz weitere Sicherheits- und Compliance-Funktionen. Diese Funktionen sind wertvoll. Aber sie ersetzen kein durchdachtes Backup-Konzept.
Ein Papierkorb hilft, wenn ein Fehler schnell bemerkt wird. Versionierung hilft, wenn eine Datei überschrieben wurde und man zeitnah auf einen älteren Stand zurückgehen möchte. Aufbewahrungsrichtlinien helfen, Inhalte für bestimmte Zeiträume vorzuhalten oder regelkonform zu verwalten.
Ein gutes Backup muss mehr leisten. Es beantwortet nicht nur die Frage, ob irgendwo noch eine alte Version vorhanden ist. Es beantwortet vor allem diese Fragen:
- Können wir gezielt ein bestimmtes Postfach wiederherstellen?
- Können wir einen SharePoint-Bereich auf einen sauberen Stand zurücksetzen?
- Können wir Daten auch nach längerer Zeit noch wiederfinden?
- Können wir nach einem Angriff schnell genug weiterarbeiten?
- Sind die Sicherungen gegen Manipulation geschützt?
- Gibt es eine klare Zuständigkeit, wer im Ernstfall was tut?
- Wurde eine Wiederherstellung wirklich getestet?
Die typischen Risiken in Microsoft 365
Die meisten Datenverluste entstehen nicht durch den großen Totalausfall. Sie entstehen durch Alltag, Nachlässigkeit, falsche Rechte oder kompromittierte Zugänge.
Ein Mitarbeiter löscht beim Aufräumen einen Ordner in SharePoint. Erst Wochen später fällt auf, dass dort Vorlagen, Projektstände oder Kundendokumente lagen. Ein Benutzerkonto wird durch Phishing übernommen. Der Angreifer greift auf E-Mails zu, leitet Nachrichten weiter oder löscht Inhalte. Ein Mitarbeiter verlässt das Unternehmen. Das Konto wird entfernt, aber niemand hat geprüft, welche OneDrive-Daten noch gebraucht werden.
Gerade bei kompromittierten Microsoft-365-Konten sollten Unternehmen neben dem Backup auch die Sofortmaßnahmen nach einer geöffneten Phishing-Mail kennen, damit Sitzungen, Weiterleitungen und betroffene Datenbereiche schnell geprüft werden.
Auch mehrfach überschriebene Dateien, gelöschte Teams, unklare Aufbewahrungsregeln oder falsch gesetzte Berechtigungen sind keine exotischen Szenarien. Das ist normaler Unternehmensalltag. Genau deshalb reicht es nicht, sich auf Hoffnung zu verlassen.
Microsoft 365 ist kein Selbstläufer
Viele Unternehmen haben Microsoft 365 Schritt für Schritt eingeführt. Erst E-Mail, dann Teams, dann OneDrive, dann SharePoint. Irgendwann war die Cloud einfach da. Sie wurde genutzt, erweitert, angepasst – aber selten sauber dokumentiert.
Das Ergebnis ist oft eine gewachsene Struktur: ein SharePoint für die Geschäftsleitung, Teams für Projekte, private OneDrive-Ablagen, freigegebene Links, externe Gäste, alte Benutzer, Gruppenberechtigungen, ehemalige Mitarbeiterkonten und historische Ordnerstrukturen.
Solange alles läuft, fällt das kaum auf. Aber im Störfall zählt nicht, ob irgendwo etwas gespeichert ist. Dann zählt, ob man weiß, wo die wichtigen Daten liegen, wer Zugriff hat, was gesichert werden muss, wie schnell es wieder verfügbar sein muss und wer die Wiederherstellung auslöst.
IT-Sicherheit ist nicht nur Technik. IT-Sicherheit ist Ordnung.
Was ein Microsoft-365-Backup leisten sollte
Ein sinnvolles Backup-Konzept für Microsoft 365 sollte mindestens Exchange Online, OneDrive und SharePoint berücksichtigen. Je nach Nutzung gehören auch Teams-Daten, Gruppen, Kalender, Kontakte und weitere Microsoft-365-Bestandteile in die Betrachtung.
1. Klare Datenbereiche
Zuerst muss klar sein, welche Daten überhaupt geschäftskritisch sind. Nicht jedes private OneDrive-Dokument hat denselben Stellenwert wie ein Projektarchiv, eine Angebotsvorlage oder ein zentraler SharePoint-Bereich.
- Welche Postfächer sind wichtig?
- Welche SharePoint-Seiten sind geschäftskritisch?
- Welche Teams enthalten relevante Dokumente?
- Wo liegen Kundendaten?
- Welche Daten brauchen Geschäftsführung, Verwaltung, Vertrieb und Technik im Notfall zuerst?
2. Passende Aufbewahrungszeiten
Ein Backup muss lange genug zurückreichen, damit Fehler auch dann korrigiert werden können, wenn sie nicht am selben Tag auffallen. In vielen Betrieben werden Datenverluste erst beim Monatsabschluss, bei einer Reklamation, bei einem Projektwechsel oder bei einer Prüfung bemerkt.
3. Schutz vor Manipulation
Ein Backup, das von denselben Benutzerkonten manipuliert werden kann wie die Originaldaten, ist schwach. Gerade bei Angriffen ist entscheidend, dass Sicherungen nicht einfach gelöscht, verschlüsselt oder verändert werden können.
4. Schnelle Wiederherstellung
Backup ist nur die halbe Wahrheit. Entscheidend ist der Restore. Ein Unternehmen braucht nicht nur Daten irgendwo in einem Speicher. Es braucht die Fähigkeit, nach einem Fehler oder Angriff wieder arbeitsfähig zu werden.
5. Regelmäßige Kontrolle
Ein Backup, das niemand kontrolliert, ist eine Hoffnung. Kein Betriebsprozess. Es muss geprüft werden, ob Sicherungen laufen, ob Fehler auftreten, ob neue Benutzer und neue Datenbereiche erfasst werden und ob Wiederherstellungen funktionieren.
Der wichtigste Test: Rücksicherung
Ein Backup, das nie wiederhergestellt wurde, ist nicht bewiesen. Viele Unternehmen glauben, sie seien abgesichert, weil irgendwo ein grüner Haken steht. Im Ernstfall zeigt sich dann, dass Postfächer fehlen, Berechtigungen nicht passen, die falschen Bereiche gesichert wurden oder die Wiederherstellung viel länger dauert als gedacht.
Deshalb gehört ein regelmäßiger Restore-Test dazu. Nicht aus Misstrauen, sondern aus Professionalität. Man kann gezielt eine Datei, ein Postfach oder einen SharePoint-Bereich testweise wiederherstellen und dokumentieren:
- Was wurde wiederhergestellt?
- Wie lange hat es gedauert?
- Wer war beteiligt?
- Gab es Probleme?
- Was muss verbessert werden?
Microsoft 365 Backup ist Geschäftsführung
Für Geschäftsführer ist dieses Thema oft schwer greifbar. Man will sich nicht in technische Details verlieren. Gleichzeitig weiß man: Ohne E-Mail, Dateien, Angebote, Kundendaten und Kommunikation steht der Betrieb schnell still.
Genau deshalb gehört Microsoft 365 Backup nicht in die Ecke „irgendwann mal IT“. Es gehört zur Betriebsfähigkeit. Die entscheidenden Fragen sind unternehmerisch:
- Kann mein Unternehmen weiterarbeiten, wenn wichtige Microsoft-365-Daten fehlen?
- Weiß jemand, was in den ersten Stunden zu tun ist?
- Sind unsere wichtigsten Datenbereiche bekannt?
- Gibt es eine getestete Wiederherstellung?
- Sind Benutzer, Rechte und Sicherungen sauber getrennt?
- Haben wir einen Ansprechpartner, der nicht erst im Notfall anfängt, die Umgebung zu verstehen?
Was wir bei EDV Systeme Donner anders betrachten
Wir betrachten Microsoft 365 nicht nur als Lizenzpaket. Wir betrachten es als Teil Ihrer Unternehmensstruktur. Denn in der Praxis hängt vieles zusammen: Backup ohne Rechtekonzept ist nur halb sicher. MFA ohne saubere Benutzerverwaltung bleibt lückenhaft. SharePoint ohne Struktur wird zur digitalen Abstellkammer. Teams ohne Regeln wird schnell unübersichtlich.
Unser Ansatz ist deshalb nicht: „Wir verkaufen Ihnen irgendeine Backup-Lösung.“ Unser Ansatz ist: Wir schauen zuerst, wie Ihr Unternehmen tatsächlich arbeitet.
Gerade im Mittelstand braucht es keine überzogene Konzernarchitektur. Es braucht saubere Standards, klare Zuständigkeiten und eine Lösung, die im Alltag funktioniert.
Woran Sie erkennen, dass Handlungsbedarf besteht
Es gibt klare Warnzeichen:
- Sie wissen nicht genau, ob Microsoft-365-Daten separat gesichert werden.
- Sie verlassen sich auf Papierkorb und Versionierung.
- Niemand hat bisher eine Rücksicherung getestet.
- Es gibt viele alte Teams, Gruppen oder SharePoint-Seiten.
- Ehemalige Mitarbeiterkonten wurden nicht sauber geprüft.
- Externe Freigaben sind nicht dokumentiert.
- MFA ist nicht konsequent aktiv.
- Es gibt keine klare Aussage, wie schnell wichtige Daten nach einem Vorfall wieder verfügbar wären.
Was jetzt sinnvoll ist
Der richtige erste Schritt ist kein hektischer Produktkauf. Der richtige erste Schritt ist eine nüchterne Prüfung:
- Welche Microsoft-365-Dienste nutzen wir wirklich?
- Wo liegen unsere geschäftskritischen Daten?
- Welche Daten dürfen wir auf keinen Fall verlieren?
- Wie lange müssen wir Daten zurückholen können?
- Wer hat administrative Rechte?
- Ist MFA überall dort aktiv, wo sie aktiv sein muss?
- Gibt es bereits ein Backup?
- Wurde jemals eine Wiederherstellung getestet?
- Gibt es eine Dokumentation?
- Wer ist im Ernstfall zuständig?
Mein Fazit
Microsoft 365 ist eine starke Plattform. Aber eine starke Plattform entbindet Unternehmen nicht von der Verantwortung, ihre eigenen Daten sauber zu schützen.
Die bessere Frage lautet nicht: „Läuft Microsoft 365?“ Die bessere Frage lautet: „Können wir unsere wichtigsten Daten zuverlässig wiederherstellen, wenn etwas schiefgeht?“
Wenn Sie diese Frage nicht klar beantworten können, sollten wir miteinander sprechen. Nicht, weil morgen alles ausfällt. Sondern weil gute IT nicht auf Glück basiert. Gute IT basiert auf Struktur, Verantwortung und getesteten Prozessen.
Ist Ihre Microsoft-365-Umgebung wirklich wiederherstellbar?
Wir prüfen mit Ihnen sauber und verständlich: Datenbereiche, Benutzer, Rechte, Backup, Wiederherstellung, MFA und Dokumentation.
Häufige Fragen zu Microsoft 365 Backup
Ist Microsoft 365 nicht automatisch gesichert?
Microsoft sorgt für die Verfügbarkeit der Plattform. Das ersetzt aber nicht automatisch ein eigenes Backup-Konzept für Unternehmensdaten in Exchange Online, OneDrive, SharePoint und Teams.
Reicht der Papierkorb in Microsoft 365?
Nein. Papierkorb, Versionierung und Aufbewahrungsfunktionen sind hilfreich, aber kein vollständiger Ersatz für ein geplantes und getestetes Backup-Konzept.
Welche Microsoft-365-Daten sollten gesichert werden?
In der Regel sollten mindestens Exchange Online, OneDrive und SharePoint betrachtet werden. Je nach Nutzung gehören auch Teams-Daten, Gruppen, Kalender und Kontakte dazu.
Warum ist ein Restore-Test so wichtig?
Ein Backup ist erst bewiesen, wenn eine Wiederherstellung funktioniert hat. Restore-Tests zeigen, ob die richtigen Daten gesichert werden und wie schnell das Unternehmen im Ernstfall wieder arbeitsfähig ist.