Microsoft 365 Backup-Pflicht: Wer sichert Ihre Daten?

Viele Unternehmen im Mittelstand nutzen Microsoft 365 für E-Mail, Dateien, Teams und SharePoint. Und viele gehen davon aus, dass Microsoft diese Daten automatisch sichert. Genau hier entsteht ein teures Missverständnis. Die Frage nach der Microsoft 365 Backup-Pflicht ist keine technische Spitzfindigkeit, sondern für jedes Unternehmen mit M365-Lizenz und personenbezogenen Daten relevant. Dieser Beitrag erklärt sachlich, wer wirklich für Ihre Daten verantwortlich ist, was DSGVO und NIS2 verlangen und wie ein prüffähiges Backup-Konzept aussieht.

Macht Microsoft automatisch ein Backup meiner M365-Daten?

Nein. Microsoft sorgt für die Verfügbarkeit der Plattform, nicht für den Schutz Ihrer Daten vor versehentlichem Löschen, Ransomware oder Fehlkonfiguration. Exchange Online, SharePoint, OneDrive und Teams haben nur begrenzte Wiederherstellungsfenster, in der Regel 30 bis 93 Tage Papierkorb. Danach sind die Daten unwiederbringlich verloren. Die Datensicherung selbst liegt in der Verantwortung des Kunden.

Dieses Prinzip nennt Microsoft selbst "Shared Responsibility", also geteilte Verantwortung. Es steht transparent in den Vertragsbedingungen. Die meisten Unternehmen lesen es nur nicht.

Shared Responsibility: Was Microsoft sichert und was nicht

Es hilft, zwei Dinge sauber zu trennen.

Was Microsoft übernimmt

Microsoft betreibt die Infrastruktur hochverfügbar. Rechenzentren, Hardware-Redundanz, Plattform-Updates und der Schutz vor großflächigen Ausfällen sind Sache von Microsoft. Geht ein Server kaputt, ist das nicht Ihr Problem.

Was in Ihrer Verantwortung bleibt

Der Schutz Ihrer konkreten Inhalte ist Ihre Aufgabe. Das betrifft alle Fälle, in denen Daten nicht durch einen technischen Plattformfehler, sondern durch Nutzung verloren gehen:

• Ein Mitarbeiter löscht versehentlich einen SharePoint-Ordner oder ein Postfach.
• Ransomware verschlüsselt synchronisierte OneDrive- und SharePoint-Inhalte.
• Ein ausgeschiedener Mitarbeiter wird mitsamt seinen Daten entfernt, bevor jemand sie braucht.
• Eine Fehlkonfiguration bei einer Massenänderung überschreibt wichtige Strukturen.

Hochverfügbarkeit ist eben kein Backup. Verfügbar heißt nur, dass die Plattform läuft. Es heißt nicht, dass Sie einen Stand von vor drei Monaten zurückholen können.

Warum Retention-Policies kein Backup sind

Ein verbreiteter Irrtum: "Wir haben doch Aufbewahrungsrichtlinien eingestellt, das reicht." Retention-Policies steuern, wie lange Inhalte vorgehalten werden, bevor sie verfallen. Sie schützen aber nicht zuverlässig vor gezielter Löschung, vor Ransomware oder vor Fehlern auf Administrationsebene. Es gibt keinen sauberen Wiederherstellungspunkt im Sinne eines echten Backups, aus dem Sie einen definierten früheren Zustand zurückspielen können. Wer Compliance nachweisen muss, braucht genau das.

DSGVO und NIS2: Ist Microsoft 365 Backup Pflicht?

Hier wird aus einer guten Praxis eine rechtliche Anforderung.

DSGVO Artikel 32

Artikel 32 DSGVO verlangt die Fähigkeit, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen bei einem Zwischenfall rasch wiederherzustellen. M365 enthält praktisch immer personenbezogene Daten: Mailadressen, Namen, Kundendaten, Personalunterlagen. Ohne ein Backup, das eine schnelle Wiederherstellung erlaubt, ist diese Anforderung kaum erfüllbar. Ein 30-Tage-Papierkorb genügt dafür im Ernstfall nicht.

NIS2 und das NIS2-Umsetzungsgesetz

Das NIS2-Umsetzungsgesetz verlangt für betroffene Unternehmen ausdrücklich ein Backup-Management einschließlich Wiederherstellung. Backup und Wiederherstellbarkeit sind explizit genannte Sicherheitsmaßnahmen. Für betroffene Einrichtungen und ihre Zulieferer ist ein dokumentiertes, getestetes Backup- und Recovery-Konzept damit keine Option mehr, sondern Pflicht. Das Gesetz benennt keine konkreten Werkzeuge, aber den Standard: vorhanden, getestet, dokumentiert.

Kurz gesagt: Wer unter DSGVO personenbezogene Daten verarbeitet (also nahezu jedes Unternehmen) oder unter NIS2 fällt, kommt an einem belastbaren M365-Backup nicht vorbei.

Der oft vergessene Punkt: Entra ID

Selbst Unternehmen mit M365-Backup sichern häufig nur Exchange, SharePoint, OneDrive und Teams. Die Identitäts-Schicht bleibt offen. Entra ID, früher Azure AD, verwaltet Benutzerkonten, Gruppen, Rollen, Conditional-Access-Policies und App-Registrierungen. Wer diese Schicht verliert, verliert den Zugang zu allen M365-Diensten gleichzeitig.

Gelöschte Entra-ID-Objekte hält Microsoft nur 30 Tage vor. Werden Conditional-Access-Policies geändert oder gelöscht, gibt es ohne dediziertes Backup keinen Weg zurück auf einen früheren Stand. Ein vollständiges Backup-Konzept denkt diese Ebene mit. Mehr dazu im LinkedIn-Beitrag zum blinden Fleck im M365-Backup.

Was ein M365-Backup-Konzept enthalten sollte

Ein prüffähiges Konzept beantwortet vier Fragen klar:

1. Welche Dienste sind gesichert? Exchange, SharePoint, OneDrive, Teams und idealerweise Entra ID.
2. Wie lange ist die Aufbewahrung? Im Idealfall ohne starre Begrenzung, mit Point-in-Time-Wiederherstellung.
3. Wie lange dauert ein vollständiger Restore? Diese Zahl sollten Sie kennen, bevor der Ernstfall sie Ihnen aufzwingt.
4. Ist alles dokumentiert? Für DSGVO- und NIS2-Nachweise zählt nur, was nachvollziehbar belegt ist.

Marktübliche Drittanbieter-Lösungen für M365-Backup bewegen sich häufig im Bereich von 2 bis 5 Euro pro Nutzer und Monat. Verglichen mit dem Aufwand einer manuellen Wiederherstellung oder einem Compliance-Verstoß ist das ein überschaubarer Posten.

Wie ITTK Sie dabei unterstützt

Wir prüfen Ihre M365-Umgebung anbieterneutral. Das bedeutet: Wir empfehlen die Backup-Lösung, die zu Ihrer Situation passt, nicht die mit der höchsten Marge. Im Rahmen unserer Produktlinie Cloud-Lösungen erstellen wir ein prüffähiges Backup-Konzept inklusive Entra-ID-Review. Auf Wunsch übernehmen wir über Managed IT auch den laufenden Backup-Betrieb und das Monitoring. Sie haben dabei einen festen Ansprechpartner, kein Ticket-System.

Verwandt dazu lesenswert: unser Beitrag zur Standortvernetzung im Mittelstand, wenn Sie Ihre gesamte Cloud-Anbindung modernisieren.

Häufige Fragen zur Microsoft 365 Backup-Pflicht

Macht Microsoft ein Backup meiner Daten?

Nein. Microsoft sichert die Plattform-Verfügbarkeit, nicht Ihre Inhalte gegen Löschen, Ransomware oder Fehlkonfiguration. Die Datensicherung liegt beim Kunden.

Wie lange speichert Microsoft gelöschte M365-Daten?

Je nach Dienst zwischen 30 und 93 Tagen im Papierkorb. Danach sind die Daten unwiederbringlich verloren. Gelöschte Entra-ID-Objekte werden nur 30 Tage vorgehalten.

Ist ein Microsoft 365 Backup gesetzlich Pflicht?

Indirekt ja. DSGVO Artikel 32 verlangt die rasche Wiederherstellbarkeit personenbezogener Daten. Das NIS2-Umsetzungsgesetz fordert für betroffene Unternehmen ausdrücklich Backup-Management mit Wiederherstellung. Beide Anforderungen sind ohne echtes Backup kaum erfüllbar.

Reichen die Aufbewahrungsrichtlinien von Microsoft aus?

Nein. Retention-Policies steuern Aufbewahrungsfristen, ersetzen aber kein Backup mit definierten Wiederherstellungspunkten und schützen nicht zuverlässig vor gezielter Löschung oder Ransomware.

Was kostet ein M365-Backup für Unternehmen?

Drittanbieter-Lösungen liegen häufig bei rund 2 bis 5 Euro pro Nutzer und Monat. Den passenden Umfang klären wir im kostenlosen M365-Backup-Check.

Ihr nächster Schritt

Sie sind nicht sicher, ob Ihre M365-Umgebung wirklich gesichert ist, inklusive Entra ID? Fordern Sie unseren kostenlosen M365-Backup-Check an. In 20 Minuten erhalten Sie eine klare Einschätzung, anbieterneutral und mit konkreten nächsten Schritten.