BRDMicrosoft 365 sichern: Exchange, SharePoint, OneDrive und Teams
Microsoft betreibt Microsoft 365 redundant, die Verantwortung für die eigenen Daten bleibt aber beim Unternehmen. Papierkörbe, Versionen und Aufbewahrungsrichtlinien schützen vor einzelnen Fehlbedienungen, sie ersetzen jedoch keine unabhängige Sicherung mit eigener Aufbewahrung und getesteter Wiederherstellung. Ob eine zusätzliche Sicherung nötig ist, ergibt sich aus RPO, RTO und Aufbewahrungsbedarf.
- Microsoft 365 gehört als Cloud-Dienst in den Geltungsbereich des Backup-Konzepts.
- Bordmittel (Papierkorb, Versionen, Aufbewahrung) liegen im selben Mandanten wie die Daten.
- Eine eigene Sicherung liegt außerhalb des Mandanten, mit getrennten Zugangsdaten.
- Restore-Tests gelten auch hier: einzelne Mails, Dateien, Teams-Kanäle und ganze Postfächer.
Welche Daten liegen in Microsoft 365?
| Dienst | Typische Daten | Prüffrage |
|---|---|---|
| Exchange Online | Postfächer, Kalender, Kontakte, freigegebene Postfächer | Sind Handels- und Geschäftsbriefe nur hier gespeichert? |
| SharePoint Online | Team- und Projektablagen, Intranet, Listen | Wie lange sind gelöschte Inhalte wiederherstellbar, und reicht das? |
| OneDrive | persönliche Arbeitsdateien, Notebook-Ordner | Werden Daten ausscheidender Beschäftigter vor Löschung des Kontos gesichert? |
| Teams | Chats, Kanalnachrichten, Dateien (in SharePoint/OneDrive), Besprechungsaufzeichnungen | Welche Teams-Inhalte erfasst die gewählte Sicherung tatsächlich? |
| Entra ID und Konfiguration | Benutzer, Gruppen, Richtlinien für bedingten Zugriff | Ist die Konfiguration dokumentiert und wiederherstellbar? |
Aufbewahrungsdauern und Funktionen des Anbieters ändern sich; maßgeblich sind die aktuelle Dienstbeschreibung und die Konfiguration im eigenen Mandanten.
Wann reichen die Bordmittel nicht?
- Kompromittierter Mandant: Ein Angreifer mit globalen Administratorrechten kann Daten, Papierkörbe und Richtlinien gleichermaßen löschen oder ändern.
- Spät entdeckte Fehler: Fehlerhafte Synchronisation, Skripte oder Migrationen fallen oft erst nach Wochen auf.
- Ausscheidende Beschäftigte: Mit dem Konto können Postfach und OneDrive entfallen, wenn nichts anderes geregelt ist.
- Aufbewahrungspflichten: Sind Handels- und Geschäftsbriefe nur in Exchange gespeichert, gelten die Fristen nach § 257 HGB und § 147 AO (siehe Anforderungen).
Was gehört in das Backup-Konzept für Microsoft 365?
- Geltungsbereich: welche Dienste, Postfächer, Websites und Teams gesichert werden
- Sicherungsziel außerhalb des Mandanten, mit eigenen Zugangsdaten und Mehr-Faktor-Anmeldung
- Takt und Aufbewahrung je Dienst, abgeleitet aus RPO und Löschkonzept
- Auftragsverarbeitungsvertrag und Speicherort des Sicherungsanbieters (siehe brdcloud.de)
- Restore-Tests mit Protokoll, auch für Teams-Kanäle und ganze Postfächer
- Regelung für ausscheidende Beschäftigte und für die Löschung nach Art. 17 DSGVO
Wie Teams datenschutzkonform eingerichtet und im Team genutzt wird, erklärt teams.jetzt.
Häufige Fragen zu Microsoft 365
Ist der Papierkorb in Microsoft 365 ein Backup?
Nein. Papierkörbe, Versionsverläufe und Aufbewahrungsrichtlinien helfen bei versehentlichem Löschen, liegen aber im selben Mandanten und unter denselben Administratorrechten wie die Produktivdaten. Wer den Mandanten kompromittiert oder falsch konfiguriert, erreicht auch diese Funktionen. Ein Backup im Sinne des Backup-Konzepts ist eine unabhängige Kopie mit eigener Aufbewahrung und getesteter Wiederherstellung.
Brauchen kleine Unternehmen eine eigene Sicherung für Microsoft 365?
Das hängt von RPO, RTO und Aufbewahrungsbedarf ab, nicht von der Unternehmensgröße. Liegen E-Mails, Verträge und Projektablagen nur in Microsoft 365, ist der Mandant ein kritisches System. Dann sollte geprüft und dokumentiert werden, welche Wiederherstellung der Vertrag zusagt und ob eine zusätzliche, unabhängige Sicherung das Restrisiko auf ein vertretbares Maß senkt.
Keine Rechtsberatung. Rechtsstand: 04.11.2026.