Ein verbreiteter Irrtum kostet Unternehmen regelmäßig Daten: Microsoft sichert Ihre Inhalte in der Cloud nicht im Sinne eines klassischen Backups. Microsoft verantwortet Infrastruktur und Verfügbarkeit, Sie als Kunde Ihre Daten. Diese Anleitung zeigt die Bordmittel von Exchange Online, OneDrive, SharePoint und Teams samt Grenzen, den Dienst Microsoft 365 Backup und den Weg zu einer belastbaren Sicherungsstrategie. Zielgruppe sind Admins und IT-Verantwortliche im Mittelstand.

Voraussetzungen

Rolle Globaler Administrator oder Exchange-Administrator im Microsoft 365 Tenant; für Microsoft 365 Backup die Rolle SharePoint-Administrator bzw. Backup-Administrator.
Für Litigation Hold: Exchange Online Plan 2 oder Plan 1 plus Exchange Online Archiving Add-on je Postfach.
Für Aufbewahrungsrichtlinien: Zugriff auf Microsoft Purview (Rolle Compliance-Administrator oder Records Management).
Für Microsoft 365 Backup (Pay-as-you-go): ein verknüpftes Azure-Abonnement für die verbrauchsabhängige Abrechnung (Syntex Pay-as-you-go).
Für PowerShell-Schritte: Modul ExchangeOnlineManagement (Verbindung per Connect-ExchangeOnline).
Für eine vollständige Strategie: eine Backup-Lösung eines Drittanbieters mit eigenem Speicherort.

Schritt 1: Geteilte Verantwortung verstehen

Das Modell der geteilten Verantwortung (Shared Responsibility) ist die Grundlage. Microsoft sichert Verfügbarkeit, Redundanz auf Infrastrukturebene und den Schutz vor Hardware-Ausfällen. Microsoft sagt nicht zu, dass versehentlich oder böswillig gelöschte Daten, durch Ransomware verschlüsselte Inhalte oder Daten aus abgelaufenen Konten wiederhergestellt werden können.

Bereich	Microsoft	Kunde
Rechenzentrum, Hardware, Verfügbarkeit	verantwortlich	-
Schutz vor versehentlicher Löschung	nur kurzfristig (Papierkorb)	verantwortlich
Ransomware-Wiederherstellung	begrenzt	verantwortlich
Langzeitaufbewahrung, Kopie außerhalb des Tenants	-	verantwortlich

Verifizieren: Für jede Zeile mit Verantwortung beim Kunden ist ein Werkzeug oder Prozess aus den folgenden Schritten benannt.

Schritt 2: Native Papierkorb-Stufen prüfen und Grenzen kennen

Die erste Schutzstufe sind die Papierkörbe. Ihre Fristen sind fest vorgegeben.

SharePoint und OneDrive: Der Papierkorb läuft über zwei Stufen (Stage 1 und Stage 2) mit insgesamt 93 Tagen. Dieses Fenster ist nicht konfigurierbar; danach sind die Inhalte endgültig gelöscht.

SharePoint: [Website] > Websiteinhalte > Papierkorb (Stufe 1)
           Papierkorb > Papierkorb der zweiten Stufe (Stufe 2)
OneDrive:   [OneDrive] > Papierkorb (gleiche 93-Tage-Logik)

OneDrive Dateien wiederherstellen: Über [OneDrive] > Einstellungen > OneDrive wiederherstellen setzen Sie das gesamte OneDrive auf einen Stand der letzten 30 Tage zurück, etwa nach einem Ransomware-Befall. Für SharePoint-Websites steht dieselbe Funktion Websitebesitzern zur Verfügung.

Exchange Recoverable Items: Gelöschte E-Mails landen im Ordner für wiederherstellbare Elemente. Ohne Hold gilt eine Aufbewahrung von 14 Tagen (per Set-Mailbox -RetainDeletedItemsFor 30 auf höchstens 30 Tage erweiterbar), unter Litigation Hold bis zum Ende des Holds. Endnutzer stellen über Outlook „Gelöschte Elemente wiederherstellen“ wieder her; für Audits nutzen Sie eDiscovery bzw. die Inhaltssuche.

Verifizieren: Löschen Sie eine Testdatei in einer SharePoint-Website und stellen Sie sie aus dem Papierkorb wieder her. Get-Mailbox user@ihre-domain.de | fl RetainDeletedItemsFor zeigt die Aufbewahrung der wiederherstellbaren Elemente.

Schritt 3: Litigation Hold aktivieren

Litigation Hold verhindert, dass E-Mails endgültig gelöscht werden, auch wenn ein Nutzer den Papierkorb leert. Voraussetzung ist Exchange Online Plan 2 oder Plan 1 mit Exchange Online Archiving.

Portal-Weg:

Exchange Admin Center (admin.exchange.microsoft.com)
  > Empfänger > Postfächer > [Postfach] > Postfachfunktionen
  > Beweissicherungsverfahren (Litigation Hold) > Verwalten

PowerShell (Exchange Online): Der Wert 2555 entspricht etwa sieben Jahren; ohne Dauer gilt der Hold unbegrenzt.

# Einzelnes Postfach, Aufbewahrung 7 Jahre (2555 Tage)
Set-Mailbox user@ihre-domain.de -LitigationHoldEnabled $true -LitigationHoldDuration 2555

# Alle Postfaecher mit aktivem Hold auflisten
Get-Mailbox -ResultSize Unlimited -Filter "LitigationHoldEnabled -eq \$true" | ft Name,LitigationHoldEnabled,LitigationHoldDuration

# Massen-Aktivierung fuer alle Benutzerpostfaecher
Get-Mailbox -ResultSize Unlimited -Filter "RecipientTypeDetails -eq 'UserMailbox'" | Set-Mailbox -LitigationHoldEnabled $true

Litigation Hold ist eine Aufbewahrung, kein Backup: Die Inhalte bleiben im selben Tenant und lassen sich nicht punktgenau zurückspielen.

Verifizieren: Die Liste aus dem zweiten Befehl enthält das Postfach mit LitigationHoldEnabled True. Die Aktivierung kann bis zu 60 Minuten dauern.

Schritt 4: Aufbewahrungsrichtlinien in Microsoft Purview einrichten

Aufbewahrungsrichtlinien (Retention Policies) steuern, wie lange Inhalte in Exchange, OneDrive, SharePoint und Teams aufbewahrt oder automatisch gelöscht werden. Sie sind ein Compliance-Werkzeug, kein Backup.

Microsoft Purview (purview.microsoft.com)
  > Lösungen > Data Lifecycle Management
  > Richtlinien > Aufbewahrungsrichtlinien > Neue Aufbewahrungsrichtlinie

Legacy-Tags: Microsoft Purview > Exchange (legacy) > MRM Retention tags

Beachten Sie die Grenzwerte:

Limit	Maximalwert
Aufbewahrungslabels je Tenant	1.000
Richtlinien je Tenant	10.000
Exchange-Richtlinien	1.800
SharePoint-Sites je Richtlinie mit expliziter Auswahl	100

Das Limit von 100 Sites gilt nur bei einzeln ausgewählten Sites; eine Richtlinie für „Alle Websites“ ist davon nicht betroffen. Aufbewahrungsrichtlinien und Microsoft 365 Backup sind getrennte Systeme.

Verifizieren: Die Richtlinie steht in Purview mit Status „Ein (Erfolgreich)“. Die Verteilung kann bis zu 7 Tage dauern.

Schritt 5: Microsoft 365 Backup (Pay-as-you-go) aktivieren

Microsoft 365 Backup ist Microsofts verbrauchsabhängig abgerechneter Backup-Dienst für Exchange Online, OneDrive und SharePoint. Die Abrechnung läuft über ein verknüpftes Azure-Abonnement nach geschützter Datenmenge; die aktuellen Konditionen nennt Microsoft auf der Seite zur Abrechnung.

Microsoft 365 Admin Center (admin.microsoft.com)
  > Einstellungen > Microsoft 365 Backup
  > je Dienst (OneDrive, SharePoint, Exchange) Richtlinie einrichten
  > Konten, Websites oder Postfächer auswählen

Eckdaten dieser Lösung:

Aufbewahrung: 1 Jahr.
Wiederherstellungspunkte: OneDrive und SharePoint alle 10 Minuten für die letzten 2 Wochen, danach wöchentlich bis 52 Wochen; Exchange alle 10 Minuten über 52 Wochen.
Wiederherstellungsdauer: abhängig von Größe und Art des Wiederherstellungspunkts; Express-Wiederherstellungspunkte sind am schnellsten.
Append-Only-Speicher: Gesicherte Daten werden nur ergänzt, nicht überschrieben; Schadsoftware im Tenant kann sie nicht verändern.

Microsoft 365 Backup speichert innerhalb der Microsoft-365-Vertrauensgrenze in der Region Ihres Tenants. Es ersetzt deshalb keine unabhängige Kopie außerhalb des Tenants im Sinne der 3-2-1-Regel.

Verifizieren: Unter Microsoft 365 Backup zeigt jede Richtlinie den Status „Aktiv“; nach der ersten Sicherung stehen Wiederherstellungspunkte zur Auswahl.

Schritt 6: Drittanbieter-Backup anbieterneutral auswählen

Für Unabhängigkeit vom Tenant brauchen Sie eine Sicherung außerhalb von Microsoft. Bewerten Sie Lösungen nach diesen Kriterien:

Aufbewahrung: frei konfigurierbar, idealerweise unbegrenzt und unabhängig von Microsoft-Fristen.
Granularität: Wiederherstellung einzelner E-Mails, Dateien, SharePoint-Listen und Teams-Kanäle, nicht nur ganzer Postfächer.
Wiederherstellung: Restore an den Originalort, an einen Alternativort und als Export; schnelle, durchsuchbare Suche.
Speicherort und Datenschutz: wählbarer Speicherort in der EU oder im eigenen Rechenzentrum, Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Verschlüsselung, unveränderbare Ablage.
Abdeckung: Exchange, OneDrive, SharePoint und Teams in einem Werkzeug.

Ein unabhängiger Speicherort mit eigenen Zugangsdaten bleibt auch bei kompromittiertem Tenant unangetastet.

Verifizieren: Stellen Sie eine einzelne E-Mail und eine einzelne Datei aus dem Drittanbieter-Backup an einen Alternativort wieder her und öffnen Sie beide.

Schritt 7: 3-2-1-Strategie für Microsoft 365 festlegen

Übertragen Sie die 3-2-1-Regel auf Microsoft 365: 3 Kopien der Daten, auf 2 unterschiedlichen Medientypen, davon 1 Kopie offsite. Für Microsoft 365 heißt das in der Praxis:

Kopie 1: die produktiven Daten in Microsoft 365 selbst.
Kopie 2: Microsoft 365 Backup als schnelle Wiederherstellung innerhalb von Microsoft.
Kopie 3: ein Drittanbieter-Backup an einem unabhängigen Speicherort mit unveränderbarer (Immutable) Ablage.

Legen Sie fest, wer die Wiederherstellung in welchem Rhythmus testet; ein ungetestetes Backup ist nicht verlässlich.

Verifizieren: Ein dokumentierter Testplan mit Verantwortlichem und Termin liegt vor.

Schritt 8: Ransomware- und Konto-Ablauf-Risiken absichern

Ohne Backup reichen die Bordmittel bei Ransomware nur begrenzt zurück: 93 Tage Papierkorb in SharePoint und OneDrive, 30 Tage „OneDrive wiederherstellen“, danach 14 Tage, in denen der Microsoft-Support eine Website-Sammlung wiederherstellen kann. Bleibt ein Angriff länger unbemerkt, genügt das nicht.

Zwei Fristen betreffen gelöschte Konten und Abonnements:

Gelöschter Benutzer: Das OneDrive bleibt standardmäßig 30 Tage erhalten (im SharePoint Admin Center änderbar), das Postfach 30 Tage als vorläufig gelöscht.
Abgelaufenes Abonnement: Es durchläuft die Phasen Abgelaufen, Deaktiviert und Gelöscht; nur in der Phase Deaktiviert können Admins noch auf Daten zugreifen und sie sichern.

Sichern Sie Postfach und OneDrive ausscheidender Mitarbeiter deshalb vor dem Löschen des Kontos.

Verifizieren: Der Offboarding-Prozess enthält den Punkt „Postfach und OneDrive gesichert“ mit Prüfung im Backup-Werkzeug.

Troubleshooting

Problem: Litigation Hold lässt sich nicht aktivieren. Prüfen Sie die Lizenz: Exchange Online Plan 2 oder Plan 1 mit Exchange Online Archiving.
Problem: Gelöschte SharePoint-Datei nach 100 Tagen weg. Die 93 Tage sind nicht verlängerbar. Ohne Backup oder Aufbewahrungsrichtlinie ist die Datei verloren.
Problem: Aufbewahrungsrichtlinie greift, Nutzer löschen trotzdem aus dem Papierkorb. Aufbewahrungsrichtlinien beeinflussen den Papierkorb nicht. Nur unter Hold landen Inhalte im versteckten Ordner für wiederherstellbare Elemente.
Problem: Richtlinie nimmt nicht alle SharePoint-Sites auf. Bei einzeln ausgewählten Sites gilt ein Limit von 100 je Richtlinie. Verteilen Sie die Sites oder wählen Sie „Alle Websites“ mit Ausnahmen.
Problem: Daten eines ausgeschiedenen Mitarbeiters sind weg. OneDrive und Postfach gelöschter Benutzer bleiben standardmäßig nur 30 Tage erhalten. Sichern Sie beides vor dem Löschen des Kontos.

Häufige Fragen

Macht Microsoft nicht automatisch ein Backup meiner Daten?

Nein. Microsoft sorgt im Modell der geteilten Verantwortung für Infrastruktur und Verfügbarkeit. Der Schutz vor versehentlicher oder böswilliger Löschung, Ransomware und Datenverlust durch abgelaufene Konten liegt beim Kunden.

Reicht Microsoft 365 Backup als alleinige Lösung?

Für schnelle Wiederherstellungen bis 1 Jahr zurück ist es geeignet. Die Daten bleiben aber innerhalb von Microsoft 365; eine unabhängige Kopie außerhalb des Tenants ersetzt es nicht.

Was muss ich überhaupt sichern?

Die vier Kernbereiche: Exchange Online (E-Mail), OneDrive, SharePoint und Teams. Teams-Daten liegen verteilt in Exchange (Chats) und SharePoint bzw. OneDrive (Dateien); Microsoft 365 Backup deckt Teams-Chats nicht gesondert ab.

Was kostet Microsoft 365 Backup?

Es wird verbrauchsabhängig nach geschützter Datenmenge über ein Azure-Abonnement abgerechnet; die aktuellen Konditionen stehen in der Microsoft-Dokumentation zur Abrechnung.

Schützt der 93-Tage-Papierkorb vor Ransomware?

Nur eingeschränkt, siehe Schritt 8. Bei spät entdeckten Angriffen hilft nur ein unabhängiges, unveränderbares Backup.

Wie wähle ich einen Drittanbieter aus?

Bewerten Sie nach Aufbewahrung, Granularität der Wiederherstellung, Wiederherstellungsoptionen, Speicherort und Datenschutz sowie der Abdeckung von Exchange, OneDrive, SharePoint und Teams.

Fazit

Microsoft 365 ist hochverfügbar, aber kein Backup. Litigation Hold und Aufbewahrungsrichtlinien decken Compliance ab, Microsoft 365 Backup schnelle Wiederherstellungen, ein unabhängiges Backup die Kopie außerhalb des Tenants. Mit der 3-2-1-Regel und getesteten Wiederherstellungen ist Ihr Tenant gegen die häufigsten Verlustszenarien abgesichert.

Weiterführende Anleitungen und Quellen

Quellen: offizielle Microsoft Learn: Microsoft 365 Backup (Übersicht, Abrechnung), Grenzwerte für Aufbewahrung, Litigation Hold, Ordner für wiederherstellbare Elemente, OneDrive-Aufbewahrung gelöschter Benutzer, Ablauf von Abonnements (Stand: 30.09.2026).