Microsoft-365-Backup einführen: Exchange, OneDrive, SharePoint und Teams zuverlässig sichern

Montagmorgen, kurz vor einem wichtigen Kundentermin: Ein Projektordner in SharePoint ist leer. Ein Teammitglied hat beim Aufräumen versehentlich einen synchronisierten Ordner gelöscht, die Änderung wurde in die Cloud übernommen und weitere Personen sehen ebenfalls keine Dateien mehr. Der Papierkorb hilft vielleicht, doch was passiert bei einer verspäteten Entdeckung, einer falsch gesetzten Aufbewahrungsregel oder einem Ransomware-Angriff auf mehrere Konten? Genau für solche Fälle brauchst du ein eigenständiges Microsoft-365-Backup.

Microsoft 365 bietet eine hohe Dienstverfügbarkeit und zahlreiche Aufbewahrungs-, Papierkorb- und Compliance-Funktionen. Das ist wichtig, ersetzt aber kein Backup mit klaren Wiederherstellungszielen. Verfügbarkeit bedeutet, dass Microsoft den Dienst betreibt. Ein Backup stellt dagegen sicher, dass du konkrete Daten in einem definierten Zeitraum und Umfang unabhängig wiederherstellen kannst.

Infografik zu Microsoft-365-Backup einführen: Exchange, OneDrive, SharePoint und Teams zuverlässig sichern (KI-generiert).

Warum Microsoft 365 allein kein vollständiges Backup ist

In Microsoft 365 liegt die Verantwortung für Plattform, Rechenzentren und grundlegende Dienstverfügbarkeit beim Anbieter. Für Berechtigungen, Löschvorgänge, Konfigurationen, Datenklassifizierung und die Wiederherstellbarkeit deiner eigenen Inhalte bleibt dein Unternehmen verantwortlich.

Besonders relevant ist das bei diesen Szenarien:

• Mitarbeitende löschen E-Mails, Dateien, Teams oder ganze SharePoint-Inhalte versehentlich.
• Synchronisierte OneDrive-Ordner übertragen Löschungen und Verschlüsselungen auf weitere Geräte und in die Cloud.
• Administratoren ändern Berechtigungen, Aufbewahrungsrichtlinien oder Einstellungen fehlerhaft.
• Ein kompromittiertes Konto löscht Daten gezielt oder verändert Freigaben.
• Ransomware verschlüsselt lokale Dateien, die anschließend per Synchronisierung in OneDrive oder SharePoint landen.
• Ein ausgeschiedenes Benutzerkonto wird entfernt, obwohl geschäftskritische Inhalte noch benötigt werden.
• Teams-Inhalte, Dateien und zugehörige M365-Gruppen werden gelöscht oder unvollständig wiederhergestellt.

Papierkörbe und Aufbewahrungsrichtlinien sind dabei wertvolle Schutzmechanismen, aber sie haben Grenzen. Sie sind oft zeitlich begrenzt, hängen von der korrekten Konfiguration ab und sind nicht immer für schnelle, selektive Restores ausgelegt. Außerdem können sie im Ernstfall komplizierter zu bedienen sein als ein Backup-System mit Suchfunktion, Versionierung und klaren Wiederherstellungsabläufen.

Ein belastbares Konzept verbindet daher Prävention, Aufbewahrung und Backup. Auch Maßnahmen gegen Ransomware gehören dazu, denn ein Backup reduziert Schäden nur dann, wenn Angreifer es nicht ebenfalls manipulieren oder löschen können.

Welche Microsoft-365-Daten du sichern solltest

Der erste Fehler bei vielen Backup-Projekten ist ein zu enger Blick auf Dateien. Microsoft 365 besteht aus mehreren Diensten, deren Daten sich teilweise überschneiden. Erstelle zunächst ein Dateninventar und kläre fachlich, welche Inhalte wirklich wiederherstellbar sein müssen.

Dienst	Typische schützenswerte Inhalte	Wichtige Restore-Fragen
Exchange Online	E-Mails, Kalender, Kontakte, Postfachordner, freigegebene Postfächer	Einzelne Nachricht, Ordner oder ganzes Postfach wiederherstellen?
OneDrive for Business	Persönliche Arbeitsdateien, geteilte Inhalte, Projektunterlagen	Dateien und frühere Versionen gezielt wiederherstellen?
SharePoint Online	Dokumentbibliotheken, Listen, Seiten, Team- und Intranetinhalte	Einzeldatei, Ordner, Bibliothek oder komplette Site restaurieren?
Microsoft Teams	Teams, Kanäle, Chats, Dateien, Besprechungsinhalte und Einstellungen	Welche Daten liegen tatsächlich in Exchange, OneDrive oder SharePoint?
Microsoft 365 Groups	Gruppenpostfach, Mitglieder, Dateien und verbundene Ressourcen	Gruppe samt Mitgliedschaft und Inhalten wiederherstellen?

Bei Teams ist eine präzise Betrachtung besonders wichtig. Dateien aus Standardkanälen liegen üblicherweise in der zugehörigen SharePoint-Site. Dateien aus Chats und anderen persönlichen Freigaben können in OneDrive liegen. Nachrichten, Mitgliedschaften und weitere Teams-Objekte haben wiederum eigene technische Abhängigkeiten. Prüfe deshalb vor der Toolauswahl genau, welche Teams-Daten ein Backup-Produkt tatsächlich sichert und auf welchem Wiederherstellungsniveau es sie zurückspielen kann.

Auch Daten aus ergänzenden Diensten verdienen Aufmerksamkeit. Dazu können Planner-Pläne, Forms-Formulare, Power-BI-Artefakte, Loop-Inhalte oder Inhalte aus Drittanbieter-Apps gehören. Nicht jedes Backup-Produkt deckt diese Dienste ab. Dokumentiere daher ausdrücklich, welche Daten im Geltungsbereich sind und welche über andere Verfahren geschützt werden.

Wenn ihr Microsoft 365 Copilot einsetzt, ist die Datenhygiene besonders relevant. Copilot erzeugt nicht automatisch neue Berechtigungen, kann aber vorhandene Freigaben auffindbar und nutzbar machen. Lies dazu auch unseren Beitrag Microsoft 365 Copilot Datenzugriffe absichern: SharePoint-Berechtigungen und Oversharing prüfen.

Wiederherstellungsziele vor der Produktauswahl definieren

Ein Backup-Tool ist kein Konzept. Lege vor der Auswahl fest, wie schnell und bis zu welchem Datenstand du wiederherstellen musst. Zwei Kennzahlen helfen dabei.

• RPO, das Recovery Point Objective, beschreibt den maximal vertretbaren Datenverlust in der Zeit. Bei einem RPO von 24 Stunden darf im Störungsfall höchstens etwa ein Arbeitstag an Änderungen fehlen.
• RTO, das Recovery Time Objective, beschreibt die maximal akzeptierte Wiederherstellungsdauer. Es beantwortet etwa die Frage, wie lange ein Team ohne seine Projektdateien arbeiten kann.

Diese Ziele müssen nicht für alle Daten gleich sein. Das zentrale Vertriebs-Postfach hat möglicherweise ein kürzeres RTO als ein abgeschlossenes Projektarchiv. Ein häufiger Fehler ist, überall dieselben hohen Anforderungen anzusetzen. Das macht Backup unnötig teuer und komplex. Besser ist eine Klassifizierung nach Geschäftsrelevanz.

Beispiel für eine pragmatische Einteilung

• Kritisch: Kundenkommunikation, laufende Projekte, zentrale Team-Sites, Management-Postfächer.
• Wichtig: Fachbereichsdaten, aktive persönliche OneDrive-Bereiche, interne Wissensdatenbanken.
• Standard: ältere Arbeitsstände und Inhalte mit geringem Betriebsrisiko.
• Archiv: Daten mit langfristiger Aufbewahrungspflicht, die selten benötigt werden.

Kläre zusätzlich, wer einen Restore anfordern darf, wer ihn freigibt und wer ihn technisch ausführt. Ohne diesen Prozess kann ein gut gemeinter Restore aktuelle Daten überschreiben oder alte Berechtigungen wieder aktivieren.

Anforderungen an ein Backup-Konzept für Microsoft 365

Ein geeignetes Backup sollte nicht nur Daten kopieren. Es muss die Wiederherstellung im realen Störungsfall unterstützen. Achte bei der Bewertung insbesondere auf diese Punkte:

• Granularität: Einzelne E-Mails, Dateien, Ordner, Postfächer, Sites und Teams sollten gezielt auswählbar sein.
• Versionierung: Frühere Stände müssen verfügbar bleiben, auch wenn eine Datei später verändert oder verschlüsselt wurde.
• Aufbewahrung: Die Backup-Aufbewahrung muss zu deinen betrieblichen und rechtlichen Anforderungen passen.
• Speicherort: Prüfe, wo die Sicherungen liegen, in welcher Region sie gespeichert werden und wer administrativen Zugriff hat.
• Zugriffsschutz: Das Backup benötigt getrennte Rollen, starke Anmeldung und möglichst unabhängige Administrationskonten.
• Verschlüsselung: Daten sollten während Übertragung und Speicherung geschützt sein. Entscheidend ist auch das Schlüssel- und Zugriffsmodell.
• Protokollierung: Backup-Läufe, Fehler, Löschungen und Restore-Vorgänge müssen nachvollziehbar sein.
• Skalierung: Das System muss auch bei Wachstum, vielen Teams und großen SharePoint-Bibliotheken zuverlässig arbeiten.
• Export und Wiederherstellungsoptionen: Prüfe, ob Daten am Ursprungsort, an einem alternativen Ort oder als Export wiederherstellbar sind.

Ein besonders wichtiger Punkt ist die Trennung von Microsoft-365- und Backup-Administration. Wenn ein kompromittiertes globales Administratorkonto zugleich das Backup löschen kann, bleibt ein gefährlicher Single Point of Failure. Setze getrennte Konten, MFA, restriktive Rollen und Alarmierungen für privilegierte Änderungen ein. Grundlagen dazu findest du auch in unserem Beitrag Sichere Passwörter, Passwortmanager und MFA.

Restore-Tests sind der entscheidende Nachweis

Ein erfolgreicher Backup-Job beweist nur, dass ein Sicherungsvorgang durchgeführt wurde. Er beweist nicht, dass sich Daten vollständig, korrekt und rechtzeitig wiederherstellen lassen. Plane deshalb regelmäßige Restore-Tests ein.

Starte mit einem klar abgegrenzten Testszenario. Lösche nicht wahllos produktive Daten. Lege stattdessen beispielsweise ein Testpostfach, eine Test-Site und einen Test-OneDrive-Bereich an. Erstelle dort typische Inhalte: E-Mails mit Anhängen, Dateien in mehreren Versionen, Ordnerstrukturen, Berechtigungen und Team-bezogene Dateien.

Prüfe anschließend mindestens diese Fälle:

• Eine einzelne E-Mail inklusive Anhang wiederherstellen.
• Einen gelöschten OneDrive-Ordner an den ursprünglichen oder einen alternativen Ort zurückspielen.
• Eine frühere Version einer verschlüsselten oder überschriebenen Datei wiederherstellen.
• Eine SharePoint-Dokumentbibliothek mit Struktur und Metadaten restaurieren.
• Die Wiederherstellung eines Teams oder einer Microsoft-365-Gruppe anhand der vom Produkt unterstützten Objekte testen.
• Wiederhergestellte Inhalte fachlich prüfen: Sind Dateien lesbar, stimmen Versionen, fehlen Anhänge oder Berechtigungen?

Dokumentiere für jeden Test Dauer, Ergebnis, Abweichungen und offene Maßnahmen. Vergleiche die tatsächliche Wiederherstellungszeit mit deinem RTO. Wenn ein Restore einer zentralen Site mehrere Stunden dauert, obwohl der Fachbereich eine Wiederaufnahme innerhalb einer Stunde erwartet, musst du Konzept, Prioritäten oder Technik anpassen.

Unsere Anleitung zu Incident Response: was tun im Ernstfall hilft dir dabei, Backup und Wiederherstellung in einen klaren Notfallprozess einzubetten.

Backup gegen Ransomware absichern

Ein Backup ist nur so gut wie sein Schutz vor Manipulation. Bei Ransomware-Angriffen versuchen Täter häufig, Sicherungen zu löschen, Aufbewahrungszeiten zu verkürzen oder Administratorzugänge zu übernehmen. Behandle dein Backup daher als besonders schützenswertes Zielsystem.

Setze für Backup-Administratoren MFA und getrennte Konten ein. Vergib nur die Berechtigungen, die für Betrieb und Restore nötig sind. Überwache Änderungen an Aufbewahrung, Backup-Jobs, Rollen und Speicherzielen. Falls dein gewähltes System unveränderbare Sicherungen oder einen vergleichbaren Manipulationsschutz bietet, bewerte diese Funktion für kritische Daten besonders sorgfältig.

Ebenso wichtig ist die Erkennung ungewöhnlicher Aktivitäten im Tenant. Viele Löschvorgänge, massenhafte Dateiänderungen oder auffällige Anmeldungen sollten zeitnah untersucht werden. Wie du Protokolle und Überwachung sinnvoll aufbaust, erklären wir in Angriffe früh erkennen: Logging und Monitoring.

Schrittweise Einführung ohne Betriebsunterbrechung

Führe ein Microsoft-365-Backup nicht als reines IT-Projekt im Hintergrund ein. Binde Fachbereiche, Datenschutz, Informationssicherheit und gegebenenfalls Compliance-Verantwortliche früh ein. So verhinderst du, dass wichtige Datenquellen, Aufbewahrungsanforderungen oder Zuständigkeiten übersehen werden.

Eine praktikable Reihenfolge ist:

• Datenquellen, Schutzbedarf und Verantwortlichkeiten erfassen.
• RPO, RTO und Aufbewahrungsdauer je Datenklasse festlegen.
• Backup-Lösung anhand des tatsächlichen Funktionsumfangs testen.
• Administrationsmodell, MFA, Rollen und Protokollierung einrichten.
• Mit einem begrenzten Pilotbereich starten.
• Restore-Tests dokumentieren und Ergebnisse mit Fachbereichen abstimmen.
• Stufenweise auf weitere Postfächer, OneDrive-Bereiche, Sites und Teams ausrollen.
• Regelmäßige Tests, Alarmprüfungen und Konzept-Reviews verbindlich planen.

Passende Seminare und Termine rund um IT-Sicherheit, Microsoft 365 und sichere Administration findest du bei uns auf cmt.de.

Ein wirksames Microsoft-365-Backup besteht am Ende nicht aus einem Häkchen in einer Verwaltungsoberfläche. Es besteht aus klar definierten Daten, realistischen Wiederherstellungszielen, abgesicherten Zugängen und geübten Restores. Wenn du diese Bausteine regelmäßig überprüfst, bleibt ein versehentliches Löschen oder ein Angriff ein beherrschbarer Vorfall statt einer existenziellen Unterbrechung.