11 Die Frage nach dem Speicher für Microsoft-365-Backups stellen sich die meisten Unternehmen erst, wenn eine Löschung, ein ausscheidender Mitarbeiter oder ein Ransomware-Vorfall sie dazu zwingt. Die Annahme wirkt vernünftig: Die Daten liegen in der Cloud von Microsoft, Microsoft betreibt eine erstklassige Infrastruktur, also sind die Daten sicher geschützt. Die ersten beiden Teile stimmen. Der dritte folgt daraus nicht – und Microsoft sagt das selbst: Der Servicevertrag empfiehlt, Kundeninhalte regelmäßig mit Diensten von Drittanbietern zu sichern. Dieser Beitrag erklärt, warum M365-Daten ein eigenes Backup brauchen, was die nativen Optionen von Microsoft Stand 2026 tatsächlich bieten und welcher Teil am wenigsten Aufmerksamkeit bekommt und am meisten Reue verursacht: wo diese Backups liegen sollten. Warum Microsoft-365-Daten trotzdem ein Backup brauchen Microsoft 365 unterliegt einem Modell der geteilten Verantwortung: Microsoft ist dafür verantwortlich, dass der Dienst läuft (Verfügbarkeit, Redundanz, Verfügbarkeit der Rechenzentren), und der Kunde ist verantwortlich für die Daten darin, die Identitäten, die darauf zugreifen, und die Richtlinien, die sie aufbewahren. Die Replikation von Microsoft schützt vor Ausfällen bei Microsoft, nicht vor Ihren eigenen. Sie repliziert getreu ein von Ransomware verschlüsseltes OneDrive, ein von einem kompromittierten Admin-Konto bereinigtes Postfach und eine versehentlich gelöschte SharePoint-Site. Die Liste der Bedrohungen ist eher alltäglich als exotisch: versehentliche Löschungen, die erst nach dem Leeren des Papierkorbs bemerkt werden, böswillige Insider, kompromittierte Administrator-Zugangsdaten, Sync-Clients, die verschlüsselte Dateien verbreiten, und Aufbewahrungsrichtlinien, die so falsch konfiguriert sind, dass es niemand bemerkt, bis eine Wiederherstellung nötig ist. Nichts davon ist ein Ausfall – und damit ist auch nichts davon ein Problem, das Microsoft beheben muss. Aufbewahrung ist kein Backup M365 bringt Mechanismen mit, die nach Schutz aussehen: Papierkörbe, Versionsverlauf, Litigation Hold, Aufbewahrungsrichtlinien. Sie erfüllen echte Zwecke, vor allem Compliance, und ein gut geführter Tenant konfiguriert sie bewusst zusammen mit einer sauberen Richtlinie zur Datenaufbewahrung. Was sie nicht bieten, ist eine wiederherstellbare Kopie zu einem bestimmten Zeitpunkt, die außerhalb des Tenants liegt. Papierkörbe werden nach Zeitplänen geleert, die in Tagen bis Wochen gemessen werden. Der Versionsverlauf hilft bei einer Datei, nicht beim Zurücksetzen von zehntausend verschlüsselten Dateien. Und alles, was diese Mechanismen vorhalten, liegt im selben Tenant – erreichbar mit denselben kompromittierten Zugangsdaten, die den Vorfall ausgelöst haben. Aufbewahrung beantwortet die Frage „Können wir nachweisen, was existierte?“, Backup die Frage „Können wir es zurückholen?“. Das sind zwei verschiedene Aufgaben. Der Backup-Dienst von Microsoft – ehrlich bewertet Seit 2024 bietet Microsoft einen eigenen kostenpflichtigen Dienst namens Microsoft 365 Backup an, der Point-in-Time-Backups von Exchange Online, OneDrive und SharePoint erstellt und deutlich schneller wiederherstellt als die mühsame Suche im Papierkorb. Für die reine Wiederherstellungsgeschwindigkeit bei häufigen Vorfällen ist er eine glaubwürdige Option, und für manche Unternehmen wird er ausreichen. Seine strukturelle Eigenschaft verdient jedoch einen nüchternen Blick: Die Backups werden in der Infrastruktur von Microsoft gespeichert, mit einer Aufbewahrung von Stand 2026 bis zu etwa einem Jahr. Die Kopie der letzten Instanz teilt sich also Anbieter, Steuerungsebene und Abrechnungsbeziehung mit den Daten, die sie schützt. Für Unternehmen, deren Wiederherstellungsplanung Ausfälle auf Anbieterebene, Kontokompromittierungen, Vertragsstreitigkeiten oder Fragen von Aufsichtsbehörden nach unabhängigen Kopien berücksichtigt, erfüllt ein Backup, das die Plattform nie verlässt, nicht die 3-2-1-Disziplin, ganz zu schweigen von der strengeren 3-2-1-1-0-Backup-Strategie, die eine unveränderliche, verifizierte Kopie ergänzt. Das Speicherziel: Wohin Microsoft-365-Backups gehören Backups von M365 über Drittanbieter zerfallen in zwei Entscheidungen, die oft vermischt werden: die Backup-Software (die Marktführer sichern Exchange, OneDrive, SharePoint und Teams allesamt zuverlässig) und das Speicherziel, auf das sie schreibt. Die Software-Entscheidung bekommt die Aufmerksamkeit; die Entscheidung über das Ziel bestimmt, was ein Angreifer erreichen kann und was eine große Wiederherstellung kostet. Beim Ziel kommt es auf vier Eigenschaften an. Unabhängigkeit: Es sollte außerhalb der Vertrauensgrenze von M365 liegen, damit eine Kompromittierung auf Tenant-Ebene es nicht erreicht. Unveränderlichkeit: Backups, die mit S3 Object Lock gesperrt sind, lassen sich während ihres Aufbewahrungsfensters weder verschlüsseln noch löschen – selbst mit gestohlenen Zugangsdaten des Backup-Servers. Das ist die Grundlage eines Ransomware-sicheren Backups. Wirtschaftlichkeit der Wiederherstellung: M365-Vorfälle betreffen häufig den gesamten Tenant, und Dutzende Terabyte über den Egress-Zähler eines Cloud-Anbieters zurückzuholen, bringt einer ohnehin schlechten Woche eine fünfstellige Überraschung. Das spricht für ein Ziel, das Ihnen gehört, oder eines ohne Ausstiegsgebühren pro Gigabyte. Und schließlich Kapazitätsreserven, denn im nächsten Abschnitt unterschätzen die meisten Designs den Bedarf. Dimensionierung und Wirtschaftlichkeit Ein M365-Backup-Bestand ist immer größer als der Tenant, den er schützt. Tägliche Point-in-Time-Kopien vervielfachen den Quellbestand entsprechend dem Aufbewahrungsplan; die Versionsflut in OneDrive und SharePoint verstärkt das; und Mail-Archive wachsen nur. Ein Tenant mit wenigen Terabyte erzeugt innerhalb eines Jahres regelmäßig einen Backup-Bestand von Dutzenden Terabyte, und Unternehmen mit mehrjährigen Aufbewahrungspflichten erreichen Hunderte Terabyte – eine Größenordnung, die früher Dateiservern vorbehalten war. Echte Bereitstellungen bestätigen das: Der M365-Backup-Bestand einer einzigen Bank kann 500 TB übersteigen. Dieses Wachstumsprofil ist der Grund, warum das Ziel durch zusätzliche Kapazität skalieren sollte statt durch einen Komplettaustausch – und warum die Kosten pro gespeichertem Terabyte über die gesamte Aufbewahrungsfrist die Vergleichsgröße sind, nicht die Rechnung des ersten Jahres. Objektspeicher ist hier zur Standardantwort geworden: Er skaliert an Ort und Stelle, spricht die S3 API, auf die die Backup-Software bereits schreibt, und setzt Unveränderlichkeit nativ durch. Checkliste: Speicher für Microsoft-365-Backups bewerten Gibt es eine Kopie Ihrer M365-Daten außerhalb der Infrastruktur und Vertrauensgrenze von Microsoft? Ist mindestens eine Kopie für ihr gesamtes Aufbewahrungsfenster unveränderlich und selbst mit Admin-Zugangsdaten unantastbar? Können Sie ein einzelnes Postfach, eine einzelne Dateiversion UND den gesamten Tenant wiederherstellen – und haben Sie Letzteres schon einmal zeitlich gemessen? Was kostet eine vollständige Wiederherstellung des Tenants an Egress und Stunden, und wer hat sie getestet? Passt das prognostizierte Wachstum (Aufbewahrungsplan × Quellgröße plus Versionen) für 3 bis 5 Jahre auf das Ziel? Sind Aufbewahrungsrichtlinien und Backup-Zeitpläne namentlich benannten Personen zugeordnet statt angenommenen Standardwerten? Wenn der native Backup-Dienst von Microsoft Teil des Plans ist: Ist seine Speicherung innerhalb der Plattform ein akzeptiertes, dokumentiertes Risiko? Alles zusammengefasst Speicher für Microsoft-365-Backups ist ein gelöstes Problem, das die meisten Unternehmen einfach noch nicht gelöst haben. Die Argumentationskette ist kurz: Microsoft schützt den Dienst, Sie schützen die Daten; Aufbewahrungsmechanismen dienen der Compliance, nicht der Wiederherstellung; der Backup-Dienst von Microsoft ist schnell, liegt aber innerhalb der Plattform, die er schützt; also ergänzt ein vollständiges Design ein Drittanbieter-Backup, das auf ein unabhängiges, unveränderliches und wirtschaftlich wiederherstellbares Ziel schreibt. Dimensionieren Sie es für den Aufbewahrungsplan statt für den Tenant, testen Sie die große Wiederherstellung vor dem Ernstfall – dann ist die SaaS-Plattform, auf der Ihr Unternehmen läuft, nicht länger die einzige Kopie von allem, was es erzeugt. Häufig gestellte Fragen Sichert Microsoft Microsoft 365 nicht ohnehin schon? Microsoft repliziert Daten für die Resilienz des Dienstes und bietet Papierkörbe und Aufbewahrungsfenster, doch nach dem Modell der geteilten Verantwortung sind Ihre Daten Ihre Verantwortung, und der Servicevertrag von Microsoft empfiehlt ein Backup über Drittanbieter. Replikation schützt vor Hardwareausfällen bei Microsoft, nicht vor Löschung, Kompromittierung oder Ransomware in Ihrem Tenant. Reicht der kostenpflichtige Backup-Dienst von Microsoft aus? Er stellt nach häufigen Vorfällen schnell wieder her und kann Unternehmen mit bescheidenen Anforderungen genügen. Seine Backups liegen in der Infrastruktur von Microsoft, mit einer Aufbewahrung von Stand 2026 bis zu etwa einem Jahr. Er bietet also weder eine unabhängige Kopie noch mehrjährige Aufbewahrung oder Schutz vor Ausfällen auf Plattform- und Kontoebene. Wie sieht die 3-2-1-Regel für M365 aus? Der Produktiv-Tenant ist Kopie eins. Ein Drittanbieter-Backup auf unabhängigem Speicher ist Kopie zwei, idealerweise auf einem anderen Medium oder einer anderen Plattform als der Tenant. Eine dritte Kopie, extern oder offline, macht es komplett, und die moderne Praxis ergänzt eine unveränderliche Kopie und verifizierte Wiederherstellungen (3-2-1-1-0). Backups, die die Cloud von Microsoft nie verlassen, zählen nur eingeschränkt, da sie die Fehlerdomäne des Tenants teilen. Wie viel Speicher braucht ein M365-Backup tatsächlich? Planen Sie ein Vielfaches der Tenant-Größe ein, abhängig von Aufbewahrungsdauer, Backup-Häufigkeit und Versionswachstum. Tenants mit wenigen Terabyte erzeugen innerhalb eines Jahres häufig Backup-Bestände von Dutzenden Terabyte, und mehrjährige Aufbewahrung treibt große Unternehmen in den Bereich von Hunderten Terabyte. Rechnen Sie Aufbewahrung × Quellgröße und addieren Sie dann das Versionswachstum. Warum ist Unveränderlichkeit gerade für M365-Backups wichtig? Weil M365-Vorfälle meist über Zugangsdaten beginnen, und Zugangsdaten, mit denen sich Produktivdaten löschen lassen, oft auch Backups erreichen. Unveränderlichkeit auf Speicherebene (etwa S3 Object Lock im Compliance-Modus) bedeutet, dass das Backup während der Aufbewahrung weder verschlüsselt noch gelöscht werden kann – egal, wer die Schlüssel in der Hand hält. Damit wird aus einem Tenant-weiten Vorfall eine Wiederherstellungsübung. Weiterführende Lektüre Weiterer Kontext: Backup-Strategie für Unternehmen, Tests zur Backup-Verifizierung und Instant VM Recovery (auf Englisch).
