Backup für Microsoft 365: warum der Papierkorb nicht reicht

Der Papierkorb in Microsoft 365 wirkt wie ein Sicherheitsnetz. Tatsächlich ist er nur ein Zwischenspeicher mit Verfallsdatum. Nach spätestens 93 Tagen sind gelöschte Dateien, Postfächer oder Teams-Chats endgültig weg. Das gilt selbst dann, wenn niemand aktiv etwas gelöscht hat. Wer sich allein auf SharePoint, OneDrive und Exchange Online verlässt, verwechselt Aufbewahrung mit einer echten Sicherung. Nur eine externe Kopie erlaubt im Ernstfall einen granularen Restore. Laut Servnet Ltd (SaaS Backup Survey 2026) haben bereits 70 Prozent der Unternehmen Datenverluste in SaaS-Anwendungen wie Microsoft 365 erlitten. Dieser Ratgeber trennt native Aufbewahrung von echtem Backup. Er ordnet die GoBD-Aufbewahrungspflicht ein. Und er zeigt, welche Drittanbieter-Lösungen für KMU infrage kommen.

Papierkorb, Aufbewahrung und Backup: drei sehr verschiedene Dinge

Ein Backup ist eine unabhängige Kopie deiner Daten. Es ermöglicht eine Wiederherstellung nach Verlust, Fehlbedienung oder Angriff, egal was in der Ursprungsumgebung passiert. Genau das leistet der Microsoft-365-Papierkorb nicht. Er gehört zur selben Plattform wie deine Originaldaten. Er unterliegt denselben Berechtigungen und derselben Angriffsfläche. Löscht ein kompromittiertes Konto Dateien in SharePoint, verschwinden sie im selben System. Aus genau diesem System müsste dann auch ein Restore stammen.

Wie lange Microsoft gelöschte Daten tatsächlich vorhält

Die Aufbewahrungsfristen unterscheiden sich je nach Dienst. Laut Servnet Ltd liegen sie zwischen 30 und 93 Tagen. OneDrive- und SharePoint-Dateien landen zunächst im nutzerseitigen Papierkorb. Danach wandern sie in den Websitepapierkorb. Exchange-Online-Postfächer nutzen den Ordner “Wiederherstellbare Elemente” mit eigener Frist. Nach Ablauf ist eine Wiederherstellung ohne separates Backup nicht mehr möglich. Das gilt auch dann, wenn die Löschung unbeabsichtigt war.

Retention ist kein Microsoft 365 Backup

Retention Policies verlängern die Aufbewahrung über die Standardfrist hinaus. Sie verhindern, dass Inhalte manuell endgültig gelöscht werden. Das klingt nach Backup, ist aber nur ein Aufbewahrungswerkzeug. Es sichert keine separate Kopie an einem unabhängigen Ort. Es bietet auch keinen granularen Restore einzelner Postfächer, Websites oder Zeitpunkte. Fällt ein ganzer Mandant durch Ransomware oder eine fehlerhafte Migration aus, hilft eine Retention Policy kaum. Denn dann ist die zugrunde liegende Plattform selbst betroffen.

Was Microsoft nativ abdeckt: SharePoint, OneDrive und Exchange Online

Microsoft sichert die Infrastruktur seiner Cloud, nicht die Inhalte darin. Rechenzentren, Netzwerk und die Anwendungen selbst laufen zuverlässig. Diese Trennung steht so in den Nutzungsbedingungen von Microsoft. Sie erklärt, warum SharePoint, OneDrive, Exchange Online und Teams jeweils eigene, aber begrenzte Aufbewahrungsmechanismen mitbringen. Diese Mechanismen unterscheiden sich deutlich in Reichweite und Bedienung.

SharePoint und OneDrive: der zweistufige Papierkorb

SharePoint und OneDrive teilen sich ein Konzept aus zwei Stufen. Der Papierkorb der ersten Stufe liegt beim Nutzer. Die zweite Stufe verwaltet die Website oder Sammlung. Administratoren können aus der zweiten Stufe Dateien noch wiederherstellen. Auch hier gilt aber eine feste Frist. Massenlöschungen durch Synchronisationsfehler oder ein kompromittiertes Konto betreffen häufig beide Stufen gleichzeitig.

Exchange Online: Recoverable Items und Litigation Hold

Exchange Online speichert gelöschte E-Mails im Ordner “Wiederherstellbare Elemente”. Erst danach werden sie endgültig entfernt. Litigation Hold und In-Place Hold verlängern diese Frist gezielt für einzelne Postfächer, etwa bei rechtlichen Auseinandersetzungen. Beide sind aber als punktuelles Werkzeug gedacht. Sie ersetzen kein durchgängiges Backup für die E-Mail-Umgebung über alle Postfächer hinweg.

Teams: verstreute Daten, unklare Zuständigkeit

Teams-Inhalte liegen technisch verteilt. Chats speichert Exchange Online. Dateien liegen in SharePoint oder OneDrive. Kanalstruktur und Einstellungen verwalten eigene Dienste. Diese Verteilung erschwert eine vollständige native Wiederherstellung. Ein einzelner Restore müsste mehrere Teilsysteme gleichzeitig betreffen. Jedes Teilsystem bringt dabei eigene Fristen und Mechanismen mit.

Wer für die Exchange Shared Mailbox und weitere Postfächer plant, sollte die Sicherung von Anfang an mitdenken, statt sie erst nach einem Vorfall nachzurüsten.

Geteilte Verantwortung: wofür Microsoft haftet und wofür du selbst zuständig bist

Microsoft übernimmt die Verfügbarkeit der Plattform. Dazu zählen Rechenzentren, Netzwerk und die Anwendungen selbst. Für die Inhalte in diesen Anwendungen bleibst du verantwortlich. Das betrifft E-Mails, Dokumente, Kontakte und Teams-Chats. Dieses Modell heißt Shared Responsibility. Microsoft beschreibt es so in den eigenen Vertragsbedingungen. In der Alltagswahrnehmung vieler KMU taucht es trotzdem kaum auf.

Reale Verlustszenarien: Nutzerfehler, Ransomware, Ex-Mitarbeiter

Die häufigsten Ursachen für Datenverlust sind selten spektakulär. Ein Nutzer löscht versehentlich einen ganzen Ordner samt Unterordnern. Ein Synchronisationsfehler überschreibt lokale mit veralteten Cloud-Versionen. Ransomware verschlüsselt Dateien, die anschließend fehlerfrei in die Cloud synchronisiert werden. Besonders unterschätzt: Verfällt die Lizenz eines ausgeschiedenen Mitarbeiters, verfällt auch dessen Postfach samt OneDrive nach kurzer Frist automatisch. Laut vBoxx ist das eine der häufigsten vermeidbaren Ursachen für stillen Datenverlust in KMU.

GoBD und DSGVO: Aufbewahrungspflicht schlägt Papierkorb-Frist

Die GoBD verlangen für geschäftsrelevante E-Mails eine zehnjährige, unveränderbare Aufbewahrung. Das gilt unabhängig davon, wie lange Exchange Online die Nachrichten im Postfach vorhält. Laut datensichern.info betrifft das vor allem Rechnungen, Verträge und Angebote per E-Mail. Diese müssen für die Finanzverwaltung nachvollziehbar bleiben. Der Microsoft-365-Papierkorb deckt mit 30 bis 93 Tagen Aufbewahrung diesen Zeitraum um Größenordnungen zu kurz ab.

Parallel dazu verlangt die DSGVO einen Nachweis darüber, wo personenbezogene Daten gespeichert sind und wie sie geschützt werden. Ein Backup-Konzept ist damit nicht nur ein technisches Thema, sondern auch ein Compliance-Thema. Es spielt in die DSGVO-Software für KMU hinein, sobald Backups selbst personenbezogene Daten enthalten und entsprechend dokumentiert werden müssen.

Revisionssichere E-Mail-Archivierung neben dem Backup

Backup und Archivierung verfolgen unterschiedliche Ziele. Am besten betrachtest du sie getrennt. Ein Backup dient der schnellen Wiederherstellung nach Verlust. Es wird meist nach einigen Monaten rotiert. Eine GoBD-konforme Archivierung speichert relevante E-Mails dagegen unveränderbar und durchsuchbar, und zwar für die vollen zehn Jahre. Willst du beides mit derselben Lösung abdecken, prüfe gezielt, ob der Anbieter eine Write-Once-Read-Many-Speicherung unterstützt. Eine reine Datensicherung ersetzt keine revisionssichere Archivierung.

Drittanbieter-Lösungen für ein echtes Microsoft 365 Backup

Für eine eigenständige Sicherung von Microsoft 365 existieren drei verbreitete Architekturen. Sie unterscheiden sich vor allem im Speicherort und im Lizenzmodell. Die Wahl hängt von mehreren Faktoren ab: Ist bereits eigene Hardware vorhanden? Wie viele Postfächer müssen gesichert werden? Und wie strikt muss die Datenhoheit im eigenen Rechenzentrum bleiben?

Veeam Backup for Microsoft 365

Veeam Backup for Microsoft 365 sichert Exchange Online, SharePoint, OneDrive und Teams. Die Software läuft entweder On-Premise oder in einer vom Kunden verwalteten Cloud-Umgebung. Der granulare Restore einzelner E-Mails, Dokumente oder Teams-Nachrichten zählt zu den Kernfunktionen. Die Lösung richtet sich vor allem an Unternehmen, die bereits mit anderen Veeam-Produkten arbeiten. Auch für Betriebe mit einer einheitlichen Backup-Strategie über mehrere Systeme hinweg eignet sie sich.

Synology Active Backup for Microsoft 365 auf eigener Hardware

Synology Active Backup for Microsoft 365 sichert Exchange Online, OneDrive, SharePoint und Teams direkt auf eine Synology-NAS im eigenen Betrieb. Attraktiv ist das Modell vor allem aus einem Grund: Es fällt keine separate Softwarelizenz an, solange bereits eine kompatible NAS im Einsatz ist. Für kleinere Betriebe mit vorhandener Synology-Hardware ist das einer der günstigsten Wege zu einer eigenständigen Cloud-Sicherung. Die Verantwortung für Kapazität und Ausfallsicherheit der eigenen NAS bleibt dabei aber beim Betrieb selbst.

AvePoint und andere Cloud-to-Cloud-Dienste

AvePoint bietet ein Cloud-Backup, das SharePoint Online, Exchange Online, Microsoft-365-Gruppen und Teams über eine eigene Verwaltungsoberfläche sichert. Eigene Hardware muss dafür nicht betrieben werden. Solche Cloud-to-Cloud-Dienste eignen sich besonders für Betriebe, die keine zusätzliche Infrastruktur pflegen wollen. Sie bevorzugen stattdessen ein nutzungsbasiertes oder pro Anwender abgerechnetes Modell.

Wiederherstellung im Ernstfall: das eigentliche Auswahlkriterium

Nicht die Sicherung selbst entscheidet über den Wert einer Backup-Lösung. Entscheidend ist die tatsächliche Wiederherstellung. Eine Lösung, die zuverlässig sichert, aber im Ernstfall Stunden für einen vollständigen Restore braucht statt Minuten für einen einzelnen Kalendereintrag, verfehlt den eigentlichen Zweck.

Granulare Restores und der jährliche Testlauf

Ein granularer Restore erlaubt es, einzelne E-Mails, Dateien oder Teams-Kanäle wiederherzustellen. Das gesamte Postfach oder die komplette Website muss dafür nicht zurückgespielt werden. Das spart Zeit. Es verhindert außerdem, dass bereits korrekte Daten überschrieben werden. Wichtiger als jede Feature-Liste ist aber ein jährlicher Testlauf. Ein Restore, der nur in der Theorie funktioniert, aber nie ausprobiert wurde, ist im Ernstfall ein Risiko. Ein kurzer, dokumentierter Testrestore pro Jahr zeigt, ob die Wiederherstellung tatsächlich innerhalb der erwarteten Zeit gelingt.

Kosten und Einführung: worauf KMU beim Microsoft 365 Backup achten sollten

Cloud-to-Cloud-Anbieter wie AvePoint rechnen üblicherweise pro Postfach oder Nutzer und Monat ab. Mit wachsender Mitarbeiterzahl steigen die Kosten dabei linear. Synology Active Backup for Microsoft 365 verursacht dagegen keine separate Softwarelizenz, sofern bereits eine kompatible NAS vorhanden ist. Vor allem die Investition in Speicherkapazität und Redundanz fällt hier ins Gewicht. Veeam positioniert sich preislich häufig zwischen beiden Modellen. Die genauen Kosten hängen von Nutzerzahl und gewählter Infrastruktur ab.

Bei der Einführung zählt neben dem Preis auch der Aufwand für die Ersteinrichtung. Ein Cloud-to-Cloud-Dienst ist oft innerhalb weniger Stunden startklar, weil die Verbindung über eine Admin-Freigabe in Microsoft 365 erfolgt. Eine On-Premise-Lösung wie Synology Active Backup braucht dagegen etwas mehr Vorbereitung. Die NAS muss im Netzwerk erreichbar sein. Sie muss ausreichend Speicherplatz bereitstellen. Und sie muss regelmäßig gewartet werden. Betreibst du mehrere Standorte, solltest du zusätzlich prüfen, ob die gewählte Lösung zentrale Berichte über alle Postfächer und Websites hinweg liefert. Nur so fallen Ausfälle schnell auf.

Bei der Einführung lohnt sich ein strukturierter Auswahlprozess, wie er auch bei der Software-Auswahl für KMU sinnvoll ist. Lege die Anforderungen an Aufbewahrungsdauer, Speicherort und Restore-Geschwindigkeit vorab fest. Richte dich dabei nicht allein am Preis aus.

Fazit: Der Papierkorb ist Komfort, kein Sicherheitsnetz

Der Microsoft-365-Papierkorb hilft bei versehentlichem Löschen innerhalb weniger Wochen. Er ersetzt aber weder ein Microsoft 365 Backup noch eine GoBD-konforme Archivierung. Mit einer Aufbewahrung von 30 bis 93 Tagen deckt er weder Ransomware-Szenarien noch die zehnjährige Aufbewahrungspflicht für geschäftsrelevante E-Mails ab. Angesichts einer Datenverlust-Quote von 70 Prozent in SaaS-Anwendungen laut Servnet Ltd lohnt sich für die meisten KMU eine der drei vorgestellten Architekturen. Veeam passt zu bestehenden Backup-Landschaften. Synology Active Backup eignet sich für vorhandene NAS-Hardware. Ein Cloud-to-Cloud-Dienst wie AvePoint passt zu Betrieben ohne eigene Infrastruktur. Wichtiger als die Wahl der Software bleibt aber der jährliche Testrestore, denn nur er zeigt, ob die Sicherung im Ernstfall tatsächlich funktioniert.