Microsoft sorgt dafür, dass Microsoft 365 läuft. Dass deine Daten noch da sind, wenn etwas schiefgeht, ist dein Job. Diese Arbeitsteilung steht seit Jahren in Microsofts eigener Dokumentation, und trotzdem überrascht sie in Gesprächen regelmässig Leute, die täglich mit M365 arbeiten.
Wir verstehen, warum. Die Cloud fühlt sich an wie ein Ort, an dem nichts verloren geht. Mails sind auf drei Geräten sichtbar, Dateien haben Versionsverläufe, gelöschte Sachen liegen im Papierkorb. Das sieht aus wie Sicherheit. Es ist aber etwas anderes: Es ist ein sehr gut betriebener Dienst. Der Unterschied zwischen den beiden wird erst an dem Tag sichtbar, an dem du Daten zurückbrauchst, die der Dienst nicht mehr hat.
Braucht Microsoft 365 ein Backup?
Meistens ja, aber nicht aus dem Grund, den Backup-Anbieter gern erzählen. Der Auslöser ist selten ein Fehler bei Microsoft. Die realistischen Verlustszenarien sitzen bei dir: versehentliches oder absichtliches Löschen, ein kompromittiertes Konto, Ransomware im Tenant, ein Offboarding, das schiefging. Für diese Fälle bieten die Bordmittel Fristen, keine Garantien. Ob dir das reicht, hängt von deinen Daten ab, nicht vom Bauchgefühl.
Das ist die kurze Antwort. Die längere lohnt sich, weil sie erklärt, warum beide Lager falsch liegen: die einen, die sagen «ist doch in der Cloud, also gesichert», und die anderen, die dir mit Katastrophenfolien ein Produkt verkaufen wollen, bevor du deine eigene Lage kennst.
Was Microsoft übernimmt und was bei dir bleibt
Microsoft dokumentiert die Arbeitsteilung offen, im sogenannten Shared-Responsibility-Modell (Microsoft Learn, Stand August 2026). Für SaaS-Dienste wie Microsoft 365 heisst das übersetzt: Microsoft verantwortet Rechenzentren, Netzwerk, Betriebssystem und den Betrieb der Anwendung. Deine Daten, deine Konten, deine Konfiguration und deine Zugriffskontrollen bleiben in jeder Zeile der Tabelle bei dir.
Die Aufteilung ist folgerichtig. Microsoft kann gar nicht wissen, welche deiner Daten geschäftskritisch sind, wie lange du sie brauchst und wer sie nach welchem Austritt noch sehen darf. Also baut Microsoft einen Dienst, der zuverlässig läuft, und überlässt dir die Entscheidungen über die Inhalte.
Für Schweizer Firmen kommt eine zweite Ebene dazu: Nach nDSG bleibst du für Personendaten verantwortlich, auch wenn sie bei einem Cloud-Anbieter liegen. Die Verantwortung wandert nicht mit den Daten ins Rechenzentrum. Sie bleibt an deinem Firmensitz.
In unserer Erfahrung ist der blinde Fleck eine Entscheidung, die nie getroffen wurde. Die meisten KMU haben die Backup-Frage für M365 nie bewusst beantwortet. Sie haben migriert, es lief, und das Thema verschwand von der Liste.
Das Muster, das uns dabei am häufigsten begegnet, sieht so aus: Beim alten Server gab es ein Backup, weil es selbstverständlich war. Band, NAS, externer Dienstleister, irgendetwas. Mit dem Umzug in die Cloud wanderte die Verantwortung für die Server zu Microsoft, und das Backup wanderte gedanklich gleich mit. Nur steht das in keinem Vertrag. Die alte Sicherung wurde abgeschaltet, eine neue nie aufgesetzt, und niemand hat diesen Zustand je beschlossen. Er ist einfach entstanden.
Der Moment, in dem das auffällt, ist selten ein Grossereignis. Typischer ist die kleine Variante: Ein Mitarbeiter ist seit einem halben Jahr weg, sein Konto wurde beim Offboarding sauber gelöscht, die Lizenz freigegeben, alles korrekt gemacht. Dann taucht eine Vertragsfrage auf, und die einzige Person, die die entscheidende Zusage per Mail bekommen hat, war er. Das Postfach ist längst endgültig weg. Kein Angriff, kein Defekt, kein Schuldiger. Nur eine Frist, die niemand auf dem Radar hatte.
Papierkorb, Aufbewahrung, Backup: drei verschiedene Dinge
Die Verwirrung entsteht, weil Microsoft 365 durchaus Mechanismen mitbringt, die nach Datensicherung aussehen. Es hilft, sie auseinanderzuhalten.
Die Papierkörbe und Wiederherstellungsfristen sind für Alltagsfehler gebaut. Eine gelöschte Datei, ein zu schnell aufgeräumtes Postfach, ein versehentlich entferntes Konto: Dafür funktionieren sie gut. Aber sie haben Ablaufdaten. Ein gelöschtes Benutzerkonto samt Postfach kannst du laut Microsoft-Dokumentation 30 Tage lang wiederherstellen, danach ist es weg. Endgültig. Wenn der Fehler am Tag 31 auffällt, weil die Nachfolgerin eine alte Kundenzusage sucht, hilft kein Support-Ticket mehr.
Aufbewahrungsrichtlinien (Retention Policies) können Daten deutlich länger halten. Sie sind aber für Compliance gebaut, nicht für Wiederherstellung. Sie beantworten die Frage «dürfen wir das löschen?», nicht die Frage «wie stellen wir am Montagmorgen die Postfächer eines halben Teams in einem brauchbaren Zustand wieder her?». Wer je versucht hat, aus Aufbewahrungsarchiven einen laufenden Betrieb zu rekonstruieren, kennt den Unterschied.
Ein Backup schliesslich ist eine eigenständige Kopie ausserhalb der Reichweite des Systems, das es sichert. Diese Eigenschaft fehlt den Bordmitteln: Wer Admin-Rechte in deinem Tenant hat, ob legitim oder nicht, kommt an Papierkörbe und Richtlinien heran. Ein Angreifer mit Vollzugriff löscht nicht nur Daten, er kann auch die Mechanismen anpassen, die sie schützen sollten.
Drei Szenarien, in denen der Unterschied konkret wird:
- Der stille Abgang. Ein Mitarbeiter verlässt die Firma im Unfrieden und räumt vorher auf. Was er in seinen letzten Wochen gelöscht hat, fällt oft erst Monate später auf, lange nach allen Fristen.
- Das kompromittierte Konto. Übernommene M365-Konten sehen wir bei Schweizer KMU regelmässig. Ein Angreifer mit Postfachzugriff kann Regeln setzen, Daten abziehen und Spuren löschen.
- Ransomware im Tenant. Verschlüsselte Dateien synchronisieren sich brav über OneDrive und SharePoint. Versionsverläufe helfen teilweise, aber bei Tausenden Dateien wird «teilweise» schnell zur Wochenaufgabe.
Zur Ehrlichkeit gehört auch die Gegenrichtung: Für den Alltag sind die Bordmittel gut. Versionsverläufe retten das überschriebene Angebot, der Papierkorb die zu schnell gelöschte Ablage, und die 30 Tage reichen für jeden Fehler, der zeitnah auffällt. Microsoft hat nicht zu wenig eingebaut. Die eingebauten Mechanismen sind nur für ein anderes Einsatzgebiet gebaut als das, was viele stillschweigend von ihnen erwarten.
Keines der drei Szenarien oben ist deshalb ein Grund zur Panik. Alle drei sind ein Grund, die Frage bewusst zu entscheiden statt sie zu vererben.
Wie du die Frage für deinen Betrieb entscheidest
Der Reflex, den wir nicht empfehlen: eine Backup-Lösung kaufen, weil der Anbieter gerade angerufen hat. Der andere Reflex, den wir genauso wenig empfehlen: das Thema vertagen, weil bisher nichts passiert ist. Beides überlässt die Sache dem Zufall.
Die bessere Reihenfolge beginnt bei den Daten, nicht beim Produkt. Drei Fragen tragen die Entscheidung:
Erstens: Welche Daten in M365 wären nach einem Verlust ein Geschäftsproblem? Nicht alles ist gleich kritisch. Projektarchive von 2019 überleben einen Verlust, die Auftrags- und Vertragskorrespondenz der letzten zwei Jahre vermutlich nicht.
Zweitens: Wie lange nach einem Vorfall würde der Verlust auffallen? Alles, was innerhalb der Bordmittel-Fristen auffällt, deckt der Standard ab. Alles, was später auffällt, deckt nur ein Backup ab. Gelöschte Postfächer ehemaliger Mitarbeiter sind der Klassiker in dieser Kategorie.
Drittens: Wer stellt wieder her, und wie schnell? Ein Backup, das niemand je auf Wiederherstellung getestet hat, ist eine Hoffnung mit Lizenzkosten. Das gilt für M365 genauso wie für jedes andere Sicherheitswerkzeug, das gekauft und nie betrieben wurde.
Aus diesen Antworten ergibt sich die Dimensionierung fast von selbst. Manche Betriebe brauchen ein vollständiges Backup mit Datenhaltung in der Schweiz oder Europa, inklusive vertraglich geregelter Aufbewahrung. Andere fahren gut mit einem schlanken Setup für Postfächer und die kritischen SharePoint-Bereiche. Und bei einigen ist die unbequemste Erkenntnis: Zuerst gehören die Zugriffe und das Offboarding aufgeräumt, denn das grösste Verlustrisiko sitzt dort, nicht in der fehlenden Kopie. Sicherheit richtig zu dimensionieren heisst auch hier: Das Risiko bestimmt das Werkzeug, nicht umgekehrt.
Die Kostenseite gehört in dieselbe Rechnung, und zwar in beide Richtungen. M365-Backups werden meist pro Benutzer und Jahr lizenziert. Wer für den ganzen Tenant zahlt, obwohl nur ein Teil der Daten den Aufwand rechtfertigt, kauft sich ein gutes Gefühl statt Schutz. Wer umgekehrt aus Sparsamkeit ganz verzichtet, obwohl zwei, drei Datenbereiche den Betrieb tragen, spart am falschen Ort. Beides sind Dimensionierungsfehler, keine Budgetfragen. Ein Backup, das zu deinen Daten passt, ist übrigens oft günstiger als das Tool-Abo, das aus einer Angst-Präsentation heraus gekauft wurde und seither mitläuft.
Falls du dafür eine nüchterne Aussensicht willst: Genau solche Betriebsfragen, von Datensicherung bis Offboarding, gehören zu unserem Security Management. Ein Erstgespräch kostet nichts, und oft reicht es schon, um die Backup-Frage von der Pendenzenliste zu bekommen.
Die Frage hinter der Backup-Frage
«Braucht Microsoft 365 ein Backup?» klingt nach einer Produktfrage. Sie ist in Wahrheit eine Zuständigkeitsfrage: ob jemand in deinem Betrieb entschieden hat, welche Daten wie lange überleben müssen, und ob dieser Entscheid irgendwo steht.
Wenn es diese Person und diesen Entscheid gibt, ist die Produktwahl danach erstaunlich unaufgeregt. Wenn nicht, dann ist nicht das fehlende Backup dein eigentliches Risiko, sondern die unbeantwortete Frage. Microsoft hat seinen Teil der Arbeitsteilung schriftlich festgehalten. Hast du deinen?
