Eine gelöschte E-Mail, die niemand mehr findet. Ein OneDrive-Ordner, den ein ausscheidender Mitarbeiter versehentlich mitgenommen hat. Ein Ransomware-Befall, der sich über die Synchronisierung auf alle verbundenen Geräte ausgebreitet hat. In allen drei Fällen ist die häufigste erste Reaktion dieselbe: „Kann Microsoft das nicht wiederherstellen?“
Die Antwort ist meistens: Nein.
Was Microsoft tatsächlich sichert — und was nicht
Microsoft betreibt eine hochverfügbare Infrastruktur. Fällt ein Rechenzentrum aus, übernimmt ein anderes. Das ist Infrastruktur-Redundanz, kein Backup. Microsoft selbst beschreibt das im sogenannten Shared Responsibility Model unmissverständlich: Die Verfügbarkeit der Dienste liegt bei Microsoft. Die Verantwortung für die Daten liegt beim Kunden.
Was das konkret bedeutet: Wer eine E-Mail löscht, hat je nach Konfiguration 14 bis 93 Tage, um sie aus dem Papierkorb zurückzuholen. Danach ist sie weg. Wer eine SharePoint-Bibliothek löscht, hat 93 Tage. Wer ein ganzes Postfach löscht, oft deutlich weniger. Diese Fristen sind keine Backup-Lösung — sie sind ein Papierkorb mit Ablaufdatum.
Ransomware macht das Problem noch deutlicher. Verschlüsselte Dateien synchronisiert OneDrive brav auf alle verbundenen Geräte. Der Angriff landet damit nicht nur auf einem Rechner, sondern in der Cloud und auf allen synchronisierten Endpunkten gleichzeitig. Versionierung hilft nur, wenn der Angriff schnell bemerkt wird und die Versionshistorie nicht manipuliert wurde.
Welche Lösungen es gibt — und was sie wirklich können
Der Markt für M365-Backup ist in den letzten Jahren gewachsen, aber er hat eine strukturelle Schwäche: Fast alle Produkte sichern Cloud-zu-Cloud. Die Daten wandern aus Microsofts Rechenzentrum in das Rechenzentrum des Backup-Anbieters. Das ist besser als gar nichts — aber es ist keine physische Kopie im eigenen Haus.
Hornetsecurity 365 Total Backup ist für KMU in Deutschland die am besten positionierte Lösung. Das Unternehmen ist deutsch, betreibt zertifizierte Rechenzentren in Deutschland, und ist als einziger der hier genannten Anbieter vom BSI zertifiziert. Gesichert werden Exchange-Postfächer, OneDrive, SharePoint, Teams und Windows-Endpoints. Die Backups sind unveränderlich — auch ein Angreifer mit Administrator-Rechten kann sie nicht nachträglich löschen oder verschlüsseln. Aufbewahrungsfristen sind frei konfigurierbar, der Speicher ist unbegrenzt. Der Haken für Kleinstunternehmen: Mindestabnahme sind zehn Seats pro Monat. Wer fünf Mitarbeiter hat, zahlt trotzdem für zehn.
Veeam Backup for Microsoft 365 ist der Marktführer im Segment. Veeam hält nach eigenen Angaben rund 27 % Marktanteil bei Neukunden im M365-Backup-Bereich. Die Software wird on-premises installiert — das bedeutet, sie läuft auf einem Windows-Server im eigenen Haus oder Rechenzentrum und schreibt die Backups auf eine lokale oder selbst gewählte Cloud-Ablage. Das ist der entscheidende Unterschied: Wer Veeam einsetzt und das Backup auf ein lokales NAS oder eine externe Festplatte schreibt, hat eine physische Kopie unter eigener Kontrolle. Der Preis dafür: Es braucht einen Windows-Server, jemanden, der ihn betreut, und ein bisschen mehr technisches Bewusstsein als bei einem reinen Cloud-Dienst. Mindestabnahme ebenfalls zehn Lizenzen.
Acronis Cyber Protect rechnet M365-Backup in Fünferpacks ab — fünf Seats pro Lizenz-Einheit. Wer drei Nutzer hat, zahlt für fünf. Das ist günstiger als die Zehn-Seat-Hürde, aber immer noch kein Einzelplatz-Modell. Acronis kombiniert Backup mit Endpoint-Schutz in einem Produkt, was für KMU mit wenig IT-Personal praktisch sein kann. Rechenzentrumsstandort ist wählbar, aber Acronis ist ein Schweizer Unternehmen mit US-Eigentümer — für strenge DSGVO-Auslegungen ein Gesprächspunkt.
CloudAlly und Dropsuite sind die zwei bekanntesten Vertreter im Einstiegssegment, beide ohne publizierte Mindestmenge und ab etwa drei Euro pro User/Monat. CloudAlly ist inzwischen Teil von OpenText (kanadisch), Dropsuite gehört zu N-able (US). Beide speichern in der Cloud, Rechenzentrum in Europa wählbar, AVV vorhanden — aber kein deutsches Unternehmen. Für ein Kleinstunternehmen mit drei bis fünf Seats sind das die günstigsten Optionen mit funktionierendem Restore. Lokale Kopie: keine.
Das ungelöste Problem für Kleinstunternehmen
Wer fünf oder weniger M365-Seats hat, fällt durch die Raster der meisten Lösungen — oder zahlt für Kapazitäten, die er nicht braucht. Und selbst wer eine der genannten Lösungen nutzt, hat am Ende noch immer eine Backup-Kopie in einer fremden Cloud, deren Verfügbarkeit von einem weiteren Abo abhängt.
Eine physische Sicherung — Festplatte, NAS, Bandlaufwerk — lässt sich damit in den meisten Fällen nicht automatisch verbinden. Das ist eine Lücke, die der Markt für das KMU-Segment nicht ordentlich geschlossen hat.
Die Alternative: Eigene Sicherung per Microsoft Graph
Wer technisch aufgestellt ist — entweder selbst oder mit einem IT-Dienstleister, der Access und SQL Server einsetzt — kann M365-Daten über die offizielle Microsoft Graph API sichern und lokal ablegen. Graph ist Microsofts zentrale REST-Schnittstelle zu allen M365-Diensten: Mails, Kalender, Kontakte, OneDrive-Dateien, To-Do-Aufgaben, SharePoint-Listen.
Was dabei herauskommt, ist kein granulares Backup-System mit Monitoring-Konsole und Restore-Assistent. Es ist ein Export-Skript: Mails als .eml-Dateien, OneDrive-Inhalte als lokale Ordnerstruktur, Kalender als .ics, Kontakte als .vcf. Zeitgesteuert über den Windows-Taskplaner, Zielverzeichnis ein lokales NAS oder eine USB-Festplatte.
Für ein Kleinstunternehmen mit wenigen Seats und einem vertrauten IT-Dienstleister ist das eine ehrliche Option: keine Mindestmenge, kein Cloud-Abo eines Drittanbieters, Daten physisch greifbar. Der Aufwand für die Ersteinrichtung liegt bei einigen Stunden, danach läuft es. Wer auf sesoft.de den technischen Hintergrund lesen möchte: Den Beitrag zur Graph-Implementierung in VBA gibt es hier.
Lokale Sicherung schützt nicht vor sich selbst
Ein Punkt, der in der Diskussion ums M365-Backup oft untergeht: Auch eine lokale Kopie muss gesichert werden.
Eine externe USB-Festplatte, die dauerhaft am Server hängt, wird von Ransomware mitverschlüsselt. Ein NAS im selben Netzwerk ebenfalls. Wer wirklich auf der sicheren Seite sein will, braucht mindestens zwei getrennte Kopien — eine davon außerhalb des Netzes oder zeitversetzt. In der Praxis heißt das: rotierende externe Festplatten, von denen immer eine im Safe oder außer Haus liegt, oder ein Bandlaufwerk für die Langzeitarchivierung. Bänder haben gegenüber Festplatten einen Vorteil, der selten erwähnt wird: Sie sind per Definition offline, solange sie nicht im Laufwerk stecken. Ein Angreifer, der das Netzwerk kompromittiert, kommt nicht an ein Band heran, das im Tresor liegt.
Die Faustregel lautet: 3-2-1. Drei Kopien, auf zwei verschiedenen Medien, davon eine außerhalb des Standorts. Diese Regel gilt für lokale Server seit Jahrzehnten. Sie gilt für M365-Daten genauso.
Was das für dein Unternehmen bedeutet
Wenn dein Unternehmen Microsoft 365 nutzt und kein separates Backup läuft, bist du auf die eingebauten Aufbewahrungsfristen angewiesen. Die reichen für versehentlich gelöschte Mails in den meisten Fällen. Für einen Ransomware-Befall, einen ausscheidenden Mitarbeiter mit Löscheifer oder einen Fehler vor zwölf Monaten reichen sie nicht.
Welche Lösung passt, hängt von drei Dingen ab: wie viele Seats, ob ein Windows-Server vorhanden ist, und ob eine physische Kopie Pflicht ist oder nice to have. Wer das einmal strukturiert durchgehen möchte, erreicht mich über sesoft.de/kontakt.
Quellen
- Microsoft Shared Responsibility Model: https://learn.microsoft.com/de-de/azure/security/fundamentals/shared-responsibility
- Hornetsecurity 365 Total Backup: https://www.hornetsecurity.com/de/produkte/365-total-backup/
- Veeam Backup for Microsoft 365: https://www.veeam.com/de/backup-microsoft-office-365.html
- Acronis Cyber Protect — Purchasing: https://www.acronis.com/de/products/cyber-protect/purchasing/
- Bitkom Wirtschaftsschutz 2025: Ransomware-Schäden Deutschland 178,6 Mrd. EUR
- Microsoft Graph To-Do-API: https://learn.microsoft.com/de-de/graph/todo-concept-overview
Autor
Sönke Schäfer berät seit über 25 Jahren norddeutsche KMU in Fragen der Datenarchitektur, Datensicherung und Systemintegration. Er arbeitet direkt und ohne Subunternehmer aus Sierksdorf in Ostholstein — mit Microsoft Access, SQL Server und zunehmend mit REST-Schnittstellen wie Microsoft Graph.