Die Frage kommt meist nicht von der Geschäftsführung, sondern von der Buchhaltung, und sie kommt an einem Dienstagnachmittag: Ein Ordner auf SharePoint ist leer, in dem gestern noch etwas war. Was dann passiert, entscheidet sich nicht in diesem Moment, sondern Monate vorher — bei der Frage, ob jemand die Sicherung von Microsoft 365 als erledigt betrachtet hat, weil Microsoft die Plattform betreibt.
Was Microsoft zusichert — und was nicht
Das Modell dahinter heißt geteilte Verantwortung, und es ist nicht versteckt: Microsoft verantwortet, dass der Dienst läuft, dass die Rechenzentren redundant sind und dass ein Hardwaredefekt bei Microsoft kein Ereignis bei Ihnen ist. Was Sie verantworten, ist der Inhalt — wer darauf zugreift, was damit passiert, und ob es einen Weg zurück gibt, wenn jemand mit gültigen Rechten etwas tut, das er nicht tun wollte.
Das ist der Punkt, an dem die Erwartung auseinandergeht. Verfügbarkeit schützt gegen Ausfall. Sie schützt nicht gegen Löschen, gegen Überschreiben, gegen eine Verschlüsselung durch einen Client mit legitimer Anmeldung und nicht gegen einen Konfigurationsfehler, der exakt so ausgeführt wird, wie er eingetragen wurde.
Die Netze, die im Tenant schon hängen
Microsoft 365 ist nicht ungeschützt, und wer behauptet, es gäbe dort gar nichts, verkauft etwas. Es gibt mehrere Netze, sie sind nur kürzer und flacher, als die meisten annehmen:
- Gelöschte Elemente in Exchange. Ein Postfach hält gelöschte Nachrichten standardmäßig zwei Wochen zurückholbar — konfigurierbar auf 30 Tage. Darunter liegt der Ordner für wiederherstellbare Elemente, den Anwender nicht sehen.
- Der zweistufige Papierkorb in SharePoint und OneDrive. Erste Stufe für Anwender, zweite Stufe für Administratoren, zusammen 93 Tage. Danach ist die Datei weg, nicht verschoben.
- Der Versionsverlauf. Standardmäßig mehrere hundert Versionen pro Datei. Er ist das nützlichste der Netze und gleichzeitig das, dem Ransomware am ehesten den Boden entzieht, weil ein Sync-Client genug Versionen schreiben kann, um die alten aus dem Fenster zu drücken.
- Aufbewahrungsrichtlinien. Sie halten Inhalte über das Löschen hinaus fest, lizenzabhängig, und sie sind ein Compliance-Werkzeug: gebaut, damit etwas nicht verschwindet, nicht damit ein Stand von vorletztem Dienstag in einer halben Stunde wieder an seinem Platz steht.
Drei Fälle, in denen die Netze reißen
Der Sync-Client, der brav synchronisiert
Ein Notebook wird verschlüsselt. OneDrive und die eingebundenen SharePoint-Bibliotheken sind lokal gemountet, also synchronisiert der Client die verschlüsselten Dateien nach oben — mit gültiger Anmeldung, ohne Regelverstoß. Wiederherstellbar ist das über den Versionsverlauf, Datei für Datei, und über die Dateiwiederherstellung für die letzten 30 Tage. Bei einer Handvoll Dokumente ist das ein Nachmittag. Bei zweihunderttausend ist es kein Verfahren mehr.
Der Ex-Mitarbeiter und die entzogene Lizenz
Jemand verlässt das Unternehmen, die Lizenz wird abgezogen, weil sie Geld kostet. Das Postfach ist damit auf Abruf: rund 30 Tage, dann ist es fort — samt der Korrespondenz zu einem Projekt, das ein Jahr später strittig wird. Es gibt den richtigen Weg (inaktives Postfach über eine Aufbewahrungsrichtlinie, oder Export vor dem Entzug), und es gibt den, der im Kalender niemandem auffällt.
Die Richtlinie, die genau das tut, was konfiguriert wurde
Der Fall, der am seltensten erzählt und am häufigsten gefunden wird: Eine Aufbewahrungs- oder Löschregel greift breiter als gedacht, oder ein Verschieben von Postfachinhalten wird als Löschen ausgeführt. Kein Angreifer, kein Ausfall, keine Fehlermeldung. Genau deshalb fällt es erst auf, wenn jemand etwas sucht.
Ein Backup, das nie zurückgespielt wurde, ist keine Sicherung. Es ist eine Vermutung.
Wo die Verantwortung tatsächlich liegt
Microsoft übernimmt
- Betrieb und Verfügbarkeit des Dienstes
- Redundanz der Rechenzentren, Hardware, Georedundanz der Plattform
- Schutz der Infrastruktur gegen Ausfall
- Kurzfristige Papierkörbe und den Versionsverlauf als Komfortfunktion
Bei Ihnen bleibt
- Wiederherstellung nach Löschen, Überschreiben und Verschlüsselung
- Aufbewahrung über die Standardfristen hinaus
- Zugriffsrechte, Anmeldung, Offboarding
- Der Nachweis, dass eine Wiederherstellung tatsächlich funktioniert
Was eine Sicherung leisten muss
Damit ist die Anforderung an ein Backup für Microsoft 365 keine Produktfrage, sondern eine Liste von fünf Eigenschaften. Wer die erfüllt, hat eine Sicherung; wer eine davon auslässt, hat einen Papierkorb mit längerer Frist.
Ein zweiter Aufbewahrungsort
Eine Kopie, die in derselben Mandantenidentität liegt und mit denselben Rechten löschbar ist, teilt jedes Risiko mit dem Original. Aufbewahrung heißt getrennt, nicht länger.
Ein Zeitpunkt, nicht ein Zeitraum
Die brauchbare Frage im Ernstfall lautet: Stand von Freitagabend, vor dem Vorfall. Wer nur eine Frist hat, kann sagen, wie lange etwas noch da ist, aber nicht, welchen Zustand er zurückholt.
Granulare Wiederherstellung
Ein einzelnes Postfach, ein Ordner, eine Bibliothek, ein Teams-Kanal — ohne den ganzen Tenant anzufassen. Sonst wird jede Wiederherstellung ein Projekt und findet deshalb nicht statt.
Getrennte Identität
Wer die Sicherung verwaltet, ist nicht dasselbe Konto, das den Tenant verwaltet. Eine übernommene Administratorkennung, die auch das Backup löschen kann, macht die Sicherung zum Teil des Schadens.
Ein geprüfter Rückweg
Eine Wiederherstellung, die jemand durchgeführt und protokolliert hat, mit einer gemessenen Dauer. Nicht ein grüner Haken im Sicherungsbericht: der sagt nur, dass gelesen wurde, nicht dass zurückgeschrieben werden kann.
Und weil die Frage in Österreich immer als zweite kommt: Wo die Kopie liegt, ist Teil der Anforderung, nicht ein Detail der Umsetzung. Wir arbeiten mit Datenstandort Österreich — das ist der Punkt, an dem sich die Diskussion mit dem Datenschutzverantwortlichen um einige Wochen verkürzt.
Wie wir das bei einer Übernahme prüfen
Bestand aufnehmen
Welche Dienste im Tenant tragen tatsächlich Daten — Exchange, OneDrive, SharePoint, Teams-Kanäle samt ihren Dateiablagen, und was davon niemand auf der Liste hatte.
Die eingestellten Fristen auslesen
Nicht die Standardwerte, sondern die Werte dieses Tenants: Aufbewahrung gelöschter Elemente, Papierkörbe, Versionsanzahl, bestehende Aufbewahrungs- und Löschregeln und wen sie erfassen.
Zwei Zahlen festlegen
Wie viel Datenverlust ist im Ernstfall vertretbar, und wie lange darf die Wiederherstellung dauern. Ohne diese beiden Zahlen ist jede Backup-Entscheidung eine Geschmacksfrage.
Zurückspielen und mitmessen
Ein Postfach und eine Bibliothek werden wiederhergestellt, mit Uhr. Das Ergebnis ist die einzige belastbare Aussage über die Sicherung — alles davor ist Konfiguration.
Diese Prüfung ist der Teil, den die Stufe Recover übernimmt; Manage und Protect liegen darunter und setzen sie voraus. Wenn Sie nicht sicher sind, in welchem der drei Fälle oben Ihr Tenant heute stünde: Das ist genau die Frage, die ein Gespräch in zwanzig Minuten klärt.