Microsoft 365 sichert Ihre Daten nicht, jedenfalls nicht so, wie Sie denken
Die Annahme ist verbreitet und verständlich: Die Daten liegen bei Microsoft, also sind sie sicher. Das stimmt für den Ausfall eines Rechenzentrums. Für alles andere nicht.
Es gibt einen Satz, den wir regelmäßig hören: „Wir sind in der Cloud, da brauchen wir kein Backup.“ Er ist nachvollziehbar und führt zu der Lücke, die wir am häufigsten finden.
Das Modell der geteilten Verantwortung
Microsoft beschreibt die Aufgabenteilung selbst, und sie ist eindeutig. Microsoft verantwortet die Verfügbarkeit des Dienstes, die physische Sicherheit der Rechenzentren und den Schutz der Plattform. Sie verantworten Ihre Daten, Ihre Konten, Ihre Berechtigungen und Ihre Geräte.
Das heißt übersetzt: Wenn ein Rechenzentrum in Flammen steht, ist das Microsofts Problem und gelöst. Wenn eine Mitarbeiterin im Februar einen Ordner löscht und das im Juli auffällt, ist das Ihr Problem, und dann meistens nicht mehr lösbar.
Was die Papierkorbfristen tatsächlich hergeben
Microsoft 365 hat durchaus Schutzmechanismen, sie sind nur begrenzt. Gelöschte Elemente in Exchange liegen standardmäßig 14 Tage im wiederherstellbaren Bereich, konfigurierbar auf 30. In SharePoint und OneDrive gibt es einen zweistufigen Papierkorb mit insgesamt 93 Tagen. Ein gelöschtes Konto lässt sich 30 Tage lang wiederherstellen.
Diese Fristen decken das ab, was schnell auffällt. Sie decken nicht ab, was spät auffällt, und das ist der häufigere Fall. Ein versehentlich überschriebenes Dokument, ein Ordner, den jemand „aufgeräumt“ hat, Daten eines Mitarbeiters, dessen Konto nach dem Austritt gelöscht wurde.
Hinzu kommt ein Fall, an den selten jemand denkt: Wenn ein Gerät verschlüsselt wird und die synchronisierte OneDrive-Ablage mitverschlüsselt, synchronisiert sich die Verschlüsselung in die Cloud. Die Versionierung hilft dabei, aber nur, wenn man sie rechtzeitig nutzt und weiß, wie.
Was eine eigene Sicherung abdecken muss
Eine Sicherung für Microsoft 365 ist technisch unspektakulär, muss aber vollständig sein. Postfächer einschließlich Archiv und Kalender. SharePoint-Websites mit Versionsständen und Berechtigungen. OneDrive aller Benutzer, auch der selten genutzten. Teams mit Dateien und, wo relevant, Chatverläufen.
Zwei Eigenschaften sind dabei wichtiger als der Anbieter: Die Sicherung muss außerhalb des Mandanten liegen, damit ein kompromittiertes Administratorkonto sie nicht löschen kann. Und sie muss eine granulare Wiederherstellung erlauben: ein einzelnes Postfach, ein einzelner Ordner, ein einzelnes Dokument. Eine Sicherung, die nur komplett zurückgespielt werden kann, nützt im Alltag wenig.
Der Test, der zwei Minuten dauert
Wenn Sie wissen wollen, wie es bei Ihnen steht, brauchen Sie keine Analyse. Stellen Sie Ihrer IT eine einzige Frage: Ein Mitarbeiter hat im Mai einen Ordner in SharePoint gelöscht. Wir merken es heute. Bekommen wir ihn zurück?
Wenn die Antwort zögert, haben Sie die Lücke gefunden. Wenn sie lautet „wir haben ein Backup, das prüfen wir“, ist die nächste Frage, wann zuletzt tatsächlich zurückgespielt wurde.
Häufige Fragen
Macht Microsoft überhaupt keine Sicherung?
Microsoft repliziert Daten mehrfach, um den Dienst verfügbar zu halten. Das ist Ausfallsicherheit, keine Datensicherung im Sinne einer Wiederherstellung früherer Stände. Für Ihre Inhalte gilt das Modell der geteilten Verantwortung.
Wie lange liegen gelöschte Daten in Microsoft 365?
In Exchange standardmäßig 14 Tage, konfigurierbar auf 30. In SharePoint und OneDrive insgesamt 93 Tage über zwei Papierkorbstufen. Gelöschte Benutzerkonten 30 Tage. Danach ist der Zugriff regulär nicht mehr möglich.
Reicht die Versionierung in SharePoint?
Für einzelne überschriebene Dateien oft ja. Nicht für gelöschte Bibliotheken, gelöschte Websites, entfernte Konten oder den Fall, dass die Löschung erst nach Monaten auffällt.
Was kostet eine Sicherung für Microsoft 365?
Übliche Lösungen bewegen sich im Bereich weniger Euro pro Benutzer und Monat. Gemessen an den Kosten einer Wiederherstellung von Hand, oder am Verlust der Daten, ist das einer der günstigsten Bausteine überhaupt.
Gilt das auch für Google Workspace?
Ja, das Prinzip ist dasselbe. Auch dort verantwortet der Anbieter den Dienst und Sie die Inhalte. Die Fristen unterscheiden sich im Detail, die Lücke ist dieselbe.
Sven Ali Souilem
IT Consultant: Schwerpunkt Microsoft 365, Telefonie, Branchenlösungen und Eigenentwicklung.