Microsoft 365 Backup einrichten: Was OneDrive, SharePoint und Exchange wirklich schützen

Montagmorgen, ein ehemaliger Mitarbeiter wurde bereits aus dem Verzeichnis entfernt, und nun fehlt plötzlich ein wichtiger OneDrive-Ordner mit Projektunterlagen. Gleichzeitig fragt die Geschäftsleitung nach einer älteren Version eines Vertrags aus SharePoint, während im Exchange-Postfach eines Teams E-Mails nicht mehr auffindbar sind. Solche Situationen zeigen schnell: Microsoft 365 bringt viele Schutzmechanismen mit, doch sie beantworten nicht automatisch jede Wiederherstellungsfrage.

Wer Microsoft 365 Backup einrichten möchte, muss deshalb zuerst unterscheiden: Was schützt Microsoft als Cloud-Dienst? Was leisten Papierkorb, Versionsverlauf und Aufbewahrungsregeln? Und welche Daten, Zeiträume und Wiederherstellungswege muss dein Unternehmen zusätzlich absichern?

Infografik zu Microsoft 365 Backup einrichten: Was OneDrive, SharePoint und Exchange wirklich schützen (KI-generiert).

Warum integrierte Schutzfunktionen kein vollständiges Backup sind

Microsoft 365 stellt die Plattform bereit und schützt ihre Infrastruktur. Für die Inhalte, Berechtigungen und organisatorischen Anforderungen deines Unternehmens trägst du jedoch Verantwortung. Das bedeutet nicht, dass OneDrive, SharePoint und Exchange Online ohne Schutz wären. Im Gegenteil: Die eingebauten Funktionen sind im Arbeitsalltag sehr nützlich.

Dazu gehören unter anderem:

• Papierkörbe für gelöschte Inhalte
• Versionsverlauf für Dateien
• Aufbewahrungsrichtlinien und Aufbewahrungsbezeichnungen
• Wiederherstellungsoptionen für Websites und Postfächer
• Berechtigungsmodelle, Audit-Protokolle und Sicherheitsfunktionen

Diese Funktionen haben jedoch jeweils einen klar abgegrenzten Zweck. Ein Papierkorb hilft bei versehentlichem Löschen innerhalb eines verfügbaren Zeitfensters. Der Versionsverlauf kann eine Datei auf einen älteren Stand zurücksetzen. Aufbewahrungsfunktionen unterstützen dabei, Inhalte nach vorgegebenen Regeln zu behalten.

Ein belastbares Backup verfolgt einen anderen Ansatz: Es erstellt eine getrennte, wiederherstellbare Kopie der relevanten Daten und ermöglicht gezielte Wiederherstellungen, auch wenn ein Benutzerkonto, eine Website oder ein großer Datenbestand nicht mehr wie erwartet verfügbar ist. Entscheidend ist dabei nicht nur, ob Daten irgendwo noch vorhanden sind. Entscheidend ist, ob dein Team sie vollständig, rechtzeitig und nachvollziehbar zurückholen kann.

Diese Wiederherstellungsszenarien solltest du planen

Die beste Backup-Lösung nützt wenig, wenn vorher nicht geklärt wurde, welche Vorfälle tatsächlich abgedeckt werden sollen. Statt mit einem Produktvergleich zu beginnen, startest du deshalb mit konkreten Szenarien.

Szenario	Typische Frage	Erforderliche Wiederherstellung
Versehentlich gelöschte E-Mail	Eine wichtige Nachricht ist nicht mehr im Postfach oder Papierkorb	Einzelne E-Mail, Ordner oder vollständiges Postfach
Falsch überschriebene Datei	Eine Datei wurde bearbeitet und der Fehler erst später bemerkt	Konkrete Dateiversion oder Ordner
Gelöschtes Benutzerkonto	Das Konto wurde nach dem Austritt entfernt, Daten werden später benötigt	OneDrive, Exchange-Inhalte und zugehörige Daten
Beschädigte SharePoint-Struktur	Bibliotheken, Listen oder Berechtigungen wurden falsch geändert	Website, Bibliothek, Liste, Dateien und Metadaten
Ransomware oder Massenlöschung	Viele Dateien sind verschlüsselt, umbenannt oder gelöscht	Wiederherstellung eines klaren Zeitpunkts
Fehlerhafte Automatisierung	Ein Skript oder eine App ändert Inhalte in großer Zahl	Granulare oder umfangreiche Wiederherstellung vor dem Fehler

Aus diesen Szenarien leitest du zwei zentrale Werte ab:

• RPO, der maximal akzeptable Datenverlust in der Zeit. Wenn dein Backup einmal täglich läuft, können Änderungen seit dem letzten Sicherungslauf fehlen.
• RTO, die Zeit, innerhalb derer Daten oder Dienste wieder nutzbar sein müssen. Eine einzelne E-Mail lässt sich oft schneller wiederherstellen als eine komplette SharePoint-Umgebung.

Du musst dafür keine komplizierte Theorie aufbauen. Ein Workshop mit Fachbereichen, IT und Verantwortlichen für die jeweiligen Anwendungen reicht häufig aus, um Prioritäten sichtbar zu machen.

Exchange Online: Nicht nur Postfächer berücksichtigen

Bei Exchange Online denken viele zuerst an E-Mails einzelner Personen. Für die Sicherungsplanung gehören jedoch meist mehr Inhalte dazu:

• Benutzerpostfächer
• Freigegebene Postfächer
• Archivpostfächer
• E-Mails und Ordnerstrukturen
• Kalender, Kontakte, Aufgaben und Notizen
• Verteiler- und Gruppenbezüge, soweit sie für die Wiederherstellung relevant sind

Besonders wichtig sind freigegebene Postfächer. Dort liegen oft Kundenkommunikation, Rechnungsprozesse, Supportverläufe oder Informationen aus Funktionsbereichen. Wenn ein Team seine Arbeit über ein gemeinsames Postfach organisiert, sollte die Wiederherstellung einzelner Nachrichten ebenso möglich sein wie die Rücksicherung ganzer Ordner.

Kläre auch, wer eine Wiederherstellung anfordern darf. Nicht jede Person mit administrativen Rechten sollte ohne Prüfung auf vertrauliche E-Mails zugreifen. Ein geregelter Prozess schützt nicht nur Daten, sondern verhindert auch hektische Einzelentscheidungen im Störungsfall.

Für den sicheren Betrieb von Microsoft-Identitäten lohnt sich ergänzend unser Beitrag zu Microsoft Entra Conditional Access einrichten: MFA, Geräte und Risiken gezielt steuern. Denn ein Backup hilft bei Wiederherstellung, verhindert aber keinen unberechtigten Zugriff.

OneDrive: Benutzerbezogene Daten brauchen einen Lebenszyklus

OneDrive ist häufig der Ort für persönliche Arbeitsdateien, Entwürfe, lokale Projektdokumentation und Dateien, die später in Teams oder SharePoint überführt werden. Gerade weil die Daten personenbezogen organisiert sind, entstehen hier typische Lücken.

Fragen, die du vorab beantworten solltest:

• Welche OneDrive-Konten werden gesichert?
• Was passiert mit Daten beim Rollenwechsel oder Austritt?
• Wie lange müssen Inhalte nach Deaktivierung eines Kontos wiederherstellbar sein?
• Wer darf die Daten eines ehemaligen Mitarbeiters anfordern?
• Werden nur Dateien oder auch Freigaben, Versionen und Metadaten benötigt?

Ein häufiger Fehler besteht darin, OneDrive allein als persönlichen Speicher zu behandeln. In der Praxis liegen dort oft Dateien mit hoher Geschäftsrelevanz. Wenn ein Benutzerkonto gelöscht wird oder versehentlich viele Inhalte entfernt werden, reicht es nicht aus, auf eine spontane Einzellösung zu hoffen.

Achte bei der Auswahl einer Backup-Lösung darauf, ob sie Dateien granular wiederherstellen kann. Im Idealfall kannst du eine Datei am ursprünglichen Ort zurückspielen, sie alternativ in einen anderen Speicherbereich wiederherstellen oder zunächst prüfen, bevor du vorhandene Inhalte überschreibst.

SharePoint: Dateien, Listen, Metadaten und Berechtigungen zusammendenken

SharePoint ist mehr als ein Dateiserver in der Cloud. Viele Teams nutzen Dokumentbibliotheken, Listen, Seiten, Projektwebsites, Vorlagen und Freigabestrukturen. Deshalb kann eine Wiederherstellung komplexer sein als bei einer einzelnen Datei.

Für SharePoint solltest du insbesondere prüfen:

• Websites und Unterwebsites, sofern vorhanden
• Dokumentbibliotheken und Ordnerstrukturen
• Dateien und Versionen
• Listen, Listeneinträge und Anhänge
• Metadaten wie Spaltenwerte und Dokumenteigenschaften
• Berechtigungen und Freigaben
• Seiten und wichtige Konfigurationen, wenn diese geschäftlich relevant sind

Teams-Dateien liegen typischerweise in SharePoint, private Teams-Dateien häufig in OneDrive. Wer Teams verwendet, muss diese Speicherorte in die Backup-Planung einbeziehen. Sonst entsteht leicht der falsche Eindruck, ein Teams-Backup sichere automatisch alle Inhalte einschließlich Dateien, Postfachanteilen und weiteren Komponenten in gleicher Tiefe.

Auch Versionsverläufe in SharePoint sind wertvoll, aber keine Ersatzstrategie für alle Fälle. Bei großflächigen Änderungen, gelöschten Websites oder fehlerhaften Berechtigungsanpassungen brauchst du einen geplanten Wiederherstellungsweg. Wie du Strukturen von Anfang an übersichtlich aufbaust, liest du auch in unserem Ratgeber SharePoint lernen: Struktur statt Chaos.

Anforderungen an eine Backup-Lösung strukturiert bewerten

Der Markt bietet unterschiedliche Ansätze: cloudbasierte Backup-Dienste, Sicherung in eigenem Storage oder hybride Varianten. Statt allein auf Funktionslisten zu schauen, bewertest du die Lösung anhand deiner Anforderungen.

Wiederherstellungstiefe

Prüfe, welche Ebenen wiederherstellbar sind:

• Einzelne E-Mails, Dateien und Listeneinträge
• Komplette Ordner und Postfächer
• OneDrive eines Benutzers
• SharePoint-Bibliotheken oder vollständige Websites
• Wiederherstellung an ursprünglichen oder alternativen Speicherort

Eine Wiederherstellung an alternativen Ort ist besonders praktisch, wenn du Inhalte zunächst vergleichen möchtest. So verhinderst du, dass eine Rücksicherung aktuelle Daten unbeabsichtigt überschreibt.

Sicherheit und Zugriff

Die Backup-Umgebung enthält eine Kopie geschäftskritischer Daten. Daher gehören Zugriffsschutz und Rollenmodell in die Auswahl. Kläre, welche Konten auf Backups zugreifen dürfen, wie Mehrfaktor-Authentifizierung umgesetzt wird und ob Wiederherstellungen protokolliert werden.

Auch die Trennung von Administrationskonten ist wichtig. Wenn derselbe kompromittierte Zugang sowohl Produktionsdaten als auch Backup-Daten löschen kann, sinkt der Schutz erheblich.

Speicherort und Datenhaltung

Dokumentiere, wo Sicherungen gespeichert werden und welche Anforderungen dein Unternehmen an Speicherregionen, Verschlüsselung und Zugriffsprotokolle stellt. Stimmen Fachbereich, Datenschutzverantwortliche und IT-Sicherheit frühzeitig ab, statt diese Fragen erst nach der Produktauswahl zu klären.

Rollen und Abläufe vor dem Ernstfall festlegen

Backup ist keine Aufgabe, die nach der Einrichtung automatisch abgeschlossen ist. Lege Verantwortlichkeiten verbindlich fest:

• Wer überwacht fehlgeschlagene Sicherungsläufe?
• Wer darf Wiederherstellungen beauftragen?
• Wer führt die Wiederherstellung technisch durch?
• Wer prüft, ob Inhalte vollständig und korrekt zurück sind?
• Wie werden besonders sensible Daten behandelt?
• Wo wird der Vorgang dokumentiert?

Ein kleiner, klarer Prozess ist besser als ein umfangreiches Konzept, das im Vorfall niemand findet. Gerade für IT-Teams mit mehreren Verantwortungsbereichen hilft eine einfache Checkliste mit Ansprechpartnern, Prioritäten und Eskalationsweg.

Wenn du Weiterbildungsbedarf im Team systematisch einordnen möchtest, findest du praktische Hinweise in unserem Beitrag IT-Skills-Gap im Team schliessen.

Backups testen: Der entscheidende Praxisschritt

Ein erfolgreicher Sicherungslauf beweist nur, dass Daten gesichert wurden. Er beweist nicht, dass die Wiederherstellung im benötigten Umfang funktioniert. Plane deshalb regelmäßige Tests mit realistischen Fällen.

Eine sinnvolle Testreihe umfasst beispielsweise:

• Eine einzelne Exchange-E-Mail wiederherstellen
• Einen OneDrive-Ordner an einem alternativen Ort bereitstellen
• Eine SharePoint-Datei mit Metadaten zurückholen
• Eine gelöschte Bibliothek oder Website nach festgelegtem Verfahren wiederherstellen
• Berechtigungen und Zugriffe nach einer Rücksicherung prüfen
• Dauer und Ergebnis dokumentieren

Teste dabei nicht ausschließlich mit unkritischen Beispieldaten. Wähle, soweit möglich, typische Strukturen und dokumentiere Abweichungen. Vielleicht werden Dateinamen korrekt wiederhergestellt, aber Metadaten fehlen. Vielleicht klappt die Rücksicherung technisch, dauert aber länger als dein RTO erlaubt. Solche Erkenntnisse sind kein Scheitern, sondern der eigentliche Nutzen des Tests.

So gehst du bei der Einführung vor

Für eine solide Einführung reichen meist sechs Schritte:

1. Datenquellen erfassen: Exchange Online, OneDrive, SharePoint und gegebenenfalls weitere Microsoft-365-Dienste eindeutig benennen.

2. Kritische Inhalte priorisieren: Fachbereiche fragen, welche Daten bei Verlust sofort den Betrieb beeinträchtigen würden.

3. Wiederherstellungsziele definieren: RPO und RTO für unterschiedliche Datenklassen festlegen.

4. Lösung bewerten: Wiederherstellungstiefe, Sicherheit, Speicherort, Protokollierung und Betriebsaufwand vergleichen.

5. Rollen und Prozesse dokumentieren: Zuständigkeiten, Freigaben und Eskalationen festlegen.

6. Testen und verbessern: Wiederherstellungen durchführen, Ergebnisse prüfen und den Ablauf regelmäßig aktualisieren.

Bei uns vermitteln wir in Microsoft-365- und Cloud-Seminaren die technischen Grundlagen ebenso wie den sicheren Betrieb im Alltag. Passende Seminare und Termine findest du bei uns auf cmt.de.

Ein Microsoft 365 Backup ist damit keine reine Beschaffungsentscheidung. Es ist ein Betriebsprozess aus klaren Anforderungen, sauberer Rechtevergabe, getesteten Wiederherstellungen und geschulten Verantwortlichen. Erst wenn dein Team eine verlorene E-Mail, einen gelöschten OneDrive-Ordner oder eine beschädigte SharePoint-Struktur zuverlässig zurückholen kann, ist der Schutz wirklich belastbar.