Microsoft 365 Backup Vergleich für den Mittelstand

Ein gelöschter Teams-Ordner, ein verschlüsseltes Postfach oder ein ehemaliger Mitarbeiter mit weiterem Zugriff: Im Microsoft 365 Backup Vergleich entscheidet nicht die größte Funktionsliste, sondern eine einfache Frage: Können Sie geschäftskritische Daten vollständig, zeitnah und nachvollziehbar wiederherstellen? Viele mittelständische Unternehmen verlassen sich auf die Cloud und stellen erst im Schadensfall fest, dass Verfügbarkeit kein Ersatz für ein eigenes Backup ist.

Microsoft 365 schützt die Plattform vor vielen technischen Ausfällen. Die Verantwortung für Inhalte, Berechtigungen, Löschvorgänge und angemessene Sicherung liegt jedoch weiterhin beim Unternehmen. Das entspricht dem Prinzip der geteilten Verantwortung: Der Anbieter sichert den Cloud-Betrieb, Sie sichern die Daten und deren Wiederherstellbarkeit.

Warum Microsoft 365 allein kein Backup ersetzt

Microsoft 365 bietet Aufbewahrungsfunktionen, Papierkörbe, Versionierung und Compliance-Werkzeuge. Diese Funktionen sind wertvoll, aber sie lösen nicht jede Backup-Anforderung. Aufbewahrung dient vor allem dazu, Daten über definierte Fristen vorzuhalten. Ein Backup ist dagegen eine unabhängige, konsistente Kopie, aus der sich einzelne Dateien, vollständige Postfächer oder größere Datenbestände nach einem Vorfall wiederherstellen lassen.

Besonders kritisch sind Fehler, die sich synchronisieren oder lange unbemerkt bleiben. Löscht ein Benutzer einen SharePoint-Ordner und wird diese Änderung verarbeitet, hilft eine reine Synchronisierung nicht weiter. Verschlüsselt Ransomware Dateien auf einem eingebundenen Endgerät, können beschädigte Versionen in die Zusammenarbeitssysteme gelangen. Auch falsch konfigurierte Aufbewahrungsregeln, kompromittierte Administratorenkonten oder die versehentliche Löschung eines Benutzers gehören zu den realistischen Szenarien.

Das BSI bewertet Ransomware weiterhin als eine der größten Bedrohungen für Unternehmen. Im Lagebericht zur IT-Sicherheit in Deutschland 2024 nennt das BSI durchschnittlich rund 309.000 neue Schadprogramm-Varianten pro Tag. ENISA führt Ransomware in ihrer Threat Landscape ebenfalls als besonders folgenreichen Angriffstyp. Für den Mittelstand bedeutet das: Ein Backup ist kein Archiv für den Ernstfall, sondern ein betrieblicher Wiederanlaufplan.

Microsoft 365 Backup Vergleich: Diese Kriterien zählen

Ein sinnvoller Vergleich beginnt nicht mit dem Preis pro Benutzer. Entscheidend sind Datenumfang, Wiederherstellungsziele, rechtliche Anforderungen und der laufende Betriebsaufwand. Eine günstige Lizenz ist wertlos, wenn im Vorfall niemand weiß, welche Daten gesichert wurden, wo sie liegen und wer die Wiederherstellung auslöst.

Welche Microsoft-365-Daten werden wirklich gesichert?

Prüfen Sie zunächst den Schutzumfang. Mindestens relevant sind Exchange Online mit Postfächern, OneDrive for Business, SharePoint Online und Microsoft Teams. Bei Teams ist genauer hinzusehen: Dateien liegen meist in SharePoint oder OneDrive, Chats und Kanalbeiträge können jedoch gesonderte Sicherungsmechanismen erfordern. Auch Planner-Daten, Gruppen, öffentliche Ordner, Einstellungen und Berechtigungen sind je nach Arbeitsweise geschäftskritisch.

Ein Anbieter sollte klar ausweisen, welche Datenobjekte gesichert werden und welche nicht. Allgemeine Aussagen wie „Teams ist geschützt“ reichen nicht aus. Fragen Sie konkret, ob private Chats, Kanalnachrichten, gelöschte Benutzerkonten und Berechtigungsstrukturen wiederherstellbar sind.

Wie schnell und in welcher Tiefe lässt sich wiederherstellen?

Bei der Wiederherstellung geht es um zwei Werte: den maximalen Datenverlust zwischen zwei Sicherungen und die Zeit bis zur Nutzbarkeit. Ein Vertriebsteam kann einige Stunden ohne ältere E-Mails arbeiten. Eine Buchhaltung kurz vor dem Monatsabschluss oder eine Projektorganisation mit zentralen Vertragsunterlagen oft nicht.

Gute Lösungen erlauben die Wiederherstellung einzelner E-Mails, Dateien und Ordner ebenso wie kompletter Postfächer oder Sites. Ebenso wichtig ist die Auswahl eines konkreten Zeitpunkts. Prüfen Sie, ob Daten am ursprünglichen Ort, in einem alternativen Ziel oder getrennt zur Prüfung wiederhergestellt werden können. Letzteres verhindert, dass fehlerhafte oder infizierte Inhalte vorschnell wieder in den Produktivbetrieb gelangen.

Wo liegen die Sicherungen und wer hat Zugriff?

Für deutsche Unternehmen ist der Datenstandort ein zentraler Vergleichspunkt. Fragen Sie nach dem konkreten Speicherort, dem Betreiber der Infrastruktur, den Unterauftragnehmern und den Zugriffswegen des Dienstleisters. „EU-Hosting“ allein beantwortet diese Fragen nicht vollständig.

Die DSGVO verlangt nach Artikel 5 geeignete Grundsätze für Verarbeitung und Speicherbegrenzung, nach Artikel 28 einen belastbaren Auftragsverarbeitungsvertrag und nach Artikel 32 angemessene technische und organisatorische Maßnahmen. Erfolgt eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums oder durch US-bezogene Anbieter, müssen zusätzlich die Regeln für Drittlandtransfers nach Artikel 44 ff. sauber bewertet werden. Das kann rechtlich zulässig sein, erhöht aber die Prüf- und Dokumentationspflichten.

Eine Sicherheitsarchitektur nach deutschen Standards schafft hier Klarheit: transparente Datenverarbeitung, dokumentierte Zuständigkeiten, verschlüsselte Sicherungen und möglichst keine unnötige Abhängigkeit von internationalen Cloud-Ketten. Für besonders schutzwürdige Personal-, Vertrags- oder Finanzdaten ist das ein handfester Risikofaktor, kein Marketingdetail.

Ist das Backup gegen Angreifer und Fehlbedienung geschützt?

Ein Backup muss vom Produktivsystem getrennt und gegen Manipulation abgesichert sein. Achten Sie auf Mehrfaktor-Authentifizierung für Administrationszugänge, rollenbasierte Rechte, Protokollierung, Verschlüsselung während Übertragung und Speicherung sowie unveränderbare Sicherungskopien. Im Idealfall kann kein einzelnes kompromittiertes Konto zugleich Microsoft 365 und sämtliche Sicherungen löschen.

Ebenso entscheidend ist das Monitoring. Fehlgeschlagene Sicherungsjobs, ungewöhnliche Löschvorgänge oder ein sprunghafter Anstieg veränderter Dateien müssen erkannt und bearbeitet werden. Ein Backup, das seit Wochen mit Fehlern läuft, vermittelt nur Scheinsicherheit.

Die drei Betriebsmodelle im Vergleich

| Betriebsmodell | Vorteil | Risiko oder Aufwand | Geeignet für | |—|—|—|—| | Microsoft-Aufbewahrung und Papierkörbe | Bereits vorhanden, schnell verfügbar | Kein unabhängiges Backup, begrenzte Wiederherstellungsoptionen | Kleine, wenig kritische Datenbestände als Ergänzung | | Selbst betriebene Backup-Software | Hohe technische Gestaltungsfreiheit | Pflege, Überwachung, Tests und Datenschutzverantwortung liegen intern | Unternehmen mit eigenem, erfahrenem IT-Security-Team | | Managed Microsoft-365-Backup | Betrieb, Kontrolle und Wiederherstellung werden laufend betreut | Qualität hängt von Vertrag, Transparenz und Service-Level ab | Die meisten mittelständischen Unternehmen |

Das passende Modell hängt von Ihrer Organisation ab. Wer eine eigene IT-Abteilung mit klaren Bereitschaften, dokumentierten Prozessen und Kapazität für Wiederherstellungstests hat, kann ein System selbst betreiben. In vielen mittelständischen Betrieben liegt die IT-Verantwortung jedoch bei wenigen Personen oder externen Partnern. Dann reduziert ein betreutes Modell das Risiko, dass Warnungen unbeachtet bleiben oder die Wiederherstellung erst im Krisenmoment geprobt wird.

Praxisfall: Gelöschte Projektunterlagen vor dem Audit

In einer anonymisierten Sicherheitsanalyse eines mittelständischen Dienstleisters fiel auf, dass ein ausgeschiedener Mitarbeiter noch Zugriff auf einen zentralen Teams-Bereich hatte. Beim Bereinigen eigener Inhalte löschte er versehentlich einen Projektordner mit Vertragsständen, Abnahmen und Kalkulationen. Der Papierkorb war nicht die Lösung, weil Teile des Bestands bereits durch nachgelagerte Löschvorgänge und Bereinigungsregeln betroffen waren.

Die Analyse zeigte zwei Schwachstellen: Es gab keine verlässliche Sicherung der zugehörigen SharePoint-Daten und keinen geregelten Offboarding-Prozess. Der wirtschaftliche Schaden entstand nicht durch einen technischen Defekt, sondern durch fehlende Kontrolle über Berechtigungen und Wiederherstellung.

Nach der Einführung eines getrennten Backups wurden die Daten täglich gesichert, administrative Zugriffe mit Mehrfaktor-Authentifizierung abgesichert und Wiederherstellungen quartalsweise getestet. Zusätzlich erhielt die Geschäftsleitung einen verständlichen Nachweis über Sicherungsstatus, Speicherort und offene Risiken. Genau diese Kombination schützt besser als ein einzelnes Softwareprodukt.

So treffen Sie eine belastbare Entscheidung

Definieren Sie zuerst, welche Daten bei einem Ausfall nach vier Stunden, nach einem Tag und nach einer Woche noch verfügbar sein müssen. Daraus ergeben sich Sicherungsintervalle, Aufbewahrungsfristen und Anforderungen an die Wiederherstellung. Berücksichtigen Sie dabei nicht nur E-Mails, sondern auch Projektdateien, Teams-Kommunikation, Personalunterlagen und vertrauliche Kundendaten.

Lassen Sie sich anschließend den Wiederherstellungsweg zeigen. Nicht in einer Verkaufsfolie, sondern anhand eines konkreten Beispiels: Wie wird eine Datei von vor 30 Tagen wiederhergestellt? Wer darf das auslösen? Wie lange dauert es? Wo wird der Vorgang protokolliert? Ein seriöser Anbieter beantwortet diese Fragen verständlich und verbindlich.

Prüfen Sie schließlich Vertrag und Betrieb: Datenstandort, Auftragsverarbeitung, Unterauftragnehmer, Verschlüsselung, Rechtekonzept, Alarmierung, Reaktionszeiten und regelmäßige Restore-Tests gehören schriftlich geregelt. Ein jährlicher Bericht ohne aktive Überwachung ist kein Managed Backup.

Wer seine Microsoft-365-Daten schützen will, sollte nicht auf einen Angriff warten. Eine kostenlose IT-Sicherheitsanalyse kann sichtbar machen, welche Daten bereits gesichert sind, wo Lücken bestehen und ob Ihr Wiederanlauf im Ernstfall tatsächlich funktioniert. Sicherheit entsteht, wenn Verantwortlichkeiten, Technik und Kontrolle auch unter Druck zusammenpassen.