Microsoft 365 Backup (nativ, seit Mai 2024 GA) kostet 0,15 USD pro GB geschützter Daten pro Monat und bietet granulare Restores für Exchange, SharePoint, OneDrive und Teams mit logischem Air-Gap-Schutz. Drittanbieter wie Veeam Backup for Microsoft 365 v8 (ab 3,50 €/Postfach), SkyKick (ab 4 €/User), Datto Backupify (ab 3 €/User) und Acronis Cyber Protect (ab 5 €/User) bieten dafür längere Aufbewahrung, eigene Speicherorte und Cross-Tenant-Restore. Für Hamburger Mittelständler unter 50 Mitarbeitern reicht oft das native Backup; ab Berufsgeheimnis, NIS2-Pflicht oder >3 Jahre Aufbewahrung wird ein Drittanbieter sinnvoll.
Inhalt in Kürze
- Microsoft 365 Backup ist seit Mai 2024 allgemein verfügbar — 0,15 USD pro GB geschützter Daten und Monat, integriert ins Admin Center, mit logischem Air-Gap.
- Retention ist kein Backup — Recycle Bin und Retention Policies schützen 30–93 Tage, nicht gegen Ransomware oder kompromittierte Admins.
- Veeam Backup for M365 v8 bleibt Marktführer bei Drittanbietern (ab 3,50 €/Postfach), gefolgt von SkyKick, Datto und Acronis — alle mit EU-Hosting verfügbar.
- Hamburger KMU bis 50 Mitarbeiter fahren meist mit Microsoft nativ + dokumentiertem Restore-Test günstiger; ab Kanzlei, Steuerberatung, Gesundheitswesen oder NIS2-Pflicht wird ein Drittanbieter Standard.
- Echte Kosten bei 50 Usern (2.200 GB): nativ ca. 330 USD/Monat vs. Veeam ca. 175 €/Monat plus Speicher-Backend — die Rechnung kippt bei mehrjähriger Aufbewahrung.
Microsoft 365 Backup nativ — was Microsoft 2024 endlich geliefert hat
Vor Mai 2024 gab es keine offizielle Backup-Lösung von Microsoft für Microsoft 365. Punkt. Wer Mailboxen, SharePoint-Sites oder OneDrive-Daten sichern wollte, war auf Drittanbieter angewiesen — oder hat sich auf Retention-Policies verlassen, was im Ernstfall regelmäßig schiefging.
Mit der Mai-2024-General-Availability von Microsoft 365 Backup hat sich das geändert. Microsoft bietet jetzt eine native, in den Tenant integrierte Backup-Lösung mit folgenden Eckdaten (Stand 2026, Quelle Microsoft Learn: M365 Backup Overview):
- Preis: 0,15 USD pro GB geschützter Daten pro Monat (Pay-as-you-go über Azure Subscription)
- Workloads: Exchange Online, SharePoint Online, OneDrive for Business, Teams (Chats + Channel-Nachrichten)
- Restore-Granularität: Item-Level (einzelne E-Mail, einzelne Datei, einzelner Chat) bis Site-Level
- Restore-Geschwindigkeit: SLA bis zu 2 TB pro Stunde pro Workload
- Schutz: Logisches Air-Gap — Backup-Daten liegen außerhalb des produktiven Tenants
- Aufbewahrung: Standard 1 Jahr, optional bis zu 3 Jahre konfigurierbar
Das klingt erstmal gut — und für viele Hamburger Mittelständler reicht das auch. Aber es gibt Lücken, über die Microsoft im Marketing nicht so laut spricht.
Was Microsoft 365 Backup nicht kann (Stand 2026)
- Kein Cross-Tenant-Restore. Wenn der Tenant kompromittiert oder die Lizenz gelöscht ist, kommen Sie nicht an Ihre Daten.
- Keine Aufbewahrung über 3 Jahre. Berufsgeheimnisträger (10 Jahre Steuerberater nach AO, 6 Jahre Anwälte nach BRAO) brauchen mehr.
- Kein eigener Speicherort. Alles bleibt in Microsoft-Rechenzentren — wer eine 3-2-1-Strategie (drei Kopien, zwei Medien, eine offsite) konsequent fährt, hat hier keine echte Offsite-Kopie.
- Keine Public Folder, kein Office-365-Group-Postfach in der ersten Welle. Manche Workloads kamen erst nach und nach dazu.
- Pay-as-you-go nur über Azure-Subscription — das macht Lizenz-Konsolidierung mit reinen M365-Verträgen unschön.
Microsoft 365 Retention ≠ Backup — und warum das wichtig ist
Wir sehen in fast jedem Erstgespräch denselben Denkfehler: „Wir haben doch Retention-Policies, das reicht doch.” Nein, tut es nicht. Hier die saubere Abgrenzung:
| Mechanismus | Schutz vor | Schutz NICHT vor | Aufbewahrungsdauer |
|---|---|---|---|
| Recycle Bin (1st + 2nd Stage) | Versehentliches Löschen durch User | Ransomware, Admin-Löschung, kompromittierte Konten | 30 + 14 Tage (SharePoint/OneDrive), 14 + 14 Tage (Exchange) |
| Retention Policies (Purview) | Versehentliches/böswilliges Löschen, Compliance-Anforderungen | Ransomware-Verschlüsselung, Konfigurations-Fehler | Frei konfigurierbar, aber kein Restore-Workflow |
| Litigation Hold | Löschungen während Rechtsstreit | Ransomware, Datenkorruption | Bis Hold aufgehoben |
| M365 Backup nativ | Ransomware, Löschung, Admin-Fehler | Tenant-Verlust, Cross-Tenant-Bedarf | Bis 3 Jahre |
| Drittanbieter-Backup | Alles oben + Tenant-Verlust | – | Frei wählbar (10+ Jahre möglich) |
Microsoft selbst formuliert das in den Service-Beschreibungen für Microsoft 365 sinngemäß: Sie sind für Backup und Wiederherstellung verantwortlich, nicht wir. Punkt. Wer das überliest, ist nach der ersten Ransomware-Attacke ratlos.
Wir sehen es jede Woche: Backups, die seit Monaten nicht geprüft wurden. Alle denken, es läuft — bis der Ernstfall kommt und nichts wiederherstellbar ist. Deshalb testen wir Backups regelmäßig.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Die Drittanbieter-Lösungen im Vergleich
Wir installieren bei Hamburger Kunden seit Jahren primär Veeam und SkyKick, gelegentlich Acronis (vor allem in Kanzleien, die Backup + Endpoint-Schutz aus einer Hand wollen) und seltener Datto Backupify. Hier der Stand 2026:
Veeam Backup for Microsoft 365 v8
- Preis: Ab 3,50 € pro User und Monat (Subscription) oder Perpetual-Lizenz; Speicher-Backend wird separat dimensioniert
- Workloads: Exchange, SharePoint, OneDrive, Teams (Chats + Channels), inkl. öffentliche Ordner
- Speicher-Backend: Frei wählbar — eigene NAS, S3-kompatibel, Azure Blob, Wasabi, Backblaze B2, AWS S3
- Restore: Granular (einzelne Items) bis Cross-Tenant
- Aufbewahrung: Unbegrenzt (abhängig vom Speicher)
- Stärke: Marktführer im Mittelstand, sehr ausgereifte Software, gleiche Konsole wie Veeam Backup & Replication für Server
- Schwäche: Eigener Server nötig (mindestens Windows Server VM), Lernkurve für Administratoren
Veeam Backup for Microsoft 365 — Offizielle Doku liefert die technischen Details.
SkyKick Cloud Backup
- Preis: Ab 4 € pro User und Monat (all-inclusive, Speicher in EU-RZ enthalten)
- Workloads: Exchange, SharePoint, OneDrive, Teams
- Speicher-Backend: SkyKick-eigene Infrastruktur (AWS-basiert, EU-Region wählbar)
- Restore: Granular, schnell, intuitive UI
- Aufbewahrung: Unbegrenzt
- Stärke: Reines SaaS, kein eigener Server nötig, einfaches Multi-Tenant-Management für Partner
- Schwäche: Speicherort nicht frei wählbar (kein on-prem-Backend), höherer Per-User-Preis bei wachsenden Tenants
Datto SaaS Protection (ehemals Backupify)
- Preis: Ab 3 € pro User und Monat (über MSP-Partner)
- Workloads: Exchange, SharePoint, OneDrive, Teams, Google Workspace ebenfalls möglich
- Speicher-Backend: Datto-eigene RZs (Kaseya-Tochter)
- Restore: Granular, Cross-User-Restore möglich
- Aufbewahrung: Unbegrenzt
- Stärke: Sehr breite Plattform-Abdeckung (auch Google Workspace, Salesforce, Dropbox), günstig
- Schwäche: Seit Kaseya-Übernahme gemischtes Feedback zum Support; EU-Hosting auf Nachfrage
Acronis Cyber Protect Cloud
- Preis: Ab 5 € pro User und Monat (in der Cyber-Protect-Edition mit Endpoint-Security)
- Workloads: Exchange, SharePoint, OneDrive, Teams + Endpoint-Backup + EDR
- Speicher-Backend: Acronis Cloud (Frankfurt-RZ verfügbar) oder eigener Storage
- Restore: Granular bis full-tenant
- Aufbewahrung: Unbegrenzt
- Stärke: Backup + Antimalware + EDR in einer Konsole — beliebt bei Kanzleien
- Schwäche: Höchster Per-User-Preis, manche Funktionen erst in höheren Editionen
Die Kostenrechnung an einem echten Beispiel
Nehmen wir einen typischen Hamburger Kunden, mit dem wir 2026 gesprochen haben: 50 Mitarbeiter, davon 45 aktive M365-User. Durchschnittliches Mailbox-Volumen 30 GB, gemeinsame SharePoint-Sites 200 GB, OneDrive über alle User 500 GB. Macht zusammen rund 2.200 GB geschützter Daten.
| Lösung | Per-User | Speicher-Backend | Monatskosten gesamt | Jahreskosten |
|---|---|---|---|---|
| Microsoft 365 Backup nativ | – (Pay-per-GB) | inkl. | ~330 USD (≈ 305 €) | ~3.660 € |
| Veeam v8 + NAS on-prem | 3,50 € × 45 = 158 € | NAS-Abschreibung ~50 €/Monat | ~208 € | ~2.500 € |
| Veeam v8 + Wasabi S3 | 3,50 € × 45 = 158 € | ~14 € (Wasabi, 2,2 TB) | ~172 € | ~2.060 € |
| SkyKick all-inclusive | 4 € × 45 = 180 € | inkl. | ~180 € | ~2.160 € |
| Datto SaaS Protection | 3 € × 45 = 135 € | inkl. | ~135 € | ~1.620 € |
| Acronis Cyber Protect Cloud | 5 € × 45 = 225 € | inkl. | ~225 € | ~2.700 € |
Die nackte Rechnung zeigt: Microsoft 365 Backup nativ ist nicht automatisch günstiger — im Gegenteil. Bei diesem typischen Setup zahlen Sie nativ über 30 % mehr als bei Veeam mit Wasabi-Storage oder SkyKick. Das liegt am Pay-per-GB-Modell, das mit wachsendem Datenvolumen ungebremst skaliert.
Die Kostenrechnung kippt zu Ihren Gunsten beim nativen Backup, wenn Sie wenige User mit großen Datenmengen haben (z.B. ein Architekturbüro mit 8 Plätzen, aber 3 TB Projekt-SharePoint). Dann sind die 0,15 USD/GB pro Monat günstiger als der Per-User-Preis bei Drittanbietern. Lassen Sie uns das im Erstgespräch für Ihr Setup konkret durchrechnen.
Wie der Restore wirklich läuft — drei Praxis-Szenarien
Im Marketing klingt jeder Restore wie ein Mausklick. In der Praxis ist das oft komplizierter. Hier drei Szenarien, die wir bei Hamburger Kunden tatsächlich durchgespielt haben:
Szenario 1: Ein User löscht versehentlich 3 Monate alte Projektdokumente
- M365 Retention/Recycle Bin: Nach 93 Tagen weg. Kein Restore möglich.
- M365 Backup nativ: ~3 Minuten — Admin Center → Backup → Item suchen → Restore. Funktioniert.
- Veeam v8: ~5 Minuten — Veeam Explorer for SharePoint → Item-Level-Restore. Funktioniert.
Beide Backup-Wege funktionieren hier. Vorteil: nichts.
Szenario 2: Ransomware verschlüsselt SharePoint-Bibliotheken über kompromittierten Global-Admin
- M365 Retention: Wertlos — Angreifer hat Retention deaktiviert.
- M365 Backup nativ: Air-Gap schützt — Backup ist nicht erreichbar für Angreifer. Restore über Microsoft-Notfall-Workflow. Geschätzte Wiederherstellungszeit: 4–12 Stunden für 200 GB SharePoint.
- Veeam v8: Backup liegt komplett extern (z.B. Wasabi-S3 mit Object-Lock). Restore aus separater Konsole. 4–8 Stunden für 200 GB.
Hier gewinnt eine externe Lösung leicht — Wiederherstellungs-Hoheit bleibt bei Ihnen, nicht bei Microsoft Support.
Szenario 3: Mitarbeiter verlässt Firma, 6 Monate später kommt Anwaltsanfrage
- M365 Retention: Mailbox bei Auto-Delete schon weg, falls keine Retention-Policy.
- M365 Backup nativ: Restore aus Backup möglich, solange innerhalb 1–3 Jahre.
- Veeam v8: Restore möglich, Aufbewahrung beliebig.
Bei langer Aufbewahrung (über 3 Jahre) gewinnt der Drittanbieter klar — Microsofts native 3-Jahres-Grenze ist hier ein Problem.
Lokal-Bezug: Was Hamburger Mittelständler tun
Wir betreuen seit über 20 Jahren Mittelständler in Hamburg und Norddeutschland — von der Spaldingstraße aus für Bremen, Kiel und Lübeck. Hier ein paar Muster, die wir 2026 in echten Mandaten sehen:
- Hamburger Architekturbüro, 8 MA, 4 TB SharePoint-Projekte: Microsoft 365 Backup nativ rechnet sich nicht (~600 USD/Monat). Empfehlung: Veeam v8 mit NAS in den Büro-Räumen — fixe Kosten, lokales Backup. Hintergrund in unserer Case Study Architekturbüro.
- Spedition Hamburger Hafen, 25 MA: NIS2-betroffen (Logistik/Transport, kritischer Sektor). Veeam v8 mit Wasabi-S3 in EU-Region, dokumentierter Restore-Test alle 3 Monate. Anlehnung an die Spedition-Fallstudie.
- Kanzlei in der Hamburger Neustadt, 12 MA: Berufsgeheimnis nach § 203 StGB + 6 Jahre Aufbewahrung. SkyKick + zusätzlich Litigation Hold für mandatsbezogene Mailboxen. Vergleich Kanzlei-Fallstudie.
- Steuerberatung Hamburg-Eppendorf, 20 MA: 10 Jahre Aufbewahrung nach § 147 AO. Acronis Cyber Protect Cloud — Backup + Endpoint-EDR in einer Konsole. Mehr bei IT für Steuerberater.
- Werbeagentur Hamburg-Altona, 8 MA: Microsoft 365 Backup nativ reicht — kein Berufsgeheimnis, keine NIS2-Pflicht, niedriges Datenvolumen.
Über Weihnachten wurde bei uns alles verschlüsselt. Nur weil ich jede Woche eine externe Festplatte mit nach Hause genommen habe, hatten wir noch eine brauchbare Sicherung. Das war pures Glück.
NIS2, DSGVO und das Backup-Konzept
Seit Oktober 2024 gilt die NIS2-Richtlinie. Für betroffene Unternehmen (prüfen Sie es mit dem NIS2-Betroffenheits-Check) ist nach Art. 21 Abs. 2 lit. c ein dokumentiertes Backup-Konzept mit getesteten Restores Pflicht. Das BSI konkretisiert das in den NIS2-Umsetzungshilfen (BSI: Cyber-Sicherheit für Unternehmen) so:
- 3-2-1-Regel als Mindeststandard (drei Kopien, zwei verschiedene Medien, eine offsite/offline)
- Regelmäßige Restore-Tests (mindestens halbjährlich) — und zwar dokumentiert
- Schutz der Backups vor Manipulation (Air-Gap, Immutability, Object-Lock)
- Wiederherstellungszeiten (RTO) und -punkte (RPO) definiert und überprüft
Microsoft 365 Backup nativ erfüllt die 3-2-1-Regel nicht vollständig — alle Kopien liegen in Microsoft-Infrastruktur. Drittanbieter mit externem Speicher schon. Für NIS2-betroffene Hamburger Unternehmen ist das ein Argument für Veeam/SkyKick statt Microsoft nativ — siehe auch unsere NIS2-Audit-Vorbereitung Hamburg.
Auf DSGVO-Seite ist relevant, wo die Backup-Daten liegen. Microsoft 365 Backup hält die Daten standardmäßig in derselben Region wie Ihr Tenant (für deutsche Kunden meist „EU”). Drittanbieter mit EU-Hosting (SkyKick EU-Region, Veeam mit eigenem deutschen RZ, Acronis Frankfurt) sind hier gleichauf. Für Berufsgeheimnisträger und Branchen mit § 11 BDSG-Auftragsverarbeitung empfehlen wir trotzdem den Drittanbieter — der AV-Vertrag ist sauberer und das Datenflussdiagramm einfacher zu dokumentieren.
Schritt-für-Schritt: So wählen wir die Backup-Lösung beim Kunden
- Schritt 1 — Datenvolumen erheben: Wir messen pro User: Postfach-GB, OneDrive-GB, Anteil an gemeinsamen SharePoint-Sites. Tools: Microsoft 365 Admin Center → Usage Reports.
- Schritt 2 — Compliance-Anforderungen prüfen: NIS2-betroffen? Berufsgeheimnis? Branchen-Spezifika (MaRisk, KRITIS, GoBD)? Welche Aufbewahrungsfristen gelten?
- Schritt 3 — Bestehende Infrastruktur bewerten: Gibt es Veeam-Server für klassisches Backup? Wenn ja, ist Veeam for M365 oft die naheliegende Ergänzung.
- Schritt 4 — Kosten kalkulieren: Tabelle wie oben für nativ vs. 3 Drittanbieter. Inklusive Speicher-Backend und Personalaufwand.
- Schritt 5 — Restore-Anforderungen klären: Wie oft Restore? Wie kritisch RTO? Brauchen wir Cross-Tenant-Restore? Granularität?
- Schritt 6 — Pilot: 4 Wochen Test mit 5 Pilot-Usern, dann Vollausrollung. Restore-Test mit dokumentiertem Protokoll.
- Schritt 7 — Dokumentation für Audit: Backup-Konzept, Restore-Protokolle, Verantwortlichkeiten — Pflicht für NIS2 und ISO-27001-nahe Audits.
Die häufigsten Fehler — und wie Sie sie vermeiden
- Fehler 1 — Retention mit Backup verwechseln. Klassiker. Wenn Sie nicht 100 % sicher sagen können, was Retention kann und was nicht, lassen Sie es uns gemeinsam prüfen.
- Fehler 2 — Backup einrichten und dann vergessen. Ungetestete Backups sind keine Backups. Mindestens einmal pro Quartal einen echten Restore durchspielen — dokumentiert.
- Fehler 3 — Nur Mailboxen sichern. SharePoint, Teams-Chats und OneDrive werden vergessen — bis sie weg sind.
- Fehler 4 — Backup auf demselben Tenant lagern. Wenn der Tenant kompromittiert wird, ist das Backup auch weg. Off-Tenant-Storage (Drittanbieter mit eigenem RZ) ist Pflicht für kritische Daten.
- Fehler 5 — Speicherkosten unterschätzen. Bei nativ rechnen viele die ersten 12 Monate, aber nicht die Skalierung über 3 Jahre. SharePoint wächst typischerweise 20–30 % pro Jahr.
- Fehler 6 — Teams-Chats nicht im Scope. Erst seit 2025 vollständig backup-fähig. Wer das nicht aktiv konfiguriert, hat eine Lücke.
- Fehler 7 — Kein dokumentiertes Konzept. Bei NIS2-Audit oder im Schadensfall ist das undokumentierte Backup wertlos.
Häufige Folgefragen aus Hamburger Erstgesprächen
- „Wie schnell können wir umstellen?” — Von Drittanbieter zu Drittanbieter typischerweise 2–4 Wochen (Pilot + Roll-out). Von „kein Backup” zu Veeam/SkyKick: 1–2 Wochen.
- „Lohnt sich Acronis nur wegen Endpoint-Security?” — Wenn Sie bereits eine EDR-Lösung haben (Bitdefender GravityZone, SentinelOne, Microsoft Defender for Business), nein. Wenn Sie beides neu aufsetzen, ja — dann ist die Konsolidierung in einer Konsole ein echter Vorteil.
- „Können wir Veeam auch nur für M365 nehmen, ohne Server-Backup?” — Ja. Veeam Backup for Microsoft 365 ist eine eigenständige Lizenz, kein Add-on.
- „Müssen wir wirklich monatlich testen?” — Nein, aber mindestens quartalsweise — und einmal pro Jahr einen größeren End-to-End-Test inklusive realer Wiederherstellung in einen Test-Tenant.
Wer als NIS2-betroffenes Unternehmen 2026 noch kein dokumentiertes Backup-Konzept mit getesteten Restores hat, sollte das nicht weiter aufschieben. Bußgelder können bis zu 10 Mio. € oder 2 % des Jahresumsatzes betragen. Wir bieten NIS2-Audit-Vorbereitung in Hamburg als Festpreis-Projekt an.
Weiterführende Quellen
- Microsoft Learn: Microsoft 365 Backup Overview
- Microsoft Learn: M365 Backup Pricing
- Veeam Backup for Microsoft 365 v8 — Produktseite
- BSI: Cyber-Sicherheitslage 2024 (Lagebericht)
- Bitkom-Studie 2024: Wirtschaftsschutz
Ihr nächster Schritt: 15-Min-Erstgespräch
Sie wissen jetzt, wie M365-Backup nativ funktioniert und wo Drittanbieter den Unterschied machen. Was Ihnen jetzt fehlt: eine konkrete Empfehlung für Ihr Setup — Ihre User, Ihre Compliance-Lage, Ihr Speicher-Bedarf, Ihre Budget-Grenzen.
Das machen wir im 15-Min-Erstgespräch. Kostenlos, ohne Vertriebsdruck. Wenn es passt, folgt eine Infrastrukturanalyse mit Festpreis — dann liefern wir Ihnen einen Backup-Plan mit klaren Kosten, Restore-Tests und NIS2-Compliance-Dokumentation.
Backup-Strategie für Microsoft 365 klären?
15 Minuten Erstgespräch mit Jens Hagel. Kostenlos. Direkt online buchen.
Erstgespräch buchen →Mehr zu unserer Arbeit: Managed Microsoft 365 ist Teil unserer Cloud-Beratung Hamburg. Wir sind als IT-Dienstleister in Hamburg seit über 20 Jahren am Markt — und kennen die typischen Backup-Fallstricke aus über 150 Kunden-Tenants. Wer tiefer in Backup-Konzepte einsteigen will: Backup & Disaster Recovery für KMU, Veeam Backup & Replication v8 und SkyKick Backup für Microsoft 365.
