Inhalt in Kürze
- Microsoft sichert nicht Ihre Daten — nur die Plattform. Das steht so im Microsoft Services Agreement und nennt sich Shared Responsibility Model.
- Standard-Aufbewahrung ist gefährlich kurz: 14 Tage gelöschte E-Mails, 30 Tage OneDrive-Papierkorb, 93 Tage SharePoint. Für DSGVO und GoBD reicht das nicht.
- 5 typische Verlust-Szenarien treffen Hamburger Mittelständler regelmäßig: Ransomware, versehentliches Löschen, Insider-Threats, Mitarbeiter-Austritt, Konto-Übernahme.
- Realistische Kosten für ein Microsoft 365 Backup liegen bei 3 bis 6 Euro pro Nutzer und Monat — ein 50-Personen-Betrieb in Hamburg landet bei rund 200 Euro pro Monat.
Wir sehen es jeden Monat bei Erstgesprächen mit Hamburger Mittelständlern: Microsoft 365 läuft seit Jahren stabil, alle Daten liegen in der Cloud — und die Geschäftsführung geht davon aus, dass Microsoft das Backup übernimmt. Falsche Annahme. Microsoft selbst empfiehlt seit Jahren explizit, ein zusätzliches Backup einzurichten. Was das konkret bedeutet, welche Lösungen funktionieren und was es Sie kostet, klären wir hier — unsentimental, mit Hamburger Klarheit. Wer den größeren Kontext sucht, findet in unserem Beitrag So betreut hagel IT moderne Microsoft-365-Umgebungen den vollen Service-Rahmen.
Sichert Microsoft 365 meine Daten? Klare Antwort: Nein
Microsoft 365 hat kein Backup im klassischen Sinne. Was Microsoft betreibt, ist hochverfügbare Infrastruktur mit Geo-Redundanz — also Schutz davor, dass ein Rechenzentrum ausfällt. Der Schutz Ihrer Daten vor menschlichen oder bösartigen Eingriffen ist nicht Teil des Lieferumfangs.
Microsoft selbst nennt das offiziell Shared Responsibility Model. Auf Microsoft Learn wird das wörtlich so beschrieben: Microsoft ist für die Plattform-Verfügbarkeit zuständig, der Kunde für die Daten und deren Wiederherstellbarkeit. Schwarz auf weiß.
Microsoft schreibt im Services Agreement (Section 6b): „We recommend that you regularly backup Your Content and Data that you store on the Services or store using Third-Party Apps and Services." Übersetzt: „Sichern Sie Ihre Daten regelmäßig — wir tun es nicht für Sie."
Was Microsoft 365 als „Wiederherstellung" anbietet — und warum das kein Backup ist
Microsoft hat einige Recovery-Funktionen eingebaut, die oft mit echtem Backup verwechselt werden:
- Papierkorb in OneDrive und SharePoint — gelöschte Dateien sind 30 bzw. 93 Tage rekonstruierbar.
- Versionsverlauf — die letzten Versionen einer Datei bleiben erhalten, aber begrenzt.
- Litigation Hold und Retention Policies — können auf rechtliche Anforderungen abgestimmt werden, sind aber kein Backup.
- Microsoft 365 Backup (neuer Service, 2024 GA) — kostet extra, sichert nur SharePoint, OneDrive und Exchange, hat keine Off-Cloud-Kopie.
All das sind keine vollwertigen Backups. Sobald ein Konto kompromittiert wird, ein Mitarbeiter mutwillig löscht oder Ransomware zuschlägt, sind diese Wiederherstellungsmechanismen entweder zu kurz oder selbst angreifbar.
Was Microsoft sichert vs. was Sie selbst sichern müssen
Die klarste Übersicht über die Verantwortlichkeiten haben wir in dieser Tabelle — basierend auf den offiziellen Microsoft-Dokumenten und unserer täglichen Praxis bei Hamburger Mandanten:
| Bereich | Microsoft sichert | Sie sichern selbst |
|---|---|---|
| Rechenzentrum-Ausfall (Hardware, Strom, Netzwerk) | Ja, Geo-Redundanz | Nein |
| Plattform-Updates und Patches | Ja | Nein |
| Versehentliches Löschen durch Nutzer | Nein (nur Papierkorb 30/93 Tage) | Ja |
| Ransomware-Verschlüsselung in OneDrive | Nein | Ja |
| Mitarbeiter-Austritt (Daten gehen verloren) | Nein | Ja |
| Insider-Threat / böswilliges Löschen | Nein | Ja |
| Konto-Übernahme durch Phishing | Nein | Ja |
| Langfristige Aufbewahrung (DSGVO / GoBD) | Nein | Ja |
| Granulare Wiederherstellung einzelner Mails / Dateien | Eingeschränkt | Ja |
| Schutz vor App-Berechtigungs-Missbrauch | Nein | Ja |
Wer diese Tabelle ehrlich auf sein Unternehmen anwendet, sieht schnell: Die rechte Spalte ist die, in der die meisten Risiken liegen — und genau dort lässt Microsoft Sie allein. Das gleiche Muster gilt übrigens für die Cloud allgemein — wir haben das Thema Verantwortlichkeiten in der Cloud-Compliance für Hamburg ausführlich beleuchtet.
5 Szenarien, in denen M365-Daten verloren gehen
Theorie ist die eine Sache, Praxis die andere. Diese fünf Szenarien sehen wir bei hagel IT in Hamburg regelmäßig — bei Neukunden im Erstgespräch und leider auch bei Bestandskunden, die das Backup vorher anderswo abgekündigt hatten.
- Ransomware verschlüsselt OneDrive synchron mit. Der Nutzer-Laptop wird befallen, OneDrive synchronisiert die verschlüsselten Dateien automatisch in die Cloud. Innerhalb von Minuten sind alle Versionen kompromittiert. Microsoft kann den Stand „vor 4 Tagen" oft nicht mehr liefern.
- Versehentliches Löschen wird erst nach Monaten bemerkt. Ein Vertriebsmitarbeiter löscht aus Versehen einen SharePoint-Ordner mit alten Angeboten. Niemand merkt es. Vier Monate später wird das Angebot gebraucht — der 93-Tage-Papierkorb ist längst leer.
- Insider-Threat beim Austritt. Ein gekündigter Mitarbeiter löscht in seinen letzten Tagen gezielt Mails, Teams-Nachrichten und SharePoint-Dokumente. Ohne Backup ist das nicht zurückzuholen.
- Mitarbeiter-Lizenz wird abgeschaltet. Klassiker: Mitarbeiter geht, Lizenz wird gekündigt, das Postfach geht nach 30 Tagen unwiederbringlich verloren — inklusive aller Geschäftskorrespondenz, die für die GoBD aufbewahrungspflichtig ist.
- Konto-Übernahme durch Phishing. Der Angreifer übernimmt das Konto eines GF-Assistenten, leitet Mails um, löscht Beweise und installiert App-Berechtigungen mit Vollzugriff. Alle Spuren werden verwischt — auch die Audit-Logs sind nur 90 Tage tief.
Wir sehen es jede Woche: Backups, die seit Monaten nicht geprüft wurden. Alle denken, es läuft — bis der Ernstfall kommt und nichts wiederherstellbar ist. Deshalb testen wir Backups regelmäßig.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Microsoft 365 Backup-Lösungen im Vergleich
Der Markt für M365-Backup-Software ist 2026 ausgereift. Wir empfehlen Hamburger Mittelständlern in der Praxis vier Lösungen — je nach Unternehmensgröße, Compliance-Anforderung und Budget:
| Lösung | Stärke | Eignung | Preis ca. |
|---|---|---|---|
| Veeam Backup for Microsoft 365 | Marktführer, höchste Funktionstiefe, 3-2-1-Strategie möglich | 50–250 MA, hohe Compliance | 4–5 €/Nutzer/Monat |
| SkyKick Cloud Backup | Einfach, mittelstandsfreundlich, schnelle Einrichtung | 5–80 MA, klare Verantwortlichkeiten | 3–4 €/Nutzer/Monat |
| Acronis Cyber Protect Cloud | Integriertes Anti-Ransomware + Backup | 20–150 MA, hoher Security-Anspruch | 5–7 €/Nutzer/Monat |
| Barracuda Cloud-to-Cloud Backup | Unbegrenzter Speicher, einfache Lizenzierung | 30–250 MA, viel SharePoint-Volumen | 4–5 €/Nutzer/Monat |
Mehr zu unserem eigenen Backup-Service finden Sie unter hagel one backup — dort haben wir die wichtigsten Backup-Bausteine als Festpreis-Modul gebündelt.
Was ein gutes M365-Backup leisten muss
Damit eine Backup-Lösung im Ernstfall wirklich rettet, muss sie folgende Kriterien erfüllen:
- Vollständige Abdeckung. Exchange Online (Postfächer, Kalender, Kontakte), SharePoint Online, OneDrive, Teams (Chats und Kanäle), Planner, To Do.
- Granulare Wiederherstellung. Einzelne E-Mails, einzelne Dateien, einzelne Versionen — nicht nur „alles oder nichts".
- Unveränderbarer Speicher (Immutability). Backup-Daten dürfen weder vom Microsoft-Konto noch von einem Angreifer gelöscht werden können — Stichwort Air-Gap.
- Lange Aufbewahrungszeit. Mindestens 1 Jahr für DSGVO, 6–10 Jahre für GoBD-relevante Geschäftspost.
- EU-Hosting. Backup-Speicher in deutschen oder EU-Rechenzentren — nicht in den USA.
- Wiederherstellungs-Tests. Mindestens quartalsweise dokumentierte Restore-Tests, sonst ist das Backup ein Papiertiger.
Was kostet Microsoft 365 Backup pro User?
Der Markt ist transparent geworden. Für ein vollständiges, EU-gehostetes M365-Backup mit allen Workloads (Mail, OneDrive, SharePoint, Teams) sind 2026 folgende Preise realistisch:
Beispielrechnung Hamburger Mittelständler mit 50 Mitarbeitern: 50 × 5 € = 250 € pro Monat, also 3.000 € pro Jahr für ein vollständiges, getestetes, EU-gehostetes M365-Backup. Bei einem Schadensfall mit 3-Wochen-Ausfall reden wir über sechsstellige Verluste — die 3.000 € sind die günstigste Versicherung im IT-Portfolio. Wer das Backup in eine umfassendere Strategie einbetten möchte, findet in unserer Cloud-Backup-Übersicht für Hamburg die nächste Ebene mit Server-, NAS- und Endpoint-Sicherung. Für Mandanten, die Backup direkt im Rahmen einer Cloud-Beratung mit Festpreis buchen möchten, ist das Modul standardmäßig enthalten.
DSGVO und GoBD: Warum M365-Backup faktisch Pflicht ist
Hier wird es juristisch — aber wichtig. Zwei Regelwerke betreffen jeden Hamburger Mittelständler:
DSGVO Artikel 32 — Sicherheit der Verarbeitung
Die Datenschutz-Grundverordnung verpflichtet Verantwortliche dazu, „die Fähigkeit, die Verfügbarkeit und den Zugang zu personenbezogenen Daten bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen" sicherzustellen. Ohne dediziertes Backup ist diese Wiederherstellbarkeit bei Ransomware oder Konto-Übernahme nicht gegeben — das BSI ist hier eindeutig.
GoBD — Aufbewahrung steuerrelevanter Daten
Die GoBD-Vorgaben des Bundesfinanzministeriums fordern eine 6- bis 10-jährige unveränderbare Aufbewahrung steuerlich relevanter Geschäftspost und Belege. Microsofts Standard-Retention von 14 bis 93 Tagen liegt drei Größenordnungen unter dieser Anforderung. Nur ein externes Backup mit Immutability-Storage erfüllt das.
Bei einem Datenverlust ohne nachweisbares Backup drohen unter DSGVO Bußgelder von bis zu 4 Prozent des Jahresumsatzes. Hinzu kommen GoBD-Verstöße bei der Betriebsprüfung und persönliche Haftung der Geschäftsführung — der Hamburger Datenschutzbeauftragte prüft das in den letzten Jahren deutlich strenger.
Wer wissen will, ob das eigene Unternehmen zusätzlich unter NIS-2 fällt, kann das in 2 Minuten mit unserem NIS2-Betroffenheits-Check klären — die Anforderungen an Backup und Wiederherstellbarkeit verschärfen sich dort nochmal.
Wie wir Microsoft 365 Backup für Hamburger Mittelständler einrichten
Bei hagel IT-Services in Hamburg betreuen wir aktuell über 200 Unternehmen mit Microsoft 365 — vom 8-Personen-Steuerbüro in Eppendorf bis zum 150-Personen-Maschinenbauer in Bergedorf. Unser Backup-Standardprozess sieht so aus:
- Bestandsaufnahme im Erstgespräch. Welche Workloads nutzen Sie wirklich? Wie viele aktive Lizenzen, wie viele Postfach-Daten, welche SharePoint-Volumen? Daraus ergibt sich der konkrete Backup-Bedarf.
- Lösung wählen. Bei 5–80 Mitarbeitern empfehlen wir meist SkyKick (einfach, günstig). Bei 80+ Mitarbeitern oder hohen Compliance-Anforderungen Veeam oder Acronis. Die Empfehlung erfolgt unabhängig — wir verkaufen, was passt.
- Einrichtung in 1–2 Werktagen. App-Registration in Azure, Lizenzen aktivieren, Workloads auswählen, erste Voll-Sicherung starten. Der erste Backup-Lauf dauert je nach Datenmenge 24–72 Stunden.
- Restore-Test im ersten Monat. Wir stellen testweise eine Mail, eine OneDrive-Datei und einen SharePoint-Ordner wieder her. Erst dann ist das Backup für uns produktiv.
- Monitoring + Quartals-Reviews. Wir überwachen den Backup-Status täglich automatisiert und prüfen alle 3 Monate gemeinsam mit Ihnen die Wiederherstellbarkeit. Das ist kein Set-and-Forget — sondern aktive Verantwortung.
Wer Microsoft 365 nicht isoliert sichern, sondern in einen ganzheitlichen Modern Workplace mit Festpreis überführen möchte, bekommt von uns Backup, Endpoint Protection, Patching und Helpdesk in einem Paket — keine Einzelverträge.
Unsere Hamburger Praxis-Erfahrung
Wir betreuen seit über 20 Jahren Hamburger Unternehmen und haben in der Zeit jede denkbare Backup-Katastrophe gesehen — von Bandlaufwerken die seit Jahren nicht mehr lasen, über NAS-Systeme die der Trojaner mitverschlüsselt hat, bis zu Cloud-Backups die ohne Test wiederherstellungsuntauglich waren. Was am Ende rettet, ist nicht die teuerste Software, sondern: Wer testet das Backup wirklich?
Drei Monate lang konnten wir nicht arbeiten. Alles verschlüsselt — jedes Dokument, jede E-Mail, jede Rechnung. Seitdem weiß ich: IT-Sicherheit ist kein Luxus, sondern Überlebensfrage.
3 typische Fehler beim M365-Backup
Auch wenn ein Backup eingerichtet ist, sehen wir bei Neukunden immer wieder dieselben Fehler. Wenn Sie diese drei vermeiden, haben Sie 80 Prozent der Risiken im Griff.
- Fehler 1: Backup nie getestet. Das Backup läuft seit zwei Jahren — niemand hat je versucht, eine Datei zurückzuholen. Im Ernstfall stellt sich dann heraus, dass Authentifizierungs-Token abgelaufen sind oder die Lizenz nicht reicht. Pflicht: Quartalsweise Restore-Test, schriftlich dokumentiert.
- Fehler 2: Teams-Chats nicht abgedeckt. Viele Standard-Backups sichern nur Mail, OneDrive und SharePoint — Teams-Chats fehlen. Genau dort entstehen aber inzwischen die wichtigsten Geschäftskommunikationen. Prüfen Sie explizit: Welche Workloads sind im Backup, welche nicht?
- Fehler 3: Selbe Admin-Credentials für M365 und Backup. Wenn der Angreifer den Global Admin übernimmt, kann er auch das Backup löschen — wenn dieses am selben Tenant hängt. Das Backup-System muss eigene Credentials und idealerweise Immutability haben.
Fazit: Microsoft 365 Backup ist keine Option, sondern Grundausstattung
Wer 2026 Microsoft 365 produktiv nutzt — egal ob mit 8 oder 150 Mitarbeitern — kommt um ein dediziertes Backup nicht herum. Microsoft selbst empfiehlt es, die DSGVO fordert es, die GoBD verschärft es, und die täglichen Praxis-Erfahrungen aus Ransomware-Vorfällen bestätigen es. Die gute Nachricht: Der Aufwand ist überschaubar, die Kosten sind kalkulierbar, der Nutzen ist im Ernstfall sechsstellig.
Bei hagel IT betreuen wir Microsoft 365 in Hamburg seit über 15 Jahren — von der ersten Office-365-Migration bis zum aktuellen Modern-Workplace-Standard mit Intune, Conditional Access und Copilot. Backup ist für uns dabei kein Add-On, sondern Pflichtbestandteil jeder seriösen M365-Betreuung. Auch unser Beitrag zu SkyKick Backup für Microsoft 365 geht auf das Thema ein — dieser Artikel hier ist die strategische Sicht für die Geschäftsführung.
Microsoft 365 Backup für Ihr Hamburger Unternehmen einrichten?
15 Minuten. Kostenlos. Ohne Vertriebsdruck. Wir analysieren Ihren M365-Status und empfehlen die passende Backup-Lösung.
Termin buchen →
