Microsoft 365: Braucht mein KMU ein zusätzliches Backup?

Die kurze Antwort: Ja. Microsoft betreibt die Infrastruktur hochverfügbar — aber für Ihre Daten sind Sie selbst verantwortlich. Das steht so sinngemäss in Microsofts eigenen Nutzungsbedingungen und nennt sich Shared-Responsibility-Modell: Microsoft sorgt dafür, dass der Dienst läuft. Dass Ihre E-Mails, Dateien und Teams-Daten auch nach einem Löschvorgang, einem Angriff oder einem Personalwechsel noch da sind, ist Ihre Aufgabe.

„Aber Microsoft hat doch einen Papierkorb?"

Stimmt — und der ist die häufigste Quelle falscher Sicherheit. Die eingebauten Mechanismen haben enge Grenzen:

• Gelöschte E-Mails sind je nach Konfiguration nach 14 bis 30 Tagen endgültig weg.
• Dateien in OneDrive und SharePoint bleiben maximal 93 Tage im Papierkorb.
• Verlässt eine Person das Unternehmen und wird ihr Konto gelöscht, sind die Daten standardmässig 30 Tage nach der Löschung endgültig weg.

Ein Papierkorb ist eine Rückgängig-Funktion, kein Backup. Der Unterschied zeigt sich genau dann, wenn es darauf ankommt: beim Fall, den niemand innert 93 Tagen bemerkt hat.

Die vier Szenarien, die wirklich passieren

1. Das späte Erwachen

Eine Mitarbeiterin löscht im Frühjahrsputz einen „alten" Ordner. Vier Monate später fragt die Treuhänderin nach genau diesen Unterlagen. Der Papierkorb: längst geleert. Ohne separates Backup ist hier nichts mehr zu machen.

2. Ransomware über den synchronisierten Ordner

Verschlüsselt ein Schadprogramm den Laptop, synchronisiert OneDrive die verschlüsselten Dateien brav in die Cloud — die „Cloud-Kopie" ist dann genauso unbrauchbar wie das Original. Die eingebaute Wiederherstellung hilft nur innerhalb enger Fristen und nicht in jedem Fall.

3. Der Personalwechsel

Ein Mitarbeiter geht, das Konto wird deaktiviert, die Lizenz gespart. Wochen später braucht jemand dessen Projektablage oder ein wichtiges Mail-Postfach — und stellt fest, dass die Aufbewahrungsfrist abgelaufen ist.

4. Die gesetzliche Aufbewahrungspflicht

Geschäftsbücher und -korrespondenz müssen in der Schweiz zehn Jahre aufbewahrt werden (Art. 958f OR). Wer geschäftsrelevante Mails und Dokumente nur in Microsoft 365 mit Standardeinstellungen hält, kann diese Pflicht schlicht nicht zuverlässig erfüllen.

Was ein KMU konkret tun sollte

1. Externes M365-Backup einrichten. Eine Backup-Lösung eines Drittanbieters sichert Exchange, OneDrive, SharePoint und Teams regelmässig ausserhalb von Microsoft — mit Aufbewahrung nach Ihren Regeln statt nach Microsofts Fristen. Kostenpunkt: wenige Franken pro Benutzer und Monat.
2. Aufbewahrungsrichtlinien konfigurieren. Microsoft 365 bringt Retention-Werkzeuge mit — sie schützen aber erst, wenn man sie bewusst einrichtet. Zusammen mit einem Backup ergibt das ein sauberes Fundament.
3. Wiederherstellung testen. Ein Backup, aus dem noch nie jemand etwas zurückgeholt hat, ist ein Versprechen, kein Schutz. Einmal pro Jahr eine Test-Wiederherstellung gehört dazu.

Die gute Nachricht zum Schluss: Das alles ist weder teuer noch aufwendig — es muss nur einmal richtig aufgesetzt werden. Danach läuft es im Hintergrund, bis zu dem Tag, an dem Sie froh darum sind.

Quellen

• Microsoft Learn: OneDrive/SharePoint — Aufbewahrung und Löschung (93-Tage-Papierkorb, 30 Tage bei Kontolöschung)
• Microsoft Learn: Exchange Online — Ordner „Wiederherstellbare Elemente" (14–30 Tage)
• Fedlex: Obligationenrecht Art. 958f — Aufbewahrung der Geschäftsbücher (10 Jahre)