Microsoft 365 Backup 2026: Exchange, OneDrive und SharePoint sichern

Microsoft 365 Backup 2026: Eine gelöschte Exchange-Mailbox, verschlüsselte Dateien in OneDrive oder eine fehlerhafte Massenänderung in SharePoint können den Betrieb eines Unternehmens empfindlich treffen. Obwohl Microsoft 365 bereits verschiedene Schutzmechanismen und Datenreplikation bietet, muss die Wiederherstellungsstrategie zum konkreten Geschäftsrisiko passen. Microsoft 365 Backup 2026 stellt zusätzliche Funktionen zum Schutz von Exchange Online, SharePoint und OneDrive bereit. Dieser Leitfaden erläutert die dokumentierten Möglichkeiten, die praktische Einführung und die Grenzen – inklusive der wichtigen Unterscheidung zwischen normaler Aufbewahrung, Versionierung und einer bewusst geplanten Wiederherstellung.

GORTNET Fachredaktion | Stand: 25. Oktober 2026 | Technischer Leitfaden

Warum Microsoft 365 trotz hoher Verfügbarkeit eine Recovery-Strategie braucht

Microsoft betreibt Exchange Online, OneDrive und SharePoint auf einer resilienten Infrastruktur. Diese Architektur soll Hardwareausfälle und viele interne Störungen abfangen. Sie verhindert aber nicht, dass berechtigte Benutzer Dateien falsch überschreiben, ein kompromittiertes Konto größere Mengen von Inhalten verändert oder ein Administrator einen falschen Löschvorgang ausführt. Solche Ereignisse können vollständig innerhalb einer technisch verfügbaren Cloud stattfinden: Das System ist online, die benötigten Geschäftsdaten befinden sich aber nicht mehr im erwarteten Zustand.

Die IT muss deshalb Geschäftsprozesse betrachten statt ausschließlich Plattformverfügbarkeit. Für eine Finanzabteilung sind beispielsweise Vertragsdateien, Postfächer und Freigaben geschäftskritisch. Klären Sie, welche Daten nach einem Fehler schnell wieder erreichbar sein müssen, wie viel Datenverlust akzeptabel ist und wer eine Wiederherstellung genehmigen darf. Microsoft 365 Backup ist eine mögliche Umsetzung; ob zusätzliche externe Backup-Systeme nötig sind, hängt unter anderem von Aufbewahrungszielen, Exportanforderungen und gewollter Unabhängigkeit ab.

Microsoft 365 Backup 2026: Welche Workloads sind geschützt?

Die offizielle Microsoft-365-Backup-Lösung sichert ausgewählte oder alle unterstützten Exchange-Online-Postfächer, SharePoint-Sites und OneDrive-Konten. Der Schutz wird über einzelne Richtlinien für die jeweiligen Dienste eingerichtet. Eine SharePoint-Site ist dabei eine andere Sicherungseinheit als ein Exchange-Postfach; Administratoren sollten die Unterschiede bei Wiederherstellung, Auswahl und Berechtigungen beachten. Aktuelle Microsoft-Dokumentation beschreibt auch granularere Wiederherstellungswege für SharePoint- und OneDrive-Inhalte.

Wichtig ist die Abgrenzung von Marketingbegriffen. Microsoft Teams nutzt zwar häufig SharePoint und OneDrive für Dateien, aber daraus folgt nicht, dass jede Teams-Komponente – etwa alle Chatnachrichten, Einstellungen oder verbundene Drittanbieter – automatisch in exakt gleichem Umfang durch Microsoft 365 Backup geschützt wird. Prüfen Sie jede Datenart anhand der aktuellen Support-Matrix und testen Sie die Wiederherstellung separat, bevor Sie im Betrieb eine pauschale „Alles ist gesichert“-Aussage treffen.

Aufbewahrung und Recovery Points verstehen

Nach den im August 2026 aktualisierten Microsoft-Unterlagen können Backup-Richtlinien derzeit Aufbewahrungsfenster von drei Monaten, sechs Monaten, einem oder zwei Jahren vorsehen. Der bisherige Standard liegt bei einem Jahr. Bei vollständigen OneDrive- und SharePoint-Wiederherstellungen sind für jüngere Zeiträume engmaschigere Wiederherstellungspunkte dokumentiert; für weiter zurückliegende Zeiträume verändert sich die Granularität. Exchange Online wird mit einem anderen Wiederherstellungsmodell behandelt. Die konkrete Häufigkeit sollte immer aus der aktuellen Dokumentation zum gewünschten Restore-Typ entnommen werden.

RPO beschreibt, wie viele Änderungen schlimmstenfalls verloren gehen können. RTO beschreibt, bis wann der betroffene Geschäftsprozess wieder nutzbar sein muss. Verwenden Sie keine pauschale RPO-Zahl für sämtliche Dienste und Wiederherstellungsarten: Ein gesamtes OneDrive-Konto und eine einzelne Datei können unterschiedlichen Punkt-in-Zeit-Optionen unterliegen. Dokumentieren Sie deshalb je Workload, welches Szenario die Vereinbarung tatsächlich abdeckt, und unterscheiden Sie Herstelleraussagen von selbst getesteten Ergebnissen.

Backup-Policy im Microsoft 365 Admin Center planen

Die Einrichtung beginnt mit einer Bestandsaufnahme. Welche SharePoint-Sites gehören zentralen Abteilungen? Welche Postfächer enthalten geschäftskritische Kommunikation? Welche OneDrive-Konten betreffen Schlüsselpersonen und Projektteams? Für Exchange, OneDrive und SharePoint werden im Microsoft-365-Backup-Bereich jeweils eigene Schutzrichtlinien angelegt. Prüfen Sie, ob die dafür erforderlichen Rollen vergeben sind, die Abrechnung konfiguriert ist und die richtige Organisationseinheit ausgewählt wird.

Legen Sie klare Namenskonventionen für Richtlinien fest und dokumentieren Sie deren Umfang. Ein Pilot sollte sowohl Standardnutzer als auch besonders kritische Datenbereiche einschließen. Wenn dynamische Zuordnungen oder vollständiger Workload-Schutz eingesetzt werden, prüfen Sie, ob neu hinzukommende Konten tatsächlich erfasst werden. Eine einmalige Inventarliste veraltet schnell: Teams werden gegründet, Mitarbeiter wechseln und neue Sites entstehen. Ein monatlicher Abgleich zwischen Datenbestand und geschützten Sicherungseinheiten verhindert schleichende Lücken.

Exchange-Online-Restore: Mailbox, Ordner und einzelne Objekte

Bei Exchange-Online-Vorfällen ist oft nicht die vollständige Mailbox beschädigt. Manchmal wurden einzelne Nachrichten gelöscht, Kalendereinträge verändert oder betrügerische Regeln hinzugefügt. Die Wiederherstellungsplanung muss entscheiden, ob eine gezielte Rückholung einzelner Elemente oder eine umfangreichere Wiederherstellung sinnvoll ist. Vergleichen Sie nach einem Restore den Zustand mit der tatsächlichen Benutzeranforderung, um doppelte Elemente oder unerwünschte Veränderungen frühzeitig zu erkennen.

Ein Recovery-Test sollte außerdem die technische Ursache berücksichtigen. Ist ein Konto kompromittiert, genügt das bloße Rückspielen gelöschter Inhalte nicht. Vor einer endgültigen Rückkehr in den Normalbetrieb sind Sitzungen, Anmeldungen, Weiterleitungsregeln und Zugriffsrechte zu prüfen. Halten Sie den Beweisstand und relevante Logdaten fest. Die Backup-Funktion ist Teil des Wiederherstellungsprozesses, während Identitätssicherheit, Incident Response und Benutzerkommunikation weitere notwendige Aufgaben bleiben.

SharePoint und OneDrive: In-Place-Rollback versus selektiver Restore

Wird eine vollständige Site oder ein OneDrive-Konto auf einen früheren Zustand zurückgesetzt, können zwischenzeitlich rechtmäßig entstandene Änderungen überschrieben werden. Genau darin liegt ein unterschätztes Risiko: Die Wiederherstellung einer schadhaften Massenänderung darf nicht gleichzeitig die Arbeit ganzer Projektteams zerstören. Verwenden Sie, wo die aktuelle Funktion es erlaubt, alternative Zielorte oder granulare Datei- und Ordner-Restores. Machen Sie vor einem In-Place-Rollback die Betroffenen und den vorgesehenen Zeitstempel transparent.

Die Microsoft-Dokumentation beschreibt Express-Restore-Punkte für bestimmte vollständige OneDrive- und SharePoint-Wiederherstellungen. Diese können die Wiederherstellung beschleunigen; die tatsächliche Dauer hängt aber von Datenmenge und Anzahl der Elemente ab. Ein Test mit einer kleinen Site ist nicht automatisch auf eine große Abteilung übertragbar. Für kritische Datenbanken, Anwendungen mit Metadatenabhängigkeiten und externe Integrationen müssen Anwendungsfunktion und Berechtigungen nach dem Restore zusätzlich geprüft werden.

Backup-Rollen schützen und Missbrauch verhindern

Backup-Administratoren besitzen weitreichende Möglichkeiten, geschützte Daten wiederherzustellen oder Schutzkonfigurationen zu verändern. Diese Aufgaben gehören in ein striktes Rollenmodell mit MFA, getrennten privilegierten Konten und dokumentierter Freigabe. Verwenden Sie nach Möglichkeit die spezifischen Administratorrollen statt allgemein überall Global-Administrator-Rechte einzusetzen. Überwachen Sie Änderungen an Backup-Richtlinien, auffällige Löschvorgänge sowie neue oder entfernte Schutzobjekte.

Denken Sie insbesondere an den Unterschied zwischen unveränderlichen Backup-Datenblöcken und administrativen Möglichkeiten, Schutz aufzunehmen oder zu beenden. Die technische Eigenschaft von Append-Only-Speicherung bedeutet nicht, dass organisatorische Kontrollen überflüssig werden. Eine unabhängige Prüfung kritischer Änderungen, mehrstufige Freigaben und eine Alarmierung an mehrere Administratoren können das Risiko einer unbemerkten Manipulation reduzieren.

Microsoft 365 Backup 2026: Pay-as-you-go und Kostenkontrolle

Microsoft 365 Backup ist verbrauchsorientiert abgerechnet. Für die Budgetplanung reichen Benutzerzahlen allein deshalb nicht aus. Ermitteln Sie geschützte Datenvolumina, erwartetes Wachstum und den fachlichen Bedarf an längeren Aufbewahrungsfristen. Prüfen Sie die aktuell gültigen Abrechnungsregeln und Preise direkt beim Anbieter, statt eine möglicherweise veraltete Pauschale aus einem Blog zu übernehmen. Abteilungsbezogene Kostenstellen können bei größeren Organisationen hilfreich sein.

2026 hat Microsoft die Verwaltung der Pay-as-you-go-Abrechnung im Admin Center erweitert, einschließlich differenzierterer Kostenzuordnung und Budgetfunktionen. Diese Funktionen sind für die Transparenz nützlich, ersetzen aber kein Governance-Konzept. Halten Sie für jede Backup-Richtlinie Kostenverantwortlichen, geschäftliche Begründung und Änderungsprozess fest. So lässt sich vermeiden, dass längst nicht mehr benötigte Datenbereiche dauerhaft ohne erkennbare Entscheidung kostenpflichtig geschützt werden.

Backup oder Retention: Zwei verschiedene Fragen

Retention- und Compliance-Regeln sollen Informationen gemäß organisatorischen oder regulatorischen Anforderungen aufbewahren. Backup- und Recovery-Funktionen dienen dagegen in erster Linie dazu, einen arbeitsfähigen Datenstand wiederherzustellen. Beide Themen können sich überschneiden, verfolgen aber nicht dieselben Ziele. Ein Aufbewahrungslabel garantiert keine schnelle Wiederherstellung einer kompletten Projekt-Site, und eine technische Sicherung ersetzt nicht automatisch rechtssichere Archivierung oder ein unveränderliches Auditprotokoll.

Erstellen Sie eine Datenmatrix mit vier Spalten: Datenkategorie, gesetzliche beziehungsweise vertragliche Aufbewahrungsfrist, technisches RPO/RTO und genehmigter Wiederherstellungspfad. Datenschutzverantwortliche sollten besonders bei personenbezogenen Daten in die Entscheidung eingebunden werden. Fragen zu rechtlichen Fristen können nur anhand des konkreten Falles geklärt werden; dieser technische Beitrag ist keine Rechtsberatung.

Restore-Tests: Ein realistischer Ablauf für kleine und mittlere Unternehmen

Beginnen Sie mit einem risikoarmen Testkonto oder einer Testsite. Erstellen Sie definierte Dateien, Ordnerstrukturen und Metadaten, ändern Sie anschließend kontrolliert einen Teil davon und führen Sie einen Restore aus. Messen Sie nicht nur die Laufzeit. Prüfen Sie, ob Berechtigungen, Dateiinhalte, Versionen und freigegebene Links im erwarteten Zustand vorliegen. Für Exchange sollten ein gelöschter Termin und eine gezielt veränderte Nachricht Teil des Tests sein.

Dokumentieren Sie pro Versuch den gewählten Wiederherstellungspunkt, das Ziel, die tatsächlich erreichte Dauer und die im Betrieb entstehenden Einschränkungen. Führen Sie nach einer erfolgreichen technischen Wiederherstellung eine fachliche Abnahme durch. Nur wer den konkreten Datenbestand kennt, kann bestätigen, dass das Geschäftsproblem tatsächlich behoben ist. Fehlschläge sollten als eigene Maßnahmen mit Priorität und Verantwortlichem in den regulären IT-Betrieb zurückfließen.

30-Tage-Fahrplan für den produktiven Einsatz

In der ersten Woche erfassen Sie Datenbestände und kritische Prozesse. In Woche zwei definieren Sie Schutzumfang, RPO/RTO, Rollen und Budget, anschließend erstellen Sie eine Pilot-Policy pro relevantem Workload. In Woche drei testen Sie selektive und vollständige Wiederherstellungen sowie die Reaktion auf ein kompromittiertes Konto. Woche vier ist für Rollout, Benutzerkommunikation, Berichte und eine erste Kostenkontrolle vorgesehen.

Achten Sie beim Go-live auf Personen, die das Unternehmen verlassen: Offboarding, Aufbewahrungsgrenzen und spätere Wiederherstellungsrechte müssen zusammenpassen. Ein gutes Konzept beschreibt neben dem Normalbetrieb auch die Ausnahme: Was passiert, wenn das Microsoft-365-Administrationsportal vorübergehend nicht erreichbar ist? Welche Kontaktwege und Notfalldokumente existieren? Wer kann den Restore ohne den üblichen Hauptadministrator freigeben?

Häufige Fragen zu Microsoft 365 Backup 2026

Sichert die Funktion automatisch sämtliche Teams-Daten? Nein, prüfen Sie den genauen Schutzumfang je Datenart; SharePoint-Dateien sind nicht gleichbedeutend mit allen Teams-Inhalten. Kann ich einzelne Dateien zurückholen? Microsoft dokumentiert inzwischen granulare Wiederherstellungsoptionen für unterstützte OneDrive- und SharePoint-Szenarien. Ersetzt Backup die Versionierung? Nein, beide Funktionen ergänzen sich mit unterschiedlichen Zielen.

Ist Microsoft 365 Backup kostenlos? Nein, es ist nach aktuellem Microsoft-Modell ein Pay-as-you-go-Angebot. Wie häufig muss ein Restore getestet werden? Das richtet sich nach Kritikalität und Änderungen; für zentrale Geschäftsprozesse sind regelmäßige dokumentierte Übungen sinnvoll. Warum reicht ein grüner Schutzstatus nicht? Weil erst ein erfolgreich abgenommener Restore belegt, dass benötigte Informationen im Ernstfall in brauchbarer Form wiederhergestellt werden können.

Fazit: Recovery vor dem Ernstfall beweisen

Microsoft 365 Backup 2026 entfaltet erst dann geschäftlichen Nutzen, wenn Datenbestand, Sicherungsrichtlinien, Rollen, Kosten und getestete Wiederherstellungsprozesse zusammenpassen. Beginnen Sie mit kritischen Workloads, testen Sie technische und fachliche Ergebnisse und erweitern Sie anschließend den Schutz. Bei größeren Änderungen wiederholen Sie den Test, statt sich auf die ursprüngliche Einrichtung zu verlassen.

Weiterlesen bei GORTNET

• Cloud Kosten optimieren mit FinOps
• Disaster Recovery Plan praktisch testen
• Backup & Recovery Leistungen

Sie benötigen eine belastbare Backup-Strategie oder Unterstützung bei einem Restore-Test? GORTNET kontaktieren.

Quellen und Dokumentation

• Microsoft Learn: Übersicht Microsoft 365 Backup
• Microsoft Learn: Backup-Policies
• Microsoft Learn: Daten wiederherstellen
• Microsoft Learn: Neuerungen 2026

Funktionsumfang, Preise und Lizenzmodelle können sich ändern. Vor produktiven Entscheidungen sind die aktuellen Herstellerunterlagen zu prüfen.