Wenn ich mir die IT eines kleinen Betriebs zum ersten Mal ansehe, ist das häufigste Ergebnis beim Thema Backup, dass es keines gibt. Oft steckt die Annahme dahinter, dass ohnehin alles in der Cloud liegt und damit auch gesichert ist.

Der Gedanke ist nachvollziehbar. Microsoft, Google oder der Anbieter der Buchhaltungssoftware betreiben Rechenzentren, die zuverlässiger laufen als jeder Server im Abstellraum. Nur beantwortet das eine andere Frage. Die Cloud sorgt dafür, dass Ihre Daten erreichbar sind. Ob Sie einen gelöschten Ordner, ein verschlüsseltes Laufwerk oder das Postfach einer ausgeschiedenen Mitarbeiterin in drei Monaten noch zurückbekommen, ist damit nicht gesagt. Diese Lücke schließt ein eigenes Cloud Backup.

Dieser Artikel zeigt, was Microsoft 365 und andere Cloud-Dienste von sich aus wiederherstellen können und wie lange, welche Backup-Lösung für einen Betrieb mit 5 bis 50 Leuten sinnvoll ist, und wie Sie prüfen, ob sie im Ernstfall tatsächlich funktioniert.

Was die Cloud verspricht und was nicht

Ein Cloud-Anbieter übernimmt die Verantwortung für seine Infrastruktur. Fällt in einem Rechenzentrum eine Festplatte aus oder gleich ein ganzer Serverraum, merken Sie davon nichts, weil Ihre Daten mehrfach und an verschiedenen Orten gespeichert sind. Das ist Verfügbarkeit, und die bekommen Sie in der Cloud deutlich besser als mit eigener Hardware.

Die Verantwortung für die Inhalte bleibt bei Ihnen. Die Cloud führt aus, was ihr aufgetragen wird. Wird eine Datei gelöscht, überschrieben oder verschlüsselt, und zwar von einem Konto, das dazu berechtigt ist, dann ist das aus Sicht des Anbieters ein ganz normaler Vorgang. Die Änderung wird zuverlässig und redundant gespeichert, genauso wie vorher der richtige Inhalt.

Die Fälle, in denen ein Betrieb tatsächlich Daten verliert, sehen deshalb meistens so aus:

  • Jemand löscht versehentlich einen Ordner, und es fällt erst Wochen später auf, etwa beim Jahresabschluss.
  • Ein Laptop wird von Ransomware befallen, also von Schadsoftware, die Dateien verschlüsselt und für den Schlüssel Lösegeld verlangt. Die verschlüsselten Dateien landen über die Synchronisation in der Cloud.
  • Ein Microsoft-365-Konto wird übernommen, und der Angreifer löscht Postfächer oder Ablagen, um Spuren zu verwischen oder Druck aufzubauen.
  • Eine Mitarbeiterin verlässt den Betrieb, ihr Konto wird gelöscht, und niemand denkt an die Dateien, die nur in ihrem OneDrive lagen. Was dann mit welchen Fristen passiert, habe ich im Artikel zur Teams-Struktur im kleinen Betrieb beschrieben.
  • Jemand löscht beim Abgang absichtlich Daten.

Für keinen dieser Fälle ist der Cloud-Anbieter zuständig, weil aus seiner Sicht nichts kaputtgegangen ist. Für diese Fälle braucht es eine Kopie, die unabhängig davon existiert, was im Original gerade passiert.

Warum die Synchronisation einen Fehler verteilt, statt ihn aufzuhalten

Viele Betriebe arbeiten mit OneDrive oder mit Teams- und SharePoint-Ablagen, die über den OneDrive-Client auf den Laptops eingebunden sind. Die Dateien sind dann lokal vorhanden und gleichzeitig in der Cloud. Das Programm im Hintergrund hat genau eine Aufgabe. Es sorgt dafür, dass beide Seiten denselben Stand haben. Jede Änderung auf dem Laptop wandert innerhalb von Sekunden bis Minuten in die Cloud und von dort auf alle anderen Geräte, die denselben Ordner eingebunden haben.

Das ist im Alltag bequem. Es fühlt sich außerdem wie eine Sicherung an, weil die Dateien an mehreren Orten liegen. Tatsächlich ist es das Gegenteil davon. Nehmen wir an, auf dem Laptop einer Mitarbeiterin wird Ransomware ausgeführt und verschlüsselt ihre Dateien. Für den OneDrive-Client ist das eine Änderung wie jede andere. Er lädt die verschlüsselten Fassungen hoch, und die Laptops der Kollegen, die dieselbe Team-Ablage eingebunden haben, holen sie sich ab. Aus einem befallenen Gerät werden so in kurzer Zeit verschlüsselte Dateien in der gemeinsamen Ablage.

Beim Löschen ist es dasselbe. Wer auf dem Laptop einen Ordner in der eingebundenen Team-Ablage löscht, löscht ihn für alle. Wer einen Ordner in einen Bereich verschiebt, der nicht synchronisiert wird, lässt ihn aus der Ablage der Kollegen verschwinden.

Synchronisation und Backup verfolgen entgegengesetzte Ziele. Die Synchronisation soll überall denselben aktuellen Stand herstellen, und zwar möglichst schnell. Ein Backup soll einen früheren Stand festhalten, getrennt vom Original und unberührt von dem, was dort gerade passiert. Eine Kopie, die jede Änderung sofort übernimmt, übernimmt auch jeden Fehler.

Ganz schutzlos sind Sie in Microsoft 365 trotzdem nicht. Papierkorb, Versionsverlauf und einige Wiederherstellungsfunktionen fangen einen Teil davon ab. Wie weit sie reichen, zeigt der nächste Abschnitt.

Was Microsoft 365 selbst zurückholen kann, und wo es aufhört

Microsoft 365 bringt mehrere eingebaute Funktionen mit, die bei Alltagsfehlern gut helfen. Sie haben alle zwei Dinge gemeinsam. Sie haben eine Frist, und sie liegen im selben Tenant wie Ihre Daten. Der Tenant ist die Umgebung Ihres Unternehmens bei Microsoft, mit allen Benutzern, Postfächern und Ablagen.

Papierkorb in OneDrive und SharePoint

Gelöschte Dateien landen zuerst im Papierkorb der jeweiligen Ablage. Wird der geleert, wandern sie in einen zweiten Papierkorb, auf den nur Administratoren zugreifen. Insgesamt bleiben gelöschte Elemente 93 Tage ab dem Löschen wiederherstellbar (Microsoft Learn). Für OneDrive gilt dasselbe, sofern der Administrator die Einstellung nicht geändert hat. Danach ist die Datei weg.

Für SharePoint gibt es noch eine letzte Reserve. Microsoft hält Sicherungen 14 Tage über das endgültige Löschen hinaus vor. In dieser Zeit kann ein Administrator beim Microsoft-Support die Wiederherstellung einer ganzen Website auf einen früheren Zeitpunkt beantragen (Microsoft Learn). Das ist als Notnagel gedacht. Zurückgesetzt wird die ganze Website, auch alle Änderungen, die nach dem gewählten Zeitpunkt gemacht wurden, sind dann weg.

Versionsverlauf

Jede Datei in OneDrive und SharePoint speichert frühere Fassungen. Hat jemand eine Datei falsch überschrieben, holen Sie über den Versionsverlauf den Stand von gestern zurück. Für einzelne Dateien funktioniert das gut. Wenn Ransomware ein paar tausend Dateien verschlüsselt hat, ist die Wiederherstellung Datei für Datei praktisch nicht machbar.

OneDrive wiederherstellen

Für diesen Fall gibt es in OneDrive eine eigene Funktion. Sie setzt das gesamte OneDrive einer Person auf einen Zeitpunkt innerhalb der letzten 30 Tage zurück, ausdrücklich auch nach einem Befall mit Schadsoftware (Microsoft Support). Das ist hilfreich, solange der Schaden innerhalb von 30 Tagen auffällt und sich auf das OneDrive einzelner Personen beschränkt.

Gelöschte E-Mails

Eine gelöschte E-Mail liegt zunächst im Ordner „Gelöschte Elemente“. Wird der geleert, bleibt sie in Exchange Online standardmäßig 14 Tage wiederherstellbar. Der Administrator kann das auf höchstens 30 Tage verlängern (Microsoft Learn).

Aufbewahrungsrichtlinien

In Microsoft Purview lassen sich Aufbewahrungsrichtlinien einrichten, die Inhalte für einen festgelegten Zeitraum aufbewahren, auch wenn sie gelöscht werden. Sie sind für Aufbewahrungspflichten und für das Wiederfinden gedacht, etwa wenn jemand nachweisen muss, welche E-Mail wann verschickt wurde. Den früheren Zustand einer ganzen Ablage mit Ordnerstruktur stellen sie nicht auf Knopfdruck wieder her. Sie werden außerdem im selben Tenant verwaltet wie alles andere.

Was all diese Funktionen gemeinsam haben

Die Fristen liegen zwischen 14 und 93 Tagen. Viele Datenverluste fallen aber erst später auf. Der Ordner, den im Frühjahr jemand versehentlich gelöscht hat, fehlt oft erst, wenn ihn im Herbst jemand sucht.

Der zweite Punkt wiegt schwerer. Alles in diesem Abschnitt lebt im selben Tenant wie Ihre Daten. Wer sich Zugang zu einem Konto mit Administratorrechten verschafft, kann Papierkörbe leeren, Richtlinien ändern sofern sie nicht zusätzlich gesperrt sind, und Benutzer samt Postfach löschen. Deshalb sind gut geschützte Admin-Konten so wichtig, mehr dazu im Artikel zur IT-Sicherheit ohne IT-Abteilung. Ein Backup muss so abgelegt sein, dass auch ein übernommenes Admin-Konto es nicht erreicht.

Die eingebauten Funktionen sind ein gutes Sicherheitsnetz für Alltagsfehler, aber kein Backup. Sie ersetzen keine Kopie außerhalb des Tenants mit einer Aufbewahrung, die länger ist als die Zeit, in der ein Schaden unbemerkt bleiben kann.

Andere Cloud-Dienste: dieselben vier Fragen

In den meisten kleinen Betrieben ist Microsoft 365 nicht der einzige Cloud-Dienst. Dazu kommen Buchhaltung, Branchensoftware, CRM, Dateidienste wie Dropbox und bei manchen Betrieben Google Workspace. Die Ausgangslage ist dieselbe. Der Anbieter hält den Dienst am Laufen. Was er darüber hinaus für Ihre Inhalte tut, ist von Dienst zu Dienst sehr verschieden.

Zwei Beispiele zeigen die Bandbreite. In Google Workspace bleiben gelöschte Dateien 30 Tage im Papierkorb von Google Drive. Nach dem Leeren kann ein Administrator sie noch 25 Tage zurückholen, danach löscht Google sie endgültig (Google Workspace Admin-Hilfe). Google Vault, das Werkzeug für Aufbewahrung und Recherche, beschreibt Google selbst mit dem Satz „Vault isn’t a data archive“ (Google Vault Hilfe).

Das ERP-System Microsoft Dynamics 365 Business Central in der Cloud-Variante bietet dagegen eine Wiederherstellung der gesamten Umgebung auf einen beliebigen Zeitpunkt der letzten 28 Tage (Microsoft Learn). Das ist deutlich mehr als bei vielen anderen Diensten. Es bleibt aber bei 28 Tagen, und es geht immer um die ganze Umgebung zu einem Zeitpunkt, nicht um einzelne Belege oder Datensätze.

Für jeden Cloud-Dienst, in dem wichtige Daten liegen, sollten Sie deshalb vier Fragen beantworten können. Die Antworten stehen meist in der Leistungsbeschreibung oder den Vertragsbedingungen. Wenn nicht, fragen Sie den Anbieter und lassen Sie sich die Antwort schriftlich geben.

  1. Wie lange ist Gelöschtes wiederherstellbar, und wer kann das auslösen? Nur der Administrator, jeder Benutzer oder nur der Support des Anbieters?
  2. Lässt sich ein früherer Gesamtzustand zurückholen oder nur einzelne Elemente? Und wenn der Gesamtzustand, geht das auch für einen Teil, oder wird alles zurückgesetzt?
  3. Liegen die Sicherungen des Anbieters getrennt von Ihrem Konto? Kann jemand mit Ihren Zugangsdaten sie löschen?
  4. Bekommen Sie Ihre Daten in einem lesbaren Format heraus? Ein regelmäßiger Export, etwa einmal im Monat als Datei, ist bei kleineren Diensten oft die einfachste Form eines eigenen Backups.

Wenn Sie auf eine dieser Fragen keine Antwort finden, ist das bereits eine Antwort. Dann gehört der Dienst auf die Liste der Dinge, die Sie selbst sichern.

Welche Backup-Lösung für einen kleinen Betrieb passt

Für Microsoft 365 gibt es im Wesentlichen vier Ausgangslagen. Welche davon bei Ihnen gerade gilt, ist meist schnell geklärt.

Kein Backup

Das ist der Zustand, den ich am häufigsten sehe, und der einzige, der wirklich falsch ist. Jede der folgenden Varianten ist besser.

Ein kleines NAS im Büro

Ein NAS ist ein Netzwerkspeicher, also ein kleines Gerät mit Festplatten, das im Büro steht. Mit passender Software kann es Daten aus Microsoft 365 abholen und lokal ablegen. Das ist ein Anfang, und für manche Betriebe mit großen Datenmengen, zum Beispiel Videos oder Fotos, ist ein lokaler Speicher ohnehin sinnvoll.

Als alleiniges Backup für Microsoft 365 hat ein NAS aber Nachteile, die im Alltag oft unterschätzt werden. Es ist Hardware, und Hardware fällt aus. Festplatten müssen getauscht, Updates eingespielt und Warnmeldungen gelesen werden. Das Gerät steht im selben Gebäude wie alles andere, ist also bei Brand, Wasserschaden oder Einbruch mit betroffen. Und wenn es im selben Netzwerk hängt wie die Arbeitsplätze, kann es Ransomware unter Umständen ebenfalls erreichen.

Microsoft 365 Backup

Microsoft bietet mit Microsoft 365 Backup einen eigenen Dienst an, der OneDrive, SharePoint und Exchange sichert. Abgerechnet wird nach Verbrauch, zum Listenpreis von 0,15 US-Dollar pro Gigabyte geschützter Daten und Monat (Microsoft Learn). Ein Betrieb mit 500 Gigabyte in Microsoft 365 zahlt also rund 75 US-Dollar im Monat, bei einem Terabyte rund 150.

Der Vorteil ist, dass keine zusätzliche Software nötig ist und alles im Microsoft-365-Admin-Center eingerichtet wird. Der Nachteil liegt im Abrechnungsmodell. Die Kosten wachsen mit jeder Datei, die dazukommt, und sind für einen kleinen Betrieb schwer im Voraus zu kalkulieren.

Cloud-Backup eines Spezialanbieters

Die vierte Variante ist ein Backup-Dienst eines Anbieters, der sich darauf spezialisiert hat. Er holt die Daten regelmäßig aus Ihrem Tenant und legt sie in einem eigenen, getrennten Speicher ab. Um Hardware müssen Sie sich nicht kümmern.

In meinem Managed Service setze ich dafür Veeam Data Cloud für Microsoft 365 ein. Gesichert werden Exchange, OneDrive, SharePoint und Teams, einmal täglich, und die Sicherungen werden sieben Jahre aufbewahrt. Für meine Kunden ist das Backup zum Fixpreis enthalten, weil ein fester Betrag für einen kleinen Betrieb leichter zu planen ist als eine Rechnung, die mit jedem Gigabyte mitwächst.

Der Vollständigkeit halber gehört eine Einschränkung dazu. Die Sicherungen liegen ebenfalls in Microsoft Azure, also beim selben Konzern wie Microsoft 365. Sie liegen aber getrennt von Ihrem Tenant und sind von dort aus nicht veränderbar. Damit sind genau die Fälle abgedeckt, die in der Praxis vorkommen: versehentliches Löschen, Ransomware, ein übernommenes Konto, ein Abgang mit gelöschtem Benutzer, und das über Jahre statt über Wochen. Einen Ausfall, der Microsoft als Ganzes betrifft, deckt es nicht ab. Für die meisten kleinen Betriebe halte ich das für ausreichend. Wer mehr will, zum Beispiel eine zusätzliche Kopie bei einem zweiten Anbieter oder lokal, kann das ergänzen. Mehr ist immer möglich, entscheidend ist, dass die erste Kopie überhaupt existiert.

Die klassische 3-2-1-Regel sagt, dass es drei Kopien auf zwei verschiedenen Speichern geben soll, eine davon an einem anderen Ort. In der Cloud lässt sie sich auf eine praktische Frage herunterbrechen. Liegt mindestens eine Kopie außerhalb der Reichweite des Kontos, mit dem das Original zerstört werden kann? Wenn ja, sind Sie gegen die häufigsten Fälle geschützt.

Meine Empfehlung für die meisten KMU ist ein Cloud-Backup eines Spezialanbieters, getrennt vom eigenen Tenant, mit täglicher Sicherung und einer Aufbewahrung von Jahren. Ein NAS ist ein Anfang. Als Dauerlösung braucht es Wartung, die im Alltag eines kleinen Betriebs oft niemand übernimmt.

Der Wiederherstellungstest, den kaum jemand macht

Ein Backup, aus dem noch nie etwas zurückgeholt wurde, ist eine Annahme. Die Sicherung kann jeden Tag als erfolgreich gemeldet werden und im Ernstfall trotzdem nicht helfen. Typische Gründe dafür sind, dass ein neues Team oder ein neuer Mitarbeiter nicht automatisch in die Sicherung aufgenommen wurde, dass die Berechtigung des Backup-Dienstes auf den Tenant abgelaufen ist, oder dass niemand mehr weiß, wie man sich im Backup-Portal anmeldet.

Ich teste die Wiederherstellung bei meinen Kunden monatlich. Das klingt aufwendig, dauert aber nicht lange, wenn der Ablauf feststeht. Ein Test sollte diese Punkte abdecken:

  1. Eine einzelne Datei aus einer Team-Ablage auf den Stand von vor einigen Wochen zurückholen, und zwar an einen anderen Ort, damit das Original unberührt bleibt.
  2. Eine gelöschte E-Mail aus einem Postfach wiederherstellen.
  3. Die Abdeckung prüfen. Sind alle Benutzer, Postfächer, Teams und SharePoint-Websites in der Sicherung enthalten, auch die, die seit dem letzten Test dazugekommen sind?
  4. Festhalten, was passiert ist. Datum, was wiederhergestellt wurde, wie lange es gedauert hat, ob es funktioniert hat. Ein paar Zeilen reichen.

Von Zeit zu Zeit lohnt sich zusätzlich ein größerer Test, etwa ein ganzes Postfach oder ein ganzer Ordner. Dabei sehen Sie, wie lange eine Wiederherstellung in dieser Größenordnung tatsächlich dauert. Diese Zahl ist im Ernstfall wichtiger als jede Herstellerangabe, weil sie bestimmt, wie lange Ihr Betrieb ohne die Daten auskommen muss.

Die Aufzeichnung hat noch einen zweiten Nutzen. Die DSGVO verlangt ein Verfahren, mit dem die Wirksamkeit der technischen Schutzmaßnahmen regelmäßig überprüft wird. Ein monatliches Testprotokoll ist ein einfacher Weg, das zu belegen.

Häufige Fragen

Ist ein Backup für Unternehmen Pflicht?

Einen eigenen Backup-Paragrafen gibt es nicht. Die DSGVO verlangt aber in Artikel 32 unter anderem „die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“, dazu ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen (DSGVO, EUR-Lex). Personenbezogene Daten hat praktisch jeder Betrieb, von Kundenkontakten bis zu Lohnunterlagen. Ohne Backup und ohne Test ist diese Anforderung kaum zu erfüllen.

Reicht es, OneDrive auf ein NAS zu synchronisieren?

Nein. Eine synchronisierte Kopie übernimmt Löschungen und Verschlüsselungen genauso wie das Original, aus den Gründen, die weiter oben beschrieben sind. Zu einem Backup wird sie erst, wenn das NAS eigene, versionierte Schnappschüsse anlegt, die von der Synchronisation nicht verändert werden können. Auch dann sind nur Dateien gesichert, keine E-Mails und keine Teams-Inhalte.

Was kostet ein Backup für Microsoft 365?

Microsoft 365 Backup kostet laut Microsoft 0,15 US-Dollar pro Gigabyte geschützter Daten und Monat, bei 500 Gigabyte also rund 75 US-Dollar im Monat. Spezialanbieter rechnen meist pro Benutzer und Monat ab, oft mit Speicher inklusive. In meiner Betreuung ist das Backup zum Fixpreis enthalten. Welche Modelle es für die laufende IT-Betreuung grundsätzlich gibt, habe ich im Artikel zu den Vertragsmodellen der externen IT-Betreuung verglichen.

Was ich an Ihrer Stelle als Erstes tun würde

  1. Eine Liste der Cloud-Dienste anlegen, in denen wichtige Daten liegen. Microsoft 365, Buchhaltung, Branchensoftware, CRM, Dateidienste. Für jeden Dienst die vier Fragen aus diesem Artikel beantworten und notieren, wo es noch kein eigenes Backup gibt.
  2. Für Microsoft 365 ein Backup außerhalb des eigenen Tenants einrichten. Tägliche Sicherung, Aufbewahrung von mindestens einem Jahr, besser mehreren, und ein Speicher, der von Ihrem Tenant aus nicht verändert werden kann.
  3. Den ersten Wiederherstellungstest in den Kalender eintragen, gleich als wiederkehrenden Termin einmal im Monat. Erst nach diesem Test wissen Sie, ob Ihr Backup im Ernstfall hilft.

Wenn Sie das nicht selbst aufsetzen möchten oder wissen wollen, ob Ihr bestehendes Backup im Ernstfall hält, schreiben Sie mir.

Quellen

  1. Restore deleted items from the site collection recycle bin, Microsoft Learn. Aufbewahrung im Papierkorb von SharePoint, 93 Tage.
  2. SharePoint data deletion, Microsoft Learn. 14 Tage Sicherung nach endgültigem Löschen, Wiederherstellung über den Support.
  3. Restore your OneDrive, Microsoft Support. Wiederherstellung des gesamten OneDrive innerhalb von 30 Tagen, auch nach Schadsoftware.
  4. Recoverable Items folder in Exchange Online, Microsoft Learn. Aufbewahrung gelöschter E-Mails, 14 bis 30 Tage.
  5. Recover deleted files and folders for Drive users, Google Workspace Admin-Hilfe. 30 Tage Papierkorb, 25 Tage Wiederherstellung durch den Administrator.
  6. Get started with Vault, Google Vault Hilfe. Einordnung von Vault.
  7. Backing up and restoring environments, Microsoft Learn. Wiederherstellung von Business Central bis 28 Tage zurück.
  8. Microsoft 365 Backup pricing, Microsoft Learn. Listenpreis und Abrechnungsmodell.
  9. Veeam Data Cloud for Microsoft 365, Veeam. Speicherort, Unveränderbarkeit, abgedeckte Dienste.
  10. Verordnung (EU) 2016/679 (DSGVO), EUR-Lex. Artikel 32 Absatz 1 lit. c und d.