Backup-Strategie für Unternehmen 2026: Warum die 3-2-1-Regel allein nicht mehr reicht
„Unsere Daten liegen doch bei Microsoft, die sichern das schon.“ Diesen Satz hören wir bei Unternehmen in Mittelbaden regelmäßig – vom Handwerksbetrieb in Rastatt bis zur Kanzlei in Baden-Baden. Er ist halb richtig. Microsoft sorgt dafür, dass Exchange, OneDrive und SharePoint laufen und Ihre Daten bei einem Hardwaredefekt im Rechenzentrum nicht verloren gehen. Wenn aber jemand in Ihrem Unternehmen Daten löscht, überschreibt oder verschlüsselt, haben Sie nur begrenzt Zeit, sie zurückzuholen.
Dieser Beitrag zeigt, wie lange Gelöschtes in Microsoft 365 tatsächlich wiederherstellbar ist, was Microsofts eigener Dienst „Microsoft 365 Backup“ leistet und wann KMU eine zusätzliche Datensicherung brauchen.
Ja und nein. Microsoft hält mehrere, räumlich getrennte Kopien Ihrer Daten vor, damit der Dienst auch bei Störungen erreichbar bleibt. Das schützt vor Ausfällen auf Microsofts Seite. Es schützt nicht vor Fehlern auf Ihrer Seite: Löscht ein Mitarbeiter einen Ordner, verschlüsselt eine Schadsoftware Ihre synchronisierten Dateien oder löscht ein kompromittiertes Konto Postfächer, dann übernimmt Microsoft diese Änderung zuverlässig auf alle Kopien.
Für solche Fälle gibt es in Microsoft 365 Papierkörbe und Wiederherstellungsfristen. Sie sind praktisch, aber zeitlich begrenzt – und genau dort liegt die Lücke.
Die Standardfristen laut Microsoft-Dokumentation:
Nach Ablauf dieser Fristen sind die Daten weg. Kein Support-Ticket bringt sie zurück.
In der Praxis sehen wir vor allem diese Situationen:
Mit Aufbewahrungsrichtlinien in Microsoft Purview lässt sich verhindern, dass Inhalte vor Ablauf einer bestimmten Zeit endgültig gelöscht werden. Das ist für Compliance gedacht, etwa um Unterlagen für Prüfungen oder Rechtsstreitigkeiten zu erhalten. Für die schnelle Wiederherstellung eines kompletten Postfachs oder einer SharePoint-Website zu einem bestimmten Zeitpunkt ist es nicht gebaut. Und auch hier gilt: Wer die Richtlinie ändern darf, kann sie aushebeln.
Gesetzliche Aufbewahrungspflichten, zum Beispiel nach den GoBD, sind ein eigenes Thema. Ein Backup ersetzt kein revisionssicheres Archiv – und ein Archiv ersetzt kein Backup.
Seit 2024 bietet Microsoft mit Microsoft 365 Backup einen eigenen Sicherungsdienst für OneDrive, SharePoint und Exchange Online an. Laut Microsoft:
Für viele KMU ist das ein großer Fortschritt gegenüber reinen Papierkörben. Einen Punkt sollten Sie aber kennen: Die Sicherungen verlassen Microsofts eigene Infrastruktur nicht. Das ist schnell und bequem, bedeutet aber auch, dass Produktivdaten und Backup beim selben Anbieter und im selben Mandanten liegen.
Die 3-2-1-Regel verlangt mindestens eine Kopie an einem anderen Ort als die Originaldaten. Wie wir in unserem Beitrag zur Backup-Strategie nach der 3-2-1-1-0-Regel erklären, ist eine vom Produktivsystem getrennte, möglichst unveränderliche Kopie heute die wichtigste Versicherung gegen Ransomware. Diese Fragen helfen bei der Entscheidung:
Häufig ist die Kombination sinnvoll: Microsoft 365 Backup für schnelle Wiederherstellungen im Alltag, dazu eine Kopie außerhalb von Microsoft für den Ernstfall.
Microsoft schützt den Dienst durch redundante Kopien gegen Ausfälle im Rechenzentrum. Gelöschte oder überschriebene Daten lassen sich aber nur innerhalb fester Fristen wiederherstellen: 14 bis 30 Tage bei E-Mails, 93 Tage bei OneDrive und SharePoint. Ein Backup im eigentlichen Sinn müssen Sie selbst einrichten, zum Beispiel mit Microsoft 365 Backup oder einer Drittanbieter-Lösung.
Standardmäßig 14 Tage nach dem endgültigen Löschen. Administratoren können die Frist für Postfächer auf maximal 30 Tage erhöhen. Danach entfernt Exchange Online die Elemente.
Microsoft berechnet 0,15 US-Dollar pro GiB gesicherter Daten und Monat, Wiederherstellungen sind kostenlos (Stand: November 2026). Abgerechnet wird nach Verbrauch, nicht pro Benutzer.
Die NIS2-Richtlinie nennt Backup-Management und die Wiederherstellung nach einem Notfall ausdrücklich als Teil der Risikomanagementmaßnahmen. Wenn Ihr Unternehmen unter NIS2 fällt und wesentliche Daten in Microsoft 365 liegen, gehört deren Sicherung deshalb dazu. Ob Sie betroffen sind, klären Sie am besten mit unserer NIS2-Einschätzung für KMU.
Microsoft 365 ist zuverlässig – aber Papierkorb und Versionsverlauf sind kein Backup. Wer Fristen von 14, 30 oder 93 Tagen nicht als Sicherheitsnetz für sein Unternehmen akzeptieren will, braucht eine eigene Sicherung mit längerer Aufbewahrung und idealerweise eine Kopie außerhalb von Microsoft.
Datenstark richtet Microsoft 365 für Unternehmen in Baden-Baden, Rastatt, Karlsruhe und der ganzen Region Mittelbaden ein und betreut es laufend – auf Wunsch inklusive Backup, Wiederherstellungstests und Dokumentation im Rahmen unserer Managed Services. Sprechen Sie uns an, wir prüfen gern, wie gut Ihre Daten heute geschützt sind.
Diese Website wird durch reCAPTCHA geschuetzt. Es gelten die Datenschutzerklaerung und Nutzungsbedingungen von Google.
