Microsoft 365 richtig sichern: 14 Tage Papierkorb gegen acht Jahre Aufbewahrungspflicht

Verfügbar heißt nicht gesichert

„Das liegt doch in der Cloud, das ist gesichert."

Der Satz ist halb richtig, und die falsche Hälfte ist die teure. Microsoft betreibt die Plattform hochverfügbar und mehrfach redundant: gegen Rechenzentrumsausfall, Hardware- und Netzwerkstörungen sind Ihre Daten gut geschützt. Wogegen sie nicht geschützt sind: gegen Löschung. Egal ob versehentlich, absichtlich oder durch Schadsoftware.

Das ist keine Lücke im Angebot, sondern die vereinbarte Aufgabenteilung. Microsoft verantwortet die Verfügbarkeit des Dienstes. Für den Inhalt bleibt der Kunde verantwortlich.

Die Fristen, die tatsächlich gelten

Es gibt Wiederherstellungsmöglichkeiten, und sie sind besser als ihr Ruf, aber sie sind kurz und sie sind kein Backup.

Beim Papierkorb wird eine Sache regelmäßig missverstanden: Die zweite Stufe, der Papierkorb der Websitesammlung, verlängert die Frist nicht. Ein Element, das aus dem ersten Papierkorb entfernt wird, liegt für die restlichen Tage der 93 in der zweiten Stufe. Danach ist es endgültig fort. Wer glaubt, zwei Papierkörbe bedeuteten zweimal 93 Tage, hat rund drei Monate weniger Zeit als angenommen.

Die 14 Tage bei E-Mail sind die Voreinstellung. Auf 30 Tage zu erhöhen kostet nichts außer einem Verwaltungsvorgang und ist in nahezu jeder Umgebung sinnvoll. Es ist die günstigste Verbesserung in diesem ganzen Themenfeld, und sie ist in vielen Mandaten nicht gesetzt.

Der Vergleich, an dem die Diskussion endet

Stellen Sie diese Fristen neben Ihre gesetzlichen Aufbewahrungspflichten:

Sechs Jahre gegen 14 Tage. Eine Rechnung, die per Mail kam und im vergangenen Jahr gelöscht wurde, ist aufbewahrungspflichtig und nicht mehr vorhanden. Bei einer Prüfung ist das kein IT-Thema mehr.

Das heißt nicht, dass ein Backup die Archivierung ersetzt. Beides sind verschiedene Aufgaben, und die revisionssichere Archivierung nach GoBD ist eine eigene Anforderung mit eigenen Werkzeugen. Es heißt: Wer beides nicht hat, hat eine Lücke, die nicht in der IT endet.

Vier Fälle, in denen die Bordmittel nicht reichen

Der Austritt. Ein Mitarbeiter verlässt das Unternehmen, die Lizenz wird entzogen, naheliegend, weil sie Geld kostet. Damit beginnt der Abbau des Postfachs und des persönlichen Ablagebereichs. Was dort an Projektunterlagen und Korrespondenz lag, ist nach Ablauf der kurzen Fristen nicht mehr zu holen. Das fällt typischerweise Monate später auf, wenn ein Vorgang aus der Zeit gebraucht wird.

Der verzögert entdeckte Fehler. Ein Ordner wird im Frühjahr umstrukturiert, dabei geht ein Unterordner verloren. Bemerkt wird es im Herbst, wenn jemand danach sucht. Die 93 Tage sind längst abgelaufen.

Die Absicht. Ein Konto wird übernommen, durch Phishing oder durch einen scheidenden Mitarbeiter mit Zugang. Wer löschen kann, kann auch den Papierkorb leeren. Bordmittel schützen gegen Versehen, nicht gegen Vorsatz.

Die verschlüsselten synchronisierten Ordner. Schadsoftware auf einem Arbeitsplatz verschlüsselt lokale Dateien in einem Ordner, der mit OneDrive oder SharePoint synchronisiert wird. Die Synchronisierung tut ihre Arbeit und trägt die verschlüsselten Fassungen nach oben. Die Versionierung hilft hier tatsächlich. Sie ist der Grund, warum solche Fälle oft glimpflich enden. Aber sie hilft dateiweise und bei begrenzter Versionstiefe, nicht bei zehntausenden Dateien im Wiederherstellungslauf unter Zeitdruck.

Was ein Cloud-to-Cloud-Backup leistet

Gemeint ist eine Sicherung, die die Microsoft-365-Inhalte über die Schnittstellen ausliest und in einen davon unabhängigen Speicher schreibt, mit eigener Aufbewahrungsdauer, eigenen Zugangsrechten und einer Wiederherstellung, die nicht von der Quelle abhängt.

Abgedeckt werden dabei üblicherweise:

Der entscheidende Unterschied zum Papierkorb ist nicht die Länge der Frist, sondern die Unabhängigkeit: Ein Zugang, der Ihren Tenant übernimmt, erreicht die Sicherung nicht. Ein Löschvorgang im Tenant wirkt dort nicht.

Worauf es bei der Auswahl ankommt, und zwar mehr als auf den Preis je Postfach:

Bei uns läuft das über Sicherungsmodelle mit Abrechnung je Nutzerplatz, mit Microsoft-365-Sicherung auf dem Speicher unserer Verbundgruppe. Die Wahl des Modells ist dabei die kleinere Frage; die größere ist, welche Aufbewahrungsdauer Ihre Pflichten verlangen.

• Exchange-Postfächer einschließlich Kalender und Kontakte
• OneDrive-Ablagen je Benutzer
• SharePoint-Websites mit Bibliotheken und Metadaten
• Teams mit Dateien, Kanalstruktur und Chatverläufen
• Die Wiederherstellung, nicht die Sicherung. Kann ein einzelnes Element
• Der Speicherort. Wo liegen die Daten, unter welcher Rechtsordnung, in welchem
• Was nicht mitkommt. Kein Anbieter sichert alles. Planner-Aufgaben,
• Die Aufbewahrungsdauer. Sie muss zu Ihren Pflichten passen und nicht zum
• Der Wiederherstellungstest. Einmal jährlich, dokumentiert, mit einem echten

Was heute zu prüfen ist

Vier Punkte, die ohne Projekt und ohne Investition zu klären sind:

Wer alle vier beantworten kann, braucht diesen Beitrag nicht. Erfahrungsgemäß bleibt es bei den meisten an Punkt 2 hängen, und das ist der Punkt, der später am schwersten zu erklären ist.

Zum Weiterlesen: Backup ist nicht Notfallvorsorge: die zwei Zahlen, die zählen · Ransomware: was in den ersten 24 Stunden zählt

Quellen: Microsoft Learn und Microsoft Support zu Aufbewahrung und Löschung in SharePoint und OneDrive (93 Tage) sowie zum Ordner „Wiederherstellbare Elemente" in Exchange Online (14 Tage im Standard, bis 30 Tage konfigurierbar); § 147 Abs. 3 AO; § 257 HGB. Stand 07.09.2026. Fachliche Einordnung, keine Rechts- oder Steuerberatung.

• Ist die Aufbewahrung gelöschter Elemente in Exchange auf 30 Tage gesetzt? Wenn
• Was passiert bei Ihnen mit Postfach und Ablage eines ausgeschiedenen Mitarbeiters?
• Gibt es eine Sicherung außerhalb des Tenants, und wenn ja, wann wurde daraus
• Passt die Aufbewahrungsdauer zu Ihren gesetzlichen Fristen? Sechs bis zehn Jahre