Was sichert Microsoft 365 selbst und was nicht?

Die Frage taucht meist in einem unangenehmen Moment auf: Ein Mitarbeiter hat versehentlich einen Ordner mit 4.000 Dateien gelöscht, ein Postfach wurde beim Austritt eines Kollegen entfernt, oder das Finanzamt kündigt eine Betriebsprüfung an und will Belege aus 2019 sehen. Dann stellt sich heraus, dass „liegt doch alles in der Cloud” keine Antwort auf die Frage ist, wer die Daten eigentlich sichert.

Kurz gesagt: Microsoft betreibt die Plattform, Sie verantworten die Inhalte

Microsoft schützt seine Rechenzentren, sorgt für Verfügbarkeit und repliziert Ihre Daten mehrfach gegen Hardware-Ausfälle. Was Microsoft im Standard nicht tut: ein Backup Ihrer Inhalte anlegen, aus dem Sie einen früheren Zustand zurückholen können. Gelöschte E-Mails sind standardmäßig 14 Tage wiederherstellbar, ein gelöschtes Postfach 30 Tage, gelöschte Dateien in SharePoint und OneDrive 93 Tage über beide Papierkorbstufen zusammen. Für Buchungsbelege gelten acht Jahre. Alles, was so lange aufbewahrt werden muss, funktioniert nur, wenn jemand es aktiv eingerichtet hat.

Was Microsoft tatsächlich übernimmt

Microsoft hält die Plattform am Laufen. Ihre Postfächer und Dateien existieren in mehreren physisch getrennten Kopien; fällt ein Rechenzentrum aus, merken Sie es im Idealfall nicht. Das ist gute Ausfallsicherheit.

Nur hilft Ausfallsicherheit genau dann nicht, wenn der Schaden von innen kommt. Wenn ein Nutzer eine Datei löscht, wird die Löschung repliziert. Wenn Ransomware 20.000 Dateien verschlüsselt, wird die Verschlüsselung repliziert. Replikation ist kein Backup. Sie bildet den aktuellen Zustand treu ab, den kaputten inbegriffen.

Die Fristen, die Sie kennen sollten

Drei Details daran werden regelmäßig unterschätzt.

Die 93 Tage sind ein Gesamtbudget, kein Nachschlag. Wer eine Datei aus dem eigenen Papierkorb entfernt, verlängert nichts. Die Uhr läuft ab dem ursprünglichen Löschzeitpunkt weiter. Der Papierkorb der zweiten Stufe ist für normale Nutzer unsichtbar; nur Administratoren der Websitesammlung kommen dort heran.

Auf den Papierkorb sollte sich niemand als Nachweisquelle verlassen. Microsoft hat die eDiscovery-Suche inzwischen auf Papierkorb-Inhalte beider Stufen ausgeweitet, sodass ein Fund technisch möglich ist. Das eigentliche Problem bleibt: Nach Ablauf der 93 Tage ist der Inhalt endgültig fort, und eine Recherche im Streit- oder Prüfungsfall läuft dann ins Leere. Ein Papierkorb ist ein Fenster, kein Bestand.

30 Tage sind bei einem Austritt schnell vorbei. Wird ein Konto gelöscht und fällt zwei Monate später auf, dass in dem Postfach die einzige Kopie einer Vertragskorrespondenz lag, ist sie weg. Endgültig.

Warum ein Papierkorb kein Backup ist

Ein Backup hat drei Eigenschaften, die ein Papierkorb nicht hat: Es reicht weit zurück, es erlaubt die Rückkehr zu einem definierten Zeitpunkt, und es lässt sich nicht von demjenigen löschen, der gerade Schaden anrichtet.

Genau daran scheitert der Papierkorb-Ansatz im Ernstfall. Ein Angreifer mit Administratorrechten leert Papierkörbe. Ein Verschlüsselungsvorfall, der über drei Wochen unbemerkt läuft, hat die 14-Tage-Fenster längst überschritten. Und eine schleichende Datenkorruption fällt oft erst nach Monaten auf.

Microsoft selbst verkauft seit 2024 ein Backup-Produkt für Microsoft 365. Deutlicher lässt sich die Frage kaum beantworten, ob eines im Abonnement enthalten ist. Es deckt SharePoint, OneDrive und Exchange ab, wird nach Verbrauch abgerechnet (0,15 US-Dollar pro Gigabyte und Monat) und hält Wiederherstellungspunkte bis zu einem Jahr vor. Teams-Chats gehören nicht zum Umfang.

Ein Jahr ist für den Ransomware-Fall ausreichend. Für steuerliche Aufbewahrungsfristen reicht es nicht. Damit sind wir beim zweiten Missverständnis.

Backup und revisionssichere Archivierung sind zwei verschiedene Aufgaben

Ein Backup beantwortet die Frage: „Wie komme ich nach einem Vorfall schnell wieder in einen funktionierenden Zustand?” Es ist auf Geschwindigkeit und Vollständigkeit optimiert und wird planmäßig überschrieben.

Eine revisionssichere Archivierung beantwortet eine andere Frage: „Kann ich in sieben Jahren nachweisen, dass dieses Dokument seit damals unverändert vorliegt?” Sie ist auf Unveränderbarkeit und Nachweisbarkeit optimiert.

Ein Backup ersetzt kein Archiv, weil es überschrieben wird und weil niemand belegen kann, dass der Inhalt zwischenzeitlich nicht verändert wurde. Ein Archiv ersetzt kein Backup, weil es nur ausgewählte Inhalte enthält und kein Zurücksetzen eines Gesamtzustands erlaubt. Sie brauchen beides. Oder eine bewusste Entscheidung, warum nicht.

Was § 147 AO und die GoBD tatsächlich verlangen

§ 147 der Abgabenordnung legt fest, wie lange steuerlich relevante Unterlagen aufzubewahren sind: zehn Jahre für Bücher, Inventare, Eröffnungsbilanzen und Jahresabschlüsse, acht Jahre für Buchungsbelege (seit dem Vierten Bürokratieentlastungsgesetz, zuvor zehn Jahre), sechs Jahre für Handels- und Geschäftsbriefe. § 257 HGB regelt das handelsrechtlich weitgehend parallel.

Entscheidend für IT-Verantwortliche ist Absatz 2: Werden Unterlagen elektronisch gespeichert, müssen sie während der gesamten Aufbewahrungsfrist „jederzeit verfügbar” sein, unverzüglich lesbar gemacht und maschinell ausgewertet werden können. Die GoBD des Bundesfinanzministeriums ergänzen die Anforderung der Unveränderbarkeit: Nachträgliche Änderungen dürfen nicht unbemerkt möglich sein. Maßgeblich ist die Fassung vom 28. November 2019, zuletzt geändert am 14. Juli 2025.

Setzen Sie das gegen die Standardfristen: 93 Tage für Dateien, 14 Tage für gelöschte E-Mails. Ein Geschäftsbrief, der nur als E-Mail existiert und nach zwei Monaten aus dem Postfach verschwindet, erfüllt die Sechs-Jahres-Frist nicht. Wie zuverlässig Microsoft die Plattform betreibt, ändert daran nichts.

Was Microsoft Purview kann

Die verbreitete Behauptung, Microsoft könne nicht revisionssicher aufbewahren, ist falsch. Microsoft Purview kann das. Es ist nur nicht voreingestellt.

Konkret stehen drei Stufen zur Verfügung:

• Aufbewahrungsrichtlinien halten Inhalte für eine definierte Dauer fest. Löscht ein Nutzer eine Datei, wandert das Original in eine für ihn unsichtbare Aufbewahrungsbibliothek. In Postfächern übernimmt der Ordner „Wiederherstellbare Elemente” dieselbe Aufgabe.
• Aufbewahrungsbezeichnungen mit Datensatzkennzeichnung verhindern das Löschen einzelner Dokumente. Bearbeiten bleibt möglich, indem ein Berechtigter den Datensatz vorübergehend entsperrt. Jede Fassung wird dabei versioniert und bleibt erhalten. In Postfächern entfällt dieses Entsperren, dort sind gekennzeichnete Elemente durchgehend schreibgeschützt. Die strengste Variante ist der regulatorische Datensatz. Bei ihm ist auch in SharePoint und OneDrive kein Entsperren mehr vorgesehen, das Bearbeiten ist also vollständig blockiert. Selbst ein globaler Administrator kann die Kennzeichnung nicht mehr entfernen, und die Frist lässt sich nur verlängern, nie verkürzen.
• Preservation Lock sperrt die Richtlinie selbst. Danach kann niemand sie mehr abschalten, löschen oder abschwächen, nicht einmal ein Administrator mit vollen Rechten. Microsoft nennt als Anwendungsfall ausdrücklich SEC Rule 17a-4; die Prüfgesellschaft Cohasset Associates hat bestätigt, dass Microsoft 365 bei sachgerechter Konfiguration die Anforderungen an nicht überschreibbare, nicht löschbare Speicherung erfüllt.

Der praktische Haken liegt im Detail: Preservation Lock lässt sich ausschließlich per PowerShell aktivieren, nicht über die Oberfläche. Das ist Absicht, denn die Einstellung ist unumkehrbar. Es bedeutet aber auch, dass sie in kaum einem Tenant zufällig aktiv wird.

Checkliste: Wo stehen Sie?

• Ist bekannt, welche Aufbewahrungsfristen für Ihr Unternehmen konkret gelten, also acht, zehn oder sechs Jahre, und für welche Dokumente?
• Existiert eine Aufbewahrungsrichtlinie in Purview, oder laufen alle Postfächer und Dateien mit den Standardfristen?
• Gibt es ein Backup mit einem längeren Zeithorizont als 93 Tage? Und wurde eine Wiederherstellung jemals getestet?
• Was passiert heute mit dem Postfach und dem OneDrive eines Mitarbeiters, der das Unternehmen verlässt?
• Kann ein einzelner Administrator Aufbewahrungsrichtlinien abschalten, ohne dass es jemandem auffällt?
• Sind Teams-Chats in Ihrer Betrachtung enthalten? Sie werden von Microsoft 365 Backup nicht abgedeckt.

Wer bei drei oder mehr Punkten zögert, kennt den Stand der eigenen Aufbewahrung und Sicherung noch nicht.

Warum die Voreinstellungen für den Alltag reichen und für den Nachweis nicht

Die Standardfristen sind auf den Alltag zugeschnitten, und dafür genügen sie. Papierkörbe reichen für den Normalfall. Für den Kollegen etwa, der montags merkt, dass er freitags etwas Falsches gelöscht hat. Dass die 93 Tage gegen eine Zehn-Jahres-Frist stehen, ist dagegen keine Frage des Betriebs, sondern eine Frage der Nachweisführung. Sie wird von keiner Voreinstellung beantwortet.

Entscheidend sind nicht die Annahmen über die eigene Umgebung, sondern die Werte, die im Mandanten tatsächlich eingestellt sind: wie weit die Papierkörbe zurückreichen, ob darüber hinaus ein Backup existiert und ob eine Aufbewahrungsrichtlinie die für Sie geltenden Fristen abdeckt. Alle drei Angaben lassen sich nachsehen.

Quellen

• Endgültig gelöschte E-Mails werden im Ordner „Wiederherstellbare Elemente” standardmäßig 14 Tage aufbewahrt; der Wert ist auf bis zu 30 Tage konfigurierbar. learn.microsoft.com
• Ein soft-gelöschtes Postfach wird von Exchange Online 30 Tage aufbewahrt und ist danach endgültig gelöscht und nicht wiederherstellbar. learn.microsoft.com
• In SharePoint und OneDrive gilt eine Frist von 93 Tagen, die den Papierkorb der ersten und der zweiten Stufe zusammen umspannt; der Papierkorb der zweiten Stufe ist für Endnutzer nicht sichtbar, sondern nur für Administratoren der Websitesammlung. Nach Ablauf der 93 Tage wird das Dokument endgültig gelöscht, unabhängig davon, in welcher Papierkorbstufe es liegt. learn.microsoft.com
• Microsoft hat die eDiscovery-Unterstützung so erweitert, dass Inhalte im Papierkorb der ersten und der zweiten Stufe in SharePoint Online und OneDrive von eDiscovery-Managern durchsucht und exportiert werden können, unabhängig davon, ob auf der Website ein Hold liegt. m365admin.handsontek.net
• Beim Löschen eines Inhalts, der einer Aufbewahrungsrichtlinie unterliegt, wird das Original in die Preservation Hold Library (Aufbewahrungsbibliothek) kopiert, eine für Nutzer unsichtbare Systemablage. learn.microsoft.com
• Die Aufbewahrungsdauer für das OneDrive eines gelöschten Nutzers ist im SharePoint Admin Center auf einen Wert zwischen 30 und 3.650 Tagen einstellbar. learn.microsoft.com
• Preservation Lock sperrt eine Aufbewahrungsrichtlinie so, dass niemand sie abschalten, löschen oder abschwächen kann, auch kein globaler Administrator; die Aktivierung ist ausschließlich per PowerShell möglich, nicht über die Oberfläche. learn.microsoft.com
• Microsoft nennt als Anwendungsfall für Preservation Lock ausdrücklich SEC Rule 17a-4, die verlangt, dass eine aktivierte Aufbewahrungsrichtlinie nicht mehr abgeschaltet oder abgeschwächt werden kann. learn.microsoft.com
• Cohasset Associates kommt in der Bewertung von Juli 2022 zu dem Ergebnis, dass Microsoft 365 bei sachgerechter Konfiguration die fünf Anforderungen an nicht überschreibbare, nicht löschbare Speicherung elektronischer Aufzeichnungen nach SEC 17a-4(f), FINRA 4511(c) und CFTC 1.31(c)-(d) erfüllt. learn.microsoft.com
• Bei einem als Datensatz gekennzeichneten Dokument in SharePoint und OneDrive ist das Löschen blockiert; das Bearbeiten ist über das Entsperren des Datensatzes (Record Versioning) weiterhin möglich, wobei jede Version erhalten bleibt. Vollständig blockiert ist das Bearbeiten erst beim regulatorischen Datensatz. learn.microsoft.com
• Beim Entsperren eines Datensatzes wird die aktuelle Fassung in den Ordner „Records” der Preservation Hold Library kopiert und in der Versionsgeschichte des Dokuments geführt; anschließend kann das Dokument bearbeitet, aber nicht gelöscht werden. Für regulatorische Datensätze steht Record Versioning nicht zur Verfügung, weil sie das Bearbeiten blockieren. learn.microsoft.com
• Bei einem regulatorischen Datensatz kann auch ein globaler Administrator die Kennzeichnung nicht mehr entfernen; die Aufbewahrungsfrist lässt sich nach dem Speichern nur verlängern, nicht verkürzen. learn.microsoft.com
• Microsoft 365 Backup ist ein separat nach Verbrauch abgerechnetes Produkt (0,15 US-Dollar pro GB und Monat), deckt OneDrive, SharePoint und Exchange Online ab und bietet eine maximale Aufbewahrungsdauer von einem Jahr. Teams-Chats sind nicht Teil des Funktionsumfangs. learn.microsoft.com
• § 147 AO: zehn Jahre für Bücher, Inventare, Eröffnungsbilanzen und Jahresabschlüsse, acht Jahre für Buchungsbelege, sechs Jahre für Handels- und Geschäftsbriefe. Nach Absatz 2 müssen elektronisch gespeicherte Unterlagen während der gesamten Aufbewahrungsfrist jederzeit verfügbar sein, unverzüglich lesbar gemacht und maschinell ausgewertet werden können. gesetze-im-internet.de
• § 257 HGB regelt die handelsrechtlichen Aufbewahrungspflichten weitgehend parallel und lässt in Absatz 3 die elektronische Aufbewahrung zu, sofern die Grundsätze ordnungsmäßiger Buchführung eingehalten werden. gesetze-im-internet.de
• Die Verkürzung der Aufbewahrungsfrist für Buchungsbelege von zehn auf acht Jahre geht auf das Vierte Bürokratieentlastungsgesetz zurück und gilt ab dem 1. Januar 2025, auch für bereits bestehende Belege, deren Frist am 31.12.2024 noch nicht abgelaufen war. ihk.de
• Die GoBD in der Fassung vom 28. November 2019 wurden zuletzt durch das BMF-Schreiben vom 14. Juli 2025 geändert; sie verlangen unter anderem die Unveränderbarkeit der aufbewahrten Daten. bundesfinanzministerium.de
• Microsoft 365 Business Premium enthält manuelle Aufbewahrungsbezeichnungen und grundlegende organisationsweite Aufbewahrungsrichtlinien; weitergehende Purview-Funktionen erfordern zusätzliche Lizenzen. learn.microsoft.com