Die Frage kommt meist nach einem Vorfall: Ein Mitarbeiter ist ausgeschieden, sein Postfach wurde gelöscht, und drei Monate später braucht jemand eine Mail daraus. Microsoft hat sie nicht mehr. Die Plattform ist hochverfügbar – aber Verfügbarkeit ist nicht Sicherung. Microsoft beschreibt das selbst als Modell geteilter Verantwortung: Der Dienst läuft, die Daten verantwortet der Kunde.
Wir sichern Microsoft 365 deshalb eigenständig, außerhalb von Microsoft, mit der Software, die in diesem Feld Marktführer ist: Veeam Backup for Microsoft 365, betrieben in der TERRA CLOUD in Hüllhorst als Backup-as-a-Service. Das ist nach Herstellerangabe eine Plattform mit vorkonfigurierten Sicherungskomponenten, Einrichtung in Minuten, Berichte über das Technical Center – und mit zwei Eigenschaften, die den Unterschied machen: Unveränderbarkeit und zehn Jahre Aufbewahrung.
Die Eckdaten nach Herstellerangabe
- 30Tage
- Unveränderbarkeit auf dem S3-Speicher in Hüllhorst – auch ein Administrator kann in dieser Zeit nichts löschen.
- 10Jahre
- Aufbewahrungszeit für alle Datensicherungen – länger als jede Microsoft-Frist und lang genug für § 147 AO.
- 1Lizenz je Nutzer
- Lizenzierung nach geschützten Benutzern, inklusive Storage-Flatrate – keine Überraschung bei wachsenden Postfächern.
Was Microsoft selbst behält – und was die Sicherung dazu leistet
Die Microsoft-Fristen sind Standardwerte des Dienstes; sie können durch Aufbewahrungsrichtlinien verlängert werden, ersetzen aber keine Sicherung außerhalb der Plattform.
| Fall | Microsoft 365 (Standard) | Mit eigener Sicherung |
|---|---|---|
| Nutzer gelöscht, Postfach gebraucht | Wiederherstellung innerhalb der Frist für gelöschte Nutzer, danach weg | Postfach bis zu zehn Jahre wiederherstellbar – auch ohne Lizenz für den Nutzer |
| Datei in SharePoint überschrieben | Versionsverlauf, solange er aktiv ist | Jede gesicherte Version, auch nach Bereinigung |
| Teams-Kanal gelöscht | Weicher Löschvorgang mit Frist | Kanal, Dateien und Chats aus der Sicherung |
| Verschlüsselung über ein kompromittiertes Konto | Betroffen, was das Konto erreicht | Unveränderbare Kopie der letzten 30 Tage, davon unberührt |
| Prüfer verlangt Mails von vor sechs Jahren | Nur mit Archivierungsrichtlinie | Aus der Sicherung, mit Datum |
Was gesichert wird
- Exchange OnlinePostfächer, Kalender, Kontakte, Archivpostfächer – Wiederherstellung einzelner Elemente oder ganzer Postfächer.
- SharePoint OnlineWebsites, Bibliotheken, Listen – Wiederherstellung je Datei oder Website.
- OneDrive for BusinessDie persönlichen Ablagen aller Nutzer, auch der ausgeschiedenen.
- TeamsKanäle, Dateien, Chats, soweit die Veeam-Schnittstelle sie erfasst.
Warum das in der Nachweismappe steht
Für Buchführungsunterlagen, die als E-Mail eingehen – Rechnungen, Verträge, Geschäftsbriefe –, verlangt § 147 AO Aufbewahrung über sechs bis zehn Jahre, und die GoBD verlangen Unveränderbarkeit. Ein Postfach ist kein Archiv, aber eine Sicherung mit zehn Jahren Aufbewahrung und 30 Tagen Unveränderbarkeit ist die Technik, die ein Archivkonzept für E-Mails überhaupt erst belegbar macht. Der Wirtschaftsprüfer fragt nach beidem.
Für NIS2-Einrichtungen ist Microsoft 365 meist das System mit den meisten Nutzern und den wenigsten Sicherungen. § 30 Abs. 2 Nr. 3 BSIG macht keine Ausnahme für Cloud-Dienste.
Dazu gehört
Häufige Fragen
- Reicht Microsofts eigenes Backup nicht?
- Microsoft bietet inzwischen einen eigenen Sicherungsdienst an; er liegt auf derselben Plattform, bei demselben Anbieter, unter demselben Konto. Eine Sicherung bei einem zweiten Anbieter in einem zweiten Rechenzentrum ist das, was die 3-2-1-Regel verlangt – und das, was ein Prüfer unter Sicherung versteht. Beides nebeneinander ist möglich; eines davon sollte außerhalb liegen.
- Wie schnell ist eine einzelne Mail zurück?
- Minuten: Die Wiederherstellung einzelner Elemente – Mail, Datei, Kontakt – läuft über die Veeam-Oberfläche in das Original- oder ein anderes Postfach. Ganze Postfächer dauern je nach Größe länger.
- Was ist mit ausgeschiedenen Mitarbeitern?
- Ihre Daten bleiben in der Sicherung, bis zu zehn Jahre, auch wenn die Microsoft-Lizenz längst entfernt ist. Das ist der häufigste Grund, warum Häuser diesen Dienst nach einem Vorfall buchen – und der Grund, ihn davor zu buchen.
- Wo liegen die gesicherten Daten?
- Auf S3-Speicher in der TERRA CLOUD in Hüllhorst, nach Herstellerangabe verschlüsselt und 30 Tage unveränderbar. Der Betrieb erfolgt in Deutschland; ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO regelt die Kette Kunde – DAVINCI – TERRA.
Quellen und Nachweise
- TERRA CLOUD 2026/2027 – Katalog (Rechenzentrum, Service-Level, Backup, IaaS, Housing, S3, SPLA, CSP) · WORTMANN AG / TERRA CLOUD GmbH, Hüllhorst (Art.-Nr. 9999928)
- § 147 AO – Ordnungsvorschriften für die Aufbewahrung von Unterlagen · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
- GoBD im Amtlichen AO-Handbuch 2024, Anhang 64 – Rz. 107–110 (Unveränderbarkeit), Rz. 152 (Absicherung gegen Verlust) · Bundesministerium der Finanzenamtlich
- § 30 BSIG – Risikomanagementmaßnahmen, Absatz 2 Nummer 3 (Backup-Management, Wiederherstellung) und Nummer 4 (Lieferkette) · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 28 – Auftragsverarbeiter · Amtsblatt der Europäischen Unionamtlich