Microsoft 365 löscht nach 30 Tagen – und niemand hat es Ihnen gesagt

Der Anruf kommt meist von der Buchhaltung, und er kommt im Februar. Eine Lieferantenrechnung aus dem Oktober wird gesucht, sie ging per Mail an einen Mitarbeiter, der im November ausgeschieden ist. Sein Konto wurde im Dezember gelöscht – ordentlich, mit Lizenz sparen und Aufräumen. Im Februar ist das Konto nicht mehr unter „Gelöschte Benutzer“, und das Postfach ist nirgends. Microsoft hat es nicht mehr. Der Support bestätigt das freundlich.

Die Frist, die hier abgelaufen ist, steht in Microsofts Dokumentation: Ein gelöschtes Benutzerkonto kann innerhalb von 30 Tagen nach dem Löschen mit allen zugehörigen Daten wiederhergestellt werden – Postfach, OneDrive, Mitgliedschaften. Nach den 30 Tagen nicht mehr. Das ist keine versteckte Klausel, sondern ein dokumentiertes Verhalten des Dienstes; wir haben es am 2. Oktober 2026 noch einmal nachgelesen. Es ist nur niemandem gesagt worden, der die Löschung veranlasst hat.

Die Fristen, die gelten

Drei Zahlen, alle aus Microsofts eigener Dokumentation, Stand der Prüfung. Gelöschte Benutzer: 30 Tage wiederherstellbar, danach endgültig. Gelöschte Elemente in SharePoint und OneDrive: 93 Tage ab dem Löschen vom ursprünglichen Speicherort, über beide Papierkorbstufen zusammen. Gelöschte Mails nach dem Papierkorb: die Aufbewahrung gelöschter Elemente des Postfachs, standardmäßig 14 Tage, vom Administrator auf bis zu 30 Tage einstellbar. Wer Aufbewahrungsrichtlinien oder eine Beweissicherung eingerichtet hat, hält länger – aber nur, was die Richtlinie erfasst, und nur, solange niemand sie ändert.

Diese Werte kann Microsoft ändern, und sie haben sich in den vergangenen Jahren mehrfach geändert. Maßgeblich ist die jeweils aktuelle Dokumentation. Was sich nicht ändert, ist das Prinzip dahinter, das Microsoft selbst als geteilte Verantwortung beschreibt: Der Anbieter verantwortet, dass der Dienst läuft. Die Daten darin verantwortet der Kunde. Verfügbarkeit ist nicht Sicherung – und die Fristen oben sind die ganze Kulanz, die die Plattform dafür vorsieht.

Warum 30 Tage mit sechs Jahren kollidieren

§ 147 AO verlangt, Handels- und Geschäftsbriefe sechs Jahre aufzubewahren, Buchungsbelege und Rechnungen länger – und Geschäftsbriefe sind heute E-Mails. Die Rechnung, die im Postfach des ausgeschiedenen Mitarbeiters lag, war ein Buchungsbeleg. Dass sie nach 30 Tagen weg ist, ist kein technisches Missgeschick, sondern ein Verstoß gegen eine Aufbewahrungspflicht, den die Betriebsprüfung so behandelt.

Die GoBD setzen noch eines drauf: Rz. 152 verlangt, dass das Verfahren die Absicherung gegen Verlust beschreibt, und die Unveränderbarkeit nach Rz. 107 bis 110 gilt auch für Belege, die als E-Mail eingehen. Ein Postfach ist kein Archiv – das ist der Grund, warum Häuser ein Dokumentenmanagement betreiben. Aber zwischen Eingang und Archivierung liegt das Postfach, und wenn der Mitarbeiter vorher geht, liegt der Beleg nur dort. Der Wirtschaftsprüfer fragt deshalb zweierlei: Wie archivieren Sie, und wie sichern Sie das, was noch nicht archiviert ist?

Was beim Austritt zu tun ist

Der häufigste Datenverlust in Microsoft 365 ist kein Angriff und kein Ausfall, sondern der Austritt eines Mitarbeiters mit anschließendem Aufräumen. Der bessere Ablauf dauert zehn Minuten und gehört in die Austrittscheckliste: Konto sperren statt löschen. Postfach in ein freigegebenes Postfach umwandeln – das braucht bis 50 Gigabyte keine Lizenz und bleibt erreichbar. Weiterleitung an den Nachfolger einrichten. OneDrive-Inhalte dem Vorgesetzten zuweisen. Erst nach einer festgelegten Frist – ein Jahr ist üblich – löschen, und vorher prüfen, ob alles Aufbewahrungspflichtige im Archiv ist.

Das verhindert den Februar-Anruf, aber es löst nicht das Problem dahinter. Es bleibt eine Plattform, auf der Daten mit Fristen verschwinden, die kürzer sind als jede gesetzliche Pflicht, und auf der ein Administratorfehler – oder ein Angreifer mit Administratorrechten – alles erreicht, was dort liegt. Die Antwort darauf ist dieselbe wie bei jedem anderen System: eine Sicherung außerhalb.

Außerhalb heißt: bei einem anderen Anbieter

Microsoft bietet inzwischen einen eigenen Sicherungsdienst für Exchange, SharePoint und OneDrive an. Er ist für den Fall „Nutzer hat etwas gelöscht“ eine brauchbare Ergänzung. Er liegt aber auf derselben Plattform, beim selben Anbieter, unter demselben Mandanten und denselben Rechten – wer die Plattform kontrolliert, kontrolliert ihn mit. Die 3-2-1-Regel verlangt eine Kopie außer Haus, und für Microsoft 365 ist „außer Haus“ ein zweiter Anbieter.

Unsere Sicherung läuft auf Veeam Backup for Microsoft 365 im Rechenzentrum unseres Partners TERRA CLOUD in Hüllhorst – nach Herstellerangabe mit 30 Tagen Unveränderbarkeit auf S3-Speicher und bis zu zehn Jahren Aufbewahrung, lizenziert je Nutzer mit Speicher-Flatrate. Das Postfach des Mitarbeiters, der vor drei Jahren gegangen ist, ist dann eine Wiederherstellung von zehn Minuten – in das Original, in ein anderes Postfach oder als Export. Und die Frage des Prüfers, wie Geschäftsbriefe sechs Jahre verfügbar bleiben, hat eine Antwort, die nicht an Microsofts Fristen hängt.

Drei Dinge für diese Woche

Verwandte Themen: Wer hier weiterdenkt, liest bei Microsoft-Lebenszyklus, Microsoft 365 und Cloud-Exit weiter.