Was bringt Ihnen ein Microsoft-365-Backup-Dienst in Europa?

Warum sollten Sie Microsoft 365 außerhalb von Microsoft sichern?

Weil Microsoft den Dienst am Laufen hält, nicht Ihre Datenhistorie. Die eigene Dokumentation zur geteilten Verantwortung besagt, dass Kunden immer für ihre Daten, Konten und die Zugriffsverwaltung verantwortlich bleiben, auch bei SaaS-Diensten wie Microsoft 365.

In der Praxis sind die Wiederherstellungsfenster kurz. Gelöschte SharePoint- und OneDrive-Elemente bleiben laut Microsoft Support 93 Tage im Papierkorb. Danach sind sie weg, sofern Sie keine Kopie an anderer Stelle aufbewahrt haben. Diese getrennte Kopie ist die Aufgabe von Backup as a Service.

Ein Beispiel: Eine Projektleiterin verlässt das Unternehmen im März. Im Juli bestreitet ein Kunde eine Rechnung, und die unterschriebene Freigabe lag in ihrem OneDrive. Ohne ein unabhängiges Backup, das vor dem Entfernen ihres Kontos entstanden ist, ist diese Datei sehr wahrscheinlich verloren. Die Grenzen der nativen Funktionen erklären wir ausführlicher unter Sichert Microsoft 365 meine Daten?

Welche 8 Vorteile hat ein Microsoft-365-Backup-Dienst?

Längere und genauere Wiederherstellung, Schutz vor Angriffen auf Ihren Mandanten, EU-Rechtsraum, weniger Arbeit für Ihr IT-Team und Nachweise für Prüfer. Hier sind die acht, geordnet danach, wie oft sie eine Rolle spielen.

1. Wiederherstellung über 93 Tage hinaus. Stellen Sie E-Mails, Dateien und Websites aus Zeiträumen weit jenseits des Papierkorb-Fensters von Microsoft wieder her, gemäß Ihrer eigenen Aufbewahrungsrichtlinie.
2. Ein Weg zurück nach Ransomware. Angreifer kommen zunehmend über Identitäten herein. Der Microsoft Digital Defense Report 2025 stellte fest, dass identitätsbasierte Angriffe in der ersten Hälfte des Jahres 2025 um 32 % zunahmen. Eine unveränderliche Kopie außerhalb des Mandanten lässt sich mit einem gestohlenen Administratorkennwort weder verschlüsseln noch löschen.
3. Granulare Wiederherstellung. Holen Sie eine einzelne E-Mail, einen Ordner, ein ganzes Postfach oder eine komplette SharePoint-Website zurück, ohne alles andere zurückzusetzen.
4. Alle vier Kern-Workloads. Exchange, OneDrive, SharePoint und Teams in einer Richtlinie, damit Teams und SharePoint nicht durchs Raster fallen.
5. EU-Speicherung und EU-Rechtsraum. Backup-Daten bleiben in EU-Rechenzentren bei einem EU-Anbieter. Warum das wichtig ist, lesen Sie weiter unten.
6. Keine Backup-Infrastruktur zu betreiben. Keine Server, kein Speicher und kein Patchen auf Ihrer Seite. Der Anbieter prüft und überwacht die Jobs.
7. Nachweise für Audits und Versicherer. Backup-Berichte und Test-Wiederherstellungen geben Ihnen etwas Konkretes für NIS2, ISO 27001 oder einen Fragebogen zur Cyberversicherung in die Hand.
8. Spielraum zum Wachsen. Der Speicher wächst mit Ihren Daten, sodass ein größer werdender SharePoint-Bestand kein neues Projekt erzwingt.

Warum ist EU-Speicherung für das Microsoft-365-Backup wichtig?

Weil der Speicherort der Daten und das Recht, das sie erreicht, zwei verschiedene Fragen sind. Wenn Sie ein Backup bei einem EU-Anbieter in EU-Rechenzentren halten, hängt Ihre Wiederherstellungskopie nicht vom selben Lieferanten oder demselben Rechtsraum ab wie Ihre Produktivdaten.

Microsoft hat hier viel getan. Die EU Data Boundary verpflichtet Microsoft, Kundendaten von Microsoft 365 in der EU und der EFTA zu speichern und zu verarbeiten, vorbehaltlich begrenzter dokumentierter Ausnahmen. Microsoft ist jedoch ein US-Unternehmen, und der US-amerikanische CLOUD Act verpflichtet Anbieter, Daten offenzulegen, die sich in ihrem „Besitz, Gewahrsam oder ihrer Kontrolle“ befinden, „unabhängig davon, ob sich diese Mitteilung, Aufzeichnung oder sonstige Information innerhalb oder außerhalb der Vereinigten Staaten befindet“. So formuliert es 18 U.S.C. § 2713 (sinngemäß ins Deutsche übertragen).

Anton Carniaux von Microsoft France wurde im Juni 2025 von einem Untersuchungsausschuss des französischen Senats unter Eid dazu befragt. Auf die Frage, ob er garantieren könne, dass Daten französischer Kunden nicht ohne französische Genehmigung an US-Behörden übermittelt würden, antwortete er: „Nein, das kann ich nicht garantieren“. Er fügte hinzu, dass das nie vorgekommen sei, wie The Register berichtete.

Die DSGVO bringt eine eigene Regel mit. Art. 48 DSGVO besagt, dass die Entscheidung eines Gerichts oder einer Behörde eines Drittlands, personenbezogene Daten zu übermitteln, nur anerkannt oder vollstreckbar ist, wenn sie auf eine internationale Übereinkunft wie ein Rechtshilfeabkommen gestützt ist. Ausführlicher erklärt das der Ratgeber Was ist Datensouveränität?

Microsoft 365 Backup oder ein europäischer Backup-Dienst: Was passt?

Microsoft 365 Backup ist eine solide native Option, wenn Sie vor allem eine längere Aufbewahrung innerhalb von Microsoft wollen. Ein europäischer Backup-Dienst passt besser, wenn Sie einen zweiten Lieferanten, getrennte Zugangsdaten und EU-Recht für Ihre Wiederherstellungskopie wollen.

Die Angaben zu Microsoft 365 Backup stammen aus der FAQ zu Microsoft 365 Backup von Microsoft. Die eigene Anleitung zum Ransomware-Schutz in Microsoft 365 empfiehlt, entweder den Zusatzdienst oder eine Partnerlösung zu prüfen. Die Wahl liegt also bei Ihnen. Auf unserer Seite zum Microsoft-365-Backup finden Sie die vollständige Spezifikation unseres Dienstes, der ISO-27001- und NEN-7510-zertifiziert ist (NEN 7510 ist die niederländische Norm für Informationssicherheit im Gesundheitswesen).

Was sollten Sie prüfen, bevor Sie einen Anbieter für Microsoft-365-Backup wählen?

Stellen Sie sieben Fragen. Ein Anbieter, der sie nicht klar und schriftlich beantworten kann, ist selbst ein Risiko.

• Abdeckung: Sind Exchange, OneDrive, SharePoint und Teams alle enthalten, auch die Konten ausgeschiedener Mitarbeitender?
• Unveränderlichkeit: Kann jemand, auch Ihr eigener Administrator oder Mitarbeitende des Anbieters, Backups löschen, bevor sie ablaufen?
• Trennung: Gibt es eine Air-Gap- oder Offline-Kopie nach der 3-2-1-1-0-Regel?
• Standort und Recht: Welche Rechenzentren, in welchen Ländern, und welchem Unternehmen gehören sie?
• Verifizierung: Wird jeder Backup-Job geprüft, und wer kümmert sich um Fehler?
• Wiederherstellung: Wie granular, wie schnell, und können Sie sie selbst testen? Lesen Sie dazu, wie Sie prüfen, ob Ihr Backup funktioniert.
• Unterlagen: Zertifizierungen, ein Auftragsverarbeitungsvertrag nach DSGVO und Nachweise, die Sie einem Prüfer vorlegen können.

Ihre nächsten Schritte

Ein Microsoft-365-Backup-Dienst in Europa gibt Ihnen, was die nativen Werkzeuge von Microsoft nicht bieten: Wiederherstellung über 93 Tage hinaus, eine Kopie, die ein Angreifer über Ihren Mandanten nicht erreicht, und einen Wiederherstellungsplan, der auf einem zweiten Lieferanten aus der EU beruht. Wenn Sie unter NIS2 fallen, nennt Art. 21 Abs. 2 lit. c der Richtlinie (EU) 2022/2555 unter den vorgeschriebenen Maßnahmen die Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall.

Wie Microsoft 365 in Ihren übrigen Schutz passt, sehen Sie auf unserer Seite Backup as a Service. Oder vereinbaren Sie eine kostenlose 15-minütige Demo, und wir zeigen Ihnen in Ihrer Sprache eine Wiederherstellung aus unseren Rechenzentren in Deutschland und den Niederlanden.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.