Microsoft 365 Backup: Wer darf es löschen?

Im August 2025 hat Microsoft Threat Intelligence beschrieben, wie die Gruppe Storm-0501 eine Cloud-Umgebung erpresst hat und das ohne die klassische Schadsoftware einzusetzen. Der Angriff erfolgte über einen lokalen Server mit einem Bein in die Cloud. Dort fanden die Angreifer ein Konto mit der Rolle Global Administrator, für das keine Multifaktor-Authentifizierung konfiguriert war. Danach ging es schnell. Die Angreifer kopierten Daten, löschten Snapshots, Wiederherstellungspunkte und Backup-Container und entfernten sogar Schutzmechanismen, die das Löschen verhindern sollten. Wo das nicht reichte, legten sie einen neuen Schlüsseltresor an, verschlüsselten die Daten mit einem eigenen Schlüssel und löschten diesen anschließend. Die Lösegeldforderung kam über Microsoft Teams, geschickt von einem bereits übernommenen Konto.

Der Fall betraf zum Glück nur Azure-Ressourcen, nicht Postfächer oder SharePoint-Sites, wenn man überhaupt von Glück reden kann. Das Muster lässt sich trotzdem darauf übertragen. Wer in einem Tenant Administratorrechte erlangt, erreicht alles, was im Tenant liegt, auch das Backup.

Für CIOs, CEOs oder Geschäftsführung ist das keine technische Randnotiz. Es ist die Frage, ob Ihr Unternehmen nach einem Angriff innerhalb von Stunden oder vielleicht gar nicht wieder arbeitsfähig ist.

Was Microsoft sichert und was nicht

Microsoft betreibt die Plattform und hält sie verfügbar. Die Daten gehören Ihnen und liegen damit auch in Ihrer Verantwortung. Die Microsoft-Dokumentation zur geteilten Verantwortung sagt dazu, dass der Kunde für seine Daten zuständig bleibt, einschließlich Datenklassifizierung, Datenschutz und Verschlüsselungsentscheidungen, unabhängig vom Bereitstellungsmodell. Eine ausdrückliche Backup-Pflicht steht dort nicht. Die Seite weist aber darauf hin, dass im Zweifel die vertraglichen Bedingungen maßgeblich sind.

In der Praxis verwechseln viele Unternehmen den Papierkorb mit einem Backup. Der Papierkorb für SharePoint und OneDrive hält gelöschte Elemente 93 Tage. Das hilft, wie auch auf einem Windows Desktop, bei versehentlich gelöschten Dateien. Er hilft nicht, wenn jemand mit entsprechenden Berechtigungen Daten gezielt löscht, wenn Ransomware Dateien über Wochen unbemerkt verändert oder wenn ein Mitarbeiter beim Ausscheiden sein Postfach leert und niemand es bemerkt. Wer nach 93 Tagen merkt, dass etwas fehlt, hat keinen regulären Weg zurück.

Microsoft bietet inzwischen mit Microsoft 365 Backup einen eigenen kostenpflichtigen Dienst an. Er deckt laut Übersichtsseite SharePoint, OneDrive und Exchange Online ab, hält Daten je nach Richtlinie bis zu zwei Jahre vor und wird nach Verbrauch abgerechnet, laut Microsoft sind das derzeit 0,15 US-Dollar pro GB und Monat. Das ist durchaus ein sinnvoller Baustein für eine schnelle Wiederherstellung.

Für die zentrale Frage dieses Artikels hilft dieser Dienst leider nur begrenzt, denn laut Dokumentation verlässt das Backup die Vertrauensgrenze von Microsoft 365 nicht. Somit liegt es in derselben Cloud, unter demselben Anbieter und hinter denselben administrativen Zugängen wie die Produktivdaten. Die Backups sind zwar laut Doku unveränderlich, außer der Backup-Administrator löscht sie. Wer aber dieses Konto übernimmt, hat damit auch volle Berechtigungen für das Backup. Microsoft hat dafür zwei Schutzmechanismen eingebaut: Nach dem Löschen über das Offboarding lassen sich die Backups noch 90 Tage wiederherstellen, und bei kritischen Aktionen kann eine festgelegte Gruppe von Administratoren per E-Mail benachrichtigt werden. Das verschafft Zeit, ändert aber nichts daran, dass Backup und Produktivdaten hinter denselben administrativen Zugängen liegen.

Die Lage ist zwar besser geworden, aber noch nicht gut

Die aktuelle Bitkom-Studie zum Wirtschaftsschutz vom 26. August 2026 zeigt einen Rückgang bei Ransomware, obwohl die Zahl der Angriffe insgesamt weiter zunimmt. Bei 25 Prozent der Unternehmen verschlüsselten Angreifer Daten, um Lösegeld zu erpressen, im Vorjahr waren es zum Vergleich 34 Prozent. Der Gesamtschaden durch Datendiebstahl, Industriespionage und Sabotage liegt bei 211 bis 270,8 Milliarden Euro pro Jahr, 76 Prozent davon gehen auf Cyberangriffe zurück. 45 Prozent der befragten Unternehmen sehen ihre Existenz durch einen erfolgreichen Angriff bedroht (verglichen mit dem Vorjahr waren es 59 Prozent). Befragt wurden hier 1.003 Unternehmen ab zehn Beschäftigten.

Ein Viertel der Unternehmen ist zwar besser als ein Drittel, aber es bleibt immer noch jedes vierte Unternehmen und der Fall Storm-0501 zeigt, wie die Angreifer vorgehen, wenn sie es auf Ihre Wiederherstellungsfähigkeit abgesehen haben. Angreifer suchen in der Regel zuerst nach Ihren Backups. Ein Backup, das sich mit denselben Zugangsdaten löschen lässt wie die Produktivdaten, schützt nur vor Hardwaredefekten und versehentlichem Löschen. Gegen einen Angreifer mit Administratorrechten schützt es nicht.

Deshalb gilt als Faustregel für Backups die 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Medien, eine davon an einem getrennten Ort. Bei Microsoft 365 heißt "getrennt" mehr als nur eine andere Region. Es heißt tatsächlich anderer Anbieter mit anderem Rechenzentrum, andere Zugangsdaten und anderer Verwaltungszugang.

Die zwei Seiten der Verschlüsselung

Beim Thema Verschlüsselung werden zwei Dinge oft vermischt.

Die erste Seite ist die Verschlüsselung durch Angreifer. Sie macht Ihre Daten unbrauchbar, bis Sie zahlen oder die Daten aus einem vertrauenswürdigen Backup zurückspielen. Storm-0501 hatte dafür sogar Azure-eigene Funktionen genutzt und mit einem selbst angelegten Schlüssel verschlüsselt. Die Gegenmaßnahme ist ein Backup, das der Angreifer nicht erreicht und nicht verändern kann. Wir sprechen von Unveränderlichkeit (englisch Immutability) bei der sich eine einmal geschriebene Sicherung während der Aufbewahrungsfrist weder überschreiben noch löschen lässt, auch nicht mit Administratorrechten.

Die zweite Seite ist Ihre eigene Verschlüsselung. Ein Backup enthält dieselben personenbezogenen und vertraulichen Daten wie das Produktivsystem und muss deshalb mindestens so gut geschützt sein. Verschlüsselt wird hier sowohl bei der Übertragung (in transit) als auch bei der Speicherung (at rest). Dabei lohnt die Frage, wer die Schlüssel verwaltet. Geht ein Schlüssel verloren oder ist er nicht vollständig unter Ihrer Kontrolle, ist das Backup wertlos. Das ist übrigens in Artikel 32 der DSGVO ausdrücklich als Maßnahme genannt. Ich habe zum Thema Souveräner Arbeitsplatz dazu auch bereits etwas geschrieben.

DSGVO und EU-Vorgaben - Backup ist Pflicht, kein Komfort

Um das Thema nochmal aufzugreifen, die DSGVO verlangt in Artikel 32 Absatz 1 geeignete technische und organisatorische Maßnahmen, zu denen die Verschlüsselung personenbezogener Daten gehört und die Fähigkeit, Verfügbarkeit und Zugang zu den Daten nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen.

Ein Ransomware-Angriff ist genau so ein Zwischenfall. Wer nicht wiederherstellen kann, hat definitiv ein Problem mit dem Datenschutz und nicht nur mit dem Betrieb. Dazu kommt die Meldepflicht an die Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten (Artikel 33).

Ein externer Backup-Anbieter ist in diesem Zusammenhang ein Auftragsverarbeiter. Sie brauchen einen Vertrag nach Artikel 28, Klarheit über die Standorte der Rechenzentren, über Unterauftragnehmer und über Support-Zugriffe aus Drittländern. Auch ein entsprechendes Löschkonzept gehört dazu. Löscht ein Mitarbeiter auf Verlangen eines Betroffenen Daten, muss klar sein, wie lange die Kopie im Backup bestehen bleibt und wann sie verschwindet. Nicht zu vernachlässigen sind auch die Log- und Reportingpflichten, wenn jemand auf Anweisung etwas löscht, muss das nachvollziehbar und unveränderlich geloggt werden.

Für viele Unternehmen kommt jetzt auch noch NIS-2 hinzu. Das deutsche Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist und betrifft nach Schätzungen rund 29.000 Unternehmen. Paragraf 30 Absatz 2 Nummer 3 BSIG nennt als Mindestmaßnahme die "Aufrechterhaltung des Betriebs, Backup-Management und Wiederherstellung nach einem Notfall sowie Krisenmanagement". Paragraf 38 verpflichtet die Geschäftsleitung, diese Maßnahmen umzusetzen und zu überwachen, und regelt, dass sie ihrer Einrichtung für einen schuldhaft verursachten Schaden haftet, nach den Regeln des jeweiligen Gesellschaftsrechts. Außerdem müssen Geschäftsleitungen regelmäßig an Schulungen zur IT-Sicherheit teilnehmen. Das Thema Backup liegt damit ausdrücklich beim Vorstand oder der Geschäftsführung, auch wenn es durch die IT umgesetzt wird.

Mit den Verordnungen sind wir aber noch nicht fertig, denn Finanzunternehmen unterliegen zusätzlich der DORA-Verordnung. Nach Artikel 12 müssen sie bei der Wiederherstellung aus Backups auf Systeme zurückgreifen, die vom Quellsystem physisch und logisch getrennt sind. Für alle anderen Unternehmen ist das keine Pflicht, aber ein durchaus brauchbarer Maßstab.

Abschließend kommt die Frage der Rechtsräume dazu. US-Anbieter unterliegen dem CLOUD Act, unabhängig davon, wo die Daten liegen. Ein Unternehmenssitz in der EU und Rechenzentren in der EU senken dieses Risiko, ersetzen aber nicht die Prüfung von Unterauftragnehmern und Konzernstrukturen. Mehr dazu lesen Sie auch in meinem Artikel Digitale Souveränität 2026.