Im dokumentierten Ablauf stand nichts vom Sichern
In einem Betrieb, den wir übernommen haben, wurde beim Ausscheiden einer Mitarbeiterin die Lizenz gekündigt, und damit war das Postfach weg. Der Ablauf war sogar sauber dokumentiert. Nur stand darin nichts von „vorher sichern“, weil niemand die Frage je gestellt hat.
Zwei Jahre später brauchte ein Klient genau diesen Schriftverkehr. Die 30 Tage, die Microsoft ein Postfach nach dem Entzug der Lizenz noch vorhält, waren längst abgelaufen, und damit war die Korrespondenz endgültig fort.
Fehlt ein Postfach, fehlt der Nachweis: gegenüber dem Kunden, der eine Zusage von damals sucht, gegenüber der Behörde bei einer Prüfung, im schlechten Fall vor Gericht. Der einzige Satz, der dann bleibt, ist der von der abgelaufenen Frist, und den will niemand sagen müssen.
Fünf Punkte.Still für sich beantwortet.
Es geht nicht um Schuld, nur um das Muster.
Bis wohin der Papierkorb hilft
Die Frist. Der Papierkorb ist eine Komfortfunktion für den kleinen Alltagsfehler, für die vorhin gelöschte E-Mail oder die Datei von heute Vormittag. Wie weit er zurückreicht, hängt vom Dienst ab: In SharePoint und OneDrive stehen zwei Papierkörbe hintereinander und decken zusammen 93 Tage ab. Im Postfach leert sich der Ordner Gelöschte Elemente ohne eigene Richtlinie überhaupt nicht, und wer ihn leert, findet die Nachricht ab Werk noch 14 Tage im Ordner Wiederherstellbare Elemente. Beim Konto sind zwei Vorgänge zu unterscheiden: Entziehen Sie einem Benutzer die Lizenz, bleibt das Postfach 30 Tage bestehen und wird dann gelöscht. Löschen Sie das Benutzerkonto selbst, holen Sie es 30 Tage lang zurück. Danach sind die Daten endgültig weg, und ein gezielter Stand von einem bestimmten Tag war ohnehin nie darin.
Das Konto, an dem er hängt. Wer an das Konto kommt, kommt auch an den Papierkorb. Ein Angreifer, der nach einer Phishing-Mail ein Konto übernimmt, kennt ihn genauso gut wie Sie. Er leert ihn gleich mit.
Die Aufbewahrungsrichtlinie als Sonderfall. Sie ist etwas anderes als der Papierkorb und hält Jahre statt Tage. Eine Richtlinie im Beweissicherungsverfahren bewahrt die Märzmail sehr wohl auf, auch gegen den Willen des Benutzers. Nur liegt sie im selben Mandanten und unter derselben Administratorkennung wie alles übrige. Wer diese Kennung übernimmt, schaltet sie ab, sofern niemand einen Preservation Lock gesetzt hat, und die Kopie geht mit. Dazu kommt: Sie bewahrt auf, sie stellt nicht wieder her. Den Stand eines bestimmten Tages, Postfach für Postfach oder Ordner für Ordner, holen Sie damit nicht zurück.
Und die geteilte Zuständigkeit. Microsoft hält die Server am Laufen, spielt Updates ein und sorgt für Verfügbarkeit. Daran scheitert es praktisch nie. Ob eine gelöschte oder verschlüsselte Mail wiederherstellbar ist, liegt bei Ihnen. Der Umzug in die Cloud verschiebt den Ort der Daten, nicht die Zuständigkeit.
Für Technik-Interessierte Was eine M365-Sicherung leisten muss
Vier Eigenschaften unterscheiden eine Sicherung von einer Komfortfunktion.
Und wie bei jeder Sicherung gilt: Ein Sicherungsbericht ohne Wiederherstellungstest ist eine Vermutung, kein Nachweis.
- Eigene Infrastruktur, eigene Zugangsdaten. Die Sicherung holt die Daten über die offiziellen Schnittstellen aus Microsoft 365 und legt sie außerhalb ab, mit Anmeldedaten, die nicht an den Microsoft-Konten hängen. Wer ein Administratorkonto übernimmt, kommt damit nicht an die Kopien.
- Unveränderlichkeit. Einmal geschriebene Sicherungsstände lassen sich auch mit Administratorrechten nicht nachträglich löschen oder verschlüsseln. Ohne diese Eigenschaft ist die Sicherung Teil des Angriffsziels.
- Versionierung über Monate und Jahre. Nicht Tage, und vor allem gezielt auf einen Stichtag. Das ist der Unterschied zum Papierkorb und zur Aufbewahrungsrichtlinie und der Grund, warum Aufbewahrungspflichten überhaupt erfüllbar werden.
- Granulare Wiederherstellung. Eine einzelne E-Mail, ein Ordnerstand, ein komplettes Postfach, jeweils gezielt und ohne Komplett-Rücksicherung. Sonst ist die Wiederherstellung theoretisch möglich und praktisch zu teuer.
„Verfügbarkeit ist Microsofts Aufgabe, Wiederherstellbarkeit ist unsere. Wer die beiden verwechselt, merkt es erst, wenn er eine E-Mail vom März braucht und nur den Papierkorb von gestern hat.“
Wie eine echte Sicherung aussieht
Täglich, automatisch, außerhalb. Postfächer, Dateien aus OneDrive und SharePoint, Teams-Daten. Eine eigenständige Kopie an einem anderen Ort, getrennt von den Zugängen, die ein Angreifer erbeuten kann.
Mit einem Ablauf beim Ausscheiden. Erst sichern, dann Lizenz kündigen. Diese Reihenfolge ist der ganze Unterschied zu diesem Fall, und sie kostet nichts außer einer Zeile in der Checkliste.
Mit den Bordmitteln, die für den Austritt gedacht sind. Ein Postfach, das nach dem Austritt nur noch nachlesbar bleiben soll, wandeln Sie in eine freigegebene Mailbox um. Bis 50 GB braucht sie keine Lizenz. Wer das Postfach unverändert einfrieren will, hält es über eine Aufbewahrungsrichtlinie als inaktives Postfach. Beides ist in Microsoft 365 enthalten, und der Fall oben wäre mit dem einen wie mit dem anderen nie entstanden. Die Sicherung wird davon nicht überflüssig: Sie deckt ab, was diese beiden nicht können, den Stand eines bestimmten Tages und die Kopie außerhalb des Mandanten.
Mit Blick auf die Aufbewahrungspflichten. Sie enden nicht damit, dass Sie ein Konto kündigen. Wer Unterlagen über Jahre vorhalten muss, kann das nicht an Papierkörbe delegieren, die nach Tagen leer sind.
Und mit einer Probe, die jemand gesehen hat. Die einzelne E-Mail vom März, zurückgeholt im Gespräch, mit gestoppter Dauer. Danach wissen Sie, woran Sie sind.
Die Fragen stellen und die Probe einfordern können Sie ohne jedes technische Wissen, und beides müssen Sie tun. Auswahl, Einrichtung und laufende Überwachung einer eigenständigen Sicherung sind Aufgaben für den Profi, denn eine Sicherung, die unbemerkt steht, ist gefährlicher als gar keine.
„Das hätte uns doch jemand gesagt“
Der Einwand ist der häufigste und der berechtigtste: Wir zahlen monatlich für diese Umgebung, da wird uns doch jemand gesagt haben, wenn etwas fehlt. Ehrlich gesagt haben die meisten Betriebe diesen Punkt nicht falsch verstanden, sondern nie erklärt bekommen, weil er im Verkaufsgespräch stört.
Beim Bankschließfach steht auch in den Bedingungen, dass die Bank für den Tresorraum haftet und nicht für den Inhalt. Nur liest man dort nach, bevor man etwas hineinlegt.
Vier Fragen, und was Sie selbst tun können.
Wer stattdessen auf den Papierkorb verweist, hat Ihre Daten nie gesichert, sondern nur den Dienst weiterverrechnet.
Um eine Wiederherstellung gebeten.Und einen Verweis auf den Papierkorb bekommen?
Dann hängt die Korrespondenz eines ausgeschiedenen Mitarbeiters an dreißig Tagen. Reden wir eine halbe Stunde darüber. Nennen Sie uns eine Mail, die Ihnen heuer, also 2026, abhandengekommen ist, und wir sagen Ihnen, ob und woher sie zurückkommt.
