Microsoft 365 Backup: Datei-genaue Wiederherstellung – Stand Juli 2026

Das häufigste Datenverlust-Szenario in Microsoft 365-Umgebungen ist kein Ransomware-Angriff und kein Serverausfall. Es ist ein Mitarbeiter, der versehentlich eine Datei löscht oder ein Dokument überschreibt, es wochenlang nicht bemerkt, und dann die IT um Wiederherstellung bittet. Bis Frühjahr 2026 erforderte die Wiederherstellung dieser einen Datei aus Microsoft 365 Backup die Zurücksetzung der gesamten SharePoint-Website auf einen früheren Zeitpunkt – also den Verlust aller Änderungen aller Nutzer seit diesem Zeitpunkt, was oft mehr Probleme verursacht als der ursprüngliche Datenverlust.

Seit Ende April 2026 ist das anders: Administratoren können vorhandene Wiederherstellungspunkte durchsuchen und einzelne Dateien oder Ordner zurückholen, ohne den Rest der Website anzufassen. Dieser Beitrag erklärt, wie das im ausgelieferten Zustand funktioniert, welche vier Einschränkungen Sie vorher kennen sollten, was das für DSGVO- und NIS2-Anforderungen bedeutet – und in welchen Fällen der native Dienst nicht ausreicht und ein Drittanbieter-Backup die bessere Wahl ist. Unser Managed Backup & Recovery Service übernimmt Auswahl, Einrichtung und Betrieb für Unternehmen in der DACH-Region.

Was Microsoft 365 Backup wirklich ist

Microsoft 365 Backup ist ein kostenpflichtiger Add-on-Dienst – kein SharePoint-Versionsverlauf, kein Papierkorb, und in keinem Microsoft 365-Plan enthalten. Abgerechnet wird verbrauchsbasiert (Pay-as-you-go) zum Listenpreis von 0,15 US-Dollar pro GB geschützter Inhalte und Monat.

Was Microsoft 365 Backup bietet, was SharePoint nativ nicht kann:

• Aufbewahrung bis zu einem Jahr: Der SharePoint-Versionsverlauf behält eine konfigurierbare Anzahl von Versionen, ist aber kein Backup. Der Papierkorb hält gelöschte Elemente 93 Tage. Microsoft 365 Backup verlängert die Wiederherstellungsmöglichkeit auf 365 Tage.
• Schutz vor Ransomware und versehentlichem Massenlöschen: Wenn ein Nutzer oder ein automatisierter Prozess Tausende von Dateien löscht oder verschlüsselt und das erst nach 30+ Tagen bemerkt wird, hilft der Papierkorb nicht mehr. Microsoft 365 Backup schon.
• Administrative Wiederherstellung ohne Nutzerbeteiligung: Admins stellen Daten wieder her, ohne dass der Nutzer etwas tun oder auch nur benachrichtigt werden muss – wichtig für die Reaktionsgeschwindigkeit bei Vorfällen.
• Wiederherstellungspunkte alle 10 Minuten: Für Website-weite Wiederherstellungen beträgt das maximale Datenverlustfenster in den ersten 14 Tagen Minuten, nicht Tage. Für die datei-genaue Wiederherstellung gilt ein gröberes Raster – dazu unten mehr.

Was die datei-genaue Wiederherstellung ermöglicht

Bisher gab es beim Wiederherstellen aus Microsoft 365 Backup nur eine Option: die gesamte SharePoint-Website auf einen bestimmten Zeitpunkt zurücksetzen. Das macht alle Änderungen an der Website seit dem Wiederherstellungspunkt rückgängig – also auch die Arbeit aller anderen Nutzer, nicht nur die Änderungen, die zum Datenverlust geführt haben.

Die granulare Wiederherstellung erlaubt es einem Administrator jetzt, vorhandene Wiederherstellungspunkte zu durchsuchen, gezielt nach einer Datei oder einem Ordner zu suchen und nur diesen Inhalt zurückzuholen. Für Exchange Online gibt es ein verwandtes, aber schwächeres Modell: Sie können die Wiederherstellung nach Absender, Empfänger, Betreff, Zeitraum und Inhaltstyp filtern – die eigentliche Wiederherstellung bleibt jedoch postfachbezogen.

Vier Einschränkungen, die in der GA-Version geblieben sind

• Wiederherstellung nur an einen neuen Speicherort. Wiederhergestellte Elemente landen in einem separaten Zielordner, sie überschreiben den Live-Inhalt nicht. Das Zusammenführen erledigt jemand von Hand. Eine In-Place-Wiederherstellung mit Konfliktbehandlung (Fehlschlagen, Umbenennen, Ersetzen) steht auf der Roadmap, ist aber nicht ausgeliefert.
• Gröberes Zeitraster als beim Website-Rollback. Für die granulare Wiederherstellung stehen tägliche Snapshots der letzten 14 Tage zur Verfügung, danach wöchentliche. Der 10-Minuten-RPO gilt nur für die Website-weite Wiederherstellung innerhalb der ersten 14 Tage. Wer eine Datei von vor fünf Monaten zurückholt, bekommt den Stand eines Wochen-Snapshots, nicht den Stand von Dienstagnachmittag.
• Eigene Administratorrolle. Granulare Wiederherstellungen erfordern die Rolle SharePoint Backup Administrator. Das ist nicht dieselbe Rolle wie SharePoint Administrator – ein Helpdesk mit SharePoint-Admin-Rechten kann die Funktion ohne zusätzliche Zuweisung nicht nutzen.
• Keine Wiederherstellung über Grenzen hinweg. Nutzer-, Website- und tenantübergreifende Wiederherstellungen sind nicht möglich. Daten aus dem Postfach eines ausgeschiedenen Mitarbeiters lassen sich nicht direkt in das Postfach des Nachfolgers zurückholen.

Szenarien, in denen die datei-genaue Wiederherstellung ein echtes Problem löst

Einrichtung und Nutzung

Die Funktion ist im Microsoft 365 Admin Center unter Einstellungen → Microsoft 365 Backup zugänglich. Voraussetzungen:

1. Ein aktives Microsoft 365 Backup-Abonnement mit aktiviertem OneDrive- und/oder SharePoint-Schutz. Die granulare Wiederherstellung steht nur Tenants mit aktiviertem Microsoft 365 Backup zur Verfügung.
2. Die Rolle SharePoint Backup Administrator – separat zuzuweisen, auch wenn die Person bereits SharePoint- oder globaler Administrator ist.
3. Das Microsoft Graph PowerShell SDK für skriptbasierte Wiederherstellungsabläufe.
4. Einen festgelegten Zielort für Wiederherstellungen und eine Regel, wer den Abgleich mit den Live-Daten vornimmt – da nicht überschrieben wird, endet die Wiederherstellung sonst in einem Ordner, den niemand aufräumt.

Datei über Admin Center wiederherstellen

1. Navigieren Sie zu Microsoft 365 Admin Center → Einstellungen → Microsoft 365 Backup.
2. Wählen Sie die SharePoint-Website oder das OneDrive-Konto mit der wiederherzustellenden Datei.
3. Wählen Sie über die Backup-Zeitleiste den Wiederherstellungspunkt – täglich für die letzten 14 Tage, davor wöchentlich.
4. Durchsuchen Sie den Snapshot und wählen Sie die spezifische Datei oder den Ordner aus.
5. Bestätigen Sie den Zielspeicherort für die Wiederherstellung.
6. Starten Sie den Vorgang – kleine Dateien stehen typischerweise innerhalb von Minuten bereit, große Ordner dauern länger.
7. Gleichen Sie den wiederhergestellten Inhalt mit dem Live-Stand ab und räumen Sie den Zielordner nach Abschluss auf.

PowerShell für automatisierte Wiederherstellungen

Für Helpdesk-Integration oder skriptbasierte Abläufe unterstützt das Microsoft Graph PowerShell SDK Wiederherstellungs-Cmdlets. Eine einfache Abfrage vorhandener Backup-Richtlinien:

Die vollständigen Wiederherstellungs-Cmdlets sind in der Microsoft Graph API-Referenz dokumentiert. Skriptbasierte Wiederherstellungen lohnen sich vor allem für die Helpdesk-Integration: Ein ticketbasierter Ablauf kann ein PowerShell-Skript auslösen, das die Wiederherstellung durchführt und das Ergebnis an das ITSM-System zurückmeldet, ohne dass ein Admin für jeden Vorfall das Portal öffnet.

Alternativen: native Mechanismen, Microsoft 365 Backup und Drittanbieter

Microsoft 365 Backup ist eine von drei Ebenen, und die Entscheidung ist keine Entweder-oder-Frage. Wichtig ist, die Ebenen nicht zu verwechseln – der häufigste Fehler in KMU-Umgebungen ist die Annahme, ein Aufbewahrungszeitraum sei bereits ein Backup.

Ebene 1: Native Mechanismen – nützlich, aber kein Backup

• Versionsverlauf und Papierkorb (93 Tage): decken den Alltagsfall ab, in dem der Verlust schnell auffällt. Beide sind an die Live-Daten gebunden – wer die Website löscht, löscht sie mit.
• Aufbewahrungsrichtlinien in Microsoft Purview: verhindern das endgültige Löschen und halten Inhalte revisionssicher vor. Sie sind ein Compliance-Instrument, keine Wiederherstellungslösung: Es gibt keinen Zeitpunkt, auf den Sie eine Website zurücksetzen können, und die Wiederherstellung aus dem Preservation Hold Library ist ein eDiscovery-Vorgang, kein Restore. Wie sich Purview-Richtlinien sinnvoll aufsetzen lassen, beschreiben wir im Beitrag zur Purview-DLP-Einrichtung.
• Litigation Hold und Beweissicherungsverfahren: sichern Postfachinhalte gegen Löschung, adressieren aber keinen Wiederherstellungsbedarf im Betrieb.

Wo die Verantwortung von Microsoft endet und Ihre beginnt, haben wir im Beitrag zum Shared-Responsibility-Modell und den GoBD-Pflichten ausführlich behandelt.

Ebene 2: Microsoft 365 Backup – schnell, aber in derselben Cloud

Der native Dienst ist ohne Projektaufwand aktivierbar, hat den kürzesten RPO im Markt und keine eigene Infrastruktur, die jemand betreiben muss. Sein struktureller Nachteil: Die Daten verlassen die Microsoft-Plattform nicht. Es gibt keine unabhängige Kopie und keine zweite Authentifizierungsdomäne. Ein Angreifer mit globalen Administratorrechten steht damit vor Backup und Live-Daten gleichzeitig – genau das Szenario, gegen das die 3-2-1-1-0-Regel mit ihrer Forderung nach einer Offline- oder unveränderlichen Kopie gerichtet ist. Wer die Absicherung der Administratorkonten selbst noch nicht geregelt hat, sollte dort anfangen; unsere Cloud-Security-Leistungen setzen genau hier an.

Ebene 3: Drittanbieter-Backup – unabhängige Kopie, mehr Abdeckung

Anbieter wie Veeam, Keepit, AvePoint, Acronis, Druva oder Hornetsecurity sichern Microsoft 365-Daten in eine eigene Cloud mit eigener Authentifizierung. Damit lässt sich ein kompromittierter Tenant das Backup nicht löschen. Die Unterschiede zwischen den Anbietern liegen weniger im Funktionsumfang für SharePoint, OneDrive und Exchange – das ist überall Standard – als in vier Punkten:

• Wo die Kopie liegt: Keepit betreibt eigene Infrastruktur vollständig außerhalb von Azure. Veeams verwaltetes SaaS-Angebot setzt auf Azure auf – technisch getrennt vom Tenant, aber beim selben Hyperscaler. Wenn Anbieterunabhängigkeit das Ziel ist, ist das ein relevanter Unterschied.
• Datenresidenz: Für DACH-Kunden entscheidet der wählbare Speicherort in der EU. Prüfen Sie das im Vertrag, nicht auf der Produktseite – bei manchen Anbietern ist die EU-Region ein Aufpreis oder auf bestimmte Tarife beschränkt.
• Abdeckung jenseits der drei Standard-Workloads: Teams-Chats, Entra ID-Objekte, Planner und Tenant-Konfiguration sind die Lücken des nativen Dienstes. Nicht jeder Drittanbieter deckt sie ab – und Teams-Chats sind der Punkt, an dem sich die Angebote am stärksten unterscheiden.
• Betriebsmodell: Self-hosted (eigener Speicher, volle Kontrolle, eigener Betriebsaufwand) gegen SaaS (Speicher inklusive, planbarer Preis pro Postfach). Für KMU ohne eigenes Backup-Team ist SaaS in der Regel die günstigere Gesamtrechnung.

Entscheidungshilfe

Die Kombination aus beidem ist für Unternehmen mit regulatorischen Anforderungen der Normalfall, nicht der Luxusfall: Der native Dienst deckt die täglichen Wiederherstellungen ab, das Drittanbieter-Backup die Fälle, in denen der Tenant selbst das Problem ist. Wie sich daraus ein belastbares Wiederherstellungskonzept ableiten lässt, beschreibt unser Beitrag zu Backup und Disaster Recovery.

DSGVO Artikel 32 und NIS2 – was das konkret für Backups bedeutet

DSGVO Artikel 32 verpflichtet Verantwortliche zur Implementierung „geeigneter technischer und organisatorischer Maßnahmen", einschließlich der „Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen".

Auf Deutsch gesagt: Die DSGVO verlangt ein Backup. Für die meisten Organisationen reichen SharePoint-Versionsverlauf und Papierkorb dafür nicht aus – sie bieten weder das 12-Monate-Wiederherstellungsfenster, das Aufsichtsbehörden für personenbezogene Daten erwarten, noch Schutz gegen Vorfälle, die die gesamte Website betreffen.

Die Kombination aus 365 Tagen Aufbewahrung, 10-Minuten-Takt für Website-Wiederherstellungen und jetzt granularer Auswahl macht Microsoft 365 Backup zu einer tragfähigen Grundlage für Artikel 32. Dokumentieren Sie Backup-Konfiguration, Aufbewahrungsdauer, RPO und RTO in Ihrer DSGVO-Dokumentation – und geben Sie dabei zwei RPO-Werte an, nicht einen: 10 Minuten für die Website-Wiederherstellung, 24 Stunden bis 7 Tage für die datei-genaue. Ein Dokument, das pauschal „RPO 10 Minuten" behauptet, hält der ersten Prüfung nicht stand.

Für Unternehmen im NIS2-Anwendungsbereich reicht Artikel 32 als Maßstab nicht. NIS2 verlangt in Artikel 21 ausdrücklich Konzepte für Backup-Management und Wiederherstellung; BSI IT-Grundschutz-Baustein CON.3 und DORA Artikel 12 gehen in dieselbe Richtung. Wer diese Vorgaben erfüllen muss, kommt mit einer Sicherung, die vollständig innerhalb der zu schützenden Plattform liegt, in Argumentationsnot – die Unterschiede zwischen den Rahmenwerken erklärt unser Beitrag ISO 27001 vs. NIS2.

Zur Auftragsverarbeitung: Microsoft verarbeitet Ihre Backup-Daten unter seinem Datenverarbeitungsvertrag, für EU-Tenants innerhalb der EU Data Boundary. Das deckt die Anforderungen an Auftragsverarbeitung und Drittlandtransfers ab. Bei Drittanbietern müssen Sie denselben Nachweis separat führen – ein zweiter AV-Vertrag und ein dokumentierter Speicherort gehören zum Auswahlprozess, nicht in die Nacharbeit.

Häufige Fragen

Ist die datei-genaue Wiederherstellung in Microsoft 365 Backup allgemein verfügbar?

Ja. Die granulare Datei- und Ordner-Wiederherstellung erreichte am 29. April 2026 die allgemeine Verfügbarkeit, der weltweite Rollout war Anfang Mai 2026 abgeschlossen. Sie gilt für SharePoint Online und OneDrive for Business und setzt einen Tenant mit aktiviertem Microsoft 365 Backup voraus.

Ersetzt Microsoft 365 Backup eine Drittanbieterlösung?

Für den Alltagsfall ja, für das Ransomware-Szenario nicht. Die Sicherung liegt innerhalb der Microsoft-Plattform und unter derselben Identitätsdomäne wie die Live-Daten. Es gibt keine unabhängige Kopie, keine tenantübergreifende Wiederherstellung und keine Abdeckung von Teams-Chats, Entra ID oder Planner. Wer NIS2, DORA oder BSI IT-Grundschutz erfüllen muss, kombiniert den nativen Dienst mit einem Drittanbieter-Backup auf getrennter Infrastruktur.

Was kostet Microsoft 365 Backup pro Monat?

Der Listenpreis beträgt 0,15 US-Dollar pro GB geschützter Inhalte und Monat, verbrauchsbasiert abgerechnet ohne Lizenzvoraussetzung außer der Lizenz für die Quelldaten. Berechnungsgrundlage sind die Live-Größen von Websites, OneDrive-Konten und Postfächern plus Papierkorb zweiter Stufe, Onlinearchive sowie gelöschte und versionierte Elemente. Rechnen Sie mit einem deutlich höheren Volumen als der reinen Live-Datenmenge.

Überschreibt die Wiederherstellung die aktuelle Datei?

Nein. Wiederhergestellte Elemente werden an einen neuen Speicherort geschrieben, der Live-Inhalt bleibt unverändert. Der Abgleich zwischen wiederhergestellter und aktueller Fassung ist ein manueller Schritt. Eine In-Place-Wiederherstellung mit Konfliktbehandlung steht auf der Roadmap, ist aber noch nicht verfügbar. Planen Sie deshalb einen festen Zielordner und eine Zuständigkeit für die Nachbereitung ein.

Wie weit zurück lässt sich eine einzelne Datei wiederherstellen?

Bis zu 365 Tage, allerdings mit abnehmender zeitlicher Auflösung: tägliche Snapshots für die letzten 14 Tage, danach wöchentliche. Der 10-Minuten-Wiederherstellungstakt gilt nur für die Website-weite Zurücksetzung innerhalb der ersten 14 Tage. Für ältere Datenverluste bekommen Sie den Stand des jeweiligen Wochen-Snapshots.

Welche Berechtigung braucht ein Administrator dafür?

Die Rolle SharePoint Backup Administrator. Sie ist nicht identisch mit der Rolle SharePoint Administrator und muss separat zugewiesen werden. Das ist zugleich eine Chance, die Rechtevergabe sauber zu trennen: Wiederherstellungsrechte lassen sich gezielt an den Helpdesk geben, ohne breitere SharePoint-Administrationsrechte mitzuvergeben.