„Microsoft sichert meine Daten doch automatisch — das ist ja Cloud." Diesen Satz höre ich regelmäßig. Ganz falsch ist er nicht: Microsoft schützt die Plattform, hält Versionen und Papierkörbe vor und bietet mit Microsoft 365 Backup inzwischen einen eigenen Sicherungsdienst. Gefährlich wird die Aussage, wenn daraus niemand ableitet, welche Daten wie lange wiederherstellbar sind, wer einen Restore auslösen darf und ob RPO und RTO zum Geschäft passen.
Die Realität: Ransomware trifft die Cloud anders als einen klassischen Fileserver, aber nicht weniger geschäftskritisch. Über kompromittierte Identitäten oder synchronisierte Endpunkte gelangen Angreifer an OneDrive, SharePoint und Exchange Online. Wirksamer Microsoft 365 Ransomware-Schutz besteht deshalb aus drei Aufgaben: den Einstieg verhindern, den Schadensradius begrenzen und eine getestete Wiederherstellung sicherstellen. Dieser Guide zeigt Dir die technischen Hebel und die Entscheidung zwischen Bordmitteln, Microsoft 365 Backup und einer unabhängigen Backup-Lösung.
Microsoft 365 Ransomware-Schutz: Alles Wichtige auf einen Blick
Das Shared-Responsibility-Missverständnis
Microsoft formuliert es selbst klar: Im Cloud-Modell teilen sich Anbieter und Kunde die Verantwortung. Microsoft betreibt und schützt die SaaS-Plattform. Die Verantwortung für Deine Daten, Identitäten, Endgeräte, Zugriffsregeln und Konfiguration bleibt bei Dir. Das ist kein Kleingedrucktes, sondern der Kern des Shared-Responsibility-Modells.
Konkret heißt das: Versehentliche Löschungen, böswillige Insider, zu weit gefasste Berechtigungen oder Ransomware über einen synchronisierten Endpunkt verschwinden nicht, nur weil die Daten in der Cloud liegen. Georedundanz hält einen Dienst verfügbar; sie ersetzt keine fachlich definierte Rückkehr zu einem sauberen Datenstand.
Ein wichtiges Update, das viele ältere Beiträge noch unterschlagen: Microsoft 365 Backup ist inzwischen mehr als eine schnelle Zusatzkopie. Der Dienst schützt bestehende Wiederherstellungspunkte in append-only Storage vor Überschreiben, isoliert das Recovery-Fenster von Purview-Aufbewahrungsregeln und verzögert riskante Verkürzungen der Backup-Policy. Gleichzeitig bleiben Daten und Administration innerhalb des Microsoft 365-Tenants. Das ist ein belastbarer nativer Schutz, aber keine organisatorisch unabhängige Anbieter- und Identitätsgrenze. Die Architekturentscheidung ist deshalb differenzierter als „Microsoft sichert nichts" oder „Microsoft 365 Backup reicht immer".
Die ehrliche Einordnung lautet also: Microsofts Bordmittel sind deutlich besser als ihr Ruf — aber sie ersetzen weder eine konsequente Härtung noch ein durchdachtes Backup-Konzept. Genau diese Lücke schließen wir jetzt.
Wie Ransomware Microsoft 365-Daten trifft
Um richtig zu härten, musst Du den Angriffsweg verstehen. In der Cloud läuft ein Ransomware-Vorfall typischerweise so ab:
Ransomware-Angriffe auf Microsoft 365 verursachen nicht überall dasselbe Schadensbild. Cyberkriminelle verschlüsseln synchronisierte Dateien, löschen Cloud-Daten oder nutzen den Zugriff für Erpressung und Datenverlust. Welche Microsoft 365-Daten und Ressourcen betroffen sind, hängt deshalb vom kompromittierten Konto und seinen Berechtigungen ab:
Der entscheidende Hebel: Je kleiner der Radius eines kompromittierten Kontos (Least Privilege), desto kleiner der Schaden. Wer hier sauber arbeitet, begrenzt die Verschlüsselung auf wenige Ordner statt auf den halben Tenant. Eine durchdachte Verwaltung der Purview-Berechtigungen ist deshalb nicht nur Governance, sondern aktiver Ransomware-Schutz.
Ein typisches Muster aus der Praxis: Ein Mitarbeiter klickt auf eine Phishing-Mail, das Konto wird übernommen, der Angreifer findet eine breit freigegebene „Allgemein"-SharePoint-Site, auf die — historisch gewachsen — fast jeder Schreibrechte hat. Plötzlich ist nicht ein Postfach betroffen, sondern die zentrale Dateiablage des ganzen Unternehmens. Genau dieses Oversharing ist der Brandbeschleuniger. Hätte dasselbe Konto nur Zugriff auf seine Projektablage gehabt, wäre der Schaden überschaubar geblieben. Berechtigungs-Hygiene ist deshalb keine lästige Pflicht, sondern entscheidet im Ernstfall über die Schadenshöhe.
Native Härtung: Defender, Controlled Folder Access und Conditional Access
Die beste Wiederherstellung ist die, die Du nie brauchst. Native Härtung setzt an drei Stellen an:
Identität und Zugriff absichern
Da fast jeder Vorfall mit einer Identität beginnt, ist die Identitätshärtung die wirksamste Einzelmaßnahme. Konkret:
E-Mails als Angriffsvektor schließen
Defender for Office 365 mit Safe Attachments und Safe Links entschärft bösartige Anhänge und Links, bevor sie den Nutzer erreichen. Die E-Mail-Hygiene-Schicht darunter — Anti-Spam, Anti-Malware — gehört über Exchange Online Protection sauber konfiguriert. So nimmst Du der Ransomware ihr häufigstes Einfallstor.
Endpunkte und Ordner schützen
Auf der Geräteebene ist Controlled Folder Access (kontrollierter Ordnerzugriff) Deine native Anti-Ransomware-Funktion in Microsoft Defender: Nur explizit erlaubte Anwendungen dürfen geschützte Ordner verändern — unbekannte Prozesse werden blockiert. Die Konfiguration läuft am saubersten richtliniengesteuert über Intune; die offizielle Anleitung liefert die Microsoft-Dokumentation zum kontrollierten Ordnerzugriff. Im größeren Bild orchestrierst Du diese Endpunktsignale über Deine Defender-XDR-Umgebung, damit ein Verschlüsselungsversuch zentral als Alarm sichtbar wird.
Datenresilienz: Versionierung, Aufbewahrung und Papierkorb-Grenzen
Härtung verhindert den Großteil der Angriffe. Datenresilienz sorgt dafür, dass Du den Rest überstehst. Microsoft bringt dafür mehrere Mechanismen mit — Du musst nur ihre Grenzen kennen.
Diese Mechanismen ergänzt Du sinnvoll um Sensitivity Labels und Information Protection, damit besonders schützenswerte Daten priorisiert behandelt werden, sowie um Data Loss Prevention gegen den Datenabfluss bei Double-Extortion-Angriffen.
Die ehrliche Grenze: Versionierung und Papierkörbe schützen vor Verschlüsselung und Löschung innerhalb ihrer Wiederherstellungsfenster. SharePoint-APIs können Elemente außerdem am Papierkorb vorbei endgültig löschen. Microsoft hält nach einer tatsächlichen Löschung noch 14 Tage interne Sicherungen für eine vollständige Site-Wiederherstellung über den Support vor. Das ist eine letzte Notfalloption, aber kein planbares Kunden-Backup. Die Details dokumentiert Microsoft in der Übersicht zur Datenresilienz von SharePoint und OneDrive.
Backup-Strategie: Wann native Mittel reichen — und wann nicht
Jetzt zur Gretchenfrage, die in jedem zweiten Beratungsgespräch fällt: Brauche ich ein zusätzliches Backup für Microsoft 365? Meine ehrliche Antwort lautet: Du brauchst eine belastbare Recovery-Architektur. Ob dafür die Bordmittel, Microsoft 365 Backup oder eine unabhängige Lösung nötig sind, entscheidet Dein Risikomodell — nicht eine pauschale Herstellerregel.
Versionierung, Papierkorb und Purview können reichen, wenn:
Microsoft 365 Backup passt, wenn:
Eine unabhängige Backup-Lösung wird relevant, wenn:
Wichtig ist die richtige Einordnung: Microsoft 365 Backup ist gegen Überschreiben geschützt, bleibt aber innerhalb derselben Tenant- und Anbietergrenze. Eine unabhängige Kopie schafft eine zusätzliche Fehlerdomäne. Sie ist nicht automatisch für jedes Unternehmen Pflicht, kann aber für besonders kritische Daten oder regulatorische Anforderungen der entscheidende zweite Rettungsweg sein. Datenstandort, Verschlüsselung, Exportfähigkeit und Restore-Rechte müssen dabei vertraglich und technisch geprüft werden; „Datenzentrum in Deutschland" allein ist noch kein Compliance-Nachweis.
Mein praktischer Rat: Bewerte nicht „Tool gegen Tool", sondern definiere zuerst Deine Wiederherstellungsziele — wie viel Datenverlust (RPO) und wie lange Ausfall (RTO) kannst Du Dir leisten? Daraus folgt die Architektur, nicht umgekehrt.
Eine grobe Entscheidungshilfe, die sich in der Praxis bewährt hat:
| Szenario | Versionierung/Papierkorb | Microsoft 365 Backup | Unabhängige Backup-Lösung |
|---|---|---|---|
| Einzelne gelöschte oder verschlüsselte Dateien | Meist ausreichend | Sehr gut | Sehr gut |
| Massenänderung in OneDrive/SharePoint | Bis 30 Tage gut | Für schnelle Recovery ausgelegt | Abhängig vom Produkt |
| Vorfall wird erst nach Monaten entdeckt | Nein | Bis zum gewählten Fenster, max. zwei Jahre | Abhängig von der Retention |
| Tenant-/Admin-Kompromiss | Begrenzter Schutz | Append-only plus Schutzfristen, aber gleiche Admin-Grenze | Zusätzliche unabhängige Fehlerdomäne |
| Anbieterunabhängige Aufbewahrung gefordert | Nein | Nein | Ja, sofern sauber umgesetzt |
Die Tabelle zeigt das Muster: Je länger ein Angriff unentdeckt bleiben kann und je weiter seine administrativen Rechte reichen, desto wichtiger werden ein längeres Recovery-Fenster und eine zweite Fehlerdomäne. Für viele KMU ist die pragmatische Antwort eine Kombination: native Härtung für den gesamten Tenant, Microsoft 365 Backup oder eine unabhängige Sicherung für geschäftskritische Daten und regelmäßig getestete Restores.
Microsoft 365 Backup: Was der native Dienst heute leistet
Seit 2024 bietet Microsoft mit Microsoft 365 Backup einen eigenen Sicherungsdienst an. Weil er in Gesprächen regelmäßig mit einer vollwertigen Backup-Lösung verwechselt wird, lohnt eine saubere Einordnung.
Was Microsoft 365 Backup abdeckt
Der Dienst schützt SharePoint-Sites, OneDrive-Konten und Exchange-Online-Postfächer. Das Recovery-Fenster lässt sich je Policy auf drei Monate, sechs Monate, ein Jahr oder zwei Jahre setzen; bestehende Policies verwenden standardmäßig ein Jahr. Für vollständige OneDrive- und SharePoint-Restores gibt es in den ersten 14 Tagen Wiederherstellungspunkte im Zehn-Minuten-Abstand, danach wöchentliche Punkte. Exchange Online hält Zehn-Minuten-Punkte über das gesamte Recovery-Fenster vor. Granulare Datei- und Ordner-Restores für SharePoint und OneDrive sind inzwischen allgemein verfügbar. Die aktuelle Leistungsübersicht steht in der Microsoft 365-Backup-Dokumentation, die konkrete Wiederherstellung in Restore data in Microsoft 365 Backup.
Wie Microsoft die Wiederherstellungspunkte schützt
Microsoft verwendet append-only Storage: Bestehende Wiederherstellungspunkte können nicht durch Malware oder einen Dienst überschrieben werden. Purview-Aufbewahrungs- und Löschregeln verändern das Backup-Fenster nicht. Wird das Fenster verkürzt, greift eine 30-tägige Schutzfrist; beim vollständigen Offboarding existiert zusätzlich ein Wiederherstellungszeitraum. Potenziell riskante Änderungen können an mehrere Administratoren gemeldet werden. Diese Mechanismen sind ein echter Schutz gegen Fehlbedienung und böswillige Änderungen — sie dürfen in einer seriösen Bewertung nicht unterschlagen werden.
Wo die Grenzen bleiben
Der Dienst ist nicht standardmäßig aktiv und wird nach geschütztem Datenvolumen abgerechnet. Er deckt die genannten drei Workloads ab; Teams-Inhalte sind nur insoweit enthalten, wie sie in SharePoint, OneDrive oder Exchange liegen. Backup-Daten verbleiben im Kundentenant und folgen den Microsoft 365-Regeln zur Datenresidenz. Damit fehlt eine unabhängige Anbieter- und Identitätsgrenze. Ob das ein Problem ist, hängt von Deinen regulatorischen Vorgaben und Deinem Bedrohungsmodell ab — nicht von einer pauschalen 3-2-1-Parole.
Wann eine zusätzliche Backup-Lösung sinnvoll ist
Die Entscheidung hängt weniger am Produktnamen als am Schutzbedarf. Wer eine anbieterunabhängige Aufbewahrung, mehr als zwei Jahre Recovery-Historie oder zusätzliche SaaS-Workloads benötigt, sollte eine ergänzende Lösung prüfen. Für viele andere Organisationen kann Microsoft 365 Backup die passende Recovery-Schicht sein — sofern Rollen, Benachrichtigungen, Abrechnung, Wiederherstellungsziele und Tests sauber geregelt sind.
Aus der Projektpraxis kommt dazu eine ehrliche Beobachtung: Microsoft 365 Backup ist das native Mittel, das Microsoft selbst mitliefert — in der Mehrzahl der Projekte, die mir begegnen, fällt die Entscheidung am Ende trotzdem auf einen Drittanbieter. Der häufigste Grund sind die granulareren Sicherungs- und Wiederherstellungsoptionen: feiner steuerbare Auswahl dessen, was überhaupt gesichert wird, mehr Freiheit bei Aufbewahrung und Zielspeicher sowie ein Restore, der sich enger auf einzelne Objekte eingrenzen lässt. Dieser Abstand ist zuletzt kleiner geworden — granulare Datei- und Ordner-Restores gibt es im nativen Dienst inzwischen allgemein verfügbar. Er ist aber nicht verschwunden, und genau an diesem Punkt lohnt der Vergleich im konkreten Fall statt eine Grundsatzentscheidung nach Produktnamen.
Der Listenpreis liegt derzeit bei 0,15 USD pro geschütztem GB und Monat. Gelöschte oder versionierte Inhalte werden bis zum Ablauf ihres Recovery-Fensters weiter berechnet. Deshalb gehören Datenwachstum, Papierkorb und Versionsvolumen in die Kostenplanung. Die aktuellen Konditionen stehen im Preismodell auf Microsoft Learn.
Im Ernstfall: die ersten fünf Schritte
Wenn Du eine laufende Ransomware-Aktivität vermutest, zählt Eindämmung vor Ursachenanalyse:
Microsoft beschreibt das sofortige Stoppen der Synchronisation und die anschließende Bibliothekswiederherstellung ausdrücklich in seiner Anleitung zum Umgang mit Ransomware in SharePoint Online.
Wiederherstellung testen und Notfallplan
Ein Backup, das nie wiederhergestellt wurde, ist eine Hoffnung, kein Plan. Der häufigste Fehler, den ich sehe: Backups laufen, aber niemand hat je einen Restore getestet — bis es ernst wird und sich herausstellt, dass die Wiederherstellung Tage dauert oder unvollständig ist.
Deshalb gehören drei Dinge in jeden Microsoft 365-Ransomware-Plan:
Häufige Fragen
Was bedeutet Shared Responsibility bei Microsoft 365?
Microsoft verantwortet die Plattform — Rechenzentren, Infrastruktur, Verfügbarkeit des Dienstes. Du verantwortest die Inhalte: Deine Daten, Identitäten und die Konfiguration. Für Wiederherstellbarkeit nach Löschung, Verschlüsselung oder Fehlbedienung bist Du zuständig, nicht Microsoft.
Was ist die 3-2-1-Regel für Backups — und gilt sie in der Cloud?
Drei Kopien der Daten, auf zwei verschiedenen Medien, eine davon außer Haus. Als Denkmodell bleibt sie in der Cloud nützlich, ist aber keine vollständige Architekturentscheidung. Entscheidend sind unabhängige Fehlerdomänen, geschützte Administratorrollen, ausreichend lange Recovery-Fenster und getestete Restores. Microsoft 365 Backup bietet append-only Wiederherstellungspunkte; eine zusätzliche Lösung kann darüber hinaus eine Anbieter- und Identitätsgrenze schaffen.
Reicht Microsoft 365 Backup als alleinige Backup-Lösung?
Das kann es — wenn SharePoint, OneDrive und Exchange Online Dein relevanter Scope sind, maximal zwei Jahre Recovery-Historie genügen und keine unabhängige Anbietergrenze vorgeschrieben ist. Die Wiederherstellungspunkte sind gegen Überschreiben geschützt. Eine zusätzliche Lösung brauchst Du, wenn Dein Risikomodell eine zweite Identitäts- oder Anbietergrenze, weitere Workloads oder eine längere Aufbewahrung verlangt.
Wie sichere ich SharePoint gegen Ransomware ab?
Über drei Ebenen: Versionierung aktiv halten, damit verschlüsselte Dateien auf eine frühere Fassung zurückgesetzt werden können; den Zugriffsradius je Konto klein halten, damit eine Kompromittierung nicht den halben Tenant erreicht; und ein Backup-Fenster wählen, das auch spät entdeckte Angriffe abdeckt. Ob diese dritte Ebene Microsoft 365 Backup oder eine unabhängige Lösung übernimmt, hängt von RPO, RTO und Deinen Trennungsanforderungen ab.
Wie oft sollte eine Wiederherstellung getestet werden?
Mindestens quartalsweise, mit gemessener Dauer. Ein Backup, das nie zurückgespielt wurde, ist eine Annahme — keine Wiederherstellungsfähigkeit.
Ransomware-Resilienz-Self-Check
Stelle Dir ehrlich diese Fragen — jedes „Nein" ist eine Lücke, die Dich im Ernstfall teuer zu stehen kommt:
Wo Du mehrfach zögerst, lohnt eine systematische Standortbestimmung. Eine kompakte Übersicht weiterer Härtungsmaßnahmen findest Du unter Microsoft 365 Security und Empfehlungen, und Deinen Fortschritt machst Du über den Microsoft Secure Score messbar.
Bereit, Deine Microsoft 365-Resilienz auf den Prüfstand zu stellen?
Ich bin Aaron Siller, Microsoft MVP für Security und Gründer von siller.consulting. In meiner Beratungspraxis härte ich Microsoft 365-Tenants gegen genau diese Angriffe — und ich sehe immer wieder, wie groß die Lücke zwischen „wir haben ja die Cloud" und echter Wiederherstellungsfähigkeit ist.
In einem persönlichen Workshop gehen wir Deinen Tenant gemeinsam durch: Härtungsgrad, Aufbewahrungslogik, Backup-Architektur und ein realistischer Notfallplan. Kein Folienvortrag, sondern Hands-on an Deiner echten Umgebung.
Oder starte direkt mit unserem Microsoft 365 Hardening Check: Damit prüfen wir Deine Ransomware-Resilienz und Recovery-Fähigkeit strukturiert — und Du weißt anschließend genau, wo Deine Lücken sind und in welcher Reihenfolge Du sie schließt.
