„Mein IT-Dienstleister sagt, er macht das alles schon." Wie prüfe ich das?

Fast jedes Gespräch über Microsoft-365-Sicherheit endet an derselben Stelle. Der Geschäftsführer fragt nach, der IT-Dienstleister sagt „das haben wir im Griff”. Damit gilt das Thema meist als erledigt. Der Satz ist ehrlich gemeint und in der Sache meist zutreffend. Er bezieht sich nur auf etwas anderes als das, was gefragt war. Der Dienstleister denkt an den laufenden Betrieb: Rechner laufen, Postfächer sind erreichbar, keine offenen Tickets. Der Geschäftsführer denkt an den Tag danach: Was können wir wiederherstellen, was belegen, wer haftet.

Diese Lücke schließen fünf Fragen, deren Antworten sich nachprüfen lassen. Sie stellen das Gespräch von Zusicherungen auf Zahlen um.

Kurz gesagt: Fragen Sie nach Fristen, Zahlen und Zuständigkeiten

Sie prüfen den Stand Ihrer Microsoft-365-Sicherheit nicht durch ein Audit, sondern durch fünf konkrete Fragen. Deren Antworten müssen Zahlen, Fristen und Namen enthalten. Eine gute Antwort klingt wie „Postfächer werden täglich gesichert, Aufbewahrung zwölf Monate, der letzte Wiederherstellungstest war am 14. April”. Wichtig ist dabei die Unterscheidung zwischen dem, was vertraglich geschuldet ist, und dem, was nur angenommen wird. Ob jede Zahl im Termin sofort vorliegt, ist zweitrangig; sie lässt sich nachreichen. Halten Sie die Antworten schriftlich fest. Damit entsteht nebenbei ein Teil der Dokumentation, die Sie als Geschäftsleitung ohnehin brauchen.

Warum es auf den Leistungsumfang ankommt

Sicherheit und Nachweisführung in Microsoft 365 sind ein schmales, tiefes Thema mit eigener Produktlogik, eigenen Fristen und schnell wechselnden Bezeichnungen. Ob es zum beauftragten Leistungsumfang gehört, steht selten ausdrücklich im Vertrag. Häufig wird es auf beiden Seiten stillschweigend angenommen.

Deshalb ist die produktivste Frage nicht „machen Sie das?”, sondern „steht das in unserem Vertrag, oder tun Sie es aus Kulanz?”. Der Unterschied ist im Ernstfall erheblich.

Frage 1: Was steht als Leistung im Vertrag, was geschieht nur aus Kulanz?

Bitten Sie um die Leistungsbeschreibung, nicht um eine mündliche Zusammenfassung. Prüfen Sie, ob Begriffe wie Datensicherung, Wiederherstellung, Protokollierung, Berechtigungsprüfung und Reaktionszeiten überhaupt vorkommen. Und wenn ja, mit welchen Fristen.

Gute Antwort: Der Dienstleister legt das Dokument vor und markiert selbst, was drinsteht und was er darüber hinaus tut.

Klärungsbedarf: Es gibt kein Dokument, oder es beschreibt nur Reaktionszeiten bei Störungen. Dann ist nicht der Dienstleister das Problem, sondern der Vertrag.

Frage 2: Ein Postfach mit drei Jahren Korrespondenz wird heute gelöscht. Bis wann haben wir es zurück?

Diese Frage klärt einen der häufigsten Irrtümer im Mittelstand: Microsoft 365 enthält kein Backup. Es enthält Papierkörbe mit festen Fristen. Standardmäßig liegen endgültig gelöschte Elemente 14 Tage im Ordner „Wiederherstellbare Elemente” (maximal auf 30 Tage konfigurierbar). Ein gelöschtes Postfach bleibt 30 Tage wiederherstellbar. In SharePoint und OneDrive gilt eine Frist von 93 Tagen, und zwar über beide Papierkorbstufen zusammen, nicht je Stufe.

Wer länger zurückgreifen will, braucht eine bewusste Entscheidung: entweder ein Sicherungsprodukt eines Drittanbieters oder Microsofts eigenes Backup, das separat gebucht und über ein Azure-Abonnement nach Verbrauch abgerechnet wird. Davon zu unterscheiden sind Aufbewahrungsrichtlinien in Microsoft Purview. Sie sind kein Backup und stellen nichts zurück, sondern halten Inhalte revisionssicher vor, damit sie später auffindbar und belegbar bleiben. Mit einem „Preservation Lock” lassen sie sich so festschreiben, dass auch Administratoren die Frist nicht mehr verkürzen. Das ist der Weg zu revisionssicherer Aufbewahrung, und er ist eben nicht voreingestellt. Für den Fall „Postfach gelöscht, drei Jahre Korrespondenz weg” brauchen Sie zusätzlich ein Backup.

Gute Antwort: Eine Zahl und ein Produktname. „Wir sichern mit X, Aufbewahrung zwölf Monate, letzter Rücksicherungstest im Mai, Protokoll liegt bei.”

Klärungsbedarf: Die Antwort verweist auf Microsoft 365 selbst, ohne Produktnamen und ohne Frist. Dann reicht Ihr tatsächlicher Rückgriff nur so weit wie die Papierkorbfrist des jeweiligen Dienstes. Bei Dateien in SharePoint und OneDrive sind das 93 Tage, bei E-Mail je nach Fall 14 bis 30 Tage. Alles, was älter ist, existiert nicht mehr.

Frage 3: Wie viele Konten bei uns haben Administratorrechte?

Fragen Sie nach einer Liste, nicht nach einer Einschätzung. Microsoft empfiehlt für die Rolle des globalen Administrators weniger als fünf Zuweisungen, insgesamt weniger als zehn privilegierte Rollenzuweisungen und zwei reine Cloud-Notfallkonten für den Fall, dass sich alle anderen aussperren. Alle Administratorkonten sollen mit Mehr-Faktor-Anmeldung geschützt sein.

Diese Frage ist auch aus Versicherungssicht relevant. Cyberversicherer verlangen die Mehr-Faktor-Anmeldung typischerweise für bestimmte Bereiche wie Fernzugriffe, privilegierte Konten sowie Cloud- und E-Mail-Zugänge. Einen Marktstandard „100 Prozent Mehr-Faktor-Anmeldung oder gar keine Leistung” gibt es nicht. Nach § 28 VVG ist der Versicherer nur bei vorsätzlicher Obliegenheitsverletzung vollständig leistungsfrei, bei grober Fahrlässigkeit darf er anteilig kürzen, und die Leistungspflicht bleibt bestehen, soweit die Verletzung für den Schaden gar nicht ursächlich war. Trotzdem: Diese Diskussion wollen Sie im Schadensfall nicht führen müssen.

Gute Antwort: Eine exportierte Liste mit Namen, Rolle und Datum.

Klärungsbedarf: Eine Zahl aus dem Gedächtnis statt einer exportierten Liste.

Frage 4: Wie lange können wir im Nachhinein belegen, wer wann auf was zugegriffen hat?

Im Ernstfall zählen Nachweise, gegenüber Aufsichtsbehörden, Versicherern, Kunden und dem eigenen Beirat. Die Standardfristen sind kürzer, als die meisten annehmen. Anmelde- und Überwachungsprotokolle in Microsoft Entra werden in der kostenlosen Variante sieben Tage aufbewahrt, mit den Plänen P1 und P2 dreißig Tage. Das übergreifende Prüfprotokoll in Microsoft Purview hält in der Standardstufe 180 Tage vor.

Ein Vorfall wird oft erst nach Wochen bemerkt. Wenn Ihre Protokolle sieben Tage zurückreichen, ist die Frage „was ist passiert?” schlicht nicht beantwortbar.

Gute Antwort: Eine Frist in Tagen oder Monaten und die Aussage, wohin Protokolle für längere Aufbewahrung exportiert werden.

Frage 5: Wer darf auf welche Dateien zugreifen, und wer prüft das regelmäßig?

Berechtigungen wachsen still mit. Ein Projektordner, der einmal „für alle” freigegeben wurde, bleibt es. Solange niemand sucht, fällt das nicht auf.

Genau das ändert sich mit KI-Assistenten. Microsoft 365 Copilot respektiert die bestehenden Berechtigungen und zeigt einem Nutzer nichts, worauf er nicht ohnehin Zugriff hätte. Es macht solche Inhalte aber auffindbar, in Sekunden statt nach mühsamer Suche. Für kommerzielle Kunden werden Eingaben, Antworten und die abgerufenen Daten laut Microsoft nicht zum Training der Sprachmodelle verwendet. Eine Einschränkung sollten Sie beachten. Wird die Websuche genutzt, gehen die daraus erzeugten Suchbegriffe an den Bing-Dienst, und diese Anfragen fallen ausdrücklich nicht unter Microsofts Auftragsverarbeitungsvereinbarung. Ob die Websuche aktiv ist, lässt sich zentral steuern.

Gute Antwort: Es gibt einen wiederkehrenden Termin, an dem Freigaben und Gruppenmitgliedschaften durchgesehen werden, mit Ergebnisprotokoll.

Womit Sie sich selbst einordnen können

Wenn Sie in drei von fünf Zeilen keine Zahl eintragen können, liegt das meist daran, dass diese Punkte bisher niemand ausdrücklich beauftragt hat.

Warum Sie diese Fragen ohnehin beantworten können sollten

Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Als „wichtige Einrichtung” gilt nach § 28 Abs. 2 BSIG, wer einem der in den Anlagen 1 und 2 gelisteten Sektoren angehört und mindestens 50 Beschäftigte hat oder dessen Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Beide Finanzkennzahlen müssen dabei zusammen erfüllt sein. Daneben kennt das Gesetz besonders wichtige Einrichtungen mit höheren Schwellen sowie einzelne Fälle, die unabhängig von der Größe erfasst sind. Ob Sie darunterfallen, ist im Zweifel eine Frage für Ihre Rechtsberatung. Fällt Ihr Unternehmen unter das Gesetz, muss die Geschäftsleitung nach § 38 BSIG die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und sich regelmäßig schulen. Die Haftung nach § 38 Abs. 2 BSIG ist dabei eine Innenhaftung gegenüber der eigenen Gesellschaft, keine persönliche Außenhaftung.

Auch wenn Sie nicht unter das Gesetz fallen: „Überwachen” heißt, Fragen stellen zu können und Antworten einordnen zu können.

Wie Sie das Gespräch führen

Kündigen Sie die Fragen an, statt sie im Termin aus der Tasche zu ziehen. Ein Satz genügt: „Ich möchte für unsere Dokumentation fünf Punkte sauber festhalten und schicke sie Ihnen vorab.” Damit nehmen Sie dem Gespräch jede Prüfungsatmosphäre und geben Ihrem Dienstleister die Gelegenheit, mit belastbaren Zahlen zu antworten statt aus dem Gedächtnis. Die Vorlaufzeit hilft auf beiden Seiten: Offene Punkte lassen sich dann gleich als nächster Arbeitsschritt einplanen.

Wo nach dem Gespräch Felder der Tabelle leer bleiben, liegt darin schon der Auftrag: einmal nachsehen, was tatsächlich eingestellt ist, und das Ergebnis schriftlich haben. Ob das Ihr Dienstleister übernimmt oder jemand von außen, entscheiden Sie. Für einen Nachweis gegenüber Versicherer oder Auftraggeber wiegt es allerdings mehr, wenn die Zahlen nicht von der Stelle kommen, die die Konfiguration eingerichtet hat.

Quellen

• Endgültig gelöschte Elemente werden in Exchange Online standardmäßig 14 Tage im Ordner „Wiederherstellbare Elemente” aufbewahrt; die Frist ist auf maximal 30 Tage konfigurierbar (learn.microsoft.com)
• Ein gelöschtes (soft-deleted) Postfach bleibt 30 Tage wiederherstellbar, bevor es endgültig entfernt wird (learn.microsoft.com)
• In SharePoint und OneDrive gilt eine Aufbewahrungsfrist von 93 Tagen, die sich über den Papierkorb der ersten und der zweiten Stufe zusammen erstreckt. Beim Verschieben zwischen den Stufen beginnt die Frist nicht neu (learn.microsoft.com)
• Microsoft 365 Backup ist ein separat einzurichtendes Produkt, das ein Azure-Abonnement und die Aktivierung der verbrauchsabhängigen Abrechnung (pay-as-you-go) voraussetzt; es sichert Exchange-Postfächer sowie OneDrive- und SharePoint-Inhalte (learn.microsoft.com)
• Aufbewahrungsrichtlinien in Microsoft Purview dienen der revisionssicheren Aufbewahrung und Auffindbarkeit von Inhalten (eDiscovery) und sind kein Backup im Sinne einer Wiederherstellung auf einen Zeitpunkt (learn.microsoft.com)
• Mit „Preservation Lock” lassen sich Aufbewahrungsrichtlinien in Microsoft Purview so festschreiben, dass auch Administratoren sie nicht mehr deaktivieren oder verkürzen können (learn.microsoft.com)
• Microsoft 365 mit Preservation Lock wurde von Cohasset Associates hinsichtlich der Anforderungen an unveränderbare Speicherung nach SEC Rule 17a-4(f) bewertet (learn.microsoft.com)
• Microsoft Entra bewahrt Anmelde- und Überwachungsprotokolle in der Free-Variante sieben Tage und mit Entra ID P1 oder P2 dreißig Tage auf (learn.microsoft.com)
• Für Microsoft Purview Audit (Standard) gilt für Protokolle, die ab dem 17. Oktober 2023 erzeugt wurden, eine Standardaufbewahrung von 180 Tagen (learn.microsoft.com)
• Microsoft empfiehlt, die Rolle des globalen Administrators an weniger als fünf Personen zu vergeben, privilegierte Rollenzuweisungen auf unter zehn zu begrenzen, zwei reine Cloud-Notfallkonten („break glass”) vorzuhalten und alle Administratorkonten mit Mehr-Faktor-Anmeldung zu schützen (learn.microsoft.com)
• Microsoft 365 Copilot zeigt Nutzern nur organisationsinterne Daten, für die sie mindestens Leseberechtigung besitzen; Eingaben, Antworten und über Microsoft Graph abgerufene Daten werden nicht zum Training der Foundation-Modelle verwendet (learn.microsoft.com)
• Die von Copilot erzeugten Websuchanfragen an den Bing-Suchdienst fallen ausdrücklich nicht unter das Microsoft Data Protection Addendum (DPA); die Websuche lässt sich über die Richtlinie „Allow web search in Copilot” im Cloud Policy Service zentral steuern (learn.microsoft.com)
• Nach § 28 Abs. 2 VVG ist der Versicherer bei vorsätzlicher Obliegenheitsverletzung leistungsfrei und darf bei grober Fahrlässigkeit anteilig kürzen; nach § 28 Abs. 3 VVG bleibt die Leistungspflicht bestehen, soweit die Verletzung nicht ursächlich war (gesetze-im-internet.de)
• Nach § 28 Abs. 2 BSIG gilt eine Einrichtung als wichtige Einrichtung, wenn sie einem Sektor der Anlagen 1 oder 2 angehört und mindestens 50 Beschäftigte hat oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen; § 28 Abs. 1 BSIG definiert daneben die besonders wichtigen Einrichtungen mit abweichenden Schwellen und größenunabhängig erfasste Fälle (gesetze-im-internet.de)
• Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen sowie regelmäßig an Schulungen teilnehmen; bei Pflichtverletzung haftet sie gegenüber der eigenen Einrichtung nach den Vorschriften der jeweiligen Rechtsform (gesetze-im-internet.de)
• Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten (bsi.bund.de)