Der große Microsoft 365 Backup-Guide: Gelöschte und verschlüsselte Dateien rechtssicher wiederherstellen

Ein praxisnaher Leitfaden zur Daten-Resilienz in OneDrive, SharePoint und Exchange Online – mit konkreten Handlungsempfehlungen für Geschäftsführer, IT-Verantwortliche, Datenschutzverantwortliche und CISOs.

1. Einleitung: Der weit verbreitete Trugschluss bei Microsoft 365

In unzähligen Unternehmen gehört die Nutzung von Microsoft 365 für E-Mails, Dokumentenablage und Teamarbeit zum täglichen Standard^[1]. Mit dem Wechsel in die Cloud verbindet sich im Management jedoch häufig eine gefährliche Fehlannahme: Viele Organisationen gehen davon aus, dass Microsoft automatisch ein vollständiges, klassisches Backup aller Unternehmensdaten bereitstellt^[2][3].

Die Realität sieht anders aus. Microsoft betreibt die physische Infrastruktur, gewährleistet die Hochverfügbarkeit der Rechenzentren und schützt die Systeme vor Hardwareausfällen^[4]. Für die Daten selbst, die Rechtevergabe, versehentliche Löschungen sowie die Wiederherstellung nach Ransomware-Angriffen bleibt jedoch ausschließlich der Kunde verantwortlich^[2].

Wenn Mitarbeiter aus Versehen Ordnerstrukturen löschen, Sabotage durch ausscheidende Mitarbeiter auftritt oder Schadsoftware Daten über synchronisierte Clients verschlüsselt, führen die Systeme von Microsoft 365 diese Änderungen ordnungsgemäß aus^[7]. Wer in diesem Moment die nativen Bordmittel nicht im Detail kennt oder keine Strategie für eine eigenständige Datensicherung besitzt, steht schnell vor dem endgültigen Datenverlust^[3][8].

2. Das Modell der geteilten Verantwortung (Shared Responsibility Model)

Um die Grenzen der integrierten Wiederherstellungsfunktionen zu verstehen, ist der Blick auf das Shared Responsibility Model von Microsoft unerlässlich^[4][5]:

+-----------------------------------------------------------------------+
|                         VERANTWORTUNG DES KUNDEN                       |
|  * Kundendaten & Dateiinhalte                                         |
|  * Benutzerkonten & Identitäten (Entra ID)                            |
|  * Endgeräte (Laptops, Smartphones)                                   |
|  * Zugriffsverwaltung & Konfiguration (Berechtigungen, MFA)            |
+-----------------------------------------------------------------------+
|                         VERANTWORTUNG VON MICROSOFT                   |
|  * Physikalische Rechenzentren & Hardware                             |
|  * Netzwerk-Infrastruktur & Host-Betriebssysteme                      |
|  * Verfügbarkeit der SaaS-Dienste (Exchange, SharePoint, Teams)       |
+-----------------------------------------------------------------------+

• Replikation ist kein Backup: Microsoft repliziert Daten kontinuierlich über mehrere Rechenzentren, um Hardwareausfälle abzufangen^[7]. Wird eine Datei jedoch gelöscht oder durch Ransomware unbrauchbar gemacht, wird dieser veränderte Zustand augenblicklich in alle Rechenzentren repliziert^[7].

3. Die nativen Wiederherstellungsinstrumente im Detail

Microsoft 365 stellt Administratoren und Nutzern Werkzeuge zur Seite, um gelöschte oder überschriebene Inhalte zurückzuholen^[8]. Jedes System folgt dabei eigenen Regeln und Aufbewahrungsfristen^[9][10].

A. OneDrive for Business & SharePoint Online

In OneDrive und SharePoint greifen drei wesentliche Schutzebenen ineinander^[11][12]:

1. Der zweistufige Papierkorb (93 Tage Gesamtfrist)

Gelöschte Dateien und Ordner durchlaufen einen zweistufigen Prozess^[13]:

• Erste Stufe (Endbenutzer-Papierkorb): Nutzer sehen die Elemente, die sie selbst gelöscht haben, und können diese eigenständig an den Ursprungsort zurückholen^[14].
• Zweite Stufe (Websitesammlungs-Papierkorb): Leert ein Nutzer seinen Papierkorb oder wird die erste Stufe bereinigt, wandern die Objekte in die zweite Stufe^[13]. Diese ist für Websitebesitzer und Administratoren über die Websiteeinstellungen erreichbar^[13].
• Die 93-Tage-Regel: Die Aufbewahrungsfrist beträgt insgesamt 93 Tage ab dem ursprünglichen Löschzeitpunkt^[13]. Verschiebt sich eine Datei nach 30 Tagen in die zweite Stufe, verbleiben dort noch 63 Tage – die Frist beginnt nicht neu^[13].
• Gelöschte Websites: Vollständige Websitesammlungen erscheinen im SharePoint Admin Center unter Websites > Gelöschte Websites und verbleiben dort ebenfalls 93 Tage^[13].

2. Der Versionsverlauf (Standard: 500 Versionen)

Für Geschäftskonten speichert Microsoft 365 bei Office-Dateien sowie bei PDFs, Bildern oder Videos automatisch frühere Bearbeitungsstände^[11].

• Standardmäßig werden mindestens 500 Hauptversionen einer Datei aufbewahrt^[11].
• Wird ein Dokument fälschlicherweise überschrieben, lässt sich im Browser oder im Windows Datei-Explorer über den Punkt „Versionsverlauf“ jeder frühere Stand als neue aktuelle Version wiederherstellen^[29].

3. Massenwiederherstellung (Files Restore / „OneDrive wiederherstellen“)

Bei großflächigen Löschungen oder Verschlüsselungen durch Ransomware bietet OneDrive die Funktion „Ihr OneDrive wiederherstellen“ (Files Restore)^[33]. Auch für SharePoint-Dokumentbibliotheken existiert die Funktion *„Diese Bibliothek wiederherstellen“*^[32].

• Damit lässt sich der gesamte Datenbestand eines OneDrive-Kontos oder einer Bibliothek auf einen beliebigen Zeitpunkt innerhalb der letzten 30 Tage zurückrollen^[32].
• Einschränkung: Das Verfahren stellt die gesamte Bibliothek zeitpunktgenau zurück; legitime Arbeiten, die nach dem gewählten Wiederherstellungspunkt stattfanden, gehen dabei verloren^[40][41].

B. Exchange Online (E-Mail, Kalender, Kontakte)

In Exchange Online werden gelöschte Objekte in einem spezialisierten System verwaltet^[9][42]:

[Postfach: Posteingang / Ordner]
       │ (Löschen)
       ▼
[Ordner "Gelöschte Elemente" / Papierkorb]
       │ (Endgültig löschen / Shift+Delete)
       ▼
[Ordner "Wiederherstellbare Elemente" / Recoverable Items]
       ├── Deletions (14–30 Tage)
       └── Purges / In-Place Hold / Litigation Hold

• Deleted Items: Gelöschte E-Mails wandern zunächst in den Ordner Gelöschte Elemente^[9][42].
• Recoverable Items (Deletions): Löscht der Nutzer Mails aus dem Papierkorb oder nutzt er Shift + Entf, landen die Objekte im versteckten Ordner Wiederherstellbare Elemente^[9][42].
• Aufbewahrungsfristen: Standardmäßig verbleiben Objekte dort 14 Tage lang^[42]. Administratoren können diese Frist über die PowerShell per Befehl auf bis zu 30 Tage verlängern^[43]:

Set-Mailbox -Identity "nutzer@unternehmen.de" -RetainDeletedItemsFor 30

• Soft-Deleted Mailboxes: Wird ein gesamtes Benutzerkonto gelöscht, bleibt das Postfach 30 Tage lang im Soft-Delete-Zustand und kann wiederhergestellt werden^[45].
• Litigation Hold / In-Place Hold: Ist für ein Postfach ein gesetzliches Halterecht aktiv, werden alle gelöschten Elemente dauerhaft im Hintergrund aufbewahrt und können per eDiscovery exportiert werden^[44][50].

C. Erweiterter Schutz: Microsoft 365 Backup & Support-Backup

• Microsoft 365 Backup (First-Party-Dienst): Microsoft bietet mit Microsoft 365 Backup einen Dienst auf Basis der eigenen Backup-Storage-Plattform an^[28]. Dieser ermöglicht Wiederherstellungszeiträume von bis zu einem Jahr sowie ein Recovery Point Objective (RPO) von 10 Minuten für Konten und Websites^[51].
• 14-Tage-Backend-Backup des Microsoft-Supports: Ist eine Datei oder Website vollständig aus der zweiten Papierkorbstufe gelöscht, hält Microsoft auf eigener Infrastruktur noch für weitere 14 Tage Sicherungen vor^[56]. In diesem Zeitfenster kann ein Administrator beim Microsoft-Support ein Ticket zur Wiederherstellung ganzer Websitesammlungen eröffnen^[56].

4. Übersicht der Wiederherstellungsfristen (Infografik & Tabelle)

Die folgende Abbildung zeigt die maximalen Zeitfenster der nativen Wiederherstellung im Überblick (auch abrufbar als hochauflösendes Diagramm in Ihrem Studio-Panel unter m365-wiederherstellung-fristen.png):

Gegenüberstellung der nativen Wiederherstellungswege

5. Ransomware in Microsoft 365: Der Infektionsweg & die ersten 60 Minuten

Ransomware greift Microsoft 365 selten direkt in den Cloud-Servern an^[2][68]. Der typische Vektor verläuft über infizierte Endgeräte^[2]:

1. Lokale Verschlüsselung: Schadsoftware infiziert einen lokalen Rechner^[2].
2. Synchronisierung in die Cloud: Der lokal laufende OneDrive-Sync-Client oder WebDAV erfasst die verschlüsselten Dateien und lädt diese als neue „Dateiversion“ oder unter geänderten Dateiendungen in SharePoint und OneDrive hoch^[2].
3. Token-Diebstahl (Session Hijacking): Kriminelle erbeuten OAuth-Zugriffstoken von Mitarbeitern^[70]. Damit umgehen sie selbst Multi-Faktor-Authentifizierungen (MFA) und erhalten Zugriff auf Cloud-Dateien und Postfächer^[70].

[Infiziertes Endgerät] ──(Lokale Verschlüsselung)──► [OneDrive Sync Client]
                                                              │
                                                      (Automatische Synchro)
                                                              ▼
                                                   [Microsoft 365 Cloud]
                                              (Dateien in Cloud verschlüsselt)

Das Sofortmaßnahmen-Protokoll (Die ersten 60 Minuten)

Sobald der Verdacht auf eine Verschlüsselung oder eine Kontokompromittierung besteht, müssen folgende Schritte sofort und in exakter Reihenfolge durchgeführt werden^[73]:

• [ ] 1. Synchronisierung stoppen: OneDrive-Sync-Client sofort auf allen betroffenen Geräten beenden und Netzlaufwerke trennen, um ein weiteres Hochladen verschlüsselter Dateien zu verhindern^[69].
• [ ] 2. Endgerät isolieren: Betroffenen Rechner physisch vom Netzwerk (LAN/WLAN) trennen^[69].
• [ ] 3. Benutzerkonto deaktivieren & Sitzungen widerrufen:
  • Das betroffene Entra ID-Konto sofort sperren^[73].
  • Sämtliche aktiven Sitzungen und Token umgehend über PowerShell widerrufen^[73]:

Revoke-MgUserSignInSession -UserId "opfer@unternehmen.de"

• [ ] 4. Passwort-Reset durchführen: Passwort zurücksetzen^[73]. Bei Konten, die aus einem lokalen Active Directory synchronisiert werden, das Passwort im lokalen AD zweimal zurücksetzen, um Pass-the-Hash-Angriffe und Replikationsverzögerungen auszuschließen^[76][77].
• [ ] 5. Entra ID & Exchange bereinigen:
  • App-Passwörter und App-Zustimmungen (Consents) prüfen und widerrufen^[73][76].
  • Registrierte MFA-Geräte prüfen und fremde Authenticator-Apps entfernen^[73][76].
  • Postfach-Weiterleitungen (Get-Mailbox) und versteckte Posteingangsregeln (Get-InboxRule -IncludeHidden) auf verdächtige Umleitungen prüfen^[5].
• [ ] 6. Audit-Logs sichern & Zeitpunkt festlegen: Den exakten Zeitpunkt der ersten Infektion und die betroffenen SharePoint-URLs im Unified Audit Log (UAL) ermitteln und dokumentieren^[66].

6. Spezifische Handlungsempfehlungen für Führungskräfte

A. Für den Geschäftsführer / die Unternehmensleitung

Als Geschäftsführer tragen Sie die Gesamtverantwortung für die operative Resilienz und Compliance Ihres Unternehmens^[3][4].

• Fehlannahme korrigieren: Veranlassen Sie eine Überprüfung der Cloud-Backup-Strategie. Gehen Sie keinesfalls davon aus, dass Microsoft den kompletten Datenbestand im Sinne eines klassischen Katastrophen-Backups sichert^[2].
• Risikoentscheidung treffen: Entscheiden Sie auf Basis einer Risikoanalyse, ob die nativen Haltefristen (93 Tage Papierkorb, 30 Tage Rollback) für Ihr Geschäftsmodell ausreichen oder ob ein unabhängiges Drittanbieter-Backup mit Air-Gap eingerichtet werden muss^[3].
• RTO und RPO festlegen: Definieren Sie verbindliche Vorgaben für die maximale Ausfallzeit (Recovery Time Objective – RTO) und den maximal vertretbaren Datenverlust (Recovery Point Objective – RPO) im Katastrophenfall^[54][81].

B. Für IT-Verantwortliche & Systemadministratoren

Die IT-Abteilung ist für die technische Härtung, Konfiguration und operative Wiederherstellbarkeit zuständig^[8][82].

• Aufbewahrungsfristen ausreizen:
  • Exchange-Aufbewahrung für gelöschte Elemente per PowerShell von 14 auf 30 Tage hochsetzen^[43].
  • Versionsverlauf in SharePoint und OneDrive auf mindestens 500 Versionen belassen^[11].
• Unified Audit Log (UAL) aktivieren: Überprüfen Sie im Microsoft Purview Admin Center, ob das zentrale Protokollierungs-Tool aktiv ist^[66][83]. Ohne UAL ist eine forensische Rekonstruktion nach einem Cyberangriff nahezu unmöglich^[65][66].
• Ausscheidende Mitarbeiter sichern: Vor dem Löschen von Benutzerkonten müssen deren OneDrive-Inhalte und Postfächer gesichert oder umgewandelt werden, bevor die 30-Tage-Frist abläuft^[45].
• Wiederherstellungstests durchführen: Führen Sie mindestens einmal pro Halbjahr einen realen Wiederherstellungstest durch (z. B. Wiederherstellung eines gelöschten Ordners von vor 60 Tagen)^[81].

C. Für Datenschutzverantwortliche / Datenschutzbeauftragte (DSB)

Aus Datenschutz- und Compliance-Sicht (DSGVO, GoBD, NIS-2) ergeben sich klare Anforderungen an die Aufbewahrung und Verfügbarkeit von Daten^[84].

• Art. 32 DSGVO & NIS-2 (Verfügbarkeit & Belastbarkeit): Der Verantwortliche muss die Fähigkeit besitzen, die Verfügbarkeit der personenbezogenen Daten bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen^[84]. Verlassen Sie sich dabei nicht ausschließlich auf Reine-SaaS-Bordmittel ohne unabhängige Sicherungskopie^[3].
• Löschkonzepte vs. Aufbewahrungspflichten: Stellen Sie sicher, dass Aufbewahrungsrichtlinien in Microsoft Purview GoBD-konforme E-Mail-Archivierungen sicherstellen, während gleichzeitig Datenschutzrechte (Recht auf Löschung) berücksichtigt werden^[59][86].
• Löschung von Ex-Mitarbeiterdaten: Prüfen Sie den Prozess beim Offboarding: Daten ausgeschiedener Mitarbeiter dürfen weder unkontrolliert zu früh gelöscht werden noch ohne Rechtsgrundlage ewig im aktiven Tenant verbleiben^[45].

D. Für den Chief Information Security Officer (CISO)

Der CISO bewertet die Bedrohungslage und strukturiert die Cyber-Resilienz gegen fortgeschrittene Angriffe^[79][87].

• Unabhängige Backup-Kopie (Air-Gap & Object Lock): Stellen Sie sicher, dass mindestens eine immutable (unveränderliche) Backup-Kopie außerhalb der Microsoft 365-Trust-Domäne liegt^[3]. Erlangen Kriminelle Kontrolle über das Global-Admin-Konto, können sie native Papierkörbe und M365-interne Backups löschen^[79].
• Phishing-resistente MFA & Zero Trust: Setzen Sie durchgängig MFA (idealerweise FIDO2 / Passkeys) für alle Konten durch – insbesondere für administrative Rollen^[79].
• Continuous Access Evaluation (CAE) aktivieren: CAE sorgt dafür, dass kompromittierte Session-Token bei Sicherheitsereignissen nahezu in Echtzeit ungültig werden^[78][91].
• Automatisierte Mail-Regel-Überwachung: Etablieren Sie Alerts für neu erstellte Posteingangsregeln, die Mails an externe Adressen weiterleiten oder in ungewöhnliche Ordner verschieben^[73].

7. Der 10-Punkte-Audit-Check für Ihre Kanzlei oder Ihr Unternehmen

Nutzen Sie diese Checkliste zur schnellen Selbstprüfung Ihres Microsoft 365 Tenants:

8. Fazit

Microsoft 365 bietet ein ausgereiftes Set an nativen Wiederherstellungswerkzeugen^[8]. Papierkörbe, Versionsverlauf und Files Restore sind hervorragende Ersthelfer im Kanzlei- und Unternehmensalltag, wenn Dateien versehentlich gelöscht oder fehlerhaft bearbeitet werden^[16].

Sie ersetzen jedoch kein eigenständiges Backup^[3]. Wer sich gegen gezielte Ransomware-Angriffe, den Diebstahl von Admin-Identitäten oder langfristigen Datenverlust absichern möchte, muss die nativen Einstellungen optimal konfigurieren und die Architektur um eine unabhängige, unveränderliche Sicherungslösung ergänzen^[3].

Quellen und Nachweise aus Ihren Unterlagen

1. Exchange Online & PowerShell Wiederherstellung: Exchange Recover Deleted Items (Exchange Admin Center & PowerShell), Icewolf Blog^[42].
2. OneDrive & SharePoint Wiederherstellungsanleitung: Gelöschte Dateien wiederherstellen: Anleitung OneDrive & SharePoint (2026), m365-kurs.de^[16].
3. OneDrive Versionsverlauf & Praxis-Tipps: OneDrive-Versionsverlauf: überschriebene Dateien in Sekunden wiederherstellen, High5Manufaktur GmbH (H5M)^[25].
4. Ransomware & Konten-Bereinigung in M365: Ransomware in Microsoft 365: OneDrive, SharePoint und Konten wiederherstellen, Ransomware Reverse^[2].
5. Microsoft Service Assurance: Ransomware-Schutz in Microsoft 365, Microsoft Learn^[11].
6. M365-Bordmittel & UAL Analysis: Gelöschte oder von Ransomware verschlüsselte Dateien mit M365-Bordmitteln wiederherstellen, Thomas Drilling^[8].
7. SharePoint Papierkorb & Governance: SharePoint Papierkorb: Finden, Wiederherstellen & Verwalten 2026, VirtoSoftware^[13].
8. SharePoint Sicherheitsmechanismen & Massenlöschung: SharePoint: Gelöschte Dateien wiederherstellen – So geht’s, Jörg Schieb / Andreas Erle^[1].
9. Geteilte Verantwortung & Risk Mitigation: Sichert Microsoft 365 meine Daten?, Mindtime Backup^[3].
10. Microsoft 365 Backup Administrative Operations: Wiederherstellen von Daten in Microsoft 365-Backup, Microsoft Learn^[54].
11. OneDrive Support & Rollback Guide: Wiederherstellen von OneDrive, Microsoft Support^[36].

Das Notfall-Protokoll zur Reaktion auf einen Ransomware-Befall oder eine Kontokompromittierung in Microsoft 365 gliedert sich in fünf aufeinander aufbauende Phasen. Es ist entscheidend, diese Schritte in der exakten Reihenfolge durchzuführen, um eine erneute Verschlüsselung frisch wiederhergestellter Daten zu verhindern^[1][2].

Phase 1: Sofortige Unterbrechung der Ausbreitung & Geräte-Isolierung

1. OneDrive- & SharePoint-Synchronisierung sofort stoppen:

• Beenden Sie umgehend den OneDrive-Sync-Client auf allen betroffenen Systemen und trennen Sie verbundene Netzlaufwerke zu SharePoint-Bibliotheken^[1].
• Ransomware verschlüsselt Dateien meist lokal auf dem Endgerät; der Sync-Client überträgt diese veränderten Dateien automatisch als vermeintlich neue Dateiversionen in die Cloud^[4].

2. Infizierte Endgeräte physisch isolieren:

• Trennen Sie das betroffene Gerät sofort vom Netzwerk (WLAN und Netzwerkkabel ziehen)^[1][3]. Das Gerät ist die Quelle der Verschlüsselung und muss für die spätere forensische Untersuchung isoliert bleiben^[3].

Phase 2: Eindämmung auf Identitätsebene (Entra ID / Azure AD)

Ein bloßer Passwortwechsel reicht bei einem Angriff nicht aus, da aktive Zugriffstoken aus Entra ID standardmäßig bis zu einer Stunde lang gültig bleiben und Angreifer damit weiterarbeiten können^[7][8].

1. Benutzerkonto deaktivieren:

• Das betroffene Benutzerkonto im Microsoft Entra Admin Center umgehend temporär sperren/deaktivieren^[3][9].

2. Sitzungen und Token widerrufen:

• Widerrufen Sie sofort alle aktiven Sitzungen und Token des Benutzers^[1]. Dies lässt sich in PowerShell über folgenden Befehl erzwingen^[3]:

Revoke-MgUserSignInSession -UserId "nutzer@unternehmen.de"

1. Kennwort-Reset (Doppel-Reset bei AD-Synchronisierung):

• Kennwort zurücksetzen^[3][9]. Falls das Konto aus einem lokalen Active Directory synchronisiert wird, muss das Passwort im lokalen AD zweimal zurückgesetzt werden, um Pass-the-Hash-Angriffe und Replikationsverzögerungen abzufangen^[8][9].
• Wichtig: Das neue Kennwort niemals per E-Mail an das kompromittierte Postfach senden^[9]!

2. App-Kennwörter erneuern:

• App-Passwörter werden beim normalen Passwort-Reset nicht automatisch zurückgesetzt und müssen manuell widerrufen und neu erstellt werden^[9].

3. MFA-Methoden & registrierte Geräte bereinigen:

• Überprüfen Sie alle registrierten Multi-Faktor-Authentifizierungsmethoden (MFA) sowie verknüpfte Geräte des Kontos und entfernen Sie unbekannte Anmeldeoptionen oder fremde Authenticator-Apps^[3][9].

4. App-Zustimmungen (OAuth-Consents) & Admin-Rollen prüfen:

• Widerrufen Sie verdächtige Anwendungsberechtigungen (Benutzerzustimmungen) und prüfen Sie, ob dem Konto unbefugt administrative Rollen zugewiesen wurden^[3][9].

Phase 3: Kontrolle von Exchange Online (Mitlesen & Umleitungen unterbinden)

Postfächer werden bei Angriffen häufig missbraucht, um Daten abzuziehen oder unbemerkt mitzulesen^[10][11].

1. Posteingangsregeln und Weiterleitungen überprüfen:

• Angreifer richten oft unbemerkt externe Weiterleitungen oder versteckte Löschregeln ein (z. B. Verschieben von Mails in Ordner wie Notizen, Junk-Mail oder RSS-Abonnements)^[11].

2. Kontrolle per PowerShell:

• Prüfen Sie externe Weiterleitungen über Get-Mailbox^[12].
• Prüfen Sie Posteingangsregeln explizit inklusive versteckter Regeln^[12]:

Get-InboxRule -Mailbox "nutzer@unternehmen.de" -IncludeHidden

Phase 4: Spurensicherung, Zeitstempel-Fixierung & Audit-Logs

1. Nichts übereilt löschen:

• Belassen Sie veränderte Dateien zunächst im System und löschen Sie keine mutmaßlich verschlüsselten Verzeichnisse manuell^[3].

2. Sauberen Zeitpunkt & URLs festhalten:

• Dokumentieren Sie den exakten letzten bekannten sauberen Zeitpunkt (vor dem Angriff) sowie die genauen URLs der betroffenen Websitesammlungen^[1][3]. Diese Angaben werden sowohl für die Rollback-Funktionen als auch für ein eventuelles Microsoft-Support-Ticket benötigt^[1].

3. Audit-Logs sichern:

• Werten Sie die Entra-Anmeldeprotokolle, die Nachrichtenablaufverfolgung und das Unified Audit Log (UAL) in Microsoft Purview ab dem Beginn der verdächtigen Aktivitäten aus^[3][14].

Phase 5: Gezielte Wiederherstellung der Daten

Erst wenn die Infektionsquelle isoliert und die Identität bereinigt ist, darf die eigentliche Wiederherstellung gestartet werden^[1][2].

1. Massenwiederherstellung über „OneDrive wiederherstellen“ / „Bibliothek wiederherstellen“:

• Für OneDrive oder SharePoint-Dokumentbibliotheken kann die gesamte Bibliothek auf einen beliebigen Zeitpunkt innerhalb der letzten 30 Tage zurückgerollt werden^[5].

2. Gezielter Versionsverlauf:

• Wenn nur vereinzelte Dokumente überschrieben wurden, können Sie über den Versionsverlauf gezielt die saubere Vorgängerversion als neue aktuelle Version aktivieren^[15][17].

3. Microsoft-Support-Eskalation (bei endgültiger Löschung):

• Sollten Inhalte endgültig aus den Papierkörben gelöscht worden sein, hält Microsoft im Backend für weitere 14 Tage Sicherungen vor^[5]. In diesem Zeitfenster kann ein Global-Admin über das Admin Center ein Ticket zur Wiederherstellung der Websitesammlung unter Angabe der URL und des sauberen Zeitpunkts eröffnen^[5].