Ist OneDrive ein Backup? Was passiert, wenn alle Dateien verschlüsselt oder gelöscht werden

Stellen Sie sich zwei Szenarien vor. Im ersten verschlüsselt Ransomware innerhalb weniger Minuten Hunderte Dateien auf einem PC — Verträge, Berichte, Tabellen —, und OneDrive synchronisiert die beschädigten Versionen pflichtbewusst in die Cloud. Im zweiten werden alle Dateien aus OneDrive gelöscht und beide Papierkörbe geleert: von einem Mitarbeiter, der das Unternehmen verlässt, oder von jemandem, der sein Passwort kennt. Das passiert häufiger, als man zugeben möchte — und diese Arbeitsergebnisse gehören dem Unternehmen.

Ist Ihr Unternehmen auf beide Szenarien vorbereitet? Wir haben es getestet — und die Antwort hängt davon ab, ob Sie eine Kopie außerhalb des OneDrive des Benutzers haben.

Offenlegung. Wir entwickeln OneMount, eine Windows-App für SharePoint und OneDrive, die unter anderem Backups erstellt. Deshalb stehen Methodik und Zahlen an erster Stelle, und wo OneDrive zurechtkam, sagen wir das klar. Die Hälfte der folgenden Einrichtung funktioniert ganz ohne unser Produkt.

Alle Dateien löschen, Papierkörbe inklusive: fünf Klicks

Beginnen wir mit dem schlimmsten Fall: Jemand mit Zugriff auf das Konto — ein Mitarbeiter kurz vor dem Ausscheiden oder ein Angreifer mit seinem Passwort — löscht die Arbeitsordner und verwischt seine Spuren. Wir haben das als normaler Testbenutzer gemacht, nicht als Admin. Der gelöschte Ordner Finance aus „Dokumente“ — 39 MB Berichte und Tabellen — landet im OneDrive-Papierkorb, und genau dort sieht derselbe Benutzer Delete direkt neben Restore.

Ob er sich vollständig beseitigen lässt, haben wir mit einer großen 543-MB-Datei getestet — für OneDrive verhalten sich ein Ordner mit Dokumenten und eine einzelne Datei gleich:

1. In OneDrive im Web gelöscht — sie wanderte in den Papierkorb.
2. Aus dem Papierkorb gelöscht — sie wanderte in den Papierkorb der zweiten Stufe.
3. Aus dem Papierkorb der zweiten Stufe gelöscht — und sie war überall verschwunden.

Wir haben beobachtet Die Datei war endgültig weg, und keine Admin-Freigabe war nötig. Der Grund ist einfach: Im eigenen OneDrive ist der Benutzer Besitzer — der Websitesammlungsadministrator. Er kann alles löschen und beide Papierkörbe leeren. Ransomware, die unter seinem Konto läuft, kann das auch.

OneDrive rettet Sie also zuverlässig vor versehentlichen Fehlern. Vor dem absichtlichen Löschen aller Dateien schützt es nicht, weil alles, was es hat, im selben Konto liegt. Als Nächstes: was OneDrive tatsächlich kann, wie wir es getestet haben und wie Sie eine Kopie aufbewahren, die der Benutzer nicht löschen kann.

Synchronisierung ist kein Backup

Die meisten Diskussionen à la „Ist OneDrive ein Backup?“ werfen zwei Dinge durcheinander. Die Synchronisierung macht alle Kopien so schnell wie möglich identisch — genau das, was Sie beim Arbeiten wollen, und genau das, was an dem Tag schadet, an dem etwas kaputtgeht: Der Schaden wird mitsynchronisiert. Ein Backup ist eine Momentaufnahme zu einem bestimmten Zeitpunkt, die spätere Änderungen nicht berühren.

Die Verwirrung ist nicht die Schuld der Benutzer. Windows 11 bietet an, Desktop, Dokumente und Bilder zu „sichern“, schaltet in Wirklichkeit aber die OneDrive-Ordnersynchronisierung ein — oft schon bei der Einrichtung eines neuen PCs, wie PCWorld und Office Watch berichteten. Wenn man es Backup nennt, ändert das nichts an der Funktionsweise.

Was Microsoft für Sie aufbewahrt: Versionsverlauf, Papierkorb, Restore your OneDrive

Für Geschäfts- und Schulkonten (OneDrive for Business und SharePoint Online) — Microsoft sagt:

Das ist ein ordentlicher Werkzeugkasten, und die ehrliche Antwort lautet nicht „OneDrive verliert Ihre Dateien“. Dass die Cloud eine Datei von sich aus beschädigt, ist praktisch kein Thema. Das eigentliche Risiko ist eine Datei, die von Ihnen, von einer App auf Ihrem PC oder von einem Angreifer beschädigt wurde — und eine Synchronisierung, die diesen Schaden getreu in die Cloud weitergibt.

Drei Wiederherstellungstests mit OneDrive

Eine eigene virtuelle Maschine mit Windows 11 und dem Standard-OneDrive-Client, ein Testkonto ohne Adminrechte (Microsoft 365 Business Standard), Desktop und Dokumente nach OneDrive umgeleitet, Standardeinstellungen im Tenant. Der Datenbestand: 263 realistische Dateien (Word, Excel, PDF, PowerPoint, Bilder), 188 MB, per Skript erzeugt. Vor jedem zerstörerischen Schritt haben wir SHA-256-Prüfsummen erfasst: Eine Datei gilt nur dann als intakt, wenn sie Byte für Byte mit dem Original übereinstimmt.

Test 1. Eine beschädigte Datei — OneDrive kam zurecht

Der alltäglichste Fall: Eine App stürzt beim Speichern ab, oder jemand speichert den falschen Inhalt. Wir haben eine Excel-Arbeitsmappe mit Zufallsbytes gleicher Größe überschrieben.

Wir haben gemessen Die beschädigte Version erreichte die Cloud innerhalb von Sekunden (in einem von drei Durchläufen nach 2 Min. 23 s). Wiederherstellung: Datei-Explorer → Rechtsklick auf die Datei → OneDrive → Version history → vorherige Version → Restore. Nach 30 Sekunden bis 3 Minuten stimmte die Datei auf dem PC wieder Byte für Byte mit dem Original überein.

• Bis der PC nachgezogen hat, wirkt die Datei weiterhin beschädigt, obwohl die Cloud-Kopie in Ordnung ist. Nicht zweimal wiederherstellen.
• Mehrere kurz aufeinanderfolgende Speichervorgänge können zu einer Version verschmelzen — „jedes Speichern ist eine Version“ ist nicht garantiert.
• Das Öffnen einer Datei in Excel im Web erzeugt eine neue Version, auch ohne Änderungen. Prüfen Sie bei der Suche nach einer intakten Version lieber den Verlauf, statt Dateien nacheinander zu öffnen.

Test 2. Ein gelöschter Ordner — ein Klick

Wir haben einen Ordner mit Finanzdokumenten — 58 Dateien, 39,4 MB — mit der normalen Entf-Taste gelöscht. Nach 10 Sekunden war er aus der Cloud verschwunden. Im OneDrive-Papierkorb erschien er als einzelner Eintrag, und Restore holte in Sekunden 58 von 58 Dateien zurück, samt Ordnerstruktur.

Zwei kleine Details mit Folgen. Es gibt zwei Papierkörbe: Der Windows-Papierkorb existiert nur auf diesem PC, bei einem defekten oder gestohlenen Laptop hilft also nur der OneDrive-Papierkorb. Und wiederhergestellte Dateien kommen als reine Online-Dateien zurück (Files On-Demand) — ohne Internetverbindung lassen sie sich nicht öffnen.

Test 3. Alles beschädigt — und niemand hat gewarnt

Ransomware oder ein fehlerhaftes Skript beschädigt nicht eine Datei, sondern alles in Reichweite. Wir haben die Inhalte des gesamten Desktops und der Dokumente des Testbenutzers beschädigt — einschließlich allem, was sich in den Testtagen angesammelt hatte. Namen, Ordner und Größen blieben gleich: Auf den ersten Blick ist alles an seinem Platz, bis man versucht, etwas zu öffnen.

Wir haben gemessen 531 von 532 Dateien (~778 MB) in 123 Sekunden. Wir haben beobachtet OneDrive zeigte keine Warnung vor einer Massenänderung — nur „synchronisiert“. Der Papierkorb war leer: Gelöscht worden war nichts.

Weg 1 — der Versionsverlauf. Wo eine intakte Version existiert, stellt er korrekt wieder her. Aber jede Datei muss einzeln wiederhergestellt werden: öffnen, Verlauf, Version, Restore, nächste. Bei Hunderten Dateien sind das Stunden identischer Klicks.

Und nicht jede Datei hat eine intakte Version. Wir haben beobachtet Ein Textdokument hatte nur eine einzige Version im Verlauf — und die war bereits beschädigt. Es gab nichts, wohin man zurückkehren konnte. Wir sind zufällig darauf gestoßen; wie viele solcher Dateien sich unter den 531 verbergen, lässt sich von Hand nicht prüfen.

Weg 2 — ein Backup neben der Synchronisierung. Ihrer Natur nach wiederholt die Synchronisierung jede Änderung — nützliche wie schädliche. Ergänzen sollten Sie also genau das, was OneDrive fehlt: eine regelmäßige Momentaufnahme Ihrer Ordner, die nach ihrer Erstellung niemand mehr verändert. Ein heute beschädigter Desktop berührt die gestrige Momentaufnahme nicht, und statt Hunderte Dateien einzeln wiederherzustellen, holen Sie den Stand zu einem bestimmten Datum zurück.

Für den Test haben wir die Backup-Funktion von OneMount genutzt — unserer App, die OneDrive ergänzt statt ersetzt: Nach Zeitplan packt sie PC-Ordner in datierte Archive in SharePoint oder OneDrive. Wir wählten die Kopie von vor dem Angriff, und der gesamte Desktop kam in einem Schritt zurück — in einen separaten Ordner, der nach dem Backup-Datum benannt ist. Vorhandene Dateien werden nicht überschrieben, Sie können also in Ruhe vergleichen und übernehmen, was Sie brauchen. Dasselbe Prinzip funktioniert mit jedem Backup-Tool — entscheidend ist, dass die Kopie getrennt von den synchronisierten Dateien liegt.

Unsere Interpretation OneDrive bietet außerdem Restore your OneDrive — das Zurücksetzen des gesamten OneDrive auf einen Zeitpunkt vor dem Angriff, innerhalb von 30 Tagen. Bei Massenbeschädigung ist das ein starkes eingebautes Werkzeug, sofern die Versionen intakt sind. Es setzt aber auch alle nützliche Arbeit seit diesem Zeitpunkt zurück, und es hilft nicht, wenn die Papierkörbe zusammen mit den Dateien geleert wurden — wie im Szenario am Anfang dieses Artikels.

Ransomware 2026: Warum ein Angriff auf OneDrive und SharePoint einfacher ist, als Sie denken

„Das passiert uns nicht, das ist zu kompliziert“ ist die häufigste Reaktion. Doch Ransomware muss Microsoft 365 nicht hacken. Sie muss nur in der Sitzung des Benutzers laufen — über eine E-Mail, einen USB-Stick oder ein „praktisches“ Tool: Ab dann hat sie dieselben Rechte wie der Mensch an der Tastatur. Und auf Cloud-Dateien kommt sie auf drei Wegen.

1. Lokal, wie klassische Ransomware. Sie beschädigt Dateien auf der Festplatte, und der OneDrive-Client lädt die beschädigten Versionen pflichtbewusst in die Cloud hoch — auch in synchronisierte SharePoint-Bibliotheken. Genau das haben wir in Test 3 gesehen: 531 Dateien in 2 Minuten, ohne eine einzige Warnung.
2. Über den Browser. Der Benutzer ist bereits bei Microsoft 365 angemeldet, also kann das Programm den Browser mit seinem Profil öffnen oder Sitzungscookies stehlen und in seinem Namen auf jeder Website handeln, auf die er Zugriff hat. Die Multi-Faktor-Authentifizierung hilft hier nicht: Sie schützt die Anmeldung, nicht eine bereits geöffnete Sitzung.
3. Über die API. Mit dem Token des Benutzers genügen ein paar Anfragen an SharePoint oder Microsoft Graph, um die verfügbaren Websites aufzulisten, Dateien zu überschreiben oder zu löschen und die Papierkörbe zu leeren. Keine Fenster, keine Klicks.

Forschung Bereits 2022 beschrieb Proofpoint ein Szenario speziell für SharePoint und OneDrive: Ein Angreifer in einem kompromittierten Konto senkt das Versionslimit einer Datei auf eins und verschlüsselt die Datei mehrmals — es bleiben keine intakten älteren Versionen übrig. Adminrechte sind nicht nötig, jeder Schritt lässt sich über die APIs und PowerShell automatisieren, und Microsoft antwortete, die Funktionen arbeiteten wie vorgesehen (Proofpoint). Eine verwandte Technik des Sitzungsdiebstahls — eine Browsererweiterung, die Entra-ID-Cookies stiehlt und MFA für Outlook, Teams, SharePoint und OneDrive umgeht — führten Forscher 2025 unter dem Namen Cookie-Bite vor.

KI hat die letzte Hürde beseitigt

Früher brauchte man für ein solches Skript einen erfahrenen Entwickler. Heute kann es jeder, der die Aufgabe in Worten beschreiben kann. Forschung Im August 2025 entdeckte ESET PromptLock — die erste bekannte Ransomware, die ihre Skripte selbst mit einem Sprachmodell erzeugt; vorerst ein Prototyp, kein realer Angriff (ESET). Im selben Monat berichtete Anthropic von einem Kriminellen mit nur grundlegenden Programmierkenntnissen, der mithilfe von KI fertige Ransomware entwickelte und für 400–1.200 $ pro Stück verkaufte (Anthropic). Die Schlussfolgerung ist einfach: Alles, was wir in diesem Artikel von Hand gemacht haben — Hunderte Dateien beschädigen, Ordner löschen, Papierkörbe leeren —, passt heute in ein kleines Skript, das jeder schreiben kann.

Wenn Ihr Windows-Passwort auch Ihr Microsoft-365-Passwort ist

In vielen Unternehmen werden Konten aus dem lokalen Active Directory mit Microsoft Entra ID synchronisiert: Man meldet sich mit demselben Passwort bei Windows und bei Microsoft 365 an. Bequem — aber ein kompromittierter PC oder eine kompromittierte Domäne wird so auch zum Schlüssel für die Cloud. Microsoft sagt Im August 2025 beschrieb Microsoft einen Angriff der Gruppe Storm-0501: Die Angreifer übernahmen das lokale Active Directory und einen Entra-Connect-Server, setzten das Passwort eines synchronisierten Kontos mit der Rolle Globaler Administrator ohne MFA zurück — und das neue Passwort wurde in die Cloud synchronisiert. Anschließend exfiltrierten sie Daten, löschten Snapshots, Wiederherstellungspunkte und Backups in Azure und forderten das Lösegeld über Teams (Microsoft Security Blog). Backups im selben Tenant waren das Erste, was sie zerstörten.

Warum OneDrive kein Backup ist: die 3-2-1-Regel

Die klassische 3-2-1-Backup-Regel: drei Kopien Ihrer Daten auf zwei verschiedenen Speichertypen, davon eine getrennt vom Rest. Die moderne Variante 3-2-1-1-0 ergänzt eine unveränderliche Kopie und null Fehler bei Wiederherstellungstests. Mit OneDrive allein haben Sie eine Kopie, die an mehreren Orten gespiegelt wird: Versionsverlauf und Papierkorb liegen im selben Konto. Ereignisse wie diese erreichen sie nicht:

• alle Dateien gelöscht und beide Papierkörbe geleert — von einem ausscheidenden Mitarbeiter oder einem Angreifer mit seinem Passwort;
• ein kompromittiertes oder gelöschtes Konto, eine deaktivierte Lizenz;
• ein Fehler eines Admins oder Skripts, der Versionen oder Papierkörbe bereinigt;
• eine Löschung, die erst nach mehr als 93 Tagen bemerkt wird.

3-2-1-Backup in Microsoft 365: drei Schritte

Das Ziel: OneDrive um eine unabhängige Kopie nach Zeitplan ergänzen, die sich vom Konto des Benutzers aus nicht löschen lässt und nicht endlos wächst. Alles mit Ihrem eigenen Microsoft 365, ohne Cloud eines Drittanbieters.

Schritt 1. Ein Backup-Ordner mit Nur-Hinzufügen-Rechten in SharePoint

SharePoint hat keine eingebaute Berechtigungsstufe „hinzufügen ja, löschen nein“, aber sie ist schnell gebaut. Sie brauchen dafür einen Websitebesitzer.

1. Berechtigungsstufe. ⚙ → Site permissions → Advanced permissions settings → Permission Levels → Contribute → Copy Permission Level. Nennen Sie sie Backup Append-Only. Entfernen Sie nur drei Berechtigungen: Edit Items, Delete Items, Delete Versions.
2. Eigene Berechtigungen für den Ordner. Backup-Ordner → ⋯ → Manage access → Advanced settings → Stop Inheriting Permissions.
3. Bearbeitungsrechte entziehen. Entfernen Sie die Gruppe der Websitemitglieder (Edit) vom Ordner — effektive Berechtigungen addieren sich über alle Gruppen, und mit Edit könnte ein Benutzer Dateien löschen. Die Besitzergruppe behalten Sie.
4. Nur-Hinzufügen gewähren. Grant Permissions → eine Sicherheitsgruppe mit den Benutzern, deren Backups hier landen sollen → die Stufe Backup Append-Only, ohne Einladungs-E-Mail.

Wir haben beobachtet Als normaler Benutzer klappt das Hochladen eines neuen Archivs; das Ändern oder Löschen eines vorhandenen ergibt No access; das Herunterladen für eine Wiederherstellung funktioniert.

Das ist eine Berechtigung, kein unveränderlicher Speicher: Der Websitebesitzer und der Tenant-Admin können weiterhin löschen. Sie schützt vor Benutzerfehlern und Ransomware auf einem PC, nicht vor einem kompromittierten Admin.

Schritt 2. Backup-Rotation ohne Papierkorb

Ein Ärgernis, über das selten geschrieben wird: Gelöschte alte Backups landen im Papierkorb der Website und liegen dort bis zu 93 Tage — und fressen Kontingent. Bei einem täglichen 5-GB-Archiv liegen ständig rund 450 GB „gelöschter“ Daten im Papierkorb. Hinzu kommt: Die Benutzer aus Schritt 1 können nicht löschen — aufräumen muss jemand anderes.

Die Lösung ist ein Power-Automate-Flow, der als Websitebesitzer läuft. Sobald ein neues Archiv <Quelle> yyyy-MM-dd HHmmss.zip im Ordner erscheint, nimmt der Flow die Archive derselben Quelle im selben Ordner, behält die N neuesten und löscht ältere endgültig — aber nur solche, die älter als D Tage sind (standardmäßig 7). OneMount legt die Kopien jedes PCs in einem eigenen Unterordner ab, sodass „Desktop“ von zwei Computern getrennt gezählt wird. Wir haben gemessen Die Standardaktion „Delete file“ schickt eine Datei in den Papierkorb; endgültiges Löschen ist eine DELETE-Anfrage über „Send an HTTP request to SharePoint“ — keiner der beiden Papierkörbe enthielt die gelöschten Archive, und jeder Flow-Lauf dauerte etwa eine halbe Sekunde.

Zwei Flows: Rotation und Bereinigung verwaister PCs

Setzen Sie die Schwelle für „verwaist“ länger an als einen Urlaub und Ihren seltensten Backup-Zeitplan: Ein PC, der zwei Wochen ausgeschaltet ist, sieht für den Flow genauso aus wie ein defekter, und sein Verlauf würde auf eine einzige Kopie schrumpfen.

Option A · Der Generator — empfohlen (10 Minuten)

Der Generator installiert nichts in Ihrem Tenant: Er erstellt zwei .zip-Pakete, die Power Automate als fertige Flows importiert — manifest.json mit Name und Beschreibung und definition.json mit dem gesamten Flow, in dem Ihre Website, Bibliothek, Ihr Ordner und Ihre Zahlen bereits eingetragen sind. Genau dafür gibt es ihn: fünf Klicks statt ein paar Dutzend Felder und Ausdrücke.

1. Laden Sie onemount-retention-flow.zip herunter, entpacken Sie es und führen Sie Create-RetentionFlow.bat als Websitebesitzer aus (auch im Browser als Besitzer angemeldet).
2. Fügen Sie einen Link zum Backup-Ordner aus der Adressleiste ein — der Generator ermittelt Website, Bibliothek und Ordner. Drücken Sie auf der kleinen Seite mit der Bibliotheks-ID Ctrl+A, Ctrl+C — das Generatorfenster übernimmt sie.
3. Beantworten Sie zwei Fragenblöcke (Enter übernimmt den Standardwert; zu jeder Frage gibt es einen Hinweis). Neben dem Skript erhalten Sie OneMount-1-Rotation-….zip, OneMount-2-Cleanup-….zip und OneMount-IMPORT-STEPS-….txt — Importschritte mit Ihren eigenen Namen und Zahlen.
4. Importieren Sie jedes Paket: Power Automate → My flows → Import → Import Package (Legacy) → Upload. Lassen Sie die Flow-Zeile auf Create as new; wählen Sie in der roten Zeile SharePoint Connection Select during import → die Verbindung des Websitebesitzers (noch keine vorhanden — + Create; klicken Sie auf die Zeile, bis ein ✓ erscheint) → Save → Import.
5. Schalten Sie beide Flows ein unter My flows — ein importierter Flow ist ausgeschaltet. Flow 1 ist Automated, Flow 2 ist Scheduled. Schalten Sie ältere Aufbewahrungs-Flows für denselben Ordner aus oder löschen Sie sie.

Funktionstest. Flow 1 startet für Archive, die nach dem Einschalten erstellt werden, mit einer Verzögerung von bis zu ~5 Minuten (mit einer Microsoft-365-Lizenz fragt der Trigger den Ordner etwa so oft ab): Legen Sie ein neues Backup ab und prüfen Sie den Ausführungsverlauf. Ein erfolgreicher Lauf ohne Löschungen ist normal, solange es nicht mehr als N Kopien gibt oder sie jünger als das Mindestalter sind. Auf Flow 2 müssen Sie nicht bis zur Nacht warten: öffnen → Test → Manually → Run flow. Um die Rotation zu testen, erstellen Sie die Pakete mit Create-RetentionFlow.bat -Keep 1 -MinAgeDays 0.

Option B · Die Flows von Hand erstellen

Nützlich, um zu verstehen, was drinsteckt, oder wenn der Paketimport in Ihrer Umgebung gesperrt ist. Allgemeine Regeln: Fügen Sie Ausdrücke über den Reiter fx ein (oder Edit in advanced mode in Filter array); benennen Sie die Aktionen genau wie angegeben — die Ausdrücke verweisen darauf (aus einem Leerzeichen wird _: „Active sources“ → body('Active_sources')). Ersetzen Sie OneMount_BackUP, 7 Kopien, 7 / 14 / 30 Tage und die Bibliotheks-ID durch Ihre eigenen Werte.

Flow 1 · Rotation Automated cloud flow · 7 Schritte

1. Trigger — When a file is created (properties only) (SharePoint): Site Address und Library Name aus der Liste wählen, mit der Verbindung des Websitebesitzers.
2. Condition, alle Zeilen mit And verknüpft; links steht der Ausdruck, Operator und Wert wie in der Beschriftung:
   1 · contains → OneMount_BackUP

   triggerOutputs()?['body/{Path}']

   2 · ends with → .zip

   toLower(triggerOutputs()?['body/{FilenameWithExtension}'])

   3 · is greater or equal to → 3

   length(split(triggerOutputs()?['body/{FilenameWithExtension}'], ' '))

   4 · is equal to → 10 (Datum im Namen)

   length(first(skip(split(triggerOutputs()?['body/{FilenameWithExtension}'], ' '), max(0, sub(length(split(triggerOutputs()?['body/{FilenameWithExtension}'], ' ')), 2)))))

3. Zweig True → Compose — der Quellname ohne Datum und Uhrzeit („Desktop 2026-10-20 230000.zip“ → „Desktop“):
   Inputs

   join(take(split(replace(triggerOutputs()?['body/{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(triggerOutputs()?['body/{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' ')

4. Get files (properties only) — dieselbe Website und Bibliothek, Order By: Created asc; Settings → Pagination On, Threshold 5000 (ohne das sieht der Flow nur 100 Dateien).
5. Filter array — From: body/value aus Get files; Edit in advanced mode — Archive derselben Quelle im selben Ordner:
   Filter query

   @and(equals(item()?['{Path}'], triggerOutputs()?['body/{Path}']), endsWith(toLower(item()?['{FilenameWithExtension}']), '.zip'), equals(join(take(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' '), outputs('Compose')))

6. Ein weiteres Filter array namens Filter old enough — jenseits der N neuesten und älter als das Mindestalter:
   From · N = 7

   take(body('Filter_array'), max(0, sub(length(body('Filter_array')), 7)))

   Filter query · 7 Tage

   @less(ticks(item()?['Created']), ticks(addDays(utcNow(), -7)))

7. Apply to each über Body von Filter old enough → darin Send an HTTP request to SharePoint: Ihre Website, Method DELETE, Headers IF-MATCH = * — endgültiges Löschen am Papierkorb vorbei. Die Bibliotheks-ID steht in der Adresse der Library settings nach List=. Save.
   Uri

   concat('_api/web/lists(guid''<Bibliotheks-ID>'')/items(', item()?['ID'], ')')

← seitlich scrollen · Screenshot anklicken zum Vergrößern →

Flow 2 · Bereinigung verwaister PCs Scheduled cloud flow · 9 Schritte

1. Recurrence: Interval 1, Frequency Day, Ihre Zeitzone, At these hours 3, At these minutes 0.
2. Get files (properties only) — Website und Bibliothek, Order By: Created desc (neueste zuerst — damit ein aktiver PC in einer großen Bibliothek nie verwaist wirkt); Pagination 5000.
3. Filter array namens Backups — From body/value; nur OneMount-Archive in Ihrem Ordner:
   Filter query

   @and(contains(item()?['{Path}'], 'OneMount_BackUP'), endsWith(toLower(item()?['{FilenameWithExtension}']), '.zip'), greaterOrEquals(length(split(item()?['{FilenameWithExtension}'], ' ')), 3), equals(length(first(skip(split(item()?['{FilenameWithExtension}'], ' '), max(0, sub(length(split(item()?['{FilenameWithExtension}'], ' ')), 2))))), 10))

4. Filter array „Recent“ — From Body von Backups; Kopien der letzten 14 Tage:
   Filter query · 14 Tage

   @greater(ticks(item()?['Created']), ticks(addDays(utcNow(), -14)))

5. Select „Active sources“ — From Body von Recent; Map im Textmodus (die Schaltfläche rechts neben Map) — ein Schlüssel „Ordner|Quelle“:
   Map

   concat(item()?['{Path}'], '|', join(take(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' '))

6. Compose „Active set“ — die Liste ohne Duplikate:
   Inputs

   union(body('Active_sources'), body('Active_sources'))

7. Filter array „Abandoned“ — From Body von Backups; Kopien von Quellen, die nicht aktiv sind:
   Filter query

   @not(contains(outputs('Active_set'), concat(item()?['{Path}'], '|', join(take(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' '), max(0, sub(length(split(replace(item()?['{FilenameWithExtension}'], '.zip', ''), ' ')), 2))), ' '))))

8. Condition: length(body('Abandoned')) is greater than 0. Im Zweig True drei Aktionen: Select „Abandoned keys“ (From Body von Abandoned, Map — derselbe Ausdruck wie in Schritt 5); Select „Mark newest“ — markiert die letzte Kopie jeder Quelle; Filter array „To delete“ — alles außer der letzten Kopie, und die letzte Kopie selbst, sobald sie älter als 30 Tage ist:
   Mark newest · From

   range(0, length(body('Abandoned')))

   Mark newest · Map: ID

   body('Abandoned')[item()]?['ID']

   Mark newest · Map: Created

   body('Abandoned')[item()]?['Created']

   Mark newest · Map: Newest

   not(contains(take(body('Abandoned_keys'), item()), body('Abandoned_keys')[item()]))

   To delete · From Body von Mark newest · Filter query · 30 Tage

   @or(not(item()?['Newest']), less(ticks(item()?['Created']), ticks(addDays(utcNow(), -30))))

9. Im selben Zweig, nach To delete — Apply to each über Body von To delete mit demselben Send an HTTP request to SharePoint DELETE wie in Flow 1. Save.

← seitlich scrollen · Screenshot anklicken zum Vergrößern →

Schritt 3. Backups nach Zeitplan

Die Schritte 1 und 2 funktionieren mit jedem Tool, das datierte Archive in SharePoint ablegt. Wir nutzen OneMount: ein Assistent in vier Schritten — Richtung, was kopiert wird, wohin, wie oft.

• Momentaufnahmen, keine Synchronisierung. Jeder Lauf erzeugt ein neues datiertes Archiv, in das danach nichts mehr schreibt.
• Funktioniert mit einem Nur-Hinzufügen-Ordner. OneMount prüft die Berechtigungen selbst und zeigt sie auf der Backup-Karte an. Große Archive laufen über das OneDrive des Benutzers und die serverseitige Kopie in SharePoint — das Recht zum Hinzufügen genügt.
• Beide Richtungen. PC-Ordner nach SharePoint oder OneDrive; SharePoint-Bibliotheken auf eine lokale Festplatte oder ein NAS — die Kopie außerhalb von Microsoft 365, die 3-2-1 verlangt.
• Den ganzen Bestand auf einmal wiederherstellen, direkt aus der Cloud; vorhandene Dateien werden nicht überschrieben.

Wir haben beobachtet Als normaler Benutzer landete ein Desktop-Backup von 510,8 MB im Nur-Hinzufügen-Ordner, eine zweite Kopie vom selben Tag lag daneben, und der Benutzer konnte keines der beiden Archive löschen.

Was sichern: Gemeinsame SharePoint-Bibliotheken zählen so viel wie OneDrive

Bisher ging es um die Dateien eines Benutzers. In den meisten Organisationen liegen die wertvollsten Daten aber in gemeinsamen Bibliotheken von SharePoint-Websites: Verträge, Buchhaltung, Personalunterlagen, Projekte. Auch Dateien in Microsoft Teams sind Websitebibliotheken. Und das Risiko ist dort oft höher als im persönlichen Speicher:

• eine Person, Folgen für die ganze Abteilung. Ein Websitemitglied mit Bearbeitungsrechten kann einen Ordner löschen, in dem Dutzende Kollegen arbeiten, und ein Websitebesitzer kann zusätzlich beide Papierkörbe leeren;
• der Schaden breitet sich weiter aus. Auf einem PC verschlüsselte Dateien werden in die Bibliothek synchronisiert und von dort auf die Computer aller, die sie synchronisieren;
• es fällt spät auf. Ein gemeinsamer Ordner gehört „niemandem“: Fehlende Dateien werden oft erst gesucht, wenn im Papierkorb nur noch wenige Tage bleiben.

Legen Sie Prioritäten deshalb danach fest, was ein Verlust das Unternehmen kosten würde, nicht danach, wo die Dateien zufällig liegen:

OneMount sichert Websitebibliotheken mit demselben Mechanismus wie PC-Ordner: Richtung „Aus der Cloud auf diesen PC“, datierte Momentaufnahmen nach Zeitplan, Wiederherstellung des ganzen Bestands in einen separaten Ordner. Wie Sie das in Ihre Infrastruktur einbinden, entscheidet der Admin. Eine typische Variante ist ein eigener, ständig laufender Computer oder Server: OneMount, angemeldet mit einem Konto, das die benötigten Bibliotheken lesen kann, schreibt Kopien auf eine lokale Festplatte oder ein NAS. Diese Kopie liegt außerhalb von Microsoft 365 — genau die separate Kopie, die die 3‑2‑1-Regel verlangt —, und Aufträge samt Status lassen sich zentral verwalten.

Kann man Backups im OneDrive des Benutzers speichern?

Die Versuchung ist groß: Jeder Mitarbeiter hat bereits 1 TB OneDrive, während der gemeinsame Tenant-Speicher für Desktop-Backups von 20–40 GB bei tausend Personen womöglich nicht reicht. Doch wie wir am Anfang gesehen haben, ist der Benutzer Besitzer seines OneDrive, und eine Nur-Hinzufügen-Berechtigungsstufe greift dort nicht: Er kann das Backup samt beider Papierkörbe löschen.

Bremsen kann ihn nur eine Aufbewahrungsrichtlinie in Microsoft Purview, eingerichtet von einem Compliance-Admin. Microsoft sagt Sie hindert niemanden daran, Dateien zu löschen oder Papierkörbe zu leeren, bewahrt aber vor jedem Löschen oder Ändern eine Kopie in der versteckten Preservation Hold library auf, und weder der Benutzer noch Ransomware können sie dort vor Ablauf der Frist entfernen (Doku). Genau das verhindert, dass Dateien spurlos verschwinden — ob durch einen ausscheidenden Mitarbeiter oder einen Angreifer mit seinem Passwort.

1. Microsoft-Purview-Portal → Data lifecycle management → Retention policies → New retention policy.
2. Speicherorte — nur OneDrive accounts (für einen Pilotbetrieb ein paar Benutzer oder eine Gruppe).
3. Retain items for a specific period, zum Beispiel 90 Tage; am Ende — Do nothing.
4. Die Anwendung dauert bis zu 7 Tage; den Status prüfen Sie mit Get-RetentionCompliancePolicy -DistributionDetail. Die Bibliothek erscheint nach der ersten Änderung oder Löschung unter der Richtlinie: https://<Tenant>-my.sharepoint.com/personal/<Benutzer>/PreservationHoldLibrary.

Eine weitere Option: OneDrive auf eine Netzwerkfreigabe sichern

Es geht auch andersherum: das OneDrive des Benutzers aus der Cloud auf eine lokale Festplatte oder eine Netzwerkfreigabe (\\server\share) sichern. Im OneMount-Assistenten ist das die Richtung „Aus der Cloud auf diesen PC“: Wählen Sie das OneDrive als Quelle und als Ziel einen Netzwerkordner, in den der Benutzer schreiben darf. Wir haben beobachtet Das Backup landete als Archiv in der Netzwerkfreigabe, genau wie auf einer normalen Festplatte. Eine solche Kopie liegt außerhalb von Microsoft 365 — die separate Kopie aus der 3-2-1-Regel.

Ein wichtiger Vorbehalt: Kopiert wird, was in der Cloud liegt. Wenn OneDrive auf einem PC seit einiger Zeit nicht synchronisiert (das kommt vor und kann monatelang unbemerkt bleiben), sind die neuesten Dateien schlicht nicht in der Cloud — und auch nicht im Backup. Diese Option ergänzt daher ein Backup vom PC, statt es zu ersetzen. Und denken Sie daran: Wer in eine Netzwerkfreigabe schreiben darf, kann dort meist auch löschen — legen Sie ihre Berechtigungen gesondert fest.

Unsere Interpretation Für ein Unternehmen, dem die Arbeitsergebnisse gehören, ist die zuverlässigste Option ein Backup in einem separaten Tenant oder auf einer separaten SharePoint-Website mit Nur-Hinzufügen-Ordner, in dem die Benutzer keine Besitzer sind. Eine Purview-Richtlinie für OneDrive ist eine Notlösung, wenn es überhaupt keinen separaten Speicher gibt.

Was ist OneMount

OneMount ist eine spezialisierte Windows-App für die Arbeit mit SharePoint Online und OneDrive for Business. Sie ergänzt OneDrive, statt es zu ersetzen:

• bindet SharePoint- und OneDrive-Bibliotheken als Laufwerke im Datei-Explorer ein — mit Laufwerksbuchstaben, ohne Synchronisierung und lokale Kopien, mit Office-Co-Authoring;
• erstellt Backups nach Zeitplan — PC-Ordner nach SharePoint oder OneDrive und SharePoint-Bibliotheken auf eine lokale Festplatte, mit Wiederherstellung in einem Schritt;
• wird zentral verwaltet — über das Admin-Portal oder Gruppenrichtlinien, und der Admin sieht den Backup-Status jedes PCs.

Keine Drittanbieter-Cloud und keine App-Registrierung in Azure: Ihre Daten bleiben in Ihrem Microsoft 365. SharePoint als Netzlaufwerk einbinden →

FAQ: OneDrive und Backup

Ist OneDrive ein Backup?

Nicht im vollen Sinne. OneDrive ist eine Synchronisierung mit guten Wiederherstellungsfunktionen: Einzelne beschädigte und gelöschte Dateien kamen in unseren Tests Byte für Byte zurück. Es ist aber eine einzige Kopie Ihrer Daten im selben Konto, erfüllt für sich allein also nicht die 3-2-1-Regel, und nach einer Massenbeschädigung stellt es Dateien einzeln wieder her.

Kann ein Mitarbeiter vor dem Ausscheiden alle seine Dateien aus OneDrive löschen?

Ja. Im eigenen OneDrive ist der Benutzer Besitzer: Er kann Dateien löschen und beide Papierkörbe leeren. Wir haben es mit einer 543-MB-Datei getestet — sie verschwand ganz ohne Zutun eines Admins. Schützen können Sie die Arbeit mit einer separaten Kopie, die der Benutzer nicht kontrolliert, oder mit einer Aufbewahrungsrichtlinie in Microsoft Purview.

Was passiert, wenn alle OneDrive-Dateien verschlüsselt oder samt Papierkorb gelöscht werden?

OneDrive synchronisiert eine Massenverschlüsselung wie jede andere Änderung in die Cloud. Einzelne Dateien kommen einzeln aus dem Versionsverlauf zurück; das gesamte OneDrive lässt sich mit Restore your OneDrive innerhalb von 30 Tagen auf einen Zeitpunkt vor dem Angriff zurücksetzen, wenn Sie es rechtzeitig bemerken. Schlimmer ist das Löschen mit geleerten Papierkörben: Ein Angreifer unter dem Konto des Benutzers hat dieselben Rechte wie der OneDrive-Besitzer, einzelne Dateien lassen sich nicht wiederherstellen, und der Microsoft-Support kann nur das gesamte OneDrive innerhalb von 14 Tagen zurücksetzen. Deshalb brauchen Sie eine Kopie an einem Ort, an dem dieses Konto nicht löschen kann.

Wie lange bleiben gelöschte Dateien in OneDrive for Business erhalten?

93 Tage im Papierkorb (erste und zweite Stufe zusammen). Was aus dem Papierkorb der zweiten Stufe gelöscht wurde, lässt sich nicht mehr als einzelne Dateien wiederherstellen.

Wie viele Versionen speichert OneDrive?

Standardmäßig 500 pro Datei. Im automatischen Modus alle Versionen der ersten 30 Tage, ältere werden ausgedünnt. Der Versionsverlauf funktioniert für jeden Dateityp — wir haben sowohl Excel- als auch PDF-Dateien wiederhergestellt.

Kann man in SharePoint das Hinzufügen von Dateien erlauben, das Löschen aber verbieten?

Ja: Kopieren Sie die Berechtigungsstufe Contribute ohne Edit Items, Delete Items und Delete Versions, unterbrechen Sie die Vererbung für den Ordner und vergeben Sie die neue Stufe. Denken Sie daran, dass sich die Berechtigungen aus allen Gruppen eines Benutzers addieren.

Warum füllt sich der Websitespeicher weiter, obwohl alte Backups gelöscht werden?

Weil gelöschte Elemente bis zu 93 Tage im Papierkorb der Website liegen und zum Kontingent zählen. Löschen Sie alte Backups mit einer REST-DELETE-Anfrage — sie umgeht den Papierkorb.

Kann Ransomware Dateien in OneDrive und SharePoint verschlüsseln?

Ja. Ein Programm, das in der Sitzung des Benutzers läuft, hat dessen Rechte: Es verschlüsselt Dateien auf der Festplatte, und OneDrive lädt die beschädigten Versionen in die Cloud hoch; oder es nutzt eine bereits geöffnete Browsersitzung bzw. ein Token, um über die API Dateien auf jeder Website zu ändern und zu löschen, auf die der Benutzer Zugriff hat. Wird das Windows-Passwort mit Microsoft 365 synchronisiert, öffnet ein kompromittierter PC oder eine kompromittierte Domäne auch die Cloud. Schutz bieten eine Kopie, die sich vom Konto des Benutzers aus nicht ändern lässt, und eine Kopie außerhalb des Tenants.

Ist ein Fileserver sicherer als OneDrive?

Nicht von sich aus — es kommt auf die Einrichtung an. Windows Server bietet Schattenkopien freigegebener Ordner (Reiter „Vorgängerversionen“), und NAS-Geräte wie Synology oder QNAP erstellen Dateisystem-Snapshots. Das sind aber Momentaufnahmen nach Zeitplan — unter Windows standardmäßig werktags um 7:00 und 12:00 Uhr, bis zu 64 Stück —, kein Verlauf jeder Änderung wie bei OneDrive: Was zwischen zwei Snapshots geändert wurde, lässt sich nicht wiederherstellen. Der Vorteil: Ransomware, die einen freigegebenen Ordner vom PC eines Benutzers aus verschlüsselt, kommt an die Snapshots auf dem Server nicht heran, und auf einem NAS lassen sie sich unveränderlich machen. Die Schwachstellen: Ein Angreifer mit Adminrechten auf dem Server löscht Schattenkopien mit einem einzigen Befehl, und die Snapshots liegen auf demselben Server, sind also keine separate 3‑2‑1-Kopie. Das Fazit ist dasselbe wie bei OneDrive: Sie brauchen zusätzlich ein separates Backup. Und wenn die Belegschaft an einen Laufwerksbuchstaben gewöhnt ist, behalten Sie ihn mit SharePoint als eingebundenem Laufwerk.

Brauche ich Microsoft 365 Backup, wenn ich schon OneDrive habe?

Es ist die native Wahl, wenn Sie ganze Websites und OneDrives bis zu einem Jahr zurück wiederherstellen müssen und einen Admin haben, der es betreibt. Es kostet 0,15 $ pro GB und Monat — rund 4.500 $ im Monat für 30 TB — und deckt keine Dateien ab, die nur auf PCs existieren.

---

Wie OneDrive mit wirklich großen Bibliotheken zurechtkommt — der Synchronisierungstest mit 1.000.000 Dateien →

---

Quellen

• Microsoft Learn — Grenzen des Versionsverlaufs für Dokumentbibliotheken und OneDrive.
• Microsoft Learn — Versionsspeicher planen (automatischer Modus).
• Microsoft — gelöschte Dateien oder Ordner in OneDrive wiederherstellen.
• Microsoft — Restore your OneDrive (OneDrive wiederherstellen).
• Microsoft Learn — Aufbewahrung und Löschung in OneDrive.
• Microsoft Learn — Aufbewahrungsrichtlinien für SharePoint und OneDrive.
• Microsoft Learn — Umgang mit Ransomware in SharePoint Online.
• Microsoft Learn — Preise für Microsoft 365 Backup.
• Microsoft Security Blog — Storm-0501: vom lokalen AD zur Cloud-Ransomware (August 2025).
• Proofpoint — Verschlüsselung von SharePoint- und OneDrive-Dateien über das Versionslimit (Juni 2022).
• ESET — PromptLock, die erste bekannte KI-gestützte Ransomware (August 2025).
• Anthropic — Bericht über KI-Missbrauch, einschließlich der Entwicklung von Ransomware (August 2025).
• Eigene Tests von SkylFlow, 21.–23. Oktober 2026: eine isolierte VM, ein Testkonto ohne Adminrechte, SHA-256-Prüfsummen und Zeitmessungen für jeden Durchlauf.