Microsoft 365 | Backup: Recovery Window konfigurierbar

Das Recovery Window in Microsoft 365 Backup lag bisher fest bei zwölf Monaten, unabhängig davon, ob eine Richtlinie eine kurzlebige Projekt-Site oder ein Postfach mit langen Nachweispflichten schützt. Ab Ende Juli 2026 legst du den Zeitraum pro Backup-Richtlinie selbst fest, zwischen drei Monaten und zwei Jahren.

Microsoft führt die Änderung unter der Message-Center-ID MC1419799 und der Roadmap-ID 481834. Public Preview und General Availability starten beide weltweit Ende Juli 2026 und sollen Anfang August abgeschlossen sein.

Der Default bleibt bei einem Jahr. Bestehende Richtlinien passt Microsoft nicht automatisch an, weil eine automatische Verkürzung sonst in laufende Aufbewahrungsanforderungen eingreifen würde. Du setzt den Wert also selbst, beim Anlegen einer Richtlinie oder über „Update recovery window" an einer bestehenden.

Microsoft 365 Backup kostet 0,15 US-Dollar pro Gigabyte geschütztem Inhalt und Monat, abgerechnet über eine Azure-Subscription. Die Rechnung sinkt beim Verkürzen aber nicht proportional zur Fensterlänge. Abgerechnet wird die Live-Größe der geschützten Postfächer, Sites und OneDrive-Konten, dazu die gelöschten und versionierten Inhalte, die das Backup noch vorhält.

Nur der zweite Teil fällt früher aus der Abrechnung, wenn du das Fenster kürzt. Bei einer Site mit wenig Löschvolumen bringt der Schritt kaum etwas, bei Postfächern mit hoher Fluktuation und großen Archiven dagegen schon.

Wer das Fenster einer bestehenden Richtlinie verkleinert, löscht Backup-Daten außerhalb des neuen Zeitraums dauerhaft, nach Ablauf einer Karenzzeit. Deren Dauer nennt Microsoft im Message Center nicht, und sie ist nicht identisch mit den 90 Tagen, die beim Offboarding des gesamten Dienstes gelten.

Purview-Retention und Legal Holds bleiben davon unberührt. Microsoft 365 Backup liefert Point-in-Time-Recovery, kein Compliance-Archiv. Eine Aufbewahrungsfrist aus DSGVO, GoBD oder ISO 27001 hängt an Retention Labels und Retention Policies, nicht am Recovery Window. Umgekehrt ersetzt eine Purview-Richtlinie kein Backup, weil sie dir nach einem Ransomware-Vorfall keinen sauberen Wiederherstellungspunkt liefert.

Automatisieren lässt sich die Umstellung vorerst nicht sauber. Die Backup-Storage-APIs in Microsoft Graph richten sich an registrierte Backup-Controller-Anwendungen, ein dokumentiertes Property für das Recovery Window existiert dort noch nicht. Lesend kommst du mit Get-MgSolutionBackupRestoreProtectionPolicy an die RetentionSettings einer Richtlinie, die Intervalle stehen als ISO-8601-Werte wie R/PT10M.

Für die Bestandsaufnahme brauchst du keine Klickstrecke durch das Admin Center. Die Backup-Richtlinien liegen in Microsoft Graph unter solutions/backupRestore/protectionPolicies, und der Graph PowerShell SDK bringt dafür das Modul Microsoft.Graph.BackupRestore mit.

Interessant ist das Feld RetentionSettings. Es enthält pro Richtlinie mehrere Einträge mit zwei Werten. Interval beschreibt die Frequenz der Restore Points als wiederholendes ISO-8601-Intervall, R/PT10M steht für alle zehn Minuten, R/P1W für wöchentlich. Period beschreibt die Aufbewahrungsdauer, und genau das ist das Recovery Window. Der bisherige Fixwert erscheint dort als P1Y, die neue Spanne entspricht P3M bis P2Y.

Je nach SDK-Version mappt das Modul Period auf einen TimeSpan statt auf den ISO-Wert. Wenn die Ausgabe seltsam aussieht, hol dir die Rohdaten direkt:

Schreibend kommst du damit nicht weiter. Die Backup-Storage-APIs richten sich an die Backup-Controller-Anwendung des Tenants, von der es pro Tenant nur eine gibt. Interaktive Schreibaufrufe über den Graph PowerShell SDK laufen deshalb regelmäßig in ein 403. MC1419799 nennt als Oberfläche für das neue Recovery Window ausschließlich das Microsoft 365 Admin Center. Ob period mit dem Rollout schreibbar wird, ist offen.

Für den Moment ist PowerShell dein Inventar- und Dokumentationswerkzeug, nicht dein Konfigurationswerkzeug. Genau dafür lohnt es sich: Lauf den Export einmal vor der Umstellung und einmal danach, dann hast du den Vorher-Nachher-Nachweis für die Compliance-Akte, ohne Screenshots sammeln zu müssen.

Ein kleiner Schalter mit echtem Nutzen: zwei Jahre für Postfächer mit langen Nachweispflichten, drei Monate für kurzlebige Projekt-Sites. Geh nach dem Rollout einmal durch deine Richtlinien und entscheide bewusst, statt den Default stehen zu lassen. Verkürze aber erst, wenn Compliance und Fachbereich bestätigt haben, was gelöscht werden darf. Zurückholen kannst du die Daten danach nicht mehr.