Microsoft 365 Backup: Hornetsecurity, AvePoint, Veeam oder Commvault?

Vier Lösungsprofile im Vergleich – und warum die Wahl des Backup-Ziels genauso entscheidend ist wie die der Software.

Microsoft sichert die Plattform. Wer sichert Ihre Daten?

Knapp über 50 Prozent der Unternehmen haben laut aktuellen Erhebungen bereits Datenverluste in SaaS-Anwendungen erlebt. Bei Microsoft 365 liegt das nicht an mangelnder Zuverlässigkeit der Plattform – sondern am Shared Responsibility Model.

Microsoft garantiert die Verfügbarkeit der Infrastruktur, Redundanz und Betriebsstabilität. Was Microsoft nicht übernimmt: den Schutz vor versehentlich gelöschten Elementen nach der Standardretentionsfrist, vor Ransomware-Verschlüsselung auf Dateiebene, vor Nutzerfehler oder falsch konfigurierten Berechtigungen. Wer sich darauf verlässt, dass der Papierkorb von OneDrive oder die Aufbewahrungszeit von Exchange ausreicht, hat die Verantwortungsteilung falsch verstanden.

Für Mittelstandsunternehmen, die unter NIS-2 fallen oder DSGVO-konforme Nachweispflichten erfüllen müssen, ist ein vollständiges Backup-Konzept für Microsoft 365 keine Kür. Es ist Pflicht.

Die Frage ist also nicht ob, sondern womit.

Hornetsecurity 365 Total Backup: Schlankes SaaS-Backup mit E-Mail-Security im Paket

Hornetsecurity (seit 2025 Teil von Proofpoint) kommt aus der M365-Security-Welt – und genau dort sitzt auch das Backup. 365 Total Backup ist vollständig SaaS, von Hornetsecurity betrieben und ohne eigene Infrastruktur beim Kunden. Konfiguration und Betrieb sind im Vergleichsfeld ein No-Brainer.

Was geschützt wird: Exchange Online inklusive In-Place-Archiv, SharePoint Online, OneDrive for Business, Microsoft Teams Chats, Planner, OneNote sowie Entra ID Users & Groups. Backups laufen automatisch mehrmals täglich; Speicher und Retention sind im Tarif unbegrenzt enthalten.

Was es besonders macht: Hornetsecurity ist der einzige Anbieter im Vergleich, der M365-Backup als integralen Bestandteil eines umfassenden E-Mail-Security-Pakets liefert. Wer 365 Total Protection (Plan 3 oder 4) nutzt, bekommt Backup, Spam- und Malware-Schutz, Advanced Threat Protection, E-Mail-Archivierung und Security Awareness aus einer Hand. Für mittelständische IT-Teams ohne dedizierte Security-Mannschaft ist das ein nüchternes Argument: ein Vertrag, ein Ansprechpartner, ein Dashboard. Backups sind immutable und können ausschließlich aus 365 Total Backup heraus administriert werden, abgesichert durch ein verpflichtendes Vier-Augen-Prinzip bei sensiblen Aktionen wie Löschungen. Jedes Backup wird mit einem individuellen AES-256-Schlüssel verschlüsselt.

Wo die Grenzen liegen: Das Backup-Ziel ist nicht wählbar – alle Daten landen auf Hornetsecurity-Infrastruktur. Bring-Your-Own-Storage und Bring-Your-Own-Key gibt es nicht. Wer Datensouveränität als technische Anforderung mit eigenem Schlüssel oder eigenem Storage-Ziel definiert, kommt mit dieser Lösung nicht ans Ziel. Auch eine echte WORM-Funktion mit Object Lock auf manipulationsresistentem Drittspeicher fehlt; die Immutabilität ist policy-basiert. Die Region Deutschland ist im Hornetsecurity-Rechenzentrumsverbund verfügbar – nicht in einem deutschen Drittanbieter-RZ.

Für wen es passt: Mittelständische Unternehmen, die ein vollintegriertes M365-Security- und Backup-Paket mit minimalem Betriebsaufwand suchen, ohne harte Anforderungen an WORM-Nachweise oder Bring-Your-Own-Konzepte.

AvePoint Cloud Backup: Granularität auf Berechtigungsebene und volle Schlüsselsouveränität

AvePoint kommt aus der SharePoint- und Collaboration-Welt – und das prägt das Produkt. AvePoint Cloud Backup for Microsoft 365 ist eine 100-prozentige SaaS-Lösung auf Azure-Basis, gelistet als „Preferred Microsoft 365 Backup Partner\" und ausgelegt auf granulare Recovery komplexer M365-Strukturen.

Was geschützt wird: Exchange Online, SharePoint Online, OneDrive for Business, Microsoft Teams, Microsoft 365 Groups, Planner, Project und Viva Engage – ergänzend Entra ID. Backups laufen bis zu viermal täglich, mit immutable, logisch air-gapped abgelegten Kopien.

Was es besonders macht: Permission-Level-Restore. Wo native M365-Recovery oder andere Backup-Anbieter ein Rollback der gesamten Site erfordern, stellt AvePoint einzelne SharePoint-Berechtigungen wieder her – ohne Eingriff in andere Inhalte oder Berechtigungsstrukturen. Für Organisationen mit gewachsenen SharePoint-Architekturen ist das ein Argument, das die anderen Anbieter in dieser Tiefe nicht bieten.

Dazu kommt volle Datensouveränität durch BYOS (Azure Blob, Amazon S3, Google Cloud Storage) und BYOK – der eigene Verschlüsselungsschlüssel bleibt in Kundenhand. Retentionszeiträume reichen bis zu 99 Jahren. Rechenzentren stehen in Deutschland, den Niederlanden und Frankreich.

Wo die Grenzen liegen: AvePoint ist eine der aufwändigsten Lösungen im Vergleich – im Onboarding wie im laufenden Betrieb. Das initiale Seeding großer Datenmengen kann bei umfangreichen SharePoint-Umgebungen viel Zeit in Anspruch nehmen.

Für wen es passt: Unternehmen mit komplexen SharePoint- und Teams-Strukturen, regulierten Branchen mit hohen Compliance-Anforderungen und IT-Teams, die die volle Kontrolle über Schlüsselverwaltung und Storage-Ziel behalten müssen.

Commvault Cloud: Enterprise-Recovery mit Cleanroom und Bedrohungsanalyse

Commvault kommt aus dem Enterprise-Datacenter-Backup – und bringt diese Tiefe in die Microsoft-365-Welt. Das Angebot heißt Commvault Cloud Backup & Recovery for Microsoft 365, vollständig SaaS und auf Microsoft Azure betrieben, ohne eigene Infrastruktur bei Ihnen (oder uns). Der frühere Produktname Metallic bezeichnet heute nur noch die zugrunde liegende KI-Technologie.

Was geschützt wird: Exchange Online, SharePoint Online, OneDrive for Business, Microsoft Teams (Kanäle, Chats, Dateien), Microsoft 365 Groups und Entra ID – Letzteres auf Wunsch im Verbund mit On-Premises-Active-Directory aus derselben Plattform. Eine Besonderheit: Commvault gehört zu den wenigen Anbietern mit Zugriff auf die Microsoft-365-Backup-Storage-APIs und kombiniert Microsofts nativen Snapshot-Restore mit eigenem, air-gapped Backup aus einer Konsole.

Was es besonders macht: Cleanroom Recovery. Bei Verdacht auf eine Kompromittierung stellt Commvault die Umgebung in einem isolierten, vom Produktionsnetz getrennten Azure-Bereich wieder her – mit vorgeschaltetem Threat Scan. Diese seit kurzem erweiterte Analyse (hash- und YARA-basierte Suche, KI-gestützte Verschlüsselungserkennung) prüft Backup-Daten auf Schadcode, bevor wiederhergestellt wird. Für NIS-2-konforme Incident-Response-Pläne, die einen verifiziert sauberen Wiederanlauf fordern, ist das ein eigenständiges Argument. Immutabilität und ein air-gapped Speicher (Air Gap Protect) sind fester Bestandteil der Plattform.

Wo die Grenzen liegen: Commvault ist eine Enterprise-Plattform – mächtig, aber mit Lernkurve. Für mittelständische IT-Teams ohne dedizierte Backup-Ressource ist der Onboarding-Aufwand höher als bei Hornetsecurity oder der Veeam Data Cloud (letzter Player im Vergleich). Wer den Serverstandort Deutschland als harte Anforderung hat, sollte die wählbare Azure-Region direkt klären. Bring-Your-Own-Storage und ein eigener Verschlüsselungsschlüssel sind für das Microsoft-365-Angebot nicht vorgesehen.

Für wen es passt: Regulierte Organisationen und größerer Mittelstand mit explizitem Incident-Response-Anspruch sowie Unternehmen, die eine einheitliche Backup-Plattform für Microsoft 365, Entra ID, On-Premises-Systeme und weitere Workloads suchen.

Veeam: Drei Betriebsmodelle – inklusive Backup-as-a-Service aus der enthus cloud

Veeam ist der technisch flexibelste Ansatz – und der Anbieter mit der größten Bandbreite an Betriebsmodellen. Für Microsoft 365 stehen drei Varianten zur Wahl, die sich nicht nur in der Funktion, sondern vor allem in der Frage unterscheiden, wer betreibt und wo die Daten liegen.

1. Veeam Backup for Microsoft 365 – self-hosted
   Die klassische Linie läuft auf Windows- oder Linux-Systemen im eigenen Rechenzentrum oder der Cloud. Das Backup-Ziel ist vollständig frei wählbar: On-Premises-Storage, Amazon S3, Azure Blob – oder die enthus cloud als deutsches Storage-Ziel. Volle Funktionsbreite inklusive immutable Backups via S3 Object Lock. Voraussetzung: Das IT-Team betreibt die Veeam-Instanz selbst.


2. Veeam Backup-as-a-Service über die enthus cloud
   Funktional identisch mit Veeam self-hosted – aber ohne Server beim Kunden. enthus betreibt die Veeam-Instanz vollständig im eigenen Rechenzentrum, stellt das Backup-Ziel in der enthus cloud bereit und übernimmt Patch-Management, Monitoring und Wiederherstellungssupport. Datenhaltung und Betrieb liegen in deutscher Hand, abgerechnet wird je Nutzer:in als Managed Service.
   Damit deckt diese Variante einen Punkt ab, den weder die Veeam Data Cloud noch die meisten anderen Anbieter im Vergleich bieten: volle Veeam-Funktionalität inklusive Immutabilität via Object Lock, ohne dass das interne IT-Team eine Server-Instanz betreuen muss.


3. Veeam Data Cloud for Microsoft 365
   Die SaaS-Variante von Veeam selbst. Backup läuft auf Azure-Infrastruktur, die Abrechnung erfolgt nutzungsbasiert je Nutzer:in. Geeignet für Teams, die auf Veeam setzen wollen, aber keinen eigenen Server betreiben möchten und dem Thema Datenhaltungssouveränität eher weniger Bedeutung beimessen.

Was die enthus-Varianten besonders macht

Die enthus cloud stellt Storage und Compute mit Rechenzentren in Düsseldorf und Frankfurt bereit, Datenhaltung ausschließlich in Deutschland, AES-256-Verschlüsselung in transit und at rest, zertifiziert nach ISO 27001 – Infrastruktur im Besitz von enthus und unter deutscher Jurisdiktion. Wer Veeam self-hosted mit der enthus cloud als Backup-Ziel kombiniert oder das Backup-as-a-Service-Modell wählt, verlagert Datenhaltung und operativen Betrieb vollständig in die Verantwortung von enthus.

Ehrliche Einordnung: Veeam selbst ist ein US-amerikanischer Softwarehersteller. Software-Bereitstellung, Support-Hintergrund und Konzernzugehörigkeit unterliegen damit US-Recht – das gilt für alle drei Varianten und sollte in der Souveränitätsbetrachtung erwähnt sein. Was die enthus-Varianten leisten, ist die Verlagerung von Datenhaltung und operativem Betrieb in einen deutschen Verantwortungsbereich. Eine starke Aussage – aber keine „rein deutsche oder europäische Lösung".

Was geschützt wird (alle drei Varianten): Exchange Online, SharePoint Online, OneDrive for Business, Microsoft Teams inklusive privater und geteilter Kanäle (ab v8.4). Wichtiger Hinweis: OneNote-Notizbücher über 2 GB werden nicht vollständig gesichert; Restore bei App-only-Authentifizierung ist eingeschränkt. Beide Punkte sind in der offiziellen Veeam-Dokumentation hinterlegt.

Das NIS-2-relevante Argument: Immutable Backups via S3 Object Lock. Veeam unterstützt echtes WORM (Write Once, Read Many) für Backup-Daten – technisch nachweisbar und manipulationsresistent. Verfügbar für die self-hosted Variante und das enthus-BaaS-Modell.

Für wen welche Variante passt: Self-hosted für IT-Teams mit eigener Betriebskompetenz, die maximale Kontrolle behalten wollen. Backup-as-a-Service über die enthus cloud für Unternehmen mit hoher Anforderung an Datenhaltung in Deutschland und gleichzeitig dem Wunsch, keinen eigenen Backup-Server zu betreiben. Veeam Data Cloud für Teams, die schnell starten wollen und keine harten Souveränitätsanforderungen haben.

Schnellvergleich

Die drei Entscheidungsfragen

Keine der vier Lösungen ist universell richtig. Die Entscheidung hängt an drei konkreten Abwägungen:

1. Wie viel Betriebskapazität hat das IT-Team?
   Hornetsecurity, das enthus-BaaS-Modell auf Veeam-Basis und die Veeam Data Cloud minimieren den Betriebsaufwand. Veeam self-hosted, AvePoint und Commvault verlangen mehr Konfigurations- und Betriebskompetenz.


2. Wie hoch sind die Compliance-Anforderungen?
   Wer unter NIS-2 fällt und Immutabilität technisch belegen muss, findet sie bei Veeam (S3 Object Lock – auch im enthus-BaaS-Modell) und Commvault (Air Gap Protect). Wer einen verifiziert sauberen Wiederanlauf nach einem Angriff braucht, schaut auf Commvaults Cleanroom Recovery. Wer Schlüsselsouveränität benötigt, wählt AvePoint. Für Standardanforderungen ohne WORM-Nachweis ist Hornetsecurity ausreichend.


3. Wie komplex sind SharePoint- und Teams-Strukturen?
   Gewachsene Berechtigungsarchitekturen profitieren am stärksten vom Permission-Level-Restore von AvePoint. Für standardisierte Umgebungen reichen Veeam und Hornetsecurity aus.

Fazit

Microsoft 365 ist produktiver als je zuvor – und die Datenmenge, die täglich darin entsteht, wächst entsprechend. Das Shared Responsibility Model macht Backup zur Kundenpflicht. Welche Lösung die richtige ist, hängt nicht am Marketing-Versprechen der Anbieter, sondern an drei nüchternen Variablen: Betriebskapazität, Compliance-Anforderung und Strukturkomplexität.

enthus berät bei dieser Entscheidung herstellerunabhängig. Alle vier verglichenen Lösungen – Hornetsecurity, AvePoint, Veeam und Commvault – sind enthus-Technologiepartner und werden von enthus bereitgestellt und im Betrieb begleitet. Für Veeam bietet enthus darüber hinaus zwei eigene Varianten an: die enthus cloud als deutsches Backup-Ziel für self-hosted Installationen und Veeam Backup-as-a-Service vollständig aus der enthus cloud – Betrieb und Datenhaltung in deutscher Hand, mit Rechenzentren in Düsseldorf und Frankfurt, ISO 27001, AES-256. 

Mehr erfahren: Microsoft 365 Backup Lösungen | enthus cloud | Backup-as-a-Service

Sprechen Sie uns für weitere Details, eine Beratung oder ein Expertengespräch gerne auch direkt an oder wenden Sie sich formlos an hallo@enthus.de.