Wer heute in einem deutschen KMU für IT verantwortlich ist, sitzt oft zwischen zwei realen Anforderungen. Die Fachabteilungen wollen Dateien überall verfügbar haben, Teams wollen gemeinsam an Dokumenten arbeiten, und die Geschäftsführung erwartet eine saubere digitale Arbeitsumgebung. Gleichzeitig steht die Frage im Raum: Ist OneDrive sicher?
Die kurze Antwort lautet: Ja, aber nicht automatisch. OneDrive bringt ein starkes technisches Fundament mit. Ob daraus ein sicherer und prüfbarer Unternehmensdienst wird, entscheidet jedoch Ihre Konfiguration, Ihre Rechtevergabe, Ihr Datenklassifizierungsmodell und Ihr Betrieb im Alltag.
Genau dort scheitern viele Einführungen. Nicht an der Cloud selbst, sondern an Freigabelinks ohne Kontrolle, fehlender Multi-Faktor-Authentifizierung, unklaren Verantwortlichkeiten und der falschen Annahme, dass ein Microsoft-Dienst schon von allein DSGVO- und NIS-2-konform betrieben wird. Das ist er nicht. Er kann so betrieben werden, wenn Sie die richtigen Leitplanken setzen.
Eine Frage der Konfiguration
Wenn ein IT-Leiter fragt, ob OneDrive sicher ist, steckt meist eine viel wichtigere Frage dahinter: Können wir Unternehmensdaten dorthin auslagern, ohne später Sicherheits-, Datenschutz- oder Audit-Probleme zu bekommen?
Die Antwort hängt weniger am Produktnamen als an drei Entscheidungen:
- Welche Daten dürfen überhaupt in OneDrive liegen
- Wer darf worauf zugreifen
- Wie wird der Betrieb dokumentiert, überwacht und regelmässig geprüft
OneDrive ist für viele Unternehmen eine vernünftige Lösung für persönliche Arbeitsdateien, mobile Zusammenarbeit und den kontrollierten Austausch von Dokumenten. Problematisch wird es, wenn Firmen OneDrive als pauschalen Ablageort für alles behandeln. Dann landen dort schnell auch vertrauliche Personalunterlagen, sensible Kundendaten oder Inhalte mit erhöhten Aufbewahrungs- und Nachweispflichten, obwohl dafür strengere Kontrollen nötig wären.
Woran die Entscheidung in der Praxis hängt
In der Beratung sehe ich immer wieder denselben Punkt: Die Plattform wird nach Funktionsumfang bewertet, nicht nach Betriebsmodell. Das ist zu kurz gedacht.
Ein belastbares Betriebsmodell umfasst zum Beispiel:
- Datenklassen festlegen: Was ist unkritisch, intern, vertraulich oder besonders schützenswert?
- Ablagezweck definieren: Persönliche Dateiablage, Teamzusammenarbeit, temporärer Austausch oder revisionsrelevante Aufbewahrung sind nicht dasselbe.
- Verantwortung zuweisen: IT, Datenschutz, Informationssicherheitsbeauftragte und Fachbereiche brauchen klare Rollen.
- Kontrollen dokumentieren: Wer prüft Freigaben, Gastzugriffe, Löschprozesse und Gerätezugriffe?
Praxisregel: Nicht zuerst fragen, ob OneDrive sicher ist. Zuerst festlegen, für welche Daten und Prozesse Sie OneDrive sicher betreiben wollen.
Was ein KMU konkret braucht
Für ein deutsches KMU reicht es nicht, die OneDrive-App auszurollen und den Rest den Nutzern zu überlassen. Sie brauchen Mindeststandards, die im Audit nachvollziehbar sind. Dazu gehören Authentifizierung, saubere Freigaberichtlinien, Gerätebindung und eine dokumentierte Prüfung der Einstellungen.
Wer unter NIS-2-Pflichten fällt oder sich darauf vorbereitet, sollte OneDrive nicht isoliert betrachten. Entscheidend ist, ob die Nutzung in ein Gesamtmodell aus Identitätsmanagement, Protokollierung, Incident-Handling und Datentrennung eingebettet ist.
Das Sicherheitsfundament von OneDrive
Technisch betrachtet steht OneDrive auf einer soliden Basis. Für viele KMU ist das der Teil, den Microsoft gut abdeckt. Die Infrastruktur ist nicht das Hauptproblem. Die operative Nutzung ist es meist eher.
Rechenzentren und technische Grundsicherung
Microsoft hostet Daten von OneDrive für Business-Kunden mit Rechnungsanschrift in Deutschland grundsätzlich in deutschen Rechenzentren. Diese sind nach ISO 27001 zertifiziert und schützen Daten bei der Übertragung mit TLS/SSL und im Ruhezustand mit 256-Bit-AES-Verschlüsselung. Zudem wird eine Verfügbarkeit von über 99,9 % genannt, wie bei JANSEN IT zur OneDrive-Datensicherheit beschrieben.
Für IT-Leiter ist das relevant, weil damit zwei Grundfragen beantwortet werden. Erstens: Daten liegen nicht ungeschützt auf irgendeinem Server. Zweitens: Der Dienst ist auf Stabilität und kontrollierten Betrieb ausgelegt.
Wer das Thema strategisch in den grösseren Microsoft-365-Kontext einordnen will, findet in den M365 Strategien für Tech-Entscheider einen hilfreichen Blick auf Architektur, Governance und Rollout-Fragen.
Verschlüsselung ist vorhanden, aber sie löst nicht alles
OneDrive schützt die Datenübertragung mit TLS. Gespeicherte Daten werden serverseitig mit AES-256 abgesichert. Das ist ein anerkanntes Schutzniveau für den Transport und die Speicherung von Unternehmensdaten. Wenn Sie die technischen Hintergründe kompakt auffrischen möchten, hilft ein Blick auf die Grundlagen der Verschlüsselung.
Trotzdem ist es wichtig, den Begriff korrekt einzuordnen. Verschlüsselung im Transit und im Ruhezustand bedeutet nicht automatisch, dass nur Ihr Unternehmen auf Inhalte zugreifen kann. Sie schützt gegen viele Angriffe auf Transportweg und Speichersystem, ersetzt aber keine strikte Zugriffssteuerung.
Was das Fundament in der Praxis bedeutet
Für ein KMU ist dieses Fundament gut genug, um mit OneDrive produktiv und sicher zu arbeiten. Es spricht viel dafür, OneDrive für allgemeine Geschäftsdokumente, Projektdateien und mobile Zusammenarbeit zu nutzen.
Es spricht nicht dafür, sämtliche Daten ohne Differenzierung in OneDrive zu legen. Ein sicherer Tresorraum ist wertvoll. Wenn aber zu viele Personen den Schlüssel haben oder niemand prüft, wer welche Tür geöffnet hat, entsteht das Risiko an anderer Stelle.
Die Plattform bringt ein stabiles Fundament mit. Sicherheit entsteht aber erst, wenn Identitäten, Rechte und Freigaben sauber gesteuert werden.
Erweiterte Schutzmechanismen für Unternehmen
Die eigentliche Unternehmenssicherheit beginnt nicht bei der Speicherung, sondern beim Zugriff. Wenn ein Angreifer ein Benutzerkonto übernimmt, helfen starke Rechenzentren allein nicht weiter. Deshalb müssen Unternehmen die aktiven Schutzmechanismen konsequent nutzen.
MFA und Zugriffskontrolle
Multi-Faktor-Authentifizierung ist die erste Pflichtmassnahme. Ohne MFA bleibt OneDrive unnötig angreifbar, gerade bei Phishing oder wiederverwendeten Passwörtern. In einem KMU ist MFA kein Zusatzschutz mehr, sondern Basishygiene.
Zusätzlich sollten Sie den Zugriff nach Kontext steuern. Entscheidend ist nicht nur, wer sich anmeldet, sondern auch von welchem Gerät, aus welchem Zustand und mit welchem Risiko. In der Praxis heisst das: verwaltete Endgeräte bevorzugen, anonyme oder private Geräte stärker einschränken und Ausnahmen dokumentieren.
Datenfluss und Freigaben absichern
Viele Risiken entstehen beim Teilen, nicht beim Speichern. Deshalb sollten Unternehmen Freigaben technisch und organisatorisch eingrenzen.
Sinnvolle Leitplanken sind zum Beispiel:
- Externe Freigaben beschränken: Nur dort erlauben, wo ein echter Geschäftsprozess besteht.
- Standardlinks härten: Keine offenen Bearbeitungslinks als Voreinstellung.
- Ablaufregeln nutzen: Freigaben an Gäste sollten überprüfbar und zeitlich begrenzt sein.
- Eigentümer festlegen: Für sensible Ordner braucht es klare Verantwortliche.
Schutz vor Datenabfluss und Schadsoftware
Business-Umgebungen profitieren davon, wenn OneDrive nicht nur Dateien speichert, sondern Teil einer übergreifenden Sicherheitsarchitektur ist. Dazu gehören Richtlinien, die riskante Freigaben erkennen, verdächtige Aktivitäten sichtbar machen und Angriffe auf Benutzerkonten schneller auffangen.
Aus Sicht eines Audits zählt dabei weniger, ob jede theoretische Schutzfunktion aktiviert wurde. Wichtiger ist, dass die ausgewählten Massnahmen zum Schutzbedarf passen, dokumentiert sind und im Alltag auch kontrolliert werden.
Eine gute Frage für jedes KMU lautet deshalb nicht: „Welche Features gibt es?“ Sondern: „Welche Schutzmechanismen prüfen wir regelmässig, und wer reagiert, wenn Abweichungen auftreten?“
OneDrive im Einklang mit DSGVO und deutschen Standards
Für deutsche Unternehmen reicht technische Sicherheit allein nicht aus. Sobald personenbezogene Daten verarbeitet werden, rückt die rechtliche und organisatorische Seite in den Vordergrund. Genau an dieser Stelle wird die Frage „Ist OneDrive sicher?“ meist zu „Ist OneDrive für unsere Compliance-Anforderungen geeignet?“
Was OneDrive für die DSGVO mitbringt
Microsoft unterstützt die Einhaltung der DSGVO durch Datenhaltung in europäischen Rechenzentren und Standardvertragsklauseln. Gleichzeitig hat der Anbieter theoretisch Zugriff auf die Daten, etwa für automatisierte Inhaltsprüfungen. Eine Studie aus 2022 zeigte, dass fast 70 % der deutschen Unternehmen, die Microsoft-Dienste nutzen, dieses Risiko kennen, aber die Vorteile der Integration und Compliance-Hilfen höher bewerten, wie bei Experte.de zur OneDrive-Sicherheit dargestellt.
Für Verantwortliche im Unternehmen heisst das: OneDrive kann ein Baustein einer DSGVO-orientierten IT sein. Es ist aber keine magische Abkürzung zur vollständigen Datenschutzkonformität.
Die heikle Stelle ist der Anbieterzugriff
Aus deutscher Perspektive bleibt der kritische Punkt bestehen, dass Microsoft ein US-Anbieter ist. Selbst wenn Daten in Europa oder Deutschland verarbeitet werden, müssen Unternehmen den juristischen Hintergrund des Anbieters in ihre Risikoabwägung einbeziehen. Wer sich tiefer mit dem Thema befassen will, sollte die Auswirkungen des US CLOUD Act auf Unternehmensdaten sauber verstehen.
Das heisst nicht automatisch, dass OneDrive ausgeschlossen ist. Es heisst aber, dass Sie Ihr Schutzbedarfsmodell ernst nehmen müssen. Für allgemeine Geschäftsdokumente, projektbezogene Zusammenarbeit und kontrollierte Dateiablage ist OneDrive oft vertretbar. Für Daten mit sehr hohem Vertraulichkeitsbedarf kann das anders aussehen.
Wenn ein Anbieter Inhalte theoretisch verarbeiten kann, ist die Datenschutzbewertung nie nur eine Frage des Serverstandorts.
Welche Schlussfolgerung für KMU sinnvoll ist
Viele Unternehmen diskutieren die Cloud zu abstrakt. In der Praxis sollten Sie stattdessen pro Datenkategorie entscheiden:
| Datenart | Eignung für OneDrive | Ergänzende Anforderung |
|---|---|---|
| Allgemeine Arbeitsdokumente | meist gut geeignet | Rechte und Freigaben sauber steuern |
| Personenbezogene Standarddaten | oft geeignet | AVV, Löschprozesse, Zugriffskontrolle dokumentieren |
| Hochsensible Daten | nur mit strenger Prüfung | zusätzliche Schutzmassnahmen oder alternative Ablage |
| Revisionsrelevante Unterlagen | nur bedingt geeignet | Archivierungs- und Nachweispflichten separat bewerten |
Für DSGVO und deutsche Standards gilt deshalb ein nüchterner Befund. OneDrive ist kein No-Go. Es ist aber auch kein Selbstläufer. Die Verantwortung für die datenschutzgerechte Nutzung bleibt beim Unternehmen.
Die wahren Risiken sind Fehlkonfigurationen und Faktor Mensch
Die meisten Sicherheitsvorfälle rund um OneDrive entstehen nicht, weil die Verschlüsselung mangelhaft wäre. Sie entstehen, weil Benutzerkonten kompromittiert werden, Rechte ausufern oder Freigaben ohne Kontrolle gesetzt bleiben.
Typische Fehler im Alltag
In KMU begegnen mir besonders oft diese Muster:
- Freigaben ohne Begrenzung: Ein Nutzer erstellt schnell einen Link, der weitergeleitet wird und später niemandem mehr auffällt.
- Zu breite Berechtigungen: Ganze Ordnerstrukturen bleiben für mehr Personen offen als nötig.
- Kein geregelter Offboarding-Prozess: Ehemalige Mitarbeitende hinterlassen unklare Besitzverhältnisse an Dateien und Freigaben.
- Phishing-Erfolg bei Mitarbeitenden: Ein gestohlenes Konto öffnet den Weg in Postfach, OneDrive und weitere M365-Dienste.
- Fehlende Prüfung: Einstellungen wurden einmal gesetzt, danach aber nie wieder auditiert.
Warum Technik allein nicht genügt
Viele Unternehmen kaufen Sicherheit als Lizenzmodell ein. Das funktioniert so nicht. Ein Cloud-Dienst kann Schutzfunktionen bereitstellen. Ob diese wirken, hängt daran, ob Administratoren sie sinnvoll konfigurieren und Anwender sie nicht unterlaufen.
Ein gutes Beispiel sind Freigabelinks. Technisch ist die Funktion nützlich. Organisatorisch wird sie zum Risiko, wenn niemand definiert, welche Linktypen erlaubt sind, wie lange sie gelten und wer Ausnahmen genehmigt.
Ein kompromittiertes Benutzerkonto mit zu vielen Rechten ist in der Praxis oft gefährlicher als eine theoretische Schwäche in der Infrastruktur.
Was wirklich hilft
Wirksamer Schutz entsteht durch wiederkehrende Disziplin, nicht durch einmalige Projektarbeit.
Dazu gehören vor allem:
- Schulung mit konkreten Beispielen: Mitarbeitende müssen echte Phishing-Muster und riskante Freigaben erkennen.
- Regelmässige Rechteprüfung: Zugriffe gehören in einen festen Review-Zyklus.
- Klare Standards für Freigaben: Nicht jede Abteilung sollte ihre eigene Praxis entwickeln.
- Kontrolliertes Offboarding: Konten, Geräte, Freigaben und Dateieigentum müssen sauber übergeben oder entzogen werden.
Wer OneDrive sicher betreiben will, muss deshalb weniger über die Cloud philosophieren und mehr über Zuständigkeiten, Prozesse und Kontrollpunkte sprechen.
OneDrive sicher konfigurieren eine Praxis-Checkliste
Für die operative Sicherheit zählt nicht, was theoretisch möglich ist, sondern was konkret eingestellt, dokumentiert und geprüft wird. Gerade für Unternehmen mit NIS-2-Bezug ist dieser Teil entscheidend, weil hier der Nachweis angemessener technischer und organisatorischer Massnahmen entsteht.
Dass OneDrive starke Verschlüsselung für Daten im Transit mit TLS und im Ruhezustand mit AES-256 bietet, ist hilfreich. Standardmässige Ende-zu-Ende-Verschlüsselung fehlt jedoch, wodurch Microsoft Daten einsehen kann. Für Unternehmen mit NIS-2-Pflichten ist es deshalb essenziell, genau zu definieren, welche Daten in OneDrive gespeichert werden und welche eine revisionssichere Archivierung auf eigener Infrastruktur erfordern, wie im Beitrag von IONOS zur OneDrive-Sicherheit erläutert.
Vor der eigentlichen Konfiguration
Bevor Sie Schalter in Microsoft 365 setzen, klären Sie drei Grundlagen:
- Datenklassifizierung schriftlich festhalten
- Ablagegrenzen zwischen OneDrive, Teams, SharePoint und Archivsystemen definieren
- Gerätestatus und Identitätsmodell festlegen
Gerade der Gerätebezug wird oft unterschätzt. Wenn Sie den Zugriff auf verwaltete Endgeräte stützen wollen, sollten Sie das Thema Mobile Device Management im Unternehmenskontext von Anfang an mitdenken.
OneDrive Sicherheits-Checkliste für KMU
| Bereich | Maßnahme | Empfohlene Einstellung / Vorgehen | NIS-2 Relevanz |
|---|---|---|---|
| Identität | MFA erzwingen | Für alle Benutzer verpflichtend, besonders für Admins ohne Ausnahmen | Schutz vor Kontoübernahme |
| Identität | Admin-Rollen begrenzen | Nur benannte Personen, regelmässige Überprüfung der Rollen | Minimierung privilegierter Zugriffe |
| Zugriff | Zugriff nach Gerätestatus steuern | Bevorzugt nur von verwalteten und bekannten Geräten | Nachweis kontrollierter Zugänge |
| Freigaben | Externe Freigabe einschränken | Nur bei belegtem Geschäftsbedarf, zentrale Richtlinie statt Einzelfallchaos | Reduktion des Datenabflussrisikos |
| Freigaben | Standardlink härten | Interne Standardwerte restriktiv setzen, Bearbeitung nicht pauschal erlauben | Verringerung unbeabsichtigter Offenlegung |
| Freigaben | Gastzugriffe prüfen | Gastkonten und aktive Freigaben in festen Intervallen kontrollieren | Laufende Risikoüberwachung |
| Daten | Schutzbedarf trennen | Hochsensible oder revisionskritische Inhalte nicht pauschal in OneDrive speichern | Angemessene Behandlung kritischer Daten |
| Protokollierung | Audit-Logs nutzen | Relevante Aktivitäten aktiv auswerten, nicht nur sammeln | Erkennung und Nachvollziehbarkeit |
| Betrieb | Offboarding-Prozess definieren | Dateibesitz, Freigaben und Kontosperrung verbindlich regeln | Vermeidung verwaister Zugänge |
| Wiederherstellung | Wiederherstellungsprozess testen | Lösch- und Wiederanlauf-Szenarien praktisch prüfen | Resilienz und Betriebsfähigkeit |
| Organisation | Richtlinien schulen | Nutzer erhalten klare Vorgaben zu Teilen, Speichern und Meldewegen | Sicherheitskultur und Awareness |
| Prüfung | Regelmässiger Review | Konfigurationen, Ausnahmen und Freigaben wiederkehrend auditieren | Nachweis kontinuierlicher Verbesserung |
Was oft vergessen wird
Zwei Punkte fehlen in vielen Umgebungen. Erstens die saubere Trennung zwischen Dateiablage und Archivierung. Zweitens die dokumentierte Entscheidung, welche Daten bewusst nicht in OneDrive gespeichert werden.
Wenn Sie diese Ausschlussliste nicht haben, fehlt Ihnen im Audit eine wichtige Begründungslinie. Dann können Sie zwar zeigen, dass OneDrive technisch abgesichert ist, aber nicht, dass Ihr Unternehmen den Schutzbedarf differenziert behandelt.
Fazit Wann OneDrive die richtige Wahl ist
OneDrive ist für deutsche KMU in vielen Fällen eine gute und sichere Lösung. Die Plattform bringt ein belastbares technisches Fundament mit, unterstützt moderne Zusammenarbeit und lässt sich in ein strukturiertes Sicherheitsmodell einbetten.
Die entscheidende Einschränkung bleibt aber bestehen. Sicher ist OneDrive nur dann, wenn Sie es sicher betreiben. Das bedeutet: MFA ohne Diskussion, restriktive Freigaben, verwaltete Geräte, dokumentierte Zuständigkeiten und eine klare Entscheidung darüber, welche Daten dort nichts zu suchen haben.
Für allgemeine Geschäftsdokumente, mobile Arbeit, persönliche Dateiablage und kontrollierten Austausch ist OneDrive meist die richtige Wahl. Für hochsensible Informationen, besonders vertrauliche Kundendaten oder Inhalte mit strengen Archivierungsanforderungen sollten Sie genauer abgrenzen und gegebenenfalls ergänzende Schutzmassnahmen oder alternative Systeme einsetzen.
Auch organisatorisch passt OneDrive gut in moderne Arbeitsmodelle. Wer den breiteren Wandel dahinter verstehen will, findet bei Moderne Arbeitswelten gestalten eine sinnvolle Perspektive darauf, wie Technologie, Prozesse und Zusammenarbeit zusammengehören.
Unterm Strich lautet die Antwort auf die Frage „Ist OneDrive sicher?“ also nicht einfach ja oder nein. Für gut geführte KMU ist OneDrive sicher genug und oft sehr passend. Für unklare Prozesse, ungeprüfte Freigaben und fehlende Governance ist es das nicht.
Wenn Sie OneDrive, Microsoft 365 und NIS-2-Anforderungen sauber zusammenbringen möchten, unterstützt Sie Deeken.Technology GmbH bei Sicherheitsbewertung, technischer Konfiguration, Compliance-naher Dokumentation und dem Aufbau eines praxistauglichen Betriebsmodells für Ihr Unternehmen.
