Mitarbeiterin geht, Konto wird gelöscht: Wo die Dateien aus OneDrive noch liegen und wo nicht

Hannover - Eine Kollegin verlässt das Unternehmen, die IT löscht am letzten Arbeitstag ihr Microsoft-365-Konto, das Notebook geht zurück in den Schrank. Zwei Monate später fragt ein Kunde nach dem Angebot, an dem sie zuletzt gearbeitet hat. Die Datei lag in ihrem OneDrive. Der Freigabelink, der wochenlang noch funktioniert hat, führt jetzt ins Leere, das Konto lässt sich im Admin Center nicht mehr wiederherstellen, und in der Teams-Unterhaltung steht nur noch der Verweis auf ein Dokument, das niemand mehr öffnen kann. Ob sich davon noch etwas retten lässt, entscheidet sich an zwei Stellen: an den Fristen des Cloud-Anbieters und an dem Gerät, das im Schrank liegt.

Warum die Dateien mit dem Konto verschwinden

Der persönliche OneDrive-Speicher gehört zum Nutzerkonto, so wie ein Postfach. Was dort liegt, ist über das Konto adressiert, und Freigaben an Kolleginnen und Kollegen sind Verweise auf diesen Speicherort, keine Kopien. Das gilt auch für Dateien, die in einem Teams-Chat geteilt wurden: Sie liegen im OneDrive der Person, die sie gesendet hat. Solange Microsoft den Speicher aufbewahrt, funktionieren diese Verweise weiter. Mit dem Ende der Aufbewahrung verlieren die Verweise auf diesen Speicherort ihr Ziel. Dateien in Teams-Kanälen oder SharePoint-Bibliotheken sind davon nicht betroffen, sie gehören der Organisation und bleiben erhalten.

Verschärft wird die Lage durch eine Funktion, die Unternehmen per Richtlinie ausrollen können: Die Windows-Ordner Desktop, Dokumente und Bilder werden in das OneDrive umgeleitet. Aus Sicht der Anwenderin lagen die Dateien wie gewohnt unter Desktop oder Dokumente. Technisch lagen diese Ordner im synchronisierten OneDrive-Bereich, und wenn dessen Bestand am Ende der Fristen gelöscht wird, verschwinden sie mit ihm. Ob ihr Inhalt zusätzlich auf der SSD lag, hängt vom Synchronisierungszustand der einzelnen Datei ab.

Welche Fristen gelten und wann sie enden

Microsoft löscht den Speicher eines entfernten Kontos nicht sofort, sondern in Stufen. Das gelöschte Konto bleibt 30 Tage im Admin Center wiederherstellbar, mitsamt OneDrive. Der Speicher selbst wird in der Voreinstellung ebenfalls 30 Tage aufbewahrt, Administratoren können diese Frist im SharePoint Admin Center auf bis zu 3.650 Tage verlängern. Ist die Frist nicht eigens konfiguriert, gilt der Standardwert von 30 Tagen. Nach Ablauf bleibt das OneDrive für weitere 93 Tage in einem gelöschten Zustand. Der normale Zugriff ist dann vorbei, ein SharePoint-Administrator kann es in diesem Zeitraum aber per PowerShell wiederherstellen.

Erst danach wird der Speicher im regulären Löschprozess entfernt. Aufbewahrungsrichtlinien oder rechtliche Sperren können diesen Ablauf beeinflussen, sind aber kein dauerhafter Schutz: Für nicht lizenzierte und unbezahlte Konten gelten seit Juli 2026 zusätzliche Löschfristen, dazu unten mehr.

Was an dieser Stelle klar gesagt werden muss: Ist der Speicher auf Anbieterseite gelöscht, ändert daran kein Labor etwas. Datenrettung setzt an Datenträgern an, die man in die Hand nehmen kann. Auf die Speichersysteme eines Cloud-Anbieters hat kein externer Dienstleister Zugriff. Und ist der Bestand über die vorgesehenen Wiederherstellungs- und Aufbewahrungswege nicht mehr erreichbar, kann ihn auch der Anbieter selbst auf diesen Wegen nicht mehr zurückholen. RecoveryLab nennt diese Grenze ausdrücklich, weil sie den Blick auf den Ort lenkt, an dem noch etwas zu holen sein kann.

Was auf dem Notebook zurückbleiben kann

Der OneDrive-Client auf einem Windows-Notebook unterscheidet drei Zustände. Nur online verfügbare Dateien liegen nicht mit ihrem Inhalt auf der SSD. Dateien, die geöffnet oder zum Offlinehalten markiert wurden, liegen als vollständige Kopie im Nutzerprofil. Windows kann diese Kopien aber wieder abbauen, entweder wenn jemand "Speicherplatz freigeben" wählt oder wenn die Speicheroptimierung das nach einer Frist selbst erledigt.

Dauerhaft zur Offline-Nutzung vorgesehen sind Dateien, die mit "Immer auf diesem Gerät behalten" markiert wurden. Wird das Konto in der Cloud gelöscht, verliert der Client seine Anmeldung, was zu diesem Zeitpunkt lokal vorhanden war, bleibt auf dem Datenträger. Wie viel das ist, weiß vorher niemand. Das Notebook im Schrank kann damit der letzte Ort sein, an dem Teile des Bestands noch physisch vorhanden sind.

Zwei Einschränkungen gehören dazu. Von einer nur online vorhandenen Datei existiert auf dem Gerät ein Platzhalter, der Name, Pfad, Größe und Zeitstempel trägt, aber keinen Inhalt. Aus ihm lässt sich der Dateiinhalt nicht wiederherstellen, er zeigt nur, dass es die Datei gab. Die zweite Einschränkung ist die Verschlüsselung: In vielen Unternehmen ist die SSD mit BitLocker gesichert.

Microsoft empfiehlt, den Wiederherstellungsschlüssel in Entra ID oder im Active Directory zu hinterlegen. Dort hängt er am Geräteobjekt, und Administratoren können ihn abrufen, solange dieses Objekt existiert. In Entra ID bleibt ein gelöschtes Gerät inzwischen 30 Tage wiederherstellbar, samt Schlüssel; Microsoft führt diese Funktion derzeit noch als Vorschau. Wird das Geräteobjekt endgültig gelöscht und gibt es keine weitere Sicherung des Schlüssels, ist er verloren. Ohne Wiederherstellungsschlüssel oder einen anderen gültigen Entsperrweg lässt sich der verschlüsselte Datenbestand nicht auswerten, auch im Labor nicht.

Wo der Ablauf kippt

Das Konto am letzten Tag zu löschen ist ein nachvollziehbarer Reflex: Zugänge sollen enden, Lizenzen sollen nicht weiterlaufen. Beides lässt sich erreichen, ohne den Speicher aufzugeben, aber die Reihenfolge entscheidet. Wird die Anmeldung gesperrt und die Lizenz bleibt, ändert sich am OneDrive nichts. Wird die Lizenz entzogen, startet dagegen eine eigene Uhr: Nach 60 Tagen ohne Lizenz ist das OneDrive schreibgeschützt, nach 93 Tagen wird es archiviert oder in den Papierkorb verschoben, und seit dem 1. Juli 2026 laufen unbezahlte, nicht lizenzierte Konten auf eine kumulierte Frist von 365 Tagen zu, nach der Microsoft die Löschung vorsieht. Auch ein Lizenzentzug kann damit langfristig zum Datenverlust führen, wenn der Bestand vorher nicht gesichert oder anderweitig aufbewahrt wird.

Die zweite Weiche fällt beim Gerät. Wird das Notebook zeitnah für die Nachfolge neu aufgesetzt oder über die Geräteverwaltung zurückgesetzt, können Dateisystemstrukturen und bisher belegte Datenbereiche verändert oder überschrieben werden. Dazu meldet das Betriebssystem der SSD über TRIM, welche Blöcke nicht mehr gebraucht werden, und die Firmware des Laufwerks bereinigt diese Bereiche intern, wann sie es für richtig hält: manchmal sofort, manchmal später, das hängt vom Laufwerk ab. Auf einer klassischen Festplatte bleiben gelöschte Daten dagegen bis zur Überschreibung häufig rekonstruierbar. Auf Flash-Speicher gibt es diese Gewissheit nicht, und jeder weitere Betrieb kann die Aussichten auf eine Wiederherstellung verschlechtern.

Was jetzt sinnvoll ist

Wer im Offboarding steht, sollte die Reihenfolge umdrehen: erst den Datenbestand sichern, dann sperren, zuletzt löschen. Microsoft 365 hat dafür einen eingebauten Weg, der wenig bekannt ist. Beim Löschen eines Kontos kann der Administrator einer anderen Person Zugriff auf das OneDrive geben, und wenn im Profil eine Führungskraft hinterlegt ist, erhält diese in der Voreinstellung automatisch eine E-Mail mit dem Zugang. Für die Dauer der Aufbewahrungsfrist lässt sich der Bestand dann sichten und in eine SharePoint-Bibliothek oder ein anderes OneDrive kopieren.

Ist das Konto bereits gelöscht, gibt es zwei Zeitfenster. Innerhalb von 30 Tagen lässt sich der Nutzer im Admin Center wiederherstellen, mitsamt Speicher. In den weiteren 93 Tagen danach kann ein SharePoint-Administrator das gelöschte OneDrive per PowerShell zurückholen und sich selbst als Verwalter eintragen. Entscheidend ist, diese Fristen zu kennen und rechtzeitig zu handeln. Zugriff, Sicherung und Auswertung gehören dabei in autorisierte Hände und müssen zu den Datenschutz- und Berechtigungsregeln des Unternehmens passen: Dass ein Zugriff technisch möglich ist, heißt nicht, dass jeder Inhalt gelesen werden darf.

Das Gerät bleibt unangetastet, bis das geklärt ist: kein Neuaufsetzen, kein Zurücksetzen, keine Weitergabe an die Nachfolge. Der BitLocker-Wiederherstellungsschlüssel sollte aus dem Verzeichnis gesichert werden, bevor das Geräteobjekt gelöscht wird, an einem Ort, der nicht mit dem Gerät verschwindet.

Vorgehen im Labor

Kommt ein Notebook aus einem solchen Fall ins Labor, steht am Anfang die Frage nach dem Entsperrweg. Ohne Wiederherstellungsschlüssel oder einen anderen gültigen Zugang lässt sich zwar ein Abbild der SSD ziehen, aber nichts daraus lesen. Liegt ein gültiger Entsperrweg vor, sichert RecoveryLab den Datenträger, soweit technisch möglich, zunächst in Form eines Abbilds und wertet anschließend die gesicherten Daten aus.

Im Nutzerprofil zählen dann der OneDrive-Ordner mit den Dateien, die lokal vorhanden waren, getrennt von Platzhaltern ohne Inhalt, und die Strukturen des Dateisystems, die Aufschluss darüber geben, welche Dateien es gab und in welchem Zustand sie zuletzt waren. Ob und in welchem Umfang eine Wiederherstellung gelingt, hängt davon ab, wie viel vom Profil noch vorhanden ist und was seit dem Ausscheiden mit dem Gerät geschehen ist. Ein unberührtes Notebook aus dem Schrank ist eine gute Ausgangslage. Ein neu aufgesetztes ist in den meisten Fällen keine mehr.

RecoveryLab Datenrettung ist ein auf Datenwiederherstellung spezialisierter Fachbetrieb mit Sitz in Leipzig und über 20 Jahren Erfahrung in der Branche. Seit 2004 betreut das Unternehmen Privat- und Geschäftskunden bei der Rettung von Daten nach Hardwaredefekten, Firmwarefehlern, Bedienerfehlern und physischen Beschädigungen. RecoveryLab ist nach ISO 9001:2015 zertifiziert und bietet einen TÜV-geprüften Kundenservice. Datenschutz und technische Integrität stehen im Mittelpunkt jedes Auftrags.

(Ende)

Aussender: RecoveryLab Datenrettung Ansprechpartner: Stefan Berger Tel.: [phone] E-Mail: [e-mail] Website: www.recoverylab-datenrettung.de/hannover