14 Stunden ohne Microsoft 365: Was Betriebe für den nächsten Ausfall vorbereitet
Ein Fehler in Microsoft 365 kann Mail, Dateien und Administration gleichzeitig treffen. Drei Vorkehrungen machen den nächsten Cloud-Ausfall beherrschbarer.
Der Microsoft-365-Ausfall zeigt, wie abhängig Unternehmen von zentralen Cloud-Diensten sind. Mit einigen Vorkehrungen lassen sich die Folgen für die eigene Firma begrenzen.
Foto: Gorodenkoff/Smarterpix
Am 31. August legte eine Störung in der Authentifizierung von Microsoft 365 den Mailverkehr vieler Unternehmen über Nacht lahm. Wer unter NIS2 fällt, kann so etwas binnen 24 Stunden melden müssen, auch wenn die Ursache beim Anbieter liegt. Der Vertrag hilft dabei wenig. Was Betriebe stattdessen selbst vorhalten können.
Inhaltsverzeichnis
Was zum Ausfall von Microsoft 365 führte
Microsoft datiert den Beginn der Beeinträchtigung auf 17:08 Uhr am 31. August, öffentlich bestätigt wurde die Störung kurz nach 18 Uhr. Am Abend fasste eine zweite Meldung die Auswirkungen auf Exchange Online, OneDrive, SharePoint, Teams, Copilot und das Microsoft 365 Admin Center zusammen. Administratoren kamen also ausgerechnet an die Oberfläche nicht heran, über die sie den Störungsstatus hätten einsehen sollen. Gegen sieben Uhr am Folgemorgen galt der Mailfluss als wiederhergestellt, knapp 14 Stunden nach Beginn. Suche und weitere Funktionen blieben länger gestört.
Als Ursache nennt Microsoft durchgängig ein Problem in einer Kern-Authentifizierungskonfiguration, die mehrere Microsoft-365-Dienste gemeinsam nutzen. In Administratorenkreisen kursierte eine Fehlermeldung, die ein abgelaufenes internes Zertifikat nennt. Microsoft hat diese Deutung nie aufgegriffen, im Meldungsverlauf kommt das Wort Zertifikat nicht vor. Die belastbare Analyse steht ohnehin woanders. Microsoft sagt bei Störungen dieser Größe eine vorläufige Ursachenanalyse binnen 48 Stunden nach der Behebung zu, die endgültige binnen fünf Arbeitstagen. Beide erscheinen im Admin Center, also nur für Kunden mit eigenem Mandanten.
Was sich vorbereiten lässt
Nicht jede solche Störung wie die Panne von Microsoft 365 lässt sich auf Kundenseite umgehen. Fällt eine zentrale Plattformkomponente aus, kann am Ende nur der Anbieter selbst reparieren. Drei Maßnahmen helfen aber dabei, die Folgen im eigenen Betrieb zu begrenzen. Sie kommen auch ohne eigene IT-Abteilung aus.
Ein vorgeschaltetes Continuity-Gateway übernimmt im Ausfall die Warteschlange. Der MX-Eintrag der Domain, also der Verweis im Namensdienst darauf, welcher Server die Post annimmt, zeigt dann auf dieses Gateway statt auf Microsoft. Im Normalbetrieb reicht es die Post weiter, bei einer Störung puffert es sie, gearbeitet wird solange über ein Notfall-Webinterface. Anbieter führen die Funktion meist im Sicherheitspaket, die Preise liegen im niedrigen einstelligen Eurobereich je Postfach und Monat, für 50 Beschäftigte bei rund 2700 Euro im Jahr.
Entscheidend ist, dass das Gateway vor dem Ausfall im Mailfluss steht. Nachrüsten während der Störung scheitert an Vertrag, Einrichtung und Postfachabgleich.
Lokale Verfügbarkeit ist der zweite Hebel. Das klassische Outlook hält im zwischengespeicherten Modus eine Kopie des Postfachs vor. Im neuen Outlook für Windows gibt es diesen Modus nicht, dort greift die Einstellung Offlinezugriff mit begrenztem Bestand. Bei Dateien in OneDrive entscheidet das Statussymbol. Was als Wolke angezeigt wird, liegt nur online. Konstruktionsunterlagen gehören auf „Immer auf diesem Gerät behalten“.
Am häufigsten übersehen wird der dritte Punkt. Ein Notfallplan, der in SharePoint liegt, ist im Ausfall nicht lesbar. Der Grundschutz-Baustein zum Datensicherungskonzept verlangt, die Wiederherstellungsinformationen so zu sichern, dass sie auch verfügbar sind, wenn die Sicherungssysteme selbst ausfallen. Für den Aushang stellt das BSI eine IT-Notfallkarte auf einer DIN-A4-Seite bereit. Dazu gehört eine Mailadresse bei einem anderen Anbieter für den Krisenstab.
Drei Dinge, die Betriebe jetzt prüfen sollten
Bleibt E-Mail erreichbar?
Kann ein vorgeschaltetes Continuity-Gateway Nachrichten bei einem Ausfall von Exchange Online zwischenspeichern und einen unabhängigen Zugang bereitstellen?
Sind kritische Dateien wirklich lokal vorhanden?
Fertigungsunterlagen, Stücklisten, Arbeitsanweisungen und wichtige Konstruktionsdaten sollten auch ohne Verbindung zu Microsoft 365 verfügbar sein.
Funktioniert der Notfallplan ohne Microsoft 365?
Kontaktdaten, Meldewege und Zuständigkeiten müssen außerhalb von Teams und SharePoint erreichbar sein.
Faustregel: Alles, was für die ersten Stunden eines Ausfalls benötigt wird, sollte ohne Anmeldung bei Microsoft 365 erreichbar sein.
.
Der Durchschnitt ist gut, die Ausreißer nicht
Microsoft veröffentlicht die weltweite Verfügbarkeit von Microsoft 365 quartalsweise. Im ersten Quartal 2026 lag sie bei 99,526 %, dem niedrigsten Wert, den das Team von Office 365 for IT Pros um Tony Redmond seit Beginn seiner Aufzeichnungen 2013 registriert hat. Im Quartal darauf war der Wert mit 99,994 % wieder unauffällig.
Genau darin liegt der Punkt. Auf 99,98 % oder mehr in allen vier Quartalen 2023 folgten 99,927 % Ende 2024, 99,954 % Ende 2025 und der Einbruch Anfang 2026. Wiederkehrend sind zwei Ursachen: zum einen Konfigurations- und Codeänderungen, deren Schutzmechanismen nicht greifen, zum anderen zentrale Komponenten, die alle Regionen zugleich tragen.
Als Azure Front Door am 29. Oktober 2025 ausfiel, waren Microsoft 365, das Azure-Portal und fremde Kundenanwendungen gut acht Stunden gleichzeitig gestört. Dagegen hilft Redundanz beim Kunden nicht, umleiten kann nur der Anbieter.
Was der Vertrag misst
Das Service Level Agreement sagt 99,9 % monatliche Verfügbarkeit zu, je nach Monatslänge also 40 bis 45 Minuten erlaubte Ausfallzeit. Die 99,526 % aus dem ersten Quartal entsprechen dagegen gut drei Stunden im Monat, rund dem Fünffachen. Zahlen musste Microsoft dafür trotzdem nichts, denn gerechnet wird pro Dienst, pro Monat und in Nutzerminuten, es zählen also nur die tatsächlich betroffenen Konten.
Entscheidender ist, woran gemessen wird. Das zentrale Service Level für Exchange Online misst allein Outlook Web Access und definiert Ausfallzeit als Zeitraum, in dem Nutzer über den Browserzugang keine Mail senden oder empfangen können. Daneben stehen drei Level für Zustellzeit, garantierte Zustellung und die Annahme ein- und ausgehender Post.
Eine Störung, die nur den Outlook-Desktop, die mobile App oder ältere Zugangsprotokolle trifft, erzeugt unter keinem davon Ausfallzeit. Von März bis April 2026 blieben Postfächer über Outlook Mobile und das neue Outlook für Mac wochenlang unerreichbar, ohne dass dies vertraglich als Ausfall zählte.
Die Gutschrift ist dreifach gestaffelt. Unter 99,9 % gibt es 25 % der Monatsgebühr des betroffenen Dienstes zurück, unter 99 % die Hälfte, unter 95 % den vollen Betrag. Sie ist laut Vertrag der alleinige Rechtsbehelf.
Die Beweislast liegt beim Kunden, der Dauer, betroffene Ressourcen, Nutzerzahl und Standorte dokumentieren muss, unvollständige Anträge werden abgelehnt. Der Anspruch verfällt zum Ende des Folgemonats.
Die Pflicht bleibt im Haus
Während der Anspruch gegen den Anbieter begrenzt ist, gilt die eigene Meldepflicht für einen erheblichen Sicherheitsvorfall unabhängig davon, wo dessen Ursache liegt. Paragraf 2 Nummer 11 des BSI-Gesetzes (BSIG) knüpft den erheblichen Sicherheitsvorfall an die Folgen, nicht an einen Angriff. Erfasst ist, was schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, ebenso was Dritte erheblich schädigt. Ein Ausfall kann deshalb genügen, sofern er diese Schwelle erreicht.
Das BSIG verlangt von betroffenen Einrichtungen allerdings nicht nur die Meldung erheblicher Sicherheitsvorfälle. § 30 verpflichtet sie auch zu Maßnahmen für Betriebsfortführung, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Ob ein Betrieb betroffen ist, entscheidet unter anderem Anlage 2 des BSIG. Sie führt das verarbeitende Gewerbe auf, aber nicht vollständig. Erfasst sind unter anderem Medizinprodukte, Elektronik, elektrische Ausrüstungen, Maschinenbau und Fahrzeugbau, jeweils unter den im Gesetz genannten Größenvoraussetzungen. Die chemische Industrie wird separat erfasst.
Für die Erfassten gilt Erstmeldung binnen 24 Stunden nach Kenntniserlangung, Bewertung binnen 72 Stunden, Abschlussmeldung einen Monat danach. Der eigene IT-Dienstleister kann den Verfahrenshinweisen des BSI stellvertretend melden, die Verantwortung bleibt bei der Einrichtung.
Wie weit die Abhängigkeit reicht, hat Bitkom Research im Frühjahr 2026 unter 603 Unternehmen ab 20 Beschäftigten erhoben. 46 % müssten bei einem Cloud-Ausfall über kurz oder lang den Betrieb einstellen, 9 % sofort. Nach der Crowdstrike-Panne zwei Jahre zuvor hatten 48 % der für eine Studie befragten Betroffenen tatsächlich vorübergehend eingestellt. Unter den Cloud-Nutzern haben 82 % Notfallpläne, aber nur 35 % redundante Systeme und 8 % einen zweiten Anbieter.
Der Aufwand für die einfachsten Vorkehrungen liegt bei einem halben Tag und einigen hundert Euro im Jahr. Wogegen das versichert, hat der Ausfall vom 31. August gezeigt: nicht gegen einen Angriff, sondern gegen einen Konfigurationsfehler in einer Komponente, die außerhalb der Kontrolle des Kunden liegt und sich daher auch nicht umgehen lässt.
Ein Beitrag von:
