„Geht in die Cloud, haben sie gesagt“: Der Microsoft-365-Ausfall und die Rechnung für die Abhängigkeit -

Am Donnerstagabend, dem 12. November 2026, ging bei Microsoft der Postverkehr in die Knie, und am Freitagvormittag war die Störung noch immer nicht beseitigt. Firmen und Behörden klagen jetzt, dass sie nicht arbeiten können. Wer sich seit Jahren mit Infrastruktur beschäftigt, klagt nicht mit. Er hat genau davor gewarnt, und er weiß, wie es weitergeht: Das Drama dauert ein paar Tage, dann werden die nächsten Lizenzen gekauft und die nächsten Systeme ausgelagert. Bisher war das nie ein Problem, und das ist das eigentliche Problem.

Was passiert ist

Nach der Chronologie des Windows-Papstes, die auf den Microsoft-Statusmeldungen beruht und deren Uhrzeiten der Autor aus UTC umgerechnet hat, begann der Vorfall EX1550543 am Donnerstag um 17:17 Uhr. Postfächer waren nicht mehr erreichbar, zunächst nur in Amerika, bald weltweit. Gegen 19 Uhr lag die Zahl der Outlook-Störungsmeldungen bei Downdetector bei rund 130.000. Microsoft stoppte alle Deployments und Konfigurationsänderungen. Server fielen bei den automatischen Prüfungen durch und wurden aus dem Betrieb genommen, die verbliebenen Server übernahmen die Last. Ein Teil der Server kam zurück und fiel unter Verkehr erneut aus.

Wie Cybersecuritynews berichtet, hatte Microsoft zuerst erhöhte Last als Ursache genannt und das später korrigiert: Es gab keinen zusätzlichen Verkehr, Server waren unerwartet ausgefallen. Ein überlasteter Kernprozess auf den Servern wurde als Auslöser genannt. Die Wiederherstellungsversuche, darunter der Stopp der Deployments, die Umleitung des Verkehrs und Neustarts, brachten laut Microsoft nicht die erwartete Entlastung. Eine bestätigte Ursache gibt es bislang nicht, ein Post-Incident-Report ist angekündigt. Einen Cyberangriff schließt Microsoft aus, der Manager Charles Lamanna sagte, der Ausfall sei nicht die Folge eines Angriffs.

Betroffen waren nach Ingenieur.de Outlook und Exchange Online, die Terminplanung in Teams, Copilot, SharePoint, Defender, Graph, Intune, Planner und Purview. Die japanische Regierung bestätigte Auswirkungen auf Teile ihrer IT, auch Behörden in Australien und den USA meldeten Einschränkungen. Die indischen Fluggesellschaften IndiGo und Akasa Air konnten ihren Kundenservice per E-Mail zeitweise nicht wie gewohnt betreiben, und der US-Lkw-Hersteller Workhorse verschob wegen des Ausfalls die Veröffentlichung seiner Quartalszahlen vom 12. auf den 16. November. Auch Anbindungen an KI-Dienste von OpenAI und Anthropic waren gestört. Die Stadt Bremerhaven meldete am Freitag, die Störung sei noch nicht ausgestanden, Microsoft nannte keinen Zeitpunkt für die vollständige Behebung.

Kein Ausrutscher, sondern ein Muster

Wer diesen Ausfall für einen Einzelfall hält, kennt die Chronik nicht. Am 25. Januar 2023 fielen Outlook, Teams, Exchange Online, SharePoint und OneDrive weltweit aus, Microsoft nannte als Ursache einen Fehler bei einer Änderung der Netzwerkkonfiguration, so die Computerwoche. Am 31. August 2026 legte laut Born City eine Fehlkonfiguration in einer Authentifizierungskomponente Exchange Online, Teams, SharePoint und OneDrive lahm, die Mail erholte sich über Stunden, SharePoint kämpfte noch am nächsten Morgen mit Anmeldeproblemen. Und jetzt der 12. November. Das Muster ist immer dasselbe: Eine Änderung beim Anbieter, ein Fehler an zentraler Stelle, und Millionen Menschen sitzen vor dem Bildschirm und warten.

Warum der Fehler beim Anbieter mehr kostet

Natürlich können auch lokale Dienste ausfallen, und das tun sie im Alltag häufiger als die Dienste der großen Cloud-Anbieter. Das bestreite ich nicht. Der Unterschied liegt in der Reichweite und in der Handlungsfähigkeit. Fällt der Mailserver einer Stadtverwaltung aus, ist die Stadtverwaltung betroffen, und ihr Administrator kann das System anfassen, ein Backup einspielen, einen Ersatz hochziehen. Fällt eine zentrale Cloud-Komponente aus, ist nicht ein Ort betroffen, sondern die ganze Welt. Und der Administrator kann nichts tun.

Wie ohnmächtig die Kunden sind, steht in den Empfehlungen, die der Windows-Papst für Administratoren zusammenstellt: Nichts am Client reparieren, keine Neuinstallation, keine Profil-Löschung, keine Passwort-Resets. Eigene Änderungen einfrieren. Und für die Kommunikation auf einen alternativen Kanal ausweichen, nämlich SMS, ein Intranet außerhalb von SharePoint oder das Telefon. Das ist der Rat an die Betreiber kritischer Verwaltungen: Warten, und im Zweifel anrufen. Wer auf Telefon und SMS ausweichen muss, weil die Mail nicht funktioniert, bestätigt damit, dass eine unabhängige Infrastruktur nötig ist.

Auch die Sicherheitsfunktionen fielen aus

Als Datenschützer sehe ich noch etwas, das in der Aufregung um die nicht ankommenden Mails untergeht. Laut der Chronologie waren bei Defender for Office 365 die Safe-Links-Prüfung teilweise gestört, bei Purview Funktionen wie Datenverlustschutz, Klassifizierungslabels, eDiscovery und Audit-Suche. Die Systeme, mit denen Behörden und Unternehmen den Schutz ihrer Daten nachweisen wollen, hängen an derselben Plattform wie die Mail. Fällt die Plattform aus, fällt auch die Kontrolle aus. Der Windows-Papst weist Betreiber zudem darauf hin, die Auswirkungen für die Bewertung nach der NIS2-Richtlinie zu dokumentieren. Ob ein Vorfall meldepflichtig ist, muss im Einzelfall geprüft werden.

Verfügbarkeit ist eines der klassischen Schutzziele der IT-Sicherheit, neben Vertraulichkeit und Integrität. Eine Verwaltung, die sich bei der Verfügbarkeit ihrer Kernkommunikation auf einen US-Konzern verlässt, hat dieses Schutzziel ausgelagert, und mit ihm die Kontrolle.

Die Rechnung zahlen wir

Nach dem Ausfall wird es heißen, man müsse sich „breiter aufstellen“. Ich glaube das erst, wenn ich es im Haushalt sehe, und dort sieht es anders aus. Der Bund zahlt nach der Computerwoche inzwischen 481,1 Millionen Euro an Microsoft, nach 347,4 Millionen im Jahr davor. Die Zahlungen steigen, während jedes Mal dieselbe Abhängigkeit beklagt wird. Im April 2026 kündigte Digitalminister Karsten Wildberger an, die Bundesverwaltung werde ihre Microsoft-Nutzung schrittweise verringern. Es gibt nach dem Vergabeblog dafür keinen Zeitplan, keine Zielquote und keine benannten Behörden. Wer so plant, will nicht aussteigen, sondern beruhigen.

Dazu kommt das Risiko, das nicht auf Technik beruht. Wie schnell ein US-Konzern eine Verbindung kappen kann, hat der Internationale Strafgerichtshof erlebt: Nach US-Sanktionen sperrte Microsoft das E-Mail-Konto des Chefanklägers, die Arbeit des Gerichts war laut heise erheblich beeinträchtigt. Der Ausfall vom 12. November war ein Fehler. Die Sperrung beim Strafgerichtshof war eine Entscheidung. Beides zeigt dieselbe Schwäche: Wer seine Post und seine Zusammenarbeit auf der Plattform eines anderen betreibt, hängt von dessen Fehlern und von dessen politischen Zwängen ab. Dasselbe gilt für die geplante Cloud der Nachrichtendienste auf Google-Technik, über die ich an anderer Stelle geschrieben habe.

Dass es anders geht, zeigt Schleswig-Holstein. Laut Staatskanzlei arbeiten fast 80 Prozent der Arbeitsplätze außerhalb der Steuerverwaltung mit LibreOffice, die Lizenzkosten sinken um mehr als 15 Millionen Euro. Das Land hat entschieden, die Kontrolle über seine Arbeitsumgebung zu behalten, und spart dabei Geld.

Was ich fordere

Notfallbetrieb ohne Cloud. Jede Behörde und jedes Unternehmen mit kritischen Aufgaben braucht eine Mail- und Telefonlösung, die ohne Microsoft funktioniert, und muss sie regelmäßig üben.
Verfügbarkeit in jede Ausschreibung. Wer Cloud-Dienste kauft, muss die Folgen eines Totalausfalls vorab durchrechnen. Gutschriften aus Service-Level-Vereinbarungen ersetzen keine Arbeitstage.
Exit-Strategien mit Datum. Die Ankündigung, Microsoft „schrittweise“ zu verringern, braucht einen Zeitplan, eine Quote und benannte Behörden.
Offene Alternativen fördern. Open-Source-Lösungen wie openDesk müssen von der öffentlichen Hand als Ankerkunde getragen werden, statt dass Mittel für das Zentrum für Digitale Souveränität zurückgehalten werden.
Regeln für Betreiber kritischer Dienste durchsetzen. Die Dokumentation nach NIS2 darf nicht zur Formsache werden.

Fazit

Der Ausfall ist keine Überraschung und keine Panne, die sich in zwei Wochen erledigt hat. Er ist die Folge einer Entscheidung, die in Behörden und Firmen seit Jahren getroffen wird: Kosten sparen, Verantwortung abgeben, auf die Cloud verweisen. Die Rechnung kommt jetzt in Form von Arbeitsausfall, Unsicherheit und Abhängigkeit. Wer daraus nichts lernt, kauft in zwei Wochen die nächsten Lizenzen, und der nächste Ausfall wird dann so sicher kommen wie dieser.

Quellen: Der Windows-Papst: Microsoft-365-Störung November 2026, Cybersecuritynews: Fixes Fail as Restored Servers Keep Going Unresponsive, Ingenieur.de: Ein Serverproblem legt Microsoft-Dienste lahm, Stadt Bremerhaven: Microsoft-Großstörung dauert weiter an, Born City: Fehlkonfiguration legt Exchange, Teams und SharePoint lahm, Computerwoche: Weltweite Ausfälle bei Microsoft 365, Computerwoche: Bund zahlt fast eine halbe Milliarde an Microsoft, Vergabeblog: Bund will Microsoft-Abhängigkeit reduzieren, heise: Microsoft sperrt Konto beim Strafgerichtshof, Staatskanzlei Schleswig-Holstein: Open Source

Microsoft 365 Ausfall Exchange Online Outlook Teams Copilot Cloud Digitale Souveränität Verfügbarkeit Abhängigkeit Open Source IT-Sicherheit NIS2 Datenschutz