Exchange Online Ausfall: Ihr Rückgrat steht in Redmond – Grams IT

Seit Donnerstag, 17:17 Uhr deutscher Zeit, funktioniert für einen großen Teil der Welt die geschäftliche E-Mail nicht mehr. Der Exchange Online Ausfall mit der Vorgangsnummer EX1550543 hat Outlook, Teams-Kalender, SharePoint, Copilot und Defender XDR mitgerissen. Als ich diesen Text am Freitagmorgen schreibe, hat Microsoft nach rund zwölf Stunden noch immer keine Ursache genannt und die Störung nicht für beendet erklärt.

Es ist die sechste größere Störung von Exchange Online und Microsoft 365, die ich in diesem Jahr zähle. Und jedes Mal läuft es gleich: Downdetector glüht, der Statusaccount von Microsoft postet Durchhalteparolen auf X, und in den Unternehmen sitzen IT-Leiter vor einem Admin Center, das selbst nicht lädt. Danach machen alle weiter wie vorher.

Dieser Artikel ordnet ein, was passiert ist, wie viele Organisationen an diesem einen Dienst hängen und warum das ein Risiko ist, das Geschäftsführungen, CIOs und Dienststellenleitungen nicht länger der IT-Abteilung zuschieben können.

Was beim Exchange Online Ausfall passiert ist

Laut der Zeitleiste von StatusStack begannen die Verbindungsprobleme am 12. November um 16:17 UTC. Betroffen waren Outlook im Web, MAPI, Exchange ActiveSync und die REST-API, also praktisch jeder Weg ins Postfach. Microsoft sprach zuerst von Nutzern in Nord- und Südamerika, kurz darauf von möglichen Auswirkungen in jeder Region.

Um 18:26 UTC eröffnete Microsoft einen zweiten Vorgang, MO1550821, für die übrigen Microsoft-365-Dienste. Nach Angaben von pcffm.de waren in Teams vor allem Kalender und Terminplanung gestört, dazu SharePoint Online, Copilot, Defender XDR, Planner, To Do, Intune und Teile von Purview. Alles, was mit Exchange spricht, hing mit.

Die Zahlen bei Downdetector: How-To Geek zählte kurz nach 13 Uhr Ostküstenzeit über 100.000 Meldungen allein für Outlook. Die Spitze lag bei rund 130.000, laut The Deep Dive kamen innerhalb einer Stunde Meldungen aus 74 Ländern und Gebieten. Um 3:30 Uhr GMT am Freitag war die Störung nach Angaben von CNN immer noch weit verbreitet. In Australien konnten Firmen keine Rechnungen drucken und Schulen keinen Online-Unterricht halten.

Fairerweise: Für Deutschland fiel der Beginn in den Feierabend. Wie stark heimische Firmen und Behörden betroffen waren, lässt sich nicht belegen. Laut StatusStack nennt Microsoft Europa in seinen Updates nicht ausdrücklich. Ein Trost ist das nicht. Beim nächsten Mal beginnt es um neun Uhr morgens.

Microsofts Fehlerkommunikation: drei Ursachen in zwölf Stunden

Was Microsoft über die Ursache erzählt hat, ändert sich im Stundentakt. Erst war es „erhöhte Last“. Dann war die Last gar nicht gestiegen, sondern Server waren unerwartet ausgefallen und der Rest brach unter dem Verkehr zusammen. Um 19:43 UTC hieß es laut StatusStack, die Server fielen durch automatische Health-Checks, möglicherweise wegen einer kürzlichen Änderung. Eine Viertelstunde später: Man habe keine zeitlich passende Änderung gefunden, verdächtig sei eine Health-Check-Komponente auf den Servern selbst.

In der Nacht kam laut pcffm.de die nächste Wendung: Microsoft nimmt eine kürzlich vorgenommene Netzwerkkonfigurationsänderung zurück, deren Zeitpunkt mit dem Störungsbeginn zusammenfällt. Und zuletzt, im Original-Microsoft-Sprech: „sustained traffic management imbalances“. Die bisherigen Maßnahmen, so Microsoft auf X, griffen „nicht wie erwartet“.

Da betreibt also ein Konzern Ihre E-Mail und weiß nach zwölf Stunden selbst nicht, warum sie nicht ankommt. Sogar die Server, die Microsoft wieder hochgefahren hat, können nach eigener Aussage erneut aussteigen, sobald sie Verkehr bekommen. Hinweise auf einen Angriff gibt es laut SecurityWeek nicht. Das macht es nicht besser: Hier hat sich ein Hyperscaler selbst ausgeknockt.

Kein Einzelfall: Microsoft 365 Störungen 2026

Wer jetzt „kann ja mal passieren“ sagt, hat das Jahr verschlafen.

Zeitleiste der größeren Exchange-Online- und Microsoft-365-Störungen 2026: 22./23. Januar, 2. Juni, ab 19. Juli, 31. August, 6. bis 9. November und 12./13. November

Im Januar war Microsoft 365 laut The Register fast zehn Stunden lang gestört, ausgelöst durch Infrastruktur in Nordamerika. Am 2. Juni gab es laut it-daily weltweit massive Verzögerungen und Fehler beim Senden und Empfangen. Ab dem 19. Juli schob Exchange Online laut WinFuture normale E-Mails in die Quarantäne. Am 31. August legte eine beschädigte Authentifizierungskonfiguration (EX1464935) die Dienste lahm, und am 3. September kämpfte Microsoft laut Borncity immer noch mit den Folgen. Anfang November wies Outlook.com tagelang Mails von Firmendomains ohne DMARC-Eintrag ab, weil ein Update der Spam-Regeln danebenging, wie Skill Sprinters unter Berufung auf heise und MailRoute zusammenfasst.

Kleinere Störungen wie der Ausfall von Outlook im Web in Europa, Nahost und Afrika am 9. November, laut IsDown rund 4,5 Stunden, sind in der Grafik noch nicht einmal drin. Das ist kein Pech. Das ist ein Muster.

Wie viele Firmen und Behörden Microsoft 365 nutzen

Die ehrliche Antwort zuerst: Eine belastbare Zahl, wie viele Unternehmen oder Behörden in Deutschland Exchange Online nutzen, gibt es nicht. Microsoft weist keine Länderzahlen aus und trennt Exchange Online nicht vom Rest des Pakets.

Was Microsoft veröffentlicht, ist die Gesamtzahl. Finanzchefin Amy Hood sagte bei der Vorstellung der Quartalszahlen im Januar 2026, die bezahlten kommerziellen M365-Arbeitsplätze seien um sechs Prozent auf über 450 Millionen gestiegen. Seitdem nennt der Konzern nur noch Wachstumsraten. Jeder dieser Plätze hängt an derselben Infrastruktur, die gestern Abend umgefallen ist.

Für Deutschland liefert der Cloud Report 2026 des Bitkom die besten Näherungswerte. 86 Prozent der Unternehmen ab 20 Beschäftigten nutzen Cloud Computing. 71 Prozent nutzen Angebote von US-Anbietern, aber nur 8 Prozent würden diese im Idealfall wählen, wie it-daily aus dem Report zitiert. Und 85 Prozent halten Deutschland für zu abhängig von US-Cloud-Anbietern, nach 78 Prozent im Vorjahr. Man weiß es also. Man tut es trotzdem.

Öffentliche Verwaltung: Office überall, Cloud nicht überall

Bei Behörden muss man genauer hinschauen, weil Microsoft Office nicht gleich Microsoft 365 aus der Cloud ist. In der Bundesverwaltung laufen laut dem Zentrum für Digitale Souveränität (ZenDiS) auf deutlich mehr als 90 Prozent der PC-Arbeitsplätze Microsoft-Office-Produkte, berichtet die hessenschau. Der Hessische Städte- und Gemeindebund nennt Office dort das „absolute Standardumfeld“. Gleichzeitig nutzen Gießen, Kassel, Marburg und Wiesbaden nach eigener Auskunft keine Microsoft-Cloud-Dienste. Eine bundesweite Quote, wie viele Kommunen ihre Post über Exchange Online abwickeln, existiert nicht.

Was es gibt, sind Rechnungen. Die Bundesverwaltung hat 2025 laut einer Antwort der Bundesregierung 481,4 Millionen Euro für Microsoft-Lizenzen ausgegeben, Länder und Kommunen nicht eingerechnet. Die Zahl taucht auch in der Bundestagsdrucksache 21/5413 auf.

Balkendiagramm: Microsoft-Lizenzausgaben der Bundesverwaltung stiegen von 274,1 Mio. Euro (2023) über 347,7 Mio. (2024) auf 481,4 Mio. Euro (2025), plus 76 Prozent

Von 274,1 auf 481,4 Millionen in zwei Jahren sind nach meiner Rechnung 76 Prozent mehr. Ich habe dazu schon beim VITAKO-Positionspapier zur digitalen Souveränität geschrieben. Hier nur so viel: Für fast eine halbe Milliarde Euro im Jahr bekommt man offenbar keine Garantie, dass die Post zugestellt wird.

Single Point of Failure: Wenn die E-Mail steht, steht der Laden

E-Mail ist kein Komfortdienst. Über sie laufen Aufträge, Rechnungen, Fristen, Bescheide, Passwort-Resets und die Freigabe-Links aller anderen Cloud-Dienste. Fällt sie aus, ist das Unternehmen nach außen stumm.

Der Bitkom hat gefragt, was passiert, wenn die Cloud wegbricht. Die Antworten stehen in der Pressemitteilung zum Cloud-Ausfall:

Balkendiagramm: Bei einem Cloud-Ausfall müssten 9 Prozent der Unternehmen den Betrieb sofort einstellen, weitere 37 Prozent später; 24 Prozent wären nicht zum Stillstand gezwungen, 14 Prozent nutzen keine Cloud, 16 Prozent wissen es nicht

46 Prozent der Unternehmen müssten den Betrieb früher oder später einstellen, 9 Prozent sofort. 28 Prozent der Cloud-Nutzer hatten in den vergangenen zwölf Monaten bereits schwerwiegende Ausfälle. Und jetzt der Teil, der mich wirklich ärgert: 82 Prozent geben an, Notfallpläne zu haben. Einen zweiten Cloud-Anbieter haben 8 Prozent. Redundante Systeme 35 Prozent.

Man muss sich das übersetzen. Der Notfallplan der meisten Unternehmen lautet: warten, bis Microsoft fertig ist. Bitkom-Präsident Ralf Wintergerst vergleicht eine funktionierende Cloud mit Strom und Internetzugang. Bei Strom käme niemand auf die Idee, das Notstromaggregat für überflüssig zu halten, weil der Versorger ja groß ist.

Was für die Cloud spricht – und warum das nicht reicht

Die Gegenseite hat Argumente, und sie verdienen eine faire Darstellung. Ein selbst betriebener Exchange Server ist kein Allheilmittel. Er muss gepatcht werden, und Exchange Server stand auch beim November-Patchday wieder auf der Liste. Eine Organisation mit drei Leuten in der IT betreibt ihren Mailserver nicht sicherer und nicht verfügbarer als Microsoft. Die meisten On-Premises-Ausfälle schaffen es nur nicht in die Nachrichten.

Dazu kommt der Markt: 43 Prozent der Unternehmen sehen laut Bitkom für ihre Anforderungen derzeit keine gleichwertige europäische Alternative zu den US-Hyperscalern. Und der Hessische Datenschutzbeauftragte hält Microsoft 365 nach seiner Prüfung für datenschutzkonform nutzbar, wenn auch nur mit erheblichem Aufwand.

Das alles stimmt. Es beantwortet nur die falsche Frage. Es geht nicht darum, ob Microsoft schlechter betreibt als ein Kleinbetrieb. Es geht darum, dass bei 450 Millionen Arbeitsplätzen ein Konfigurationsfehler in Redmond gleichzeitig Firmen, Schulen und Behörden rund um den Globus trifft, und dass keiner von ihnen irgendetwas tun kann. Ein eigener Server fällt auch aus. Aber dann fällt einer aus, nicht alle, und man kann selbst daran arbeiten. Das ist der Unterschied zwischen einem Risiko und einem Klumpenrisiko.

CLOUD Act und Datenschutz: das zweite Problem

Verfügbarkeit ist das eine. Vertraulichkeit das andere, und man sollte beides nicht vermischen, weil der CLOUD Act mit dem Ausfall von gestern nichts zu tun hat. Er gehört trotzdem in dieselbe Risikobewertung.

Der US CLOUD Act verpflichtet US-Anbieter, Daten auf Anordnung herauszugeben, auch wenn sie in Europa liegen. Der Rechtsdirektor von Microsoft Frankreich, Anton Carniaux, wurde am 10. Juni 2025 vor dem französischen Senat unter Eid gefragt, ob er garantieren könne, dass Daten französischer Bürger nie ohne Zustimmung an US-Behörden gehen. Seine Antwort laut it-daily: „Nein, das kann ich nicht garantieren.“

Rechtlich ist die Lage in Deutschland weniger eindeutig, als viele Kritiker behaupten. Die Datenschutzkonferenz hat 2022 festgestellt, dass Verantwortliche den datenschutzkonformen Betrieb nicht nachweisen können. Diese Einschätzung ist nicht aufgehoben, eine Neubewertung aber nicht veröffentlicht. Der Hessische Datenschutzbeauftragte, sein Hamburger Kollege und der Europäische Datenschutzbeauftragte halten den Einsatz laut einer Auswertung der Kanzlei Loschelder für möglich, aber nur mit erheblichem Eigenaufwand. Der Drittlandzugriff bleibt dabei ausdrücklich ein offener Punkt, und der Hamburger Datenschutzbeauftragte fordert eine Exit-Strategie, um die Daten kurzfristig zurückholen zu können.

Wer also behauptet, Microsoft 365 sei in Deutschland verboten, liegt falsch. Wer behauptet, es sei unproblematisch, liegt genauso falsch. Und der Datenschutz kennt die Verfügbarkeit sehr wohl: Art. 32 DSGVO verlangt die Fähigkeit, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen und den Zugang zu den Daten nach einem technischen Zwischenfall rasch wiederherzustellen. „Rasch“ heißt nicht „wenn Redmond so weit ist“.

Was Geschäftsleitungen und Dienststellenleitungen jetzt tun müssen

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Nach § 38 Abs. 1 BSIG müssen Geschäftsleitungen wichtiger und besonders wichtiger Einrichtungen die Maßnahmen zum Risikomanagement genehmigen und ihre Umsetzung aktiv überwachen, wie Taylor Wessing zusammenfasst. Nicht jede Firma fällt darunter, und für Kommunen gilt vor allem Landesrecht. Aber der Gedanke dahinter gilt für alle: IT-Ausfallrisiken sind Chefsache.

Was das konkret heißt, ist meine Forderung, nicht die des Gesetzgebers:

Den Ausfall von E-Mail als eigenes Szenario in die Notfallplanung aufnehmen, mit der ehrlichen Annahme „zwölf Stunden plus, ohne Ursache, ohne Zeitangabe“.
Einen Kommunikationsweg vorhalten, der nicht an Microsoft hängt: ein Ausweich-Postfach bei einem anderen Anbieter, eine Telefonkette, eine Statusseite außerhalb des eigenen Tenants.
Die Abhängigkeit sichtbar machen. Welche Prozesse, Fachverfahren und Freigaben laufen über Exchange? Wer das nicht weiß, weiß auch nicht, was gestern Abend alles stand.
Eine Exit-Strategie schreiben, so wie es der Hamburger Datenschutzbeauftragte verlangt, und sie einmal durchrechnen, statt sie nur zu besitzen.
Bei Vertragsverlängerungen Alternativen tatsächlich prüfen, statt sie nur ins Protokoll zu schreiben.

Und an Gemeindevertretungen, Aufsichtsräte und Verwaltungsräte: Fragen Sie nach. Was hat der Ausfall vom 12. November bei uns ausgelöst? Was wäre gewesen, wenn er um neun Uhr morgens begonnen hätte? Wer diese Fragen nicht beantworten kann, hat kein Cloud-Problem, sondern ein Führungsproblem.

Fazit

Microsoft betreibt einen der größten E-Mail-Dienste der Welt und hat nach zwölf Stunden Ausfall drei verschiedene Erklärungen und keine Ursache geliefert. Es war der x-te Vorfall in diesem Jahr. Über 450 Millionen Arbeitsplätze hängen an diesem Paket, darunter unzählige deutsche Firmen und Teile der Verwaltung, und fast die Hälfte der deutschen Unternehmen stünde bei einem Cloud-Ausfall nach eigener Aussage irgendwann still.

Das Risiko ist bekannt, die Zahlen sind öffentlich, die Rechtslage verlangt Vorsorge. Was fehlt, ist der Wille in den Chefetagen, den bequemen Satz „Microsoft kümmert sich schon“ durch einen Plan zu ersetzen.

Nehmen Sie den Ausfall vom 12. November zum Anlass und legen Sie Ihrer Geschäftsführung oder Ihrer Dienststellenleitung eine einzige Frage vor: Wie lange können wir ohne E-Mail arbeiten, und was tun wir in Stunde eins? Wenn die Antwort „warten“ lautet, haben Sie Ihren nächsten Tagesordnungspunkt.

Stand: 13. November 2026, früher Morgen. Die Störung war zu diesem Zeitpunkt nicht behoben, Microsoft hat noch keinen Bericht zur Ursache veröffentlicht.

Quellen: