Der Tag nach dem Microsoft-365-Ausfall: was wir gelernt haben und was du jetzt tun kannst

Am Donnerstag, dem 12. November 2026, fielen Exchange Online, Teams, SharePoint Online, Microsoft 365 Copilot und Defender XDR weltweit aus oder liefen nur eingeschränkt. Dieser Beitrag ordnet ein: Was ist belegt, was ist noch offen, was lernen wir daraus, und was kannst du heute tun, ohne deine ganze Infrastruktur umzubauen.

Die Frage, wie abhängig man von einem einzigen Anbieter sein will, behandelt der Beitrag Microsoft-365-Ausfall und Abhängigkeit. Hier geht es um die Analyse und die konkreten Schritte danach.

Stand der Informationen: Microsoft hat bis jetzt keinen abschließenden Bericht (Post-Incident-Review) veröffentlicht. Alles Folgende stützt sich auf die Statusmeldungen von Microsoft, wie sie BleepingComputer zusammenfasst, und auf eine technische Analyse von Control Plane. Die Analyse ist eine Einordnung, keine Bestätigung durch Microsoft.

Was gesichert ist

• Beginn: Der Hauptvorfall (Kennung MO1550821 im Admin-Center) begann am 12. November um 18:26 UTC mit Problemen bei Exchange Online in Amerika und breitete sich auf andere Regionen und abhängige Dienste aus. Einen kürzeren Teams-Vorfall (TM1550488) gab es am selben Tag zwischen 14:45 und 15:53 UTC; ob beide zusammenhängen, hat Microsoft nicht gesagt.
• Ursache laut Microsoft: Zuerst war von erhöhter Last die Rede, dann davon, dass mehrere Server unerwartet nicht mehr verfügbar waren und die übrigen überlasteten, später davon, dass ein Kernprozess auf den betroffenen Servern überfordert war. Der Verkehr sei nicht gestiegen. Was die ersten Ausfälle ausgelöst hat, ist nicht veröffentlicht.
• Kein Angriff: Microsoft sieht keine Hinweise auf Cyberaktivität.
• Gegenmaßnahmen: Rollouts gestoppt, Verkehr umgeleitet, Server neu gestartet, die Art der Health-Checks umgestellt, einige junge Konfigurationsänderungen auf Rücknahme geprüft und das Zeitfenster für die Mailzustellung auf 48 Stunden verlängert.
• Erholung: Am 13. November meldete Microsoft Besserung in Nordamerika und weiten Teilen Europas, am Nachmittag deutlich kürzere Mailwarteschlangen. Berichte vom 14. November sprechen von wiederhergestellten Diensten; ein offizielles Ende mit Ursachenbericht steht noch aus.

Was die Analyse nahelegt (nicht bestätigt)

Die Beschreibung passt zu einem bekannten Muster, dem Kaskadenfehler: Health-Checks nehmen kranke Server aus dem Betrieb, ihre Last landet auf den übrigen, die dadurch ebenfalls durchfallen. Dann steigt die Last pro Server weiter, obwohl der Verkehr gleich bleibt. Server, die wieder in Betrieb gingen, sollen unter Last erneut ausgefallen sein. Das erklärt, warum die Wiederherstellung Stunden dauerte und nicht Minuten. Es erklärt nicht, was den ersten Ausfall ausgelöst hat; das ist die Frage für den Abschlussbericht.

Was wir daraus lernen

1. Ein Anbieter, ein großer Radius. Mail, Chat, Dateien, Kalender und Defender XDR liefen an einem Strang. Wer Vorfälle über Defender erkennt und per Teams bespricht, war in den ersten Stunden blind und stumm zugleich.
2. Alarme per Mail über denselben Anbieter sind keine Alarme. Fällt der Anbieter aus, kommt auch die Warnung nicht an.
3. Die Statusmeldungen änderten sich. Von «erhöhter Last» zu «Server nicht verfügbar» zu «Kernprozess überlastet». Das ist normal in der Fehlersuche, heißt aber: erste Einschätzungen nicht als Endstand weitergeben.
4. Die Erholung hat einen langen Schwanz. Selbst nach «läuft wieder» leeren sich Warteschlangen, und Mails kommen verspätet an.
5. Gerüchte kommen sofort. Bei jedem großen Ausfall taucht «Hackerangriff» auf. Warte auf die Aussage des Anbieters und teile dem Team nur Belegtes mit.

Zehn Maßnahmen für heute

1. Prüfe, was verloren ging. Sieh in der Mail-Warteschlange und in den Rückläufern (Unzustellbarkeitsmeldungen) deines Mail-Gateways nach, ob Nachrichten des 12. und 13. November nicht angekommen sind. Frag bei wichtigen Absendern nach.
2. Lege einen Kommunikationsweg außerhalb von Microsoft fest. Eine Telefonkette, ein Messenger oder eine Notfallseite auf anderer Infrastruktur. Trage ein, wer ihn auslöst und wer ihn ansagt.
3. Richte zwei Notfall-Adminkonten ein (Cloud-Konten, getrennt von den normalen, mit starkem Schutz und Prüfung). Microsoft beschreibt das als Emergency-Access-Konten.
4. Leite Alarme über einen zweiten Weg. Monitoring, das dir mailt, braucht zusätzlich SMS, Push oder einen anderen Mailanbieter.
5. Überwache von außen. Ein kleiner Test, der regelmäßig eine Mail an dein Postfach schickt und das Ankommen prüft, zeigt dir einen Ausfall vor deinen Kollegen. Abonniere zusätzlich den Service-Health-Feed.
6. Kenne deine MX- und DNS-Konfiguration. Wie hoch sind die TTL-Werte, wer verwaltet die Zone, was passiert mit eingehender Mail, wenn dein Postfachanbieter 48 Stunden schweigt? Der Mail-DNS-Check zeigt dir MX, SPF, DKIM und DMARC einer Domain in einem Schritt. Ändere MX-Einträge nicht panisch mitten im Ausfall, sondern plane eine Lösung vorher.
7. Prüfe, was an Mail hängt. Passwort-Rücksetzungen, Zwei-Faktor-Codes per Mail, Rechnungsversand, Ticketsystem, Formulare. Schreibe die Liste auf und entscheide, was einen zweiten Weg braucht.
8. Übe den Ernstfall 15 Minuten. Spiele durch: Mail und Teams sind weg, wie erreichst du die Kunden und das Team? Trage Lücken sofort nach.
9. Dokumentiere den Schaden und lies deinen Vertrag. Dauer, betroffene Prozesse, Kosten. Prüfe, ob Gutschriften aus dem Service-Level in deinem Vertrag greifen und bis wann du sie beantragen musst.
10. Entscheide bewusst, was getrennt laufen soll. Nicht alles muss von Microsoft weg. Aber für wenige kritische Dinge (Notfallkommunikation, Alarmierung, Zugangsdaten-Wiederherstellung) lohnt sich ein zweiter Anbieter oder ein eigener Dienst, etwa ein Chat-Raum auf einer selbst betriebenen Nextcloud Talk. Das ist ein Zusatz, kein Ersatz, und braucht eigene Pflege.

Was du lassen solltest

• Keine Sicherheitseinstellungen lockern, um «schneller wieder arbeiten zu können».
• Keine Massenänderungen an DNS oder Konten mitten im Ausfall.
• Keine Vermutungen über die Ursache an Kunden weitergeben.

Sobald Microsoft den Abschlussbericht veröffentlicht, ergänze ich diesen Beitrag. Bis dahin gilt: Der Ausfall war ein Test, den du nicht geplant hast. Nutze das Ergebnis.