Microsoft-365-Ausfall: Was drei Tage ohne Exchange über Ihre Notfallplanung sagen
Am Montag, 31. August, fiel am späten Nachmittag Exchange Online aus. Mit ihm gingen Teams, SharePoint, OneDrive, Purview und Defender XDR in die Knie. Vollständig erholt war der Dienst erst am 3. September — rund 67 Stunden später.
Was tatsächlich passiert ist
Microsoft meldete eine weltweite Störung, die am 31. August gegen 15:08 Uhr UTC begann (BleepingComputer, 31. August 2026, aktualisiert bis 3. September). Betroffen waren laut Microsoft neben Exchange Online auch Teams, Microsoft Graph, Purview, OneDrive for Business, SharePoint Online, das Admin Center, Copilot, Universal Print und Defender XDR. Als Ursache nannte Microsoft ein Problem in einer zentralen Authentifizierungskonfiguration, die mehrere interne Dienste der Exchange-Online-Infrastruktur nutzen. Nutzer meldeten verzögerten oder fehlgeschlagenen Mailversand, Anmeldefehler sowie Störungen bei der Suche und beim Zugriff auf Anhänge. Es war kein Angriff und kein Datenabfluss — eine reine Verfügbarkeitsstörung. Die Erholung zog sich: Etwa 48 Stunden nach Beginn meldete Microsoft, dass die meisten Dienste wieder liefen, Exchange Online aber noch nicht; erst am 3. September wurden alle Dienste als wiederhergestellt gemeldet. Die Schweizer Nachrichtenseite inside-it.ch (1. September 2026) sprach von einer weltweiten Störung, von der Business- und Privatkunden betroffen waren. heise online zog am 2. September eine unbequeme Konsequenz: Wer seinen Notfallplan in SharePoint ablegt und die Krisenkommunikation über Teams laufen lässt, steht im Ernstfall ohne beides da.
Meine Einordnung
Der Ausfall war keine Attacke, kein Datenverlust, kein Ransomware-Fall — und genau deshalb ist er so lehrreich. Ein einzelner Fehler in einem Authentifizierungsdienst hat weltweit Zehntausende Unternehmen für Tage teilweise handlungsunfähig gemacht. Die Technik dahinter war beherrschbar; die Abhängigkeit war es nicht. Wer Mail, Chat, Dateiablage, Identität und Sicherheit an denselben Anbieter bindet, hat nicht fünf Dienste, sondern einen. Fällt der eine, fällt alles — und zwar genau dann, wenn man ihn am wenigsten braucht.
In Projekten sehe ich seit Jahren denselben blinden Fleck: Der Notfallplan liegt als PDF in der Cloud, das Telefonbuch im Cloud-Tenant, die Kontakte im Firmen-Chat. Bei einer Störung wie dieser schaut man dann auf eine Anmeldemaske statt auf einen Plan. Digitale Souveränität heißt für den Mittelstand nicht „weg von Microsoft" — das ist weder realistisch noch nötig. Souverän ist, wer weiterarbeiten kann, wenn ein Anbieter ausfällt. Dazu braucht es einen zweiten, technisch unabhängigen Kommunikationsweg, den man regelmäßig nutzt, damit er im Ernstfall funktioniert; Notfallunterlagen, die auch ohne IT erreichbar sind; und ein dokumentiertes Bild davon, welche Prozesse an welchem Anbieter hängen. Das ist Projektarbeit, keine Einkaufsentscheidung.
Der naheliegende Reflex lautet „mehr Cloud-Backup". Ich halte das für die zweite Frage. Die erste ist die Abhängigkeitskarte. Wer im Betrieb entscheidet, dass ein Prozess über ein Cloudsystem läuft, denkt das Ausfallrisiko selten mit. In einem Fall aus der Region hing die Auftragsannahme komplett an einem Cloud-ERP — und der Notfallplan lag als PDF im gleichen Tenant. Nicht der Ausfall selbst hätte dem Team zugesetzt, sondern der fehlende Zugriff auf den eigenen Plan. Ausfallsicherheit entsteht nicht durch ein Produkt, sondern durch Architektur und Übung.
Was Sie jetzt konkret tun können
1. Abhängigkeitskarte erstellen. Notieren Sie, welche Geschäftsprozesse — Mail, Auftrag, Rechnung, Freigaben — an welchem Cloudanbieter hängen. Auch die unauffälligen.
2. Zweiten Kommunikationsweg einrichten und üben. Ein Kanal, der nicht am selben Anbieter hängt, und den Sie quartalsweise tatsächlich benutzen.
3. Notfall-Handbuch off-cloud ablegen. Kontaktlisten, Eskalationswege, Ersatzprozesse — lokal oder auf Papier, nicht im gleichen Tenant wie die gestörten Dienste.
4. Ausfall durchspielen. „Exchange fällt montags um 15 Uhr aus — was tun wir in den ersten zwei Stunden?" mit klaren Rollen.
5. Exitfähigkeit prüfen. Datenexport, Vertragslaufzeiten, Datenportabilität: Könnten Sie wechseln, wenn Sie wollten?
Die Abhängigkeitskarte und die Wiederanlaufplanung sind typische Aufgaben der IT-Projektsteuerung; um die technische Seite geht es unter IT-Infrastruktur.
Quellen
- BleepingComputer, „Massive Microsoft 365 outage causes auth issues, service failures", 31.08.2026 (aktualisiert 03.09.2026) — https://www.bleepingcomputer.com/news/microsoft/microsoft-exchange-online-outage-causes-email-failures-auth-issues/
- heise online, „Kommentar zum Microsoft-Ausfall: Jetzt zahlen wir den Preis der Bequemlichkeit", 02.09.2026 — https://www.heise.de/meinung/Kommentar-zum-Microsoft-Ausfall-Jetzt-zahlen-wir-den-Preis-der-Bequemlichkeit-11440057.html
- inside-it.ch, „Weltweite Störung bei Microsoft-Diensten", 01.09.2026 — https://www.inside-it.ch/weltweite-stoerung-bei-microsoft-diensten-20260901
Häufige Fragen
War das ein Angriff?
Nein. Microsoft hat die Störung ausdrücklich als Verfügbarkeitsproblem beschrieben, nicht als Sicherheitsvorfall. Als Ursache nannte das Unternehmen ein Problem in einer zentralen Authentifizierungskonfiguration. Ein Datenabfluss wurde nicht gemeldet.
Reicht ein zweiter Cloud-Anbieter als Ausweichweg?
Nur, wenn er technisch unabhängig ist. Ein zweites System, das im selben Netz, bei demselben Anbieter oder mit denselben Konten läuft, ist kein Ausweichweg. Und ein Ausweichweg, den niemand kennt oder benutzt, funktioniert im Ernstfall nicht.
Wie oft sollte man den Notfallplan üben?
Mindestens einmal im Jahr, besser halbjährlich — und nicht als Papierübung. Eine kurze, ehrliche Simulation mit den echten Beteiligten deckt mehr Schwächen auf als ein fünfzigseitiges Konzept.
Eigene Einordnung, keine Rechtsberatung. Quellen: BleepingComputer, „Massive Microsoft 365 outage causes auth issues, service failures", 31.08.2026 (aktualisiert 03.09.2026) — https://www.bleepingcomputer.com/news/microsoft/microsoft-exchange-online-outage-causes-email-failures-auth-issues/ · heise online, „Kommentar zum Microsoft-Ausfall: Jetzt zahlen wir den Preis der Bequemlichkeit", 02.09.2026 — https://www.heise.de/meinung/Kommentar-zum-Microsoft-Ausfall-Jetzt-zahlen-wir-den-Preis-der-Bequemlichkeit-11440057.html · inside-it.ch, „Weltweite Störung bei Microsoft-Diensten", 01.09.2026 — https://www.inside-it.ch/weltweite-stoerung-bei-microsoft-diensten-20260901