Seit dem Abend des 12. November 2026 kämpft Microsoft mit einer weltweiten Störung seiner Cloud-Dienste. Viele Unternehmen können seitdem keine E-Mails senden oder empfangen, Kalender sind nicht erreichbar, auch Teams ist eingeschränkt. Der Vorfall zeigt, wie stark der Arbeitsalltag an wenigen zentralen Diensten hängt – und wirft eine Frage auf, die sich viele Unternehmen bisher nicht gestellt haben: Was ist zu tun, wenn der wichtigste Kommunikationskanal ausfällt?

Was passiert ist (Stand: 13. November 2026)

Die Störung begann am Donnerstag gegen 19:30 Uhr deutscher Zeit. Microsoft führt sie im Admin Center unter den Kennungen MO1550821 und EX1550543. Betroffen sind nach Angaben von Microsoft Exchange Online, Microsoft Teams, SharePoint Online, Microsoft 365 Copilot und Microsoft Defender XDR. Postfächer waren in der Desktop-Anwendung, im Browser und auf mobilen Geräten zeitweise nicht erreichbar, E-Mails wurden verzögert zugestellt.

Als Ursache nennt Microsoft den unerwarteten Ausfall einer ungewöhnlich großen Zahl von Servern, wodurch die verbleibenden Systeme überlastet wurden – nicht einen allgemeinen Anstieg des Datenverkehrs. Microsoft hat Aktualisierungen gestoppt, den Datenverkehr umverteilt und betroffene Server neu gestartet. Die Erholung verlief zunächst nur schrittweise; am Freitagmorgen war die Störung noch nicht vollständig behoben (Bericht von heise online).

Es ist nicht der erste größere Ausfall in diesem Jahr: Bereits Anfang Juni sowie Ende August und Anfang September war Exchange Online über Stunden gestört.

Einordnung: Nicht ob, sondern wie vorbereitet

Cloud-Dienste bieten im Normalbetrieb eine Verfügbarkeit, die viele Unternehmen mit eigenen Systemen kaum erreichen würden. Fällt ein zentraler Dienst aus, trifft es jedoch sehr viele Unternehmen gleichzeitig – und die eigenen Eingriffsmöglichkeiten sind gering. Kein Anbieter ist vor solchen Ausfällen gefeit, auch eigene Server nicht. Entscheidend ist deshalb nicht die Wahl des Anbieters, sondern die Frage, wie gut ein Unternehmen auf einen Ausfall vorbereitet ist.

Datenschutz: Auch ein Ausfall kann eine Datenschutzverletzung sein

Eine Verletzung des Schutzes personenbezogener Daten liegt nicht nur bei Datenabfluss vor. Nach den Leitlinien 9/2022 des Europäischen Datenschutzausschusses ist auch eine vorübergehende Nichtverfügbarkeit personenbezogener Daten infolge eines Sicherheitsvorfalls eine solche Verletzung (Rn. 21). Sie ist nach Art. 33 Abs. 5 DSGVO zu dokumentieren. Ob sie zusätzlich der Aufsichtsbehörde zu melden ist, hängt vom Risiko für die betroffenen Personen ab (Rn. 22).

Die Bewertung liegt beim Verantwortlichen, nicht beim Anbieter. Für ein Büro, das einen Tag lang keine E-Mails empfängt, fällt sie anders aus als für einen Pflegedienst, der dringende Nachrichten zu Patientinnen und Patienten nicht erhält. Empfehlenswert ist, den Vorfall jetzt zu dokumentieren – Beginn, Dauer, betroffene Dienste, Auswirkungen und Bewertung – und die Einschätzung mit der oder dem Datenschutzbeauftragten abzustimmen.

Informationssicherheit: Aufrechterhaltung des Betriebs ist Pflicht

Für Einrichtungen im Anwendungsbereich von NIS-2 gehört die Aufrechterhaltung des Betriebs ausdrücklich zum Risikomanagement (§ 30 Abs. 2 Nr. 3 BSIG). Der Ausfall eines zentralen Cloud-Dienstes ist genau eines der Szenarien, auf das ein Notfallkonzept Antworten haben sollte.

Was jetzt hilft

Nach dem Ausfall: Vorsorge treffen

---

Fazit

Der Ausfall ist kein Anlass, den Anbieter im Affekt zu wechseln. Er ist aber ein guter Anlass, die eigene Vorbereitung zu prüfen. Wer weiß, welche Prozesse betroffen sind, wie im Ausfall kommuniziert wird und wie der Vorfall datenschutzrechtlich zu bewerten ist, bleibt handlungsfähig – auch wenn zentrale Dienste stillstehen.