Wenn das Postfach verstummt: Was der Microsoft-Ausfall über unsere digitale Abhängigkeit verrät (Analyse + Kurzkommentar)

Analyse, IT, Internet, WWW, Digitalisierung, digitale Abhängigkeit, Microsoft, MS-Outlook, Data Leak, Datenleck, Pishing-Mails Infrastruktur, Stromausfall, Serverausfall, MS365, IT-Sicherheit, IT-Integration

Da uns der Outlook-Ausfall am Freitag auch persönlich betroffen hat, haben wir eine KI, die bisher immer funktioniert, anhand gezielter Fragen darüber nachdenken lassen, was dieser Ausfall bedeutet. Eines möchten wir vorab festhalten: Es kann sehr viele Gründe geben, warum kritische Digital-Infrastruktur ausfallen oder zusammenbrechen kann. Hier geht es nur um einen kleinen Ausschnitt der Möglichkeiten. Außerdem war es bisher nie so, dass mehrere wichtige Dienste gleichzeitig nicht mehr erreichbar waren. Wirklich nicht? Wir erinnern uns an den Stromausfall im Südwesten Berlins, der den Regierenden Bürgermeister den Job gekostet hat (momentan ist er noch übergangsweise im Amt, bis nach den Wahlen eine neue Regierung steht).

Wenn das Postfach verstummt: Was der Microsoft-Ausfall über unsere digitale Abhängigkeit verrät

Der weltweite Ausfall von Microsoft-Diensten, der am Donnerstag, 12. November 2026, begann und den Freitag prägte, ist nach Angaben des Unternehmens inzwischen behoben; betroffen waren unter anderem Outlook, Teams und Copilot (Associated Press/Newsday). Doch während die Technik zurückkehrte, nutzten Kriminelle die Verunsicherung bereits für Phishing-Mails: Microsoft hat eine entsprechende Kampagne bestätigt, ohne damit ein durch den Ausfall entstandenes Datenleck zu bestätigen (Microsoft Threat Intelligence).

Ein Ausfall, der mehr als E-Mails traf

Ein nicht erreichbares Postfach sieht zunächst nach einer begrenzten Unannehmlichkeit aus. Tatsächlich wird an einem solchen Tag sichtbar, wie viel Arbeit überhaupt erst durch die stillschweigende Verfügbarkeit von Kommunikation möglich wird: Absprachen, Freigaben, Rückfragen, Terminänderungen, die schnelle Klärung eines Missverständnisses. Wenn diese Infrastruktur ausfällt, fehlt nicht einfach ein Programm. Es fehlt ein Teil der Organisation.

Bei der jüngsten Microsoft-Störung wurde aus diesem alltäglichen Risiko ein internationales Ereignis: Nach Angaben des Störungsbeobachters Downdetector gingen innerhalb etwa einer Stunde Meldungen aus 74 Ländern und Gebieten ein (Associated Press). Betroffene berichteten über Schwierigkeiten beim Senden und Empfangen von E-Mails und beim Laden ihrer Postfächer; beeinträchtigt waren außerdem weitere mit Exchange Online verbundene Microsoft-365-Funktionen (Associated Press/WBAL).

Die Folgen reichten über liegen gebliebene Büroarbeit hinaus: In Großbritannien konnten Polizeikräfte zeitweise keine Online-Meldungen empfangen, während die National Pharmacy Association vor Verzögerungen bei manchen Rezepten warnte (Associated Press). Fluggesellschaften wie Air India und IndiGo meldeten Einschränkungen ihrer E-Mail-Kommunikation, betonten aber zugleich, dass der Flugbetrieb nicht betroffen sei (CBS/AP).

Diese Unterscheidung ist wichtig. Ein weltweiter Ausfall bedeutet nicht, dass weltweit sämtliche Nutzer, sämtliche Funktionen und sämtliche Arbeitsabläufe gleichermaßen stillstanden. Die Europäische Kommission erklärte beispielsweise, Outlook und Teams seien bei ihr voll funktionsfähig gewesen; der Rat und das Europäische Parlament berichteten ebenfalls von weitgehend unbeeinträchtigtem Betrieb (POLITICO).

Auch die oft genannten rund 130.000 Outlook-Störungsmeldungen sind keine belastbare Gesamtzahl betroffener Menschen, sondern Meldungen an einen freiwillig genutzten Beobachtungsdienst; die tatsächliche Gesamtzahl blieb unbekannt (CBS/AP). Millionen- oder gar hunderte Millionen umfassende Kundenzahlen des Konzerns dürfen deshalb nicht kurzerhand zur Zahl der Ausfallopfer umetikettiert werden. Für eine seriöse Bilanz ist diese Unsicherheit kein lästiges Detail, sondern eine Grenze des Wissens.

Was Microsoft als Ursache nennt

Microsoft führte den Vorfall auf ein Problem bei einer früheren Erweiterung der Netzwerkkapazität zurück, das nach einer späteren Netzwerkänderung zutage getreten sei; bei Exchange Online seien mehrere Server während automatisierter Prüfungen unerwartet nicht verfügbar gewesen (Associated Press/Newsday). In der technischen Zwischenberichterstattung war außerdem von einem überlasteten Prozess für den Aufbau sicherer Verbindungen, zusätzlicher Belastung der verbleibenden Infrastruktur, einer zurückgenommenen Konfigurationsänderung und einem Software-Patch die Rede (Kölnische Rundschau).

Das erklärt auch, weshalb die Wiederherstellung nicht mit einem einzigen Neustart erledigt war: Nach der Analyse von Forrester wurden zurückkehrende Server durch aufgestauten Datenverkehr erneut belastet; Microsoft musste Verkehr begrenzen und die Infrastruktur schrittweise stabilisieren (Forrester). Die Reparatur eines großen Systems ist eben nicht immer die bloße Umkehr seines Ausfalls. Sobald unzählige Programme gleichzeitig wieder Verbindung aufnehmen, kann der Weg zurück selbst zum Belastungstest werden.

Am Samstag, 14. November, erklärte Microsoft, das zugrunde liegende Problem behoben und die Dienste auch für die verbliebenen betroffenen Kunden und Regionen wiederhergestellt zu haben (Associated Press/Newsday). Zugleich kündigte Microsoft-Manager Charles Lamanna einen Bericht über den Ablauf und Maßnahmen gegen vergleichbare Vorfälle an (CBS/AP).

Bis zu einer solchen detaillierten Aufarbeitung bleibt die öffentlich bekannte Erklärung eine Darstellung des Unternehmens, kein unabhängig abgeschlossener technischer Untersuchungsbericht. Microsoft erklärte bereits am Freitag, es gebe keine Hinweise darauf, dass böswillige oder Cyberaktivitäten den Vorfall verursacht hätten (Microsoft). Das ist eine relevante Auskunft. Es ist aber etwas anderes als die Behauptung, sämtliche denkbaren Sicherheitsfolgen seien damit ausgeschlossen.

Der eigentliche Streit: Panne oder Systemproblem?

Dass Technik ausfallen kann, ist keine besonders kontroverse Feststellung. Kontrovers wird es bei der Frage, warum ein einzelner Anbieter so viele voneinander scheinbar unabhängige Organisationen gleichzeitig beeinträchtigen kann und wer dieses Risiko verantworten muss.

Dennis-Kenji Kipker, Professor für IT-Sicherheitsrecht an der Hochschule Bremen, beschrieb die Folgen im Interview mit tagesschau24 drastisch: „Für viele Unternehmen war das der digitale Hirntod“ (tagesschau). Sein Argument richtet sich nicht nur gegen eine konkrete Panne, sondern gegen die Abhängigkeit von einer einzelnen Cloud; zugleich plädiert er für ein schrittweises Vorgehen und hält einen einfachen vollständigen Rückzug aus der Cloud nicht für realistisch (tagesschau).

Alessandro Piva, Direktor des Cybersecurity & Data Protection Observatory am Politecnico di Milano, setzt einen etwas anderen Akzent: Gerade die Einschätzung, dass kein Angriff, sondern wahrscheinlich ein technischer Fehler vorliege, müsse zum Nachdenken bringen (ANSA). Wenn E-Mail, Zusammenarbeit, KI-Werkzeuge und teilweise Sicherheitsfunktionen am selben Anbieter hängen, könne bereits ein einzelner Fehler sehr viele Unternehmen zugleich treffen, argumentiert Piva (ANSA).

Damit verschiebt sich die Debatte von der Schuldfrage zur Architekturfrage. Nicht jeder Ausfall lässt sich verhindern. Wohl aber lässt sich fragen, ob eine Organisation bei einem Ausfall gleich nahezu ihre gesamte Kommunikationsfähigkeit verlieren muss.

Der Geograf und Souveränitätsforscher Georg Glasze von der Friedrich-Alexander-Universität Erlangen-Nürnberg verweist auf die Kehrseite enger Integration: Je stärker Kommunikation, Datenhaltung und Arbeitsabläufe miteinander verwoben seien, desto schwieriger werde es, einzelne Bestandteile zu ersetzen oder den Anbieter zu wechseln (dpa-AFX/Onvista). Was im Alltag bequem ist, kann im Krisenfall zur Bindung werden. Der entscheidende Preis steht dann nicht unbedingt auf der monatlichen Rechnung, sondern zeigt sich in der fehlenden Ausweichmöglichkeit.

Die Gegenposition: Das Gesamtpaket hat gute Gründe

Eine faire Analyse darf trotzdem nicht so tun, als seien die Kunden großer Plattformen allein aus Gedankenlosigkeit dort gelandet. Anees Baqir, Assistenzprofessor für Data Science an der Northeastern University London, benennt die Vorteile ausdrücklich: Gebündelte Dienste können Geld sparen und funktionieren gut miteinander; dieselbe Bündelung vergrößert allerdings die Folgen eines gemeinsamen Ausfalls (Northeastern Global News).

Sein knapper Satz „The bundle is the trade-off“ trifft den Kern dieser Abwägung (Northeastern Global News). Ein integriertes System bietet Nutzen, aber dieser Nutzen ist nicht risikolos. Die vernünftige Frage lautet deshalb nicht, ob Integration grundsätzlich schlecht ist, sondern wie viel gemeinsame Abhängigkeit eine Organisation verkraften kann.

Baqir warnt zugleich vor einer scheinbar einfachen Lösung: Sämtliche Funktionen auf mehreren Plattformen parallel vorzuhalten, sei teuer, komplex und für die meisten Organisationen nicht tragfähig (Northeastern Global News). Seine Alternative ist gezielter: unabhängige Ersatzkommunikation, wichtige Dateien und Kontakte auch offline sowie eingeübte Notfallpläne statt eines vollständigen doppelten Betriebs (Northeastern Global News).

Das ist eine wichtige Gegenposition zur reflexhaften Forderung nach „mehr Anbietern“. Drei Verträge sind noch kein Notfallkonzept. Ein Ersatzdienst hilft wenig, wenn niemand seine Zugangsdaten kennt, die Kontaktliste nur im ausgefallenen Postfach liegt oder die Anmeldung wiederum vom gestörten System abhängt.

Forrester empfiehlt deshalb ausdrücklich, auch gemeinsame Authentifizierungsabhängigkeiten zu prüfen und Notfalldokumentation lokal oder offline vorzuhalten, ohne dass dafür eine aktive Cloud-Sitzung benötigt wird (Forrester). Entscheidend ist nicht die Zahl der Logos auf einer Beschaffungsliste. Entscheidend ist, ob die Ersatzwege tatsächlich unabhängig funktionieren.

Scharfe Kritik, nicht immer ohne Eigeninteresse

Besonders deutlich fällt die Kritik konkurrierender Anbieter aus: Nextcloud-Mitgründer Jos Poortvliet warnt, dass Organisationen bei der Bindung an ein einziges Ökosystem weder rasch wechseln noch ohne Weiteres auf eine zweite Umgebung ausweichen könnten (The Register). Zugleich räumt er ausdrücklich ein, dass Fehler auch Unternehmen wie seinem eigenen passieren können (The Register).

Mark Boost, Chef des Cloud-Anbieters Civo, formuliert ähnlich: Nicht der Umstand, dass Microsoft überhaupt einen Ausfall erleide, sei das eigentliche Problem, sondern die Konzentration kritischer Infrastruktur bei so wenigen Unternehmen (The Register). Benjamin Schilz, Chef des Messenger-Anbieters Wire, warnt seinerseits davor, die gesamte Kommunikation einer Organisation bei einem einzigen Cloud-Anbieter zu bündeln; bei Ministerien, Streitkräften oder Energienetzen werde daraus ein Sicherheitsrisiko (Kölnische Rundschau).

Diese Stimmen verdienen Beachtung, aber auch Einordnung: Nextcloud, Civo und Wire sind selbst Anbieter digitaler Dienste und können von einer Abkehr von stark gebündelten Konkurrenzangeboten profitieren (The Register, Kölnische Rundschau). Ein wirtschaftliches Interesse widerlegt kein Argument. Es macht dessen Offenlegung aber umso wichtiger.

Auch die Interessenlage auf Kundenseite ist widersprüchlich. Einkauf und Finanzabteilung können ein günstiges Gesamtpaket anders bewerten als ein Notfallteam, das mit einem Kommunikationsausfall umgehen muss. Eine seriöse Wirtschaftlichkeitsrechnung müsste beides zusammenführen: die regelmäßig eingesparten Kosten und die seltenen, möglicherweise hohen Folgen einer gemeinsamen Störung.

Digitale Souveränität: Ausweichfähigkeit oder Standortpolitik?

Die politische Debatte geht über Betriebssicherheit hinaus: Chi Onwurah, Vorsitzende des Wissenschafts- und Technologieausschusses im britischen Unterhaus, sieht im Ausfall einen erneuten Beleg mangelnder digitaler Widerstandsfähigkeit und warnt vor Folgen für Sicherheit, Wirtschaft und öffentliche Dienste (Associated Press/WBAL). Sie kritisiert zudem die starke Abhängigkeit von wenigen US-Anbietern und die dadurch erschwerte Entwicklung heimischer Alternativen (Associated Press/WBAL).

In der europäischen Debatte forderte die finnische Europaabgeordnete Aura Salla, öffentliche Aufträge stärker zur Unterstützung europäischer Technologie einzusetzen; der SPD-Abgeordnete Johannes Schätzl betonte, digitale Souveränität müsse sich daran messen lassen, ob der Betrieb bei Störungen weitergehen könne (POLITICO). Hier liegen zwei unterschiedliche Ziele nebeneinander: europäische Wertschöpfung stärken und tatsächliche Handlungsfähigkeit sichern. Sie können sich ergänzen, sind aber nicht dasselbe.

Einen zugespitzten Gegenakzent setzt der Kommentar „Don’t Outlook Up“ in der italienischen Zeitung Il Foglio: Eine nationale Ersatzplattform allein löse das Problem nicht; entscheidend seien niedrigere Wechselkosten, offene Standards, überprüfbare Ausstiegspläne und wirklicher Wettbewerb (Il Foglio). Souveränität wäre nach dieser Lesart nicht die Gewissheit, dass ein Anbieter im eigenen Land sitzt. Sie wäre die praktische Freiheit, ihn verlassen zu können.

Schleswig-Holsteins Digitalisierungsminister Dirk Schrödter formulierte anlässlich der Störung einen verwandten Maßstab: Unabhängig davon, ob Open-Source-Software oder Produkte einzelner Hersteller eingesetzt würden, müsse ein eigener Eingriff bei Problemen möglich bleiben (POLITICO). Das ist anspruchsvoller als eine Herkunftskennzeichnung. Es verlangt Wissen, Zugriffsrechte, personelle Fähigkeiten und überprüfbare Verfahren.

Auch der Umstand, dass die EU-Institutionen trotz ihrer Microsoft-Nutzung weitgehend arbeitsfähig blieben, mahnt zur Differenzierung: Der Ausfall traf nicht jede Organisation gleich (POLITICO). Daraus lässt sich ohne technische Details weder die Überlegenheit einer bestimmten Architektur ableiten noch das Risiko kleinreden. Es zeigt zunächst, wie wenig eine pauschale Formel wie „alles bei Microsoft“ über die tatsächliche Widerstandsfähigkeit verrät.

Nach dem Ausfall kam der Köder

Besonders brisant ist die zweite Ebene des Vorfalls: Microsoft Threat Intelligence meldete am 14. November eine aktive Phishing-Kampagne, die den Ausfall vom 12. November als Aufhänger nutzte; entsprechende Nachrichten waren nach Unternehmensangaben am 13. November erkannt worden (Microsoft Threat Intelligence). Es geht also nicht nur um die allgemeine Möglichkeit, dass Betrüger eine Großstörung ausnutzen könnten, sondern um konkret beobachtete Nachrichten (Microsoft Threat Intelligence).

Die Mails imitierten Microsoft-365-Mitteilungen über den Dienstzustand und verwiesen auf die echte Exchange-Online-Vorfallsnummer EX1550543; einige behaupteten, während des Ausfalls zurückgehaltene E-Mails würden binnen 24 Stunden gelöscht, falls die Empfänger sie nicht über einen Link wiederherstellten (Microsoft Threat Intelligence). Als Betreffmuster nennt Microsoft „Outage“ mit einer anschließenden sechsstelligen Zeichenfolge; die Anzeigenamen der Absender enthielten organisationsspezifische Bestandteile und Formulierungen wie „Outage Notification“ oder „Service Health“ (Microsoft Threat Intelligence).

Der Sicherheitsanbieter Field Effect berichtete unabhängig von einem am 13. November analysierten Beispiel, das vier angeblich zurückgehaltene Nachrichten und eine Schaltfläche „RESTORE MESSAGES“ enthielt (Field Effect). Damit wird die psychologische Logik des Angriffs deutlich: Wer gerade stundenlang auf E-Mails gewartet hat, soll aus Angst vor weiterem Verlust möglichst schnell handeln.

Die echte Störung liefert Glaubwürdigkeit, die echte Vorfallsnummer technische Dekoration und die erfundene Löschfrist den Zeitdruck. Der Angriff muss das Vertrauen nicht aus dem Nichts erzeugen. Er hängt sich an eine bereits vorhandene Sorge.

Microsoft beschreibt die beobachtete Aktivität als mit dem Abgreifen von Zugangsdaten vereinbar, betont aber, dass die tatsächliche Sammlung von Zugangsdaten oder die Auslieferung von Schadsoftware nicht bestätigt sei (Microsoft Threat Intelligence). Auch diese Einschränkung gehört in die Berichterstattung. Eine beobachtete Phishing-Kampagne und ein nachgewiesener erfolgreicher Kontodiebstahl sind unterschiedliche Befunde.

Warum Phishing noch kein Beweis für ein Datenleck ist

Dem Beitrag liegt auch die Schilderung zugrunde, dass im eigenen Arbeitsumfeld auf die Microsoft-Störung Phishing-Mails folgten. Für diesen konkreten Fall liegen hier jedoch weder die Originalnachrichten samt vollständigen Kopfzeilen noch Anmeldeprotokolle oder eine technische Untersuchung vor. Deshalb lässt sich nicht feststellen, ob die Nachrichten zur öffentlich dokumentierten Kampagne gehörten, woher die Adressen stammten oder ob jemand unbefugt auf ein Konto zugriff.

Genau hier ist die Versuchung einer vorschnellen Schlussfolgerung besonders groß: Erst fällt Outlook aus, dann kommen betrügerische Mails, also müsse beim Ausfall ein Leck entstanden sein. Die zeitliche Reihenfolge allein trägt diese Behauptung nicht. Der Verdacht ist ein legitimer Ausgangspunkt für eine Untersuchung, aber noch nicht deren Ergebnis.

Die dokumentierte Kampagne zeigt zunächst, dass Angreifer einen echten Vorfall in ihre Täuschung einbauten; sie belegt keinen während der Störung erfolgten Abfluss von Microsoft-Kundendaten (Microsoft Threat Intelligence). Denkbar wären grundsätzlich unterschiedliche Wege, auf denen eine Zieladresse bekannt geworden ist. Welcher davon im Einzelfall vorliegt, müsste anhand konkreter Spuren untersucht werden, nicht anhand des Versandzeitpunkts allein.

Ebenso wenig wäre die pauschale Entwarnung sauber, nach der ohne Cyberangriff als Ausfallursache auch kein Sicherheitsproblem vorliegen könne. Verfügbarkeit, Vertraulichkeit und die Integrität von Kommunikation sind unterschiedliche Prüfgegenstände. Ein technischer Ausfall kann von Kriminellen ausgenutzt werden, ohne von ihnen verursacht worden zu sein.

Der derzeit belegte Zusammenhang ist deshalb präziser und zugleich ernst genug: Die Störung wurde als Phishing-Köder genutzt; ein dadurch entstandenes zentrales Datenleck ist durch die hier ausgewerteten Belege nicht nachgewiesen (Microsoft Threat Intelligence, Microsoft). Weder Dramatisierung noch Beschwichtigung helfen den Betroffenen. Hilfreich ist die Trennung dessen, was beobachtet wurde, was daraus vermutet wird und was noch untersucht werden muss.

Wenn die Hilfe selbst verdächtig wird

Eric Hulse, Forschungs- und Entwicklungschef bei Command Zero, beschreibt das Muster solcher Betrugsversuche aus der Perspektive der Betroffenen: Sie wollen das Problem beheben, wieder in ihr Konto gelangen, Unterstützung erreichen oder eine Entschädigung erhalten; für jeden dieser Wünsche gebe es eine gefälschte Variante (Kiplinger). Besonders kritisch seien unaufgeforderte Kontaktaufnahmen, vermeintliche Wiederherstellungsangebote und Nachrichten, die eine erneute Anmeldung oder Registrierung der Mehrfaktor-Authentifizierung verlangten (Kiplinger).

Die Universität Aberdeen warnte am 13. November ihre Beschäftigten außerdem vor fingierten IT-Anrufen und SMS sowie vor E-Mails, die nach der Wiederkehr des Dienstes eine angeblich notwendige Kontobestätigung verlangten (University of Aberdeen). Alessandro Piva verweist auf ein zusätzliches Risiko: Unter dem Druck einer Störung könnten Beschäftigte auf private Chats oder private E-Mail-Konten ausweichen und dabei Unternehmensdaten gefährden (ANSA).

Damit wird der Notfallplan auch zur Sicherheitsmaßnahme. Fehlt ein bekannter Ersatzweg, steigt der Druck, irgendeinen funktionierenden Weg zu benutzen. Fehlt eine verlässliche interne Information, kann eine gefälschte externe Nachricht leichter die Lücke füllen.

Das BSI empfiehlt deshalb, Links in verdächtigen E-Mails nicht zu verwenden, bekannte Internetseiten unabhängig aufzurufen und zweifelhafte Aufforderungen über einen getrennten Kontaktweg zu überprüfen (BSI). Microsoft rät im konkreten Fall dazu, Störungsinformationen direkt im Microsoft-365-Admincenter zu verifizieren und verdächtige Nachrichten, enthaltene Links und mögliche Nutzerklicks technisch zu untersuchen (Microsoft Threat Intelligence).

Bei einem begründeten Verdacht auf ein kompromittiertes Geschäftskonto reicht ein bloßer Kennwortwechsel als vollständige Reaktion nicht aus: Microsofts Anleitung für Administratoren umfasst unter anderem das Sperren beziehungsweise Absichern des Kontos, den Widerruf aktiver Sitzungen, die Kontrolle registrierter MFA-Methoden sowie die Prüfung von App-Berechtigungen, Weiterleitungen und Posteingangsregeln (Microsoft Learn). Anmelde- und Überwachungsprotokolle sollen helfen, einen möglichen Zugriff und dessen Folgen einzugrenzen (Microsoft Learn). Der Empfang einer verdächtigen Mail allein bedeutet allerdings noch nicht, dass diese Maßnahmen wegen einer bereits bewiesenen Kontoübernahme erforderlich wären.

Was nach der Wiederherstellung bleiben muss

Für Microsoft ist mit der Rückkehr der Dienste die unmittelbare technische Krise beendet. Für Kunden sollte damit die Überprüfung der eigenen Abhängigkeiten beginnen. Die entscheidende Frage lautet nicht nur, ob ein Anbieter den Fehler repariert hat, sondern ob beim nächsten Fehler dieselben Arbeitsabläufe erneut gleichzeitig ausfallen.

Ralf Wintergerst, Präsident des Digitalverbands Bitkom, warnt vor Produktionsausfällen und Wettbewerbsnachteilen durch einseitige technologische Abhängigkeit; Eco-Geschäftsführer Alexander Rabe fordert redundante Infrastruktur und unabhängige Ausweichmöglichkeiten (dpa-AFX/Onvista). Das BSI legt den Schwerpunkt auf klare Abläufe, vorbereitete Alternativen und die Fähigkeit, Prozesse unabhängig davon fortzusetzen, ob ein technischer Fehler oder ein Angriff den Ausfall verursacht hat (dpa-AFX/Onvista).

Praktisch heißt das nicht zwangsläufig, morgen sämtliche Microsoft-Produkte abzuschaffen. Es heißt, die wichtigsten Arbeitsvorgänge zu benennen, vertretbare Unterbrechungen festzulegen und einen tatsächlich nutzbaren Ersatzweg zu erproben. Ein Unternehmen kann auf einen Komfortdienst möglicherweise einen Tag verzichten, auf eine verlässliche Alarmierung dagegen keine Stunde.

Ebenso wichtig ist eine ehrliche Verantwortungsverteilung. Der Anbieter muss nachvollziehbar erklären, was passiert ist und warum die Wiederherstellung so lange dauerte. Die Kundenorganisation muss prüfen, welche Risiken sie durch ihre Beschaffung und Arbeitsorganisation selbst gebündelt hat. Und die Politik muss unterscheiden, ob sie Wettbewerb ermöglichen, Sicherheitsstandards durchsetzen oder heimische Anbieter fördern will.

Der Ausfall vom November ist deshalb weder ein Beweis, dass Cloud-Dienste grundsätzlich untauglich wären, noch bloß ein ärgerlicher Betriebsunfall, nach dem alles unverändert weitergehen sollte. Er macht einen Zielkonflikt sichtbar: Bequemlichkeit und Effizienz entstehen häufig durch Integration, Widerstandsfähigkeit dagegen braucht bewusst erhaltene Freiräume und Ersatzwege.

Die anschließende Phishing-Kampagne fügt diesem Zielkonflikt eine zweite Dimension hinzu. Wo verlässliche Kommunikation fehlt, wird nicht nur die Arbeit langsamer. Auch die Orientierung wird unsicherer, und genau diese Unsicherheit lässt sich ausnutzen. Eine belastbare digitale Infrastruktur muss deshalb mehr können, als im Normalbetrieb reibungslos zu funktionieren: Sie muss ermöglichen, auch während einer Störung handlungsfähig zu bleiben, ohne auf die erstbeste angebliche Rettung hereinzufallen.

Recherche- und Redaktionsstand: 14. November 2026. Die Darstellung unterscheidet Microsoft-Angaben zur technischen Ursache und Wiederherstellung, unabhängig berichtete Auswirkungen, öffentliche Bewertungen und den nicht technisch untersuchten Erfahrungsbericht aus dem eigenen Arbeitsumfeld. Spätere Abschlussberichte und die Prüfung konkreter Phishing-Nachrichten können zusätzliche Erkenntnisse liefern.

Kommentar

Wir müssen ein bisschen nachdenken, um nicht wieder einen Fehler zu machen. Aber so viel dürfen wir verraten: Wir waren sowohl von dem Ausfall von Outlook betroffen und viele andere auch, mit denen wir kommunizieren, als auch Opfer eines Pishing-Angriffs geworden. Und erstmals, solange wir uns zurückerinnern können, sind wir insofern daruf hereingefallen, dass wir zunächst eine Antwort geschrieben haben, obwohl wir bei sachgemäßer Prüfung hätten erkennen müssen, dass mit der betreffenden Mail etwas nicht stimmt. Die nächste war dann so klar absurd, dass wir gestoppt und den Vorgang an unsere IT-Abteilung gemeldet haben, die dann eine unternehmsweite Warnung herausgegeben hat. Ein Schaden dürfte nicht entstanden sein, wenn man von einer Information über unsere persönlichenDienstabläufe absieht, die kaum jemanden wirklich interessieren dürfte, jedenfalls gab es keinen Datenabfluss.

An dem Tag, es war natürlich Freitag der 13., kamen mehrere Umstände zusammen, die verursacht haben, dass wir nicht sehr aufmerksam waren und anfällig für fehlerhaftes Verhalten. Irgendwann, nach Jahren, kann der Moment kommen, in dem man einen einfachen Fehler macht. Aber darf man das, wenn man mit IT umgeht? Menschliche Fehler wird es immer geben und sie passieren auch in der Online-Kommunikation versierten Menschen, aber die Konsequenzen können erheblich sein, auch die persönlichen. Der angesprochene Moment kann ein sehr ungünstiger sein. Bei uns wird es hoffentlich bei einer Rüge bleiben. Wir werden bei eingespielten Abläufen wieder sehr genau hinschauen, nichts selbstverständlich nehmen, etwas mehr mit Logik und Prüfung arbeiten, das ist eine Konsequenz aus diesem Vorgang.

Ob das Pishing wirklich mit dem Ausfall zuvor zu tun hatte, wissen wir nicht. Technische Ausfälle sind nicht so selten wie man denkt, und sie gehen von verschiedenen Stellen aus. Sie können im Unternehmen entstehen, sie können von Anbieterseite kommen oder von den Anbietern. Jenen der Online-Dienste, die wir nutzen, aber auch jenen, die für die Infrastruktur zuständig sind, vor allem die Netzbetreiber, und unser privater Netzbetreiber hat uns dieses Jahr mehrmals zur Weißglut gebracht und die Sache ist noch nicht endgültig erledigt. Der erste Buchstabe des Namens des Betreibers ist ein T.

Immer wieder sind einzelne Webseiten down, zuletzt vermehrt nach einem Leak, das einige Betreiber dazu gezwungen hat, kurzfristig vom Netz zu gehen. Uns hat das eine Rabattaktion eingebracht, weil darunter auch ein Online-Händler war, der seinen Kunden für eine Zeit der Unerreichbarkeit eine Art Entschädigung anbieten wollte. Wir haben die Aktion genutzt, obwohl wir den Ausfall nicht bemerkt hatten, weil wir zu dem Zeitpunkt an der Stelle keinen Kauf tätigen wollten.

Man liest so viel über Cyberangriffe. Zumindest bei Microsoft war es dieses Mal wohl keiner. Hätte man es zugegeben, wenn es anders gewesen wäre? Ein Gedankenspiel: Worauf reagieren wir mit mehr Verunsicherung: Auf eine technische Panne oder auf einen gezielten Angriff? Nehmen wir wieder den Stromausfall, den wir eingangs erwähnt hatten. Er wurde zu einem Riesending mit politischen Konsequenzen auch deshalb, weil er auf Sabotage beruhte. Wir wissen nicht, wie es bei Ihnen ist, aber uns würde ein gezielter Angriff mehr triggern als ein technischer Ausfall, der zu Problemen gleichen Ausmaßes führt, selbst wenn sich an das technische Problem möglicherweise ein Angriff „drangehängt“ hat, wie gestern. Man kann es anders sehen, es gibt Argumente in beide Richtungen.