Die Microsoft 365 Störung vom November 2026 verdeutlicht die Abhängigkeit von zentralen Clouddiensten. Seit Donnerstag, dem 12. November 2026, beeinträchtigt eine großflächige Störung zentrale Dienste von Microsoft 365. Betroffen waren vor allem der Zugriff auf Exchange-Online-Postfächer und Outlook; auch Funktionen von Teams, Copilot sowie Verwaltungs- und Drittanbieterschnittstellen meldeten zeitweise Probleme. Die Störung betrifft nach Medienberichten Nutzer in zahlreichen Ländern – vom privaten E-Mail-Konto bis zu betrieblichen Kommunikationsdiensten.
Microsoft 365 Störung: Ausfall mit weltweiten Auswirkungen
Die ersten Störungsmeldungen betrafen Exchange-Online-Postfächer in Nordamerika. Später warnte Microsoft vor möglichen Auswirkungen in weiteren Regionen. Nutzende konnten zeitweise E-Mails nicht abrufen oder versenden. Bei Teams waren unter anderem Kalenderintegration und Besprechungsplanung gestört. Hinzu kamen zeitweilige Beeinträchtigungen von Copilot, Administratorfunktionen und weiteren an Microsoft 365 angeschlossenen Diensten. Am frühen Morgen des 13. November berichteten deutsche Medien weiterhin von Problemen. Der aktuelle Störungsstatus kann sich verändern und sollte in den Microsoft-Service-Health-Meldungen überprüft werden.
Was Microsoft zur technischen Ursache mitteilt
In den unter der Vorfallkennung EX1550543 veröffentlichten Service-Health-Meldungen beschreibt Microsoft erhöhte Auslastung und zeitweise nicht reagierende Exchange-Online-Server. Server bestanden automatisierte Gesundheitsprüfungen nicht mehr; ausgefallene Kapazität verlagerte Last auf die verbleibende Infrastruktur. Microsoft verteilte Verbindungen um, startete betroffene Komponenten neu, testete Konfigurationsänderungen und begrenzte bestimmte Verkehrsströme. Die endgültige Grundursache war zum Zeitpunkt der vorliegenden Meldungen noch nicht abschließend nachgewiesen. Weitere Auswirkungen auf Microsoft 365 wurden unter MO1550821 dokumentiert.
Wichtig: Nach den bislang veröffentlichten Angaben von Microsoft gibt es keine Hinweise auf einen Cyberangriff. Der Vorfall darf deshalb nicht als Hackerangriff bezeichnet werden.
Datenschutz: Verfügbarkeit ist ein eigenständiges Schutzziel
Die DSGVO verlangt nicht allein Vertraulichkeit und Integrität, sondern auch eine angemessene Verfügbarkeit und Belastbarkeit von Systemen. Art. 32 Abs. 1 lit. b DSGVO nennt ausdrücklich die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit auf Dauer sicherzustellen. Art. 32 Abs. 1 lit. c verlangt außerdem, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherstellen zu können.
Eine externe Cloud-Störung führt nicht automatisch zu einer meldepflichtigen Datenschutzverletzung. Allerdings kann auch ein Verfügbarkeitsverlust den Tatbestand des Art. 4 Nr. 12 DSGVO erfüllen, wenn personenbezogene Daten vorübergehend nicht zugänglich sind und eine Verletzung der Sicherheit vorliegt. Ob nach Art. 33 DSGVO eine Meldung erforderlich ist, hängt insbesondere von den Risiken für die Rechte und Freiheiten natürlicher Personen ab. Die konkrete Dauer, der Umfang, die Bedeutung der betroffenen Tätigkeit und verfügbare Ersatzprozesse sind deshalb zu bewerten.
Folgen für Unternehmen, Organisationen und Privatpersonen
Wo E-Mail, Kalender, Identitätsverwaltung, Dokumentenzugriff und Kommunikationsprozesse eng mit einem einzigen Cloudanbieter verbunden sind, können technische Probleme über mehrere Fachbereiche hinweg wirken. Ausfälle gefährden zum Beispiel die fristgerechte Kommunikation, Terminorganisation und Erreichbarkeit. Besonders zeitkritische und schutzbedürftige Tätigkeiten brauchen dokumentierte Ersatzwege. Das ist nicht mit einer generellen Pflicht zur Abkehr von Cloudlösungen gleichzusetzen, wohl aber mit einer Pflicht zu risikogerechter Vorsorge.
Fünf praktische Prüfaufträge
- Abhängigkeiten von Exchange Online und anderen Cloudfunktionen je Fachverfahren dokumentieren.
- Für fristgebundene und kritische Vorgänge erreichbare Ersatzkommunikationswege vorsehen.
- Notfallverfahren regelmäßig testen und Verantwortlichkeiten für Störungsinformationen festlegen.
- Service-Level-Vereinbarungen, Auftragsverarbeitungsvertrag und Wiederanlaufregelungen auf konkrete Verfügbarkeitsszenarien prüfen.
- Den Vorfall dokumentieren und risikobezogen bewerten, ob personenbezogene Daten betroffen waren und Art. 33 DSGVO einschlägig ist.
NoDSB-Kommentar
Der Microsoft-Ausfall zeigt, wie weit sich der Ausfall zentraler Plattformen in alltägliche Arbeits- und Kommunikationsabläufe fortpflanzen kann. Datenschutz und Informationssicherheit verlangen keine absolute Ausfallsicherheit; sie verlangen aber eine nachvollziehbare Risikoentscheidung, belastbare Notfallverfahren und eine funktionierende Wiederherstellungsstrategie. Je stärker eine Organisation kritische Kommunikation auf einen Dienst konzentriert, desto sorgfältiger muss sie die Konsequenzen eines mehrstündigen Ausfalls durchspielen.
Microsoft 365 Störung: Vorsorge für Cloud-Ausfälle
Die Microsoft 365 Störung zeigt, warum alle Nutzer und Organisationen für den Ausfall zentraler Cloud-Dienste vorsorgen sollten. Wo Outlook, Exchange Online und Teams für die tägliche Arbeit notwendig sind, sollten alternative Kommunikationswege, dokumentierte Wiederanlaufverfahren und regelmäßig geprüfte Notfallpläne vorhanden sein.
Die Grundsätze des BSI-IT-Grundschutzes helfen bei der Notfallvorsorge. Auch das Standard-Datenschutzmodell behandelt Verfügbarkeit als eigenständiges Gewährleistungsziel. Weitere Informationen bietet die NoDSB-Übersicht zur Datensicherheit.