Wenn die Cloud ausfällt: die Microsoft-365-Störung und was Unternehmen daraus lernen

Am 12. November um 18:17 Kyiwer Zeit begann in Microsoft 365 eine Störung, die zum Zeitpunkt dieser Veröffentlichung noch andauert. Postfächer, Kalender, Teams und SharePoint ließen sich nicht mehr öffnen. Betroffen sind Unternehmen weltweit — auch ukrainische, denn der größte Teil der Firmenpost läuft hier über Microsoft 365.

Wir haben es am eigenen Postfach gemerkt und geprüft, was genau kaputt ist. Nachfolgend die von uns überprüften Fakten, die offizielle Position von Microsoft und vor allem das, was ein Unternehmer daraus mitnehmen sollte — unabhängig davon, ob er Microsoft nutzt.

Was genau nicht funktioniert

Die erste Reaktion auf «die Post öffnet sich nicht» ist immer dieselbe: Wir sind schuld, das Passwort, das Internet, die Domaineinstellungen. Deshalb haben wir mit der Prüfung unserer eigenen Seite begonnen, und sie ergab ein klares Bild.

• Die Anmeldung funktioniert. Microsoft erkennt das Konto und gewährt Zugang — Passwort, Rechte und Zugriffseinstellungen scheiden also aus.
• Die Abfrage der E-Mails liefert einen Serverfehler — Code 502. Nicht «kein Zugriff», nicht «falsches Passwort», sondern «der Server konnte nicht antworten».
• Der Kalender fällt genauso aus — Code 503. Es geht also nicht allein um die Post, sondern um alles, was in Exchange Online liegt.
• Die Mail-Einträge der Domain (MX) wurden nicht verändert und zeigen weiterhin auf Microsoft. Die Post wird genau dorthin zugestellt, wohin sie soll.

Die Schlussfolgerung ist einfach: Unsere Seite ist intakt, der Dienst selbst antwortet nicht. Diese Prüfung sollte jeder durchführen, der zweifelt — sie dauert ein paar Minuten und klärt die Hälfte der Fragen.

Die offizielle Chronologie

Microsoft führt die Störung unter zwei Nummern: EX1550543 für den Postfachzugriff in Exchange Online und MO1550821 für alles, was von Exchange abhängt. Eine separate Teams-Störung (TM1550488) ist bereits geschlossen. Zunächst war von Amerika die Rede, später wurde die Formulierung geändert in «kann Nutzer in jeder Region betreffen».

Die Zeiten unten sind Kyiwer Zeit.

• 18:17, 12. November. Nutzer können ihre Postfächer nicht öffnen. Microsoft meldet, man untersuche ein Problem beim Postfachzugriff.
• 20:19. Erhöhte Last wird gleich in mehreren Regionen festgestellt.
• 21:18. Präzisierung: Die Last stieg nicht wegen zunehmenden Datenverkehrs. Ein Teil der Server wurde plötzlich nicht mehr erreichbar, und die übrigen übernahmen deren Arbeit.
• 21:43. Es zeigt sich: Die betroffenen Server bestehen die automatische Zustandsprüfung nicht — und das System nimmt sie selbst außer Betrieb.
• 21:57. «Wir haben keine kürzliche Änderung festgestellt, die mit dem Beginn der Störung zusammenhängt.»
• 00:00, 13. November. «Ein Kernprozess auf den betroffenen Servern wird überlastet, wodurch Kapazität verloren geht.»
• In der Nacht. Weitere Präzisierung: Überlastet wird genau der Prozess, der für den Aufbau gesicherter Verbindungen zuständig ist. Parallel beginnt Microsoft, eine kürzliche Änderung der Netzwerkkonfiguration zurückzunehmen, die zeitlich mit dem Beginn der Störung zusammenfällt.
• 06:11. «Wir bestätigen: Es gibt keinerlei Hinweise darauf, dass dies die Folge böswilliger Aktivitäten ist.»
• 13:04. Die Wiederherstellung ist im asiatisch-pazifischen Raum abgeschlossen, der Datenverkehr wird schrittweise zugelassen, die Arbeit wird auf weitere Regionen ausgeweitet.

Die Ursache: bis heute nicht benannt

Das Ehrlichste, was sich zum Redaktionsschluss sagen lässt: Eine offizielle Ursache gibt es nicht. Die Erklärungen von Microsoft änderten sich im Lauf des Tages — von «wir sehen keine kürzliche Änderung» bis «wir nehmen eine kürzliche Änderung der Netzwerkkonfiguration zurück, die mit dem Beginn der Störung zusammenfällt». Einen vollständigen Bericht mit der Ursache will das Unternehmen nach Abschluss der Wiederherstellung veröffentlichen.

Eines sagt Microsoft eindeutig: Es ist kein Cyberangriff. Diese Formulierung fiel zweimal, im Abstand von mehreren Stunden.

Das Lehrreichste an dieser Geschichte ist nicht die Ursache, sondern warum sich die Reparatur hinzog. Zurück in Betrieb genommene Server fielen erneut aus, sobald Datenverkehr auf sie geleitet wurde. Microsoft räumte offen ein, die Maßnahmen wirkten «nicht wie erwartet». Danach ging die Arbeit im Kreis: alle Bereitstellungen und Konfigurationsänderungen gestoppt, Neustarts, ein alternatives Verfahren der Zustandsprüfung, ein Teil der Server mit einer früheren Softwarekonfiguration neu aufgebaut, zusätzliche Kapazität durch virtuelle Maschinen. Bewegung kam erst nach einem Patch für die Komponente, die für Authentifizierung und Weiterleitung der Anfragen zuständig ist.

Was mit den E-Mails passiert

Diese Frage beschäftigt am meisten, deshalb gesondert.

• Die Zustellung verzögert sich — Microsoft bestätigt das direkt in der Störungsbeschreibung.
• Das Wartefenster für E-Mails wurde auf 48 Stunden verlängert. Normalerweise schickt ein Server, der eine Nachricht nicht innerhalb einer bestimmten Zeit zustellen kann, sie als Fehlschlag an den Absender zurück. Das verlängerte Fenster bedeutet: Die Nachrichten prallen nicht zurück, sondern warten in der Warteschlange.
• Über Datenverlust hat Microsoft nichts gemeldet. Genau genommen hat das Unternehmen aber auch nicht ausdrücklich gesagt, es sei nichts verloren gegangen. Wörtlich heißt es, verzögerte Nachrichten würden aufbewahrt.

Praktische Folge: Senden Sie E-Mails nicht erneut. Sie stehen in der Warteschlange, und wenn der Dienst wieder läuft, bekommt der Empfänger Dubletten. Rechnen Sie stattdessen mit einem Schwall — ein ganzer Tag kommt auf einmal an.

Was Unternehmen jetzt tun sollten

1. Vergewissern Sie sich, dass das Problem nicht bei Ihnen liegt. Wenn die Anmeldung klappt, die Post sich aber nicht öffnet, liegt es am Anbieter. Den Status sehen Sie im Microsoft-365-Admin-Center unter «Dienstzustand», Störungen EX1550543 und MO1550821.
2. Fassen Sie Ihre Einstellungen nicht an. Bei einer fremden Störung richtet der Versuch, bei sich zu «reparieren», den größten Schaden an: geänderte Domaineinträge, neu installierte Mailprogramme, zurückgesetzte Passwörter. Ist der Dienst zurück, müssen Sie dann die eigenen Folgen aufräumen.
3. Schalten Sie einen Ersatzkanal ein. Dringende Kundenanliegen verlagern Sie für diese Zeit in einen Messenger oder ans Telefon. Informieren Sie die, die auf Antwort warten — ein kurzes «bei uns ist die Post gestört, bitte schreiben Sie auf Telegram» ist besser als Schweigen.
4. Dokumentieren Sie den Ausfall. Hat der Stillstand Geld gekostet, halten Sie Zeiten und Folgen fest. Microsoft hat Zusagen zum Servicegrad; ob diese Störung in Ihrem Fall einen Anspruch begründet, klären Sie mit Ihrem Lizenzvertrag und dem Partner, über den die Lizenzen gekauft wurden.

Vier Schlüsse für die Zukunft

Eine Störung dieses Ausmaßes ist selten, und daraus «die Cloud taugt nichts» abzuleiten, wäre falsch: Der eigene Server im Abstellraum fällt häufiger aus und braucht länger. Die Schlüsse sind andere.

1. Ein Ersatzkanal muss vor der Störung bestehen, nicht während ihr erfunden werden. Läuft die gesamte Kundenkommunikation über die Post eines Anbieters, legt dessen Ausfall Sie vollständig lahm. Ein Telegram-Bot, ein Firmenmessenger, das Telefon — irgendetwas, das Ihre Kunden schon kennen.
2. Legen Sie nicht alles in einen Korb. Post, Dokumente, Kommunikation, Anmeldung und Schutz bei einem einzigen Anbieter sind bequem — bis zu dem Tag, an dem dort etwas bricht. Dann steht alles gleichzeitig still. Genau so war es: Mit der Post fielen Teams, SharePoint und Defender aus.
3. Was Geld bringt, gehört unter Ihre Kontrolle. Website, Bestellungen, Katalog, Anfragen — sie gehören dorthin, wo Sie den Zustand selbst prüfen, eine Kopie hochfahren und dem Kunden antworten können, ohne auf fremde Berichte zu warten.
4. Lernen Sie, «bei uns» von «bei denen» zu unterscheiden. Die einfache Prüfung vom Anfang dieses Artikels spart Stunden der Panik und bewahrt vor unnötigen Änderungen an den Einstellungen.

Wie wir es eingerichtet haben

Wir nutzen Microsoft 365 für Post und Dokumente — auch unser Postfach ließ sich während dieser Störung nicht öffnen. Was wir hingegen für Kunden betreiben, lief und läuft: Websites auf unserem eigenen Smart CMS, Chatbots, Kundenportale und Telefonie liegen auf eigenen Servern, getrennt von der Post. Keine einzige Kundenwebsite war von dieser Störung betroffen.

Genau das ist die Risikoverteilung aus den Schlüssen: Bürowerkzeuge von einem verlässlichen externen Anbieter, und das, was verkauft und Bestellungen annimmt, dort, wo wir selbst dafür geradestehen.

Zu den Quellen

Die Prüfungen des Zugangs, der Mail-Einträge und der Antwortcodes haben wir selbst durchgeführt. Chronologie und Zitate von Microsoft stammen aus deren Meldungen im Admin-Center und auf der Seite zum Dienstzustand — in der Wiedergabe von Fachbeobachtern, die wir gegeneinander abgeglichen haben, denn beide Quellen sind nur den Administratoren des jeweiligen Kunden zugänglich. Die Primärquelle ist für jeden Inhaber sein eigenes Admin-Center.

---

Wenn Sie unsicher sind, wie stark Ihr Geschäft von einem einzigen Anbieter abhängt und was an einem solchen Tag mit Ihrer Website geschieht, schreiben Sie uns. Wir schauen gemeinsam hin und sagen offen, was in getrennte Körbe gehört. Den Zustand der Website selbst können Sie in drei Minuten kostenlos prüfen: audit.sgt.com.ua.