Der weltweite Microsoft-365-Ausfall vom 12. und 13. November zeigt, wie abhängig Unternehmen inzwischen von zentralen Cloud-Diensten geworden sind. Doch ein solcher Ausfall muss nicht zwangsläufig den gesamten Geschäftsbetrieb lahmlegen. Es gibt praxistaugliche technische und organisatorische Fallback-Lösungen. Entscheidend ist, ob sie vorbereitet, wirtschaftlich sinnvoll und tatsächlich getestet sind.
Wenn aus einer IT-Störung eine Unternehmenskrise wird
Seit dem 12. November 2026 kam es zu weitreichenden Störungen bei Microsoft 365. Besonders Exchange Online und Outlook waren betroffen. Darüber hinaus wurden Einschränkungen bei weiteren Microsoft-365-Funktionen gemeldet.
Für Unternehmen bedeutet das nicht nur, dass einzelne Anwendungen vorübergehend nicht funktionieren. Vielmehr können gesamte Geschäftsprozesse beeinträchtigt werden: Kundenanfragen bleiben liegen, Aufträge können nicht wie gewohnt bearbeitet werden und wichtige Abstimmungen verzögern sich.
Die entscheidende Frage ist deshalb nicht, wann Microsoft seine Dienste wiederherstellt, sondern wie lange das eigene Unternehmen ohne diese Dienste weiterarbeiten kann.
Die unterschätzten Abhängigkeiten von Microsoft 365
Microsoft 365 ist in vielen Organisationen weit mehr als eine Office-Anwendung. Die Plattform übernimmt zentrale Funktionen für Kommunikation, Zusammenarbeit, Dokumentenverwaltung und Geschäftsorganisation.
Typische Abhängigkeiten bestehen beispielsweise bei:
- Exchange Online für E-Mail und Kundenkommunikation
- Teams für Besprechungen und interne Abstimmungen
- SharePoint und OneDrive für Dokumente und Arbeitsanweisungen
- Power Automate für Freigaben und automatisierte Abläufe
- Microsoft Entra ID für Identitäten und Anmeldeverfahren
- externen Anwendungen mit Microsoft-Single-Sign-on
- Support-, Ticket- und Kundenserviceprozessen
Ein einzelner technischer Fehler kann dadurch weitreichende Auswirkungen haben.
Beispiel: Ein ERP-System funktioniert weiterhin.
Der Kundenauftrag erreicht das Unternehmen jedoch
nicht, weil die E-Mail-Kommunikation gestört ist.
Gleichzeitig liegen wichtige Arbeitsanweisungen
ausschließlich in SharePoint und die erforderliche
Freigabe erfolgt über einen Cloud-Workflow.
Das ERP-System ist verfügbar, der Geschäftsprozess trotzdem unterbrochen.
Informationssicherheit muss deshalb nicht nur einzelne IT-Systeme betrachten, sondern ihre Abhängigkeiten innerhalb der Geschäftsprozesse.
Backup ist nicht gleich Business Continuity
Viele Unternehmen verfügen über Datensicherungen, redundante Internetleitungen und Sicherheitslösungen. Das ist wichtig, reicht für eine wirksame Geschäftsfortführung aber nicht aus.
Ein Backup schützt beispielsweise vor Datenverlust. Es bedeutet jedoch nicht automatisch, dass Mitarbeitende bei einem Ausfall von Exchange Online weiterhin E-Mails senden und empfangen können.
Hier müssen drei Disziplinen ineinandergreifen:
- Informationssicherheitsmanagement (ISMS):
Risiken und Abhängigkeiten identifizieren, bewerten und angemessen behandeln. - Business Continuity Management (BCM):
Die Fortführung zeitkritischer Geschäftsprozesse in einem definierten Mindestumfang sicherstellen. - IT Service Continuity Management (ITSCM):
Technische Notbetriebs- und Wiederherstellungsverfahren für benötigte IT-Services vorbereiten.
Erst das Zusammenspiel dieser Bereiche schafft eine belastbare Grundlage für die Geschäftsfortführung.
Praxislösung 1: E-Mail-Continuity als echter Microsoft-365-Fallback
Eine besonders interessante und technisch umsetzbare Lösung sind sogenannte
E-Mail-Continuity-Dienste.
Anbieter wie Hornetsecurity und Mimecast stellen entsprechende Lösungen bereit.
Dabei wird ein unabhängiger E-Mail-Dienst bereits im Normalbetrieb in den Nachrichtenfluss eingebunden. Bei einem Ausfall von Exchange Online kann dieser weiterhin eingehende Nachrichten entgegennehmen.
Über ein separates Webmail-Portal können berechtigte Mitarbeitende auf Nachrichten zugreifen und, abhängig von der gebuchten und konfigurierten Lösung, auch E-Mails versenden.
Wie funktioniert das technisch?
- Im Normalbetrieb laufen eingehende E-Mails über ein unabhängiges vorgeschaltetes Mail-Gateway.
- Das Gateway leitet Nachrichten regulär an Exchange Online weiter.
- Bei einer entsprechenden Störung werden E-Mails im Continuity-System vorgehalten.
- Mitarbeitende nutzen einen zuvor eingerichteten alternativen Webmail-Zugang.
- Nach Wiederherstellung werden Nachrichten gemäß den Funktionen des jeweiligen Anbieters an Exchange Online übergeben beziehungsweise abgeglichen.
Der Vorteil: Der MX-Eintrag muss bei einem vorbereiteten Gateway-Modell nicht erst während der Störung auf einen anderen Anbieter umgestellt werden.
Das reduziert die Umschaltzeit und vermeidet Unsicherheiten durch DNS-Caching.
Funktioniert das wirklich in der Praxis?
Die grundsätzliche Funktion ist bei etablierten E-Mail-Continuity-Produkten technisch dokumentiert.
Während der Microsoft-Störung im November 2026 verwies Mimecast betroffene Kunden auf die Nutzung seines unabhängigen Continuity-Portals.
Daraus lässt sich jedoch nicht ableiten, dass jede Kundenumgebung automatisch oder vollständig funktionsfähig geblieben ist.
Für eine belastbare Bewertung müssen folgende Punkte praktisch überprüft werden:
- Ist der Webmail-Zugriff vollständig unabhängig von der gestörten Microsoft-Anmeldung?
- Können tatsächlich externe Nachrichten empfangen und versendet werden?
- Funktioniert die Umschaltung auch bei teilweisen Störungen von Exchange Online?
- Sind Benutzerkonten und Berechtigungen vorab korrekt eingerichtet?
- Sind SPF, DKIM und DMARC für den alternativen Versand korrekt konfiguriert?
- Bleiben Verschlüsselung, Datenschutz und Archivierung angemessen berücksichtigt?
- Werden Nachrichten nach Wiederherstellung zuverlässig abgeglichen?
Ein E-Mail-Fallback ist nur dann eine wirksame BCM-Maßnahme, wenn das vollständige Notbetriebsverfahren erfolgreich getestet wurde.
Weitere Informationen:
Hornetsecurity E-Mail Continuity
und
Mimecast E-Mail Continuity.
Praxislösung 2: Unabhängige Notfallkommunikation
Wenn E-Mail und Teams nicht wie gewohnt funktionieren, müssen Mitarbeitende, Kunden und Dienstleister trotzdem erreichbar bleiben.
Praktische Möglichkeiten sind:
- Unabhängige Notfallrufnummern oder VoIP-Anbieter
- Vorbereitete telefonische Alarmierungsketten
- Separate, abgesicherte Kommunikationsplattformen
- Unabhängig betriebene Kunden-Statusseiten
- Alternative Zugänge für Krisenstäbe und Notfallteams
Besonders wichtig ist die Prüfung gemeinsamer Abhängigkeiten.
Ein alternatives Kommunikationssystem hilft wenig, wenn dessen Anmeldung ausschließlich über Microsoft Entra ID erfolgt und dieser Identitätsdienst im betreffenden Szenario ebenfalls nicht erreichbar ist.
Praxislösung 3: Kundenservice und Auftragsbearbeitung im Notbetrieb
Business Continuity ist nicht nur eine technische Angelegenheit.
Die Fortführung geschäftskritischer Leistungen muss auch organisatorisch vorbereitet werden.
Für den Kundenservice könnte ein Notbetriebsverfahren beispielsweise so aussehen:
- Aktivierung einer unabhängigen Servicerufnummer.
- Telefonische Annahme zeitkritischer Kundenanliegen.
- Dokumentation in einer zuvor freigegebenen, lokal verfügbaren Vorlage.
- Priorisierung nach Dringlichkeit und geschäftlichen Auswirkungen.
- Manuelle Bearbeitung der Vorgänge, soweit technisch und organisatorisch möglich.
- Kontrollierte Übertragung und Abgleich nach Wiederherstellung des Normalbetriebs.
Auch ohne vollständige IT-Verfügbarkeit können damit zumindest wichtige Leistungen weiter erbracht werden.
Dabei müssen Informationssicherheit und Datenschutz auch im Notbetrieb gewährleistet bleiben. Private E-Mail-Konten und unkontrollierte Messenger sind keine geeignete Standardlösung.
Praxislösung 4: Notfallpläne und Dokumente offline verfügbar halten
Ein Notfallplan, der ausschließlich in einem nicht erreichbaren SharePoint liegt, ist im entscheidenden Moment nutzlos.
Wichtige Informationen sollten deshalb unabhängig verfügbar sein:
- Notfallkontakte und Eskalationswege
- Technische Wiederanlaufanweisungen
- Zuständigkeiten und Vertretungsregelungen
- Freigegebene Notfallarbeitsanweisungen
- Kommunikationsvorlagen für Mitarbeitende und Kunden
- Informationen zu unabhängigen Ausweichsystemen
Geeignet sind beispielsweise regelmäßig aktualisierte, verschlüsselte Offline-Kopien oder ein unabhängig betriebenes, abgesichertes Notfallportal.
Rechnet sich ein E-Mail-Continuity-System wirtschaftlich?
Eine häufige Frage lautet: Lohnt sich die Investition in ein zusätzliches System, das möglicherweise nur selten benötigt wird?
Diese Frage sollte auf Grundlage einer Business-Impact-Analyse beantwortet werden.
Beispielrechnung für ein mittelständisches Unternehmen
Nehmen wir ein Unternehmen mit 50 E-Mail-Postfächern.
Für eine beispielhafte Kostenrechnung verwenden wir einen monatlichen Lizenzpreis von 4,50 Euro netto pro Postfach für ein entsprechendes E-Mail-Sicherheitspaket einschließlich Continuity-Funktion. Dieser Wert ist eine Modellannahme auf Basis veröffentlichter Händlerpreise und kein verbindliches Angebot.
| Position | Beispielkosten |
|---|---|
| 50 Postfächer × 4,50 Euro × 12 Monate | 2.700 Euro |
| Einmalige Einrichtung (angenommen) | 500 Euro |
| Laufende Betreuung und Tests pro Jahr (angenommen) | 200 Euro |
| Gesamtkosten im ersten Jahr | 3.400 Euro |
Nun betrachten wir einen achtstündigen Ausfall, bei dem 25 Mitarbeitende betroffen sind.
Bei einem angenommenen wirtschaftlichen Wert produktiver Arbeit von 50 Euro pro Stunde und einem Produktivitätsverlust von 60 Prozent ergibt sich folgende Rechnung:
25 Mitarbeitende × 8 Stunden × 50 Euro × 60 Prozent = 6.000 Euro
wirtschaftliche Beeinträchtigung.
Kann ein funktionierender E-Mail-Notbetrieb 60 Prozent dieses Verlustes verhindern, entspricht das einem vermiedenen Schaden von 3.600 Euro.
In diesem Szenario würden die vermiedenen Kosten eines einzigen solchen Ausfalls die angenommenen Kosten des ersten Jahres decken.
Das ist keine allgemeingültige Rentabilitätsgarantie. Die tatsächliche Wirtschaftlichkeit hängt unter anderem von den Ausfallkosten, der Häufigkeit relevanter Störungen, den vertraglichen Kosten und der Wirksamkeit der konkreten Notfalllösung ab.
Außerdem sollte geprüft werden, ob im Unternehmen bereits vorhandene Mail-Security-Produkte passende Continuity-Funktionen enthalten.
Die wirtschaftlich beste Lösung ist nicht zwangsläufig die teuerste oder technisch umfangreichste, sondern diejenige, die den geschäftlichen Bedarf angemessen absichert.
NIS2: Für viele Unternehmen ist Plan B längst Pflicht
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es betrifft rund 29.000 Unternehmen, in der Regel ab mittlerer Größe (grob: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz) in einem der erfassten Sektoren. Auch Zulieferer bekommen die Anforderungen oft über Verträge ihrer Kunden zu spüren.
Der Kern für unser Thema: Wer betroffen ist, muss den Betrieb auch bei Störungen aufrechterhalten können und das nachweisen. Business Continuity, Backup-Management und Krisenmanagement stehen ausdrücklich im Gesetz.
| Pflicht | Was gefordert ist | Bezug zum Ausfall |
|---|---|---|
| Risikomanagement (§ 30 BSIG) | Technische und organisatorische Maßnahmen, ausdrücklich auch Business Continuity, Backup-Management, Krisenmanagement und Lieferkettensicherheit. | Die Abhängigkeit von Microsoft 365 muss bewertet und abgesichert sein. |
| Meldepflichten (§ 32 BSIG) | Erheblicher Sicherheitsvorfall: Frühwarnung binnen 24 Stunden, Update binnen 72 Stunden, Abschlussbericht binnen eines Monats. | Wann ein Ausfall meldepflichtig ist, sollte vorab geklärt sein. Und der Meldeweg braucht selbst einen Plan B. |
| Pflichten der Geschäftsleitung (§ 38 BSIG) | Maßnahmen billigen, Umsetzung überwachen und sich regelmäßig schulen lassen. Die Verantwortung bleibt bei der Leitung. | Die Frage „Was läuft bei einem 24-Stunden-Ausfall weiter?“ gehört auf den Tisch der Geschäftsführung. |
| Registrierung beim BSI | Betroffene Einrichtungen mussten sich bis zum 6. März 2026 registrieren. | Wer das noch nicht getan hat, sollte es umgehend nachholen. |
| Bußgelder | Besonders wichtige Einrichtungen: bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Wichtige Einrichtungen: bis 7 Mio. Euro oder 1,4 %. | Nachweisbare, getestete Notfallvorsorge ist die beste Absicherung. |
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Ob und in welcher Kategorie Ihr Unternehmen unter NIS2 fällt, sollte im Einzelfall geprüft werden.
Ein Plan B, mehrere Nachweise: BCM in ISMS, TISAX und NIS2
Business Continuity Management ist kein Sonderprojekt neben der Informationssicherheit. Es ist der Teil, der in nahezu jedem Rahmenwerk auftaucht. Ein ISMS nach ISO/IEC 27001 und ein BCMS nach ISO 22301 teilen sich sogar die Grundstruktur. Wer TISAX anstrebt oder NIS2 erfüllen muss, trifft dieselben Fragen wieder.
| Rahmenwerk | BCM-Bezug | Typischer Nachweis |
|---|---|---|
| ISO/IEC 27001:2022 (ISMS) | Controls A.5.29 (Informationssicherheit bei Störungen) und A.5.30 (IKT-Bereitschaft für Business Continuity). Die IT-Notfallvorsorge soll sich aus den Zielen des Geschäfts und einer Business-Impact-Analyse ableiten. | BIA, Notfallkonzepte, Testprotokolle |
| TISAX (VDA ISA) | Der ISA-Katalog, auf dem TISAX aufbaut, orientiert sich an ISO/IEC 27001 und fordert unter anderem funktionierendes Vorfall- und Krisenmanagement. Prüfer erwarten nachvollziehbare, geübte Prozesse statt reiner Papierkonzepte. | Krisenplan, Eskalationswege, Übungsnachweise |
| NIS2 (BSIG) | § 30 BSIG nennt Business Continuity, Backup-Management und Krisenmanagement ausdrücklich als Pflichtmaßnahmen. | Nachweisbare Maßnahmen, Freigabe durch die Geschäftsleitung |
| ISO 22301 und BSI-Standard 200-4 | Die methodische Grundlage für ein Business Continuity Management System (BCMS): BIA, Strategien, Notfallhandbuch, Übungen. | BIA, Notfallhandbuch, Übungsplan |
Der entscheidende Praxistest: Funktioniert unser Plan B wirklich?
Eine Produktbeschreibung ist noch kein Nachweis für einen funktionierenden Notbetrieb.
Unternehmen sollten mindestens folgende Szenarien kontrolliert überprüfen:
| Nr. | Testszenario | Erwartetes Ergebnis | Getestet |
|---|---|---|---|
| 1 | Exchange Online nicht verfügbar | E-Mails können über den unabhängigen Dienst verarbeitet werden. | ☐ |
| 2 | Microsoft-Anmeldung gestört | Der alternative Zugriff funktioniert unabhängig. | ☐ |
| 3 | Exchange-Teilausfall | Ein dokumentiertes manuelles Umschaltverfahren greift. | ☐ |
| 4 | Standort oder Internetzugang ausgefallen | Alternative Zugangswege sind nutzbar. | ☐ |
| 5 | Wiederherstellung nach der Störung | Nachrichten und Vorgänge werden kontrolliert abgeglichen. | ☐ |
| 6 | Kundenservice im Notbetrieb | Zeitkritische Kundenanliegen können bearbeitet werden. | ☐ |
Die Tests müssen geplant, dokumentiert und so durchgeführt werden, dass der Produktivbetrieb nicht unnötig gefährdet wird.
Erst auf Basis dieser Ergebnisse lässt sich beurteilen, ob die Maßnahmen tatsächlich zur gewünschten Geschäftsfortführung beitragen.
BCM beginnt nicht mit dem Produkt, sondern mit der Business-Impact-Analyse
Bevor zusätzliche Systeme beschafft werden, sollten Unternehmen ihre geschäftskritischen Prozesse bewerten.
Im Rahmen einer Business-Impact-Analyse (BIA) werden insbesondere folgende Fragen beantwortet:
- Welche Geschäftsprozesse sind zeitkritisch?
- Welche Schäden entstehen bei einer Unterbrechung?
- Welche maximale Ausfalldauer ist tolerierbar?
- Welches Mindestleistungsniveau muss aufrechterhalten werden?
- Welche technischen und organisatorischen Abhängigkeiten bestehen?
- Welche Notbetriebsmaßnahmen sind wirtschaftlich angemessen?
Daraus können Wiederanlaufziele, Maßnahmen zur Geschäftsfortführung sowie technische und organisatorische Notfallpläne abgeleitet werden.
Der
BSI-Standard 200-4
und die ISO 22301 bieten hierfür geeignete methodische Grundlagen.
In 14 Tagen zum ersten praxistauglichen BCM-Check
Auch kleinere und mittelständische Unternehmen können ohne umfangreiches Großprojekt beginnen.
Tag 1 bis 3: Geschäftsprozesse identifizieren
Die wichtigsten drei bis fünf Geschäftsprozesse bestimmen und ihre IT- sowie Dienstleisterabhängigkeiten dokumentieren.
Tag 4 bis 7: Notbetriebswege vorbereiten
Unabhängige Kommunikationswege, Notfallkontakte, alternative Arbeitsverfahren und Verantwortlichkeiten festlegen.
Tag 8 bis 10: Technische Alternativen überprüfen
Vorhandene Cloud-, E-Mail-, Telefonie- und Backup-Lösungen auf geeignete Fallback-Funktionen prüfen und gegebenenfalls ergänzen.
Tag 11 bis 14: Einen Ausfall simulieren
Ein realistisches Störungsszenario in kontrolliertem Rahmen durchspielen, Ergebnisse dokumentieren und Verbesserungsmaßnahmen festlegen.
Ein solcher Einstieg ersetzt kein vollständiges Business-Continuity-Management-System, schafft aber eine belastbare Ausgangsbasis.
Fazit: Die Cloud darf ausfallen. Das Unternehmen muss vorbereitet sein.
Der Microsoft-Ausfall vom November 2026 zeigt: Selbst große Cloud-Anbieter können keine uneingeschränkte Verfügbarkeit garantieren.
Die Antwort darauf ist nicht zwangsläufig, sämtliche Cloud-Dienste wieder lokal zu betreiben.
Vielmehr müssen Unternehmen ihre Abhängigkeiten kennen, kritische Prozesse priorisieren und unabhängige Ausweichverfahren vorbereiten.
E-Mail-Continuity-Dienste, alternative Kommunikationswege, Offline-Notfalldokumentation und getestete manuelle Geschäftsprozesse sind konkrete Möglichkeiten, die Widerstandsfähigkeit zu verbessern.
Informationssicherheit bedeutet nicht nur, Cyberangriffe abzuwehren oder Daten zu schützen. Sie bedeutet auch, die Handlungsfähigkeit eines Unternehmens bei Betriebsunterbrechungen sicherzustellen.
Die wichtigste Frage an jede Geschäftsführung lautet:
Wenn Microsoft 365 morgen für 24 Stunden ausfällt: Welche Leistungen können wir unseren Kunden trotzdem zuverlässig anbieten?
Wer darauf keine konkrete Antwort hat, sollte seine Notfallvorsorge überprüfen.
Business Continuity Management mit Kämmer Consulting
Die Kämmer Consulting GmbH unterstützt Unternehmen beim Aufbau und bei der Weiterentwicklung ihres Informationssicherheitsmanagements sowie bei der Bewertung geschäftskritischer IT- und Cloud-Abhängigkeiten.
Gemeinsam analysieren wir bestehende Risiken, identifizieren geeignete Notbetriebsverfahren und entwickeln wirtschaftlich angemessene Lösungen für die Geschäftsfortführung.
Unser Fokus liegt dabei nicht ausschließlich auf Richtlinien und Dokumentation, sondern auf Maßnahmen, die sich im betrieblichen Alltag tatsächlich umsetzen und überprüfen lassen.
Sie möchten wissen, wie abhängig Ihr Unternehmen von Microsoft 365 und anderen Cloud-Diensten ist?
Wir sind für Sie in Braunschweig und Wernigerode da. Jetzt Kontakt aufnehmen
Quellen und weiterführende Informationen
- Microsoft 365 – Offizieller Dienststatus
- Hornetsecurity – Email Continuity Service
- Hornetsecurity – Einrichtung und Nutzung
- Mimecast – E-Mail Continuity
- BSI – Standard 200-4 Business Continuity Management
- ISO 22301 – Business Continuity Management
- Reuters – Geschäftliche Auswirkungen des Microsoft-Ausfalls
- IHK Magdeburg – NIS2
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Wirtschaftlichkeitsberechnung dient der Veranschaulichung und beruht auf angenommenen Kosten und Auswirkungen. Verfügbarkeit, Leistungsumfang und Preise der genannten Produkte sind vor einer Beschaffung individuell zu überprüfen.
