Microsoft 365 mehr als einen Tag ausgefallen: was ein nicht böswilliger Ausfall für Cyber-Risikoträger bedeutet

Analyse vom 13. November 2026, bei noch laufendem Ausfall · von cybercoverinsurance

Am Donnerstag, dem 12. November 2026, gegen 17:30 Uhr Londoner Zeit fielen Outlook, Exchange Online und weitere Dienste von Microsoft 365 für Millionen Nutzer aus, zuerst in Amerika, dann in anderen Regionen. Am 13. November lief die Wiederherstellung, war aber nicht abgeschlossen: Microsoft meldete Verbesserungen in Nordamerika und Europa und warnte, dass zeitweise Störungen anhalten könnten. Nach Angaben von Microsoft gibt es keine Hinweise auf böswillige Aktivitäten.

Für den Versicherungsmarkt ist der Fall ein weiteres Beispiel für den nicht böswilligen Ausfall eines großen Anbieters, gut zwei Jahre nach CrowdStrike. Die erste Schätzung von Morningstar DBRS beziffert die weltweiten versicherten Schäden auf 300 bis 500 Millionen Dollar. Die Frage für Cyber-Risikoträger lautet, welche Policen bei einem Stillstand, der nicht auf einen Angriff zurückgeht, tatsächlich leisten, und wie schwer die Abhängigkeit von einem einzigen Anbieter für E-Mail und Zusammenarbeit wiegt.

Was bekannt ist

Der Beginn. Laut TechRadar stiegen die Meldungen bei Downdetector am 12. November gegen 12:30 Uhr US-Ostküstenzeit, mit mehr als 131.000 Meldungen zu Outlook in der Spitze. Der Ausfall erreichte mindestens 74 Länder. Microsoft führte die Vorfälle EX1550543 und MO1550821 im Microsoft 365 Admin Center (TechRadar).

Die genannte Ursache. Microsoft führte das Problem auf eine erhöhte Last in mehreren Regionen zurück, verursacht durch eine große Zahl unerwartet nicht verfügbarer Server und nicht durch mehr Verkehr. Das Unternehmen stoppte alle Rollouts, verlagerte den Verkehr, startete betroffene Server neu und erklärte, einige Maßnahmen hätten nicht die erwartete Entlastung gebracht (ABC News). Laut ABC Australia nannte Microsoft später einen zentralen Serverprozess, der überlastet wurde, und nahm eine kürzliche Änderung der Netzwerkkonfiguration zurück, die es für eine mögliche Ursache hielt (ABC Australia).

Die Dienste. Die Statusseite von Microsoft nannte Exchange Online, Teams, SharePoint Online, Copilot für Microsoft 365 und Defender XDR (TechRadar). ABC Australia nennt außerdem Planner, To Do, Intune, Purview, Power BI, Power Apps und Universal Print; der direkte Zugriff auf SharePoint-Dateien funktionierte weiter.

Die Folgen. Die New Yorker Katastrophenschutzbehörde warnte vor möglichen Verzögerungen bei Online-Diensten städtischer Behörden (ABC News). In Australien waren unter anderem die Bundespolizei, das Online-Kautionsgericht von New South Wales und Canberra Health Services betroffen, ohne bekannte klinische Folgen; die australische Regierung aktivierte eine Vereinbarung mit Microsoft für vorrangige Unterstützung (ABC Australia). Im Vereinigten Königreich baten Kommunen und Polizeibehörden darum, anzurufen statt zu schreiben (TechRadar). In Toronto rief das St. Michael's Hospital einen „Code Grey“ aus, den internen Alarm für Infrastrukturausfälle (Insurance Business).

Die Wiederherstellung. Am 13. November meldete Microsoft „ermutigende Fortschritte“, die Kapazität war aber noch nicht wieder normal und der Verkehr wurde vorsichtig zurückgeführt. Das Zeitfenster für E-Mails wurde auf 48 Stunden verlängert, damit verspätete Nachrichten nicht verloren gehen (TechRadar).

Was nicht bekannt ist. Gesamtdauer, endgültige Ursache und Zahl der betroffenen Organisationen sind noch nicht bekannt.

Cyber-Policen, die nicht greifen

Es braucht einen Angriff oder zumindest einen Verdacht. Joe Hershewe, Leiter der Schadenpraxis bei Bellrock Advisory in Sydney, weist darauf hin, dass die meisten Cyber-Bedingungen eine tatsächliche oder vermutete Verletzung voraussetzen, und bezweifelt, dass betroffene Versicherte diese Schwelle erreichen (Insurance Business). Ein Ausfall eines Anbieters ohne Eindringen bleibt außerhalb der Hauptdeckung.

Systemausfall ist eine Erweiterung, nicht die Regel. Manche Policen decken auch Unterbrechungen durch nicht böswillige Ausfälle, eigene oder die eines Dienstleisters. Hershewe merkt an, dass Deckungen für breit gestreute Ereignisse existieren, mit eigenen Kriterien, aber in Bedingungen für den Mittelstand nicht Standard sind (dieselbe Quelle). Für Risikoträger ist der Fall Microsoft der Moment zu prüfen, wie viele Versicherte diese Erweiterung tatsächlich haben und mit welchen Limits.

Der Dienstleister muss erfasst sein. Die Rückwirkungsschadendeckung erfasst den Ausfall eines Dienstleisters, oft aber nur für benannte Dienstleister oder bestimmte Kategorien wie IT-Dienstleister. Ein Cloud-Dienst für E-Mail und Zusammenarbeit fällt meist unter die Definition, doch das Wording ist zu lesen: Manche Policen schließen Ausfälle öffentlicher Infrastruktur oder großer Cloud-Anbieter aus.

Wartezeit und Bezifferung

Die Stunden zählen. Deckungen für Betriebsunterbrechung sehen eine Wartezeit vor, in Stunden in der Police festgelegt, bevor der Stillstand entschädigungsfähig wird. Morningstar DBRS weist darauf hin, dass Wartezeiten, Selbstbehalte und Sublimits über das Ergebnis der Schäden entscheiden werden (Actuarial Post). Ein Ausfall von mehr als einem Tag überschreitet viele Wartezeiten; eine ungleichmäßige Wiederherstellung, Region für Region, macht es schwer festzustellen, wann der Stillstand endete.

Ein Teilausfall ist schwer zu messen. Der Ausfall der E-Mail legt den Betrieb nicht zwingend still: Viele Unternehmen arbeiteten per Telefon und mit geteilten Dateien weiter. Für den Ertragsausfall muss der Versicherte einen Umsatzrückgang oder Mehrkosten durch den Ausfall nachweisen. Für Beratungs- und Kanzleibetriebe kann die Wirkung hoch sein: Ein von ABC Australia zitierter Berater schätzt mehr als 100.000 Dollar pro Stunde für Dienstleister im Beratungsbereich, eine nicht überprüfte Schätzung (ABC Australia).

Mehrkosten. Leichter zu belegen sind außerordentliche Kosten: Überstunden, alternative Werkzeuge, Mitteilungen an Kunden. Viele Policen decken sie als Schadenminderungskosten, auch wenn der Ertragsausfall strittig ist.

Kumul beim einzigen Anbieter

Eine vorsichtige Schätzung. Morningstar DBRS schätzt die weltweiten versicherten Schäden auf 300 bis 500 Millionen Dollar, unter der Spanne von 400 Millionen bis 1,5 Milliarden, die CyberCube 2024 für CrowdStrike schätzte. Der Unterschied liegt an den Ausschlüssen für nicht böswillige Technologieausfälle. Laut derselben Quelle könnte das Ereignis bei einem mehrtägigen Ausfall so schwer werden wie CrowdStrike oder schwerer (Actuarial Post).

Die Konzentration auf Microsoft 365. E-Mail, Kalender, Dateiablage, Authentifizierung und Endpunktsicherheit stammen oft vom selben Anbieter. Ein Ausfall in einer gemeinsamen Komponente legt mehrere Funktionen gleichzeitig still. Zu den betroffenen Diensten gehörte auch Defender XDR (TechRadar): Fällt das Sicherheitswerkzeug aus, ist der Versicherte gerade dann weniger geschützt, wenn Betrüger das Ereignis ausnutzen.

Der Betrug, der dem Ausfall folgt. Die Bank ING warnte Kunden vor Betrügern, die anboten, den Ausfall zu „beheben“ (ABC Australia). Ein nicht böswilliger Ausfall kann böswillige Schäden nach sich ziehen: Phishing, Zahlungsbetrug, Zugriffe falscher Techniker. Diese Schäden fallen sehr wohl unter die gewöhnliche Cyber-Deckung.

Daten, die den Perimeter verlassen. Ali Yavari, außerordentlicher Professor an der Swinburne University of Technology, verweist auf das Risiko, dass Mitarbeitende während des Ausfalls private Konten nutzen, um Daten zu verschieben (Insurance Business, US-Ausgabe). Das ist eine Datenexposition, die Wochen später als Vertraulichkeitsverletzung auftauchen kann.

Was in die Vertragsverlängerung gehört

Auswirkung für VersichererHoch

Ein nicht böswilliger Ausfall von Microsoft 365, der mehr als einen Tag in mehreren Regionen dauerte, stellt die Deckungen für Systemausfall und Rückwirkungsschäden im ganzen Portfolio auf die Probe, mit einer ersten Schätzung von 300 bis 500 Millionen Dollar versicherter Schäden.

Auf Portfolioebene legt der Fall nahe, zu zählen, wie viele Versicherte die Erweiterung für Systemausfälle von Cloud-Anbietern haben und mit welchen Wartezeiten, und in die Kumultests ein Szenario von 24 bis 72 Stunden ohne Microsoft 365 aufzunehmen, wobei Schäden aus reinem Ausfall von denen aus nachfolgendem Betrug und Phishing getrennt werden. Die endgültige Schätzung hängt von der noch offenen Dauer ab.

Quellen

• TechRadar – Zeitablauf, betroffene Dienste, Vorfälle und Stand der Wiederherstellung
• ABC News – von Microsoft genannte Ursache und Folgen in den USA
• ABC Australia – Zeitablauf in Australien, Dienste, betroffene Organisationen und Betrug
• Insurance Business – warum die meisten Cyber-Policen nicht greifen
• Insurance Business – betroffene Krankenhäuser, Fluggesellschaften und Behörden
• Actuarial Post – die Schätzung von Morningstar DBRS zu den versicherten Schäden