Eine größere Störung von Microsoft 365 beeinträchtigte am 12. und 13. November 2026 Unternehmen, Behörden und Millionen Nutzerinnen und Nutzer weltweit, auch in Deutschland. Besonders betroffen waren Outlook und Exchange Online, aber auch Funktionen von Teams, Copilot, SharePoint, Planner, Defender und weiteren Cloud-Diensten. Microsoft zufolge war kein Cyberangriff die Ursache, sondern ein Problem bei einem Upgrade der Netzwerkkapazität, das nach weiteren Netzwerkänderungen sichtbar wurde.
Inhaltsverzeichnis
Am Freitagabend meldete das Unternehmen deutliche Fortschritte bei der Wiederherstellung. Für viele Unternehmen lagen da bereits rund 24 Stunden mit Einschränkungen hinter ihnen – und damit die Erfahrung, wie abhängig ihr Arbeitsalltag von wenigen zentralen Cloud-Diensten ist.
Und genau deshalb sollten wir über diesen Vorfall reden.
Nicht, um Microsoft zum Feindbild zu erklären. Nicht, um die Cloud grundsätzlich infrage zu stellen.
Sondern um uns eine wesentlich unbequemere Frage zu stellen:
Was passiert eigentlich mit unserem Unternehmen, unserer Verwaltung oder schlicht unserem Arbeitsalltag, wenn zentrale digitale Dienste für 24 Stunden nicht zur Verfügung stehen?
Plötzlich geht die E-Mail nicht mehr
E-Mail funktioniert nicht zuverlässig. Kalender sind nicht erreichbar. Termine können teilweise nicht geplant werden. Copilot kann nicht auf die gewohnten Arbeitsdaten zugreifen. Automatisierungen funktionieren nicht wie erwartet.
Und schon geraten Arbeitsabläufe ins Stocken.
Besonders bemerkenswert war, wie weit sich die Störung ausbreiten konnte. Das eigentliche Problem lag vor allem bei Exchange Online. Weil aber zahlreiche andere Dienste auf Exchange und die damit verbundenen Daten und Schnittstellen zurückgreifen, waren die Auswirkungen erheblich größer.
Teams beispielsweise funktionierte nicht überall komplett nicht. Viele Kernfunktionen wie Chats oder Besprechungen waren weiterhin verfügbar. Aber Funktionen, die Exchange benötigen, etwa Kalender, Terminplanung oder Einladungen, konnten beeinträchtigt sein.
Das zeigt ein grundsätzliches Problem moderner IT:
Wir haben sehr viele Dienste miteinander verbunden. Das macht unsere Arbeit komfortabler und effizienter. Gleichzeitig entstehen dadurch Abhängigkeiten.
Ein Ausfall an einer zentralen Stelle kann plötzlich zahlreiche andere Prozesse betreffen.
Und genau darüber müssen wir sprechen.
Der Kühlschrank-Hack zeigt, dass digitale Abhängigkeit längst die physische Welt erreicht hat
Wie real mögliche Folgen digitaler Abhängigkeiten sein können, haben wir erst vor wenigen Wochen gesehen. Cyberkriminelle manipulierten vernetzte Kühlsysteme von Supermärkten. Zunächst wurden Fälle aus Frankreich und anderen europäischen Ländern bekannt. Anfang November wurden schließlich auch Vorfälle aus Deutschland gemeldet.
Dabei wurden Kühlanlagen über ihre vernetzte Steuerung manipuliert. Teilweise stiegen die Temperaturen auf 30 bis 50 Grad Celsius.
Die Folgen waren nicht digital.
Sie waren sehr real.
Lebensmittel verdarben und mussten entsorgt werden. In einem Markt im niedersächsischen Lilienthal mussten nach Angaben des Betreibers Waren im Wert von mehr als 360.000 Euro weggeworfen werden.
Hier ging es also nicht darum, dass eine E-Mail vielleicht zwanzig Minuten später ankam.
Hier wurden durch die Manipulation digitaler Systeme Lebensmittel vernichtet.
Das ist für mich eine der wichtigsten Erkenntnisse unserer zunehmend vernetzten Welt:
Digitale Abhängigkeit endet nicht am Bildschirm.
Sie kann Produktionsanlagen, Kühlketten, Logistik, Kommunikation und damit irgendwann unmittelbar unser tägliches Leben betreffen.
Digitale Souveränität bedeutet nicht: Microsoft sofort raus
Digitale Souveränität bedeutet für mich: Wir müssen unsere Abhängigkeit von Technologiekonzernen außerhalb Europas konsequent minimieren. Dafür müssen wir deutsche und europäische Lösungen entwickeln, ausbauen und tatsächlich einsetzen. Es reicht nicht, über Alternativen zu reden, während unsere wichtigsten Arbeitsprozesse weiterhin an wenigen außereuropäischen Anbietern hängen. Unser Ziel muss sein, auch im Krisenfall handlungsfähig zu bleiben – ohne auf die Hilfe oder das politische Wohlwollen anderer Staaten angewiesen zu sein.
Projekte wie die quelloffene Bürosoftware Euro-Office gehören für mich deshalb auf die praktische Agenda. Wir sollten solche Alternativen erproben und weiterentwickeln, eigene Rechenzentren aufbauen und kritische Dienste unter eigener beziehungsweise europäischer Kontrolle betreiben. Entscheidend ist dabei nicht nur, wo ein Server steht, sondern wer Infrastruktur, Software und Zugänge tatsächlich kontrolliert.
Verträge und schriftliche Zusagen dürfen dafür nicht unsere einzige Absicherung sein. Ich möchte nicht darauf vertrauen müssen, dass uns ein Konzern oder eine ausländische Regierung den Zugang zu unseren Daten schon nicht abschneiden wird. Wir müssen technisch und organisatorisch so aufgestellt sein, dass wir auch dann auf unsere Daten zugreifen und weiterarbeiten können, wenn ein Anbieter den Zugang sperrt oder eine politische Entscheidung die Verbindung kappt. Dazu gehören für mich eigene Betriebskompetenz, unabhängig verfügbare Datenkopien und erprobte Alternativen.
Das verlangt keinen unvorbereiteten Austausch aller Systeme von heute auf morgen, wohl aber einen verbindlichen Kurs hin zu echter digitaler Eigenständigkeit. Digitale Souveränität darf kein Versprechen auf Papier bleiben. Sie muss uns etwas geben, das wir selbst ausüben können:
Wahlfreiheit.
Wir müssen in der Lage sein, selbst zu entscheiden,
- wo unsere Daten liegen,
- wer darauf zugreifen kann,
- welche Software wir einsetzen,
- welche offenen Standards wir verwenden,
- welche Dienste für unseren Betrieb wirklich kritisch sind,
- welche Alternativen zur Verfügung stehen
- und wie wir weiterarbeiten können, wenn ein Dienstleister plötzlich ausfällt.
Es geht darum, die Kontrolle über unsere Arbeit, unsere Leistungen und unsere Daten zurückzugewinnen.
Europa darf nicht noch weitere Jahre diskutieren
Deutschland und Europa reden seit Jahren über digitale Souveränität.
Über Cloud-Infrastrukturen.
Über europäische Anbieter.
Über Open Source.
Über Datenschutz.
Über Abhängigkeiten von amerikanischen und chinesischen Technologiekonzernen.
Die Diskussionen sind wichtig.
Aber irgendwann muss aus Diskussion auch Umsetzung werden.
Denn jede weitere Verzögerung kostet Geld.
Und sie kostet Vertrauen.
Unternehmen müssen sich darauf verlassen können, dass ihre Infrastruktur funktioniert. Behörden müssen auch in Krisensituationen arbeitsfähig bleiben. Bürgerinnen und Bürger müssen darauf vertrauen können, dass öffentliche Stellen die Kontrolle über ihre Daten behalten.
Digitale Souveränität ist deshalb längst keine Diskussion für IT-Abteilungen mehr.
Sie ist eine wirtschaftliche und gesellschaftliche Frage.
Schleswig-Holstein zeigt, dass man nicht alles auf einmal ändern muss
Ein interessantes Beispiel liefert Schleswig-Holstein.
Das Bundesland verfolgt seit mehreren Jahren eine Strategie für mehr digitale Souveränität und setzt dabei verstärkt auf Open Source und offene Standards.
Unter anderem wird LibreOffice als Standard-Bürolösung eingesetzt. Weitere Bereiche der IT-Infrastruktur werden schrittweise auf offene Lösungen umgestellt.
Genau dieses Vorgehen halte ich für entscheidend.
Wir müssen nicht morgen früh alle Microsoft-Server abschalten.
Wir müssen auch nicht innerhalb eines Jahres sämtliche Cloud-Dienste austauschen.
Digitale Souveränität funktioniert nicht nach dem Prinzip:
Heute abhängig, morgen unabhängig.
Sie ist ein Prozess.
Und dieser Prozess kann mit einer Bestandsaufnahme beginnen.
Was brauchen wir eigentlich wirklich?
Vielleicht sollten Unternehmen und Verwaltungen einmal eine erstaunlich einfache Frage stellen:
Welche digitalen Dienste brauchen wir wirklich jederzeit?
Nicht jeder Dienst besitzt dieselbe Priorität.
Eine mögliche Einteilung könnte beispielsweise so aussehen:
Priorität 1: Betriebskritisch
Dienste, ohne die wesentliche Geschäftsprozesse unmittelbar stillstehen.
Dazu könnten gehören:
- Produktionssteuerung
- Identitäts- und Zugangssysteme
- zentrale Datenbanken
- bestimmte Kommunikationssysteme
- Logistiksysteme
- Kassensysteme
- Kühl- und Gebäudesteuerungen.
Für diese Dienste brauchen Unternehmen belastbare Notfall- und Wiederanlaufkonzepte.
Priorität 2: Geschäftskritisch
Dienste, deren längerer Ausfall erhebliche wirtschaftliche Konsequenzen hätte.
Zum Beispiel:
- Kalender
- Dokumentenmanagement
- Kollaboration
- ERP- oder CRM-Systeme.
Hier sollte die Frage lauten:
Welche alternative Arbeitsweise haben wir für vier, acht oder 24 Stunden?
Priorität 3: Komfort und Produktivität
Andere Dienste steigern unsere Produktivität erheblich, ihr temporärer Ausfall bringt das Unternehmen aber nicht unmittelbar zum Stillstand.
Hier lohnt sich die nüchterne Frage:
Brauchen wir diesen Dienst wirklich permanent oder haben wir uns lediglich daran gewöhnt, dass er immer verfügbar ist?
Vielleicht brauchen wir wieder einen Plan B
Das klingt erstaunlich banal.
Früher war ein Notfallplan selbstverständlich.
Heute lautet der Notfallplan in vielen Unternehmen offenbar:
Wir warten, bis der Cloudanbieter das Problem gelöst hat.
Das reicht nicht.
Unternehmen sollten deshalb ganz konkrete Szenarien durchspielen:
Was machen wir vier Stunden ohne E-Mail?
Was machen wir einen Arbeitstag ohne Teams?
Wie erreichen wir unsere Mitarbeiterinnen und Mitarbeiter, wenn der zentrale Kommunikationsdienst nicht funktioniert?
Wie greifen wir auf wichtige Dokumente zu?
Welche Telefonnummern, Prozesse und Ansprechpartner müssen auch offline verfügbar sein?
Welche Arbeiten können während eines Ausfalls trotzdem erledigt werden?
Und vielleicht gehört sogar die Frage dazu:
Muss wirklich jede Besprechung eine Videokonferenz sein?
Manchmal kann ein Telefonat reichen.
Manchmal kann Arbeit auch ohne permanente digitale Kommunikation weitergehen.
Digitale Resilienz bedeutet deshalb nicht ausschließlich, zusätzliche Technik einzukaufen.
Sie bedeutet auch, Arbeitsweisen zu hinterfragen.
Ein zweites System allein löst das Problem übrigens nicht
Auch das sollte Teil einer ehrlichen Diskussion sein.
Redundanz bedeutet nicht einfach:
Wir kaufen einen zweiten Cloudanbieter.
Wenn nämlich Identitäten, Daten, Anwendungen und Arbeitsprozesse weiterhin vollständig miteinander verkettet sind, kann die vermeintliche Alternative im Ernstfall ebenfalls nicht funktionieren.
Deshalb brauchen Unternehmen eine Kombination aus:
Redundanz, offenen Standards, exportierbaren Daten, dokumentierten Prozessen, alternativen Kommunikationswegen und regelmäßig getesteten Notfallplänen.
Und vor allem müssen die Mitarbeiterinnen und Mitarbeiter wissen, was sie im Ernstfall tun sollen.
Ein Notfallplan, den niemand kennt und niemand ausprobiert hat, ist kein Notfallplan.
Digitale Souveränität ist kein Projekt mit Enddatum
Vielleicht müssen wir deshalb auch unser Verständnis von digitaler Unabhängigkeit verändern.
Wir werden nicht irgendwann einen Punkt erreichen, an dem wir sagen können:
Jetzt sind wir vollständig digital unabhängig.
Das ist wahrscheinlich weder möglich noch notwendig.
Entscheidend ist vielmehr die Frage:
Haben wir eine Wahl?
Können wir einen Anbieter wechseln?
Können wir unsere Daten exportieren?
Können andere Systeme unsere Daten lesen?
Gibt es alternative Kommunikationswege?
Können zentrale Prozesse einige Stunden oder sogar einen ganzen Tag ohne einen bestimmten Cloudanbieter funktionieren?
Wenn wir diese Fragen mit Ja beantworten können, haben wir bereits viel gewonnen.
24 Stunden können sehr lang sein
Ein Tag klingt zunächst nicht besonders dramatisch.
24 Stunden ohne E-Mail.
24 Stunden ohne Kalender.
24 Stunden mit eingeschränkter digitaler Zusammenarbeit.
Für ein Unternehmen mit Hunderten oder Tausenden Beschäftigten können daraus jedoch sehr schnell erhebliche Kosten entstehen.
Und spätestens wenn digitale Systeme Maschinen, Kühlhäuser, Logistik oder andere physische Prozesse steuern, sprechen wir nicht mehr nur über verlorene Arbeitszeit.
Dann entstehen reale wirtschaftliche Schäden.
Der Microsoft-Ausfall vom 12. und 13. November sollte deshalb nicht einfach als nächste technische Störung abgehakt werden.
Genauso wenig wie die Angriffe auf Kühlanlagen in deutschen und europäischen Supermärkten.
Wir sollten beide Ereignisse als Erinnerung verstehen:
Digitalisierung ohne Resilienz schafft neue Abhängigkeiten.
Jeder hat es selbst in der Hand
Meine Devise ist deshalb einfach:
Jeder hat es ein Stück weit selbst in der Hand, digital unabhängiger zu werden.
Der Staat.
Unternehmen.
Kommunen.
Vereine.
Und letztlich auch wir Bürgerinnen und Bürger.
Wir müssen nicht morgen alle Systeme austauschen.
Wir müssen nicht sämtliche Cloudangebote kündigen.
Und wir müssen auch nicht zurück in eine analoge Vergangenheit.
Wir sollten einfach anfangen.
- Einen kritischen Dienst identifizieren.
- Einen Notfallplan entwickeln.
- Eine Alternative testen.
- Offene Standards bevorzugen.
- Datenexporte überprüfen.
- Abhängigkeiten dokumentieren.
- Mitarbeiterinnen und Mitarbeiter schulen.
Und anschließend den nächsten Schritt gehen
Schritt für Schritt.
Denn die schlechteste Strategie wäre es, nach dem nächsten großen IT-Ausfall wieder überrascht festzustellen, wie abhängig wir geworden sind.
Bevor solche Vorfälle zur Gewohnheit werden, sollten wir anfangen, wieder selbst die Kontrolle zu übernehmen.
Genau aus diesem Grund beschäftige ich mich seit längerer Zeit mit digitaler Unabhängigkeit und digitaler Souveränität. Und genau solche Fragen waren auch ein Grund dafür, meine Beratungsfirma EmpowerLabAI zu gründen.
Wer sich mit der Frage beschäftigt, wie Unternehmen, Organisationen oder Verwaltungen ihre digitalen Abhängigkeiten analysieren, Risiken priorisieren und Schritt für Schritt mehr digitale Souveränität erreichen können, kann mich gerne ansprechen.
Mehr Informationen gibt es unter:
Denn digitale Unabhängigkeit beginnt nicht damit, alles auszutauschen
Sie beginnt damit, eine Alternative zu haben.
You must be logged in to reply to this topic.