Der Durchschnitt ist gut, die Ausreißer nicht
Microsoft veröffentlicht die weltweite Verfügbarkeit von Microsoft 365 quartalsweise. Im ersten Quartal 2026 lag sie bei 99,526 %, dem niedrigsten Wert, den das Team von Office 365 for IT Pros um Tony Redmond seit Beginn seiner Aufzeichnungen 2013 registriert hat. Im Quartal darauf war der Wert mit 99,994 % wieder unauffällig.
Genau darin liegt der Punkt. Auf 99,98 % oder mehr in allen vier Quartalen 2023 folgten 99,927 % Ende 2024, 99,954 % Ende 2025 und der Einbruch Anfang 2026. Wiederkehrend sind zwei Ursachen: zum einen Konfigurations- und Codeänderungen, deren Schutzmechanismen nicht greifen, zum anderen zentrale Komponenten, die alle Regionen zugleich tragen.
Als Azure Front Door am 29. Oktober 2025 ausfiel, waren Microsoft 365, das Azure-Portal und fremde Kundenanwendungen gut acht Stunden gleichzeitig gestört. Dagegen hilft Redundanz beim Kunden nicht, umleiten kann nur der Anbieter.
Was der Vertrag misst
Das Service Level Agreement sagt 99,9 % monatliche Verfügbarkeit zu, je nach Monatslänge also 40 bis 45 Minuten erlaubte Ausfallzeit. Die 99,526 % aus dem ersten Quartal entsprechen dagegen gut drei Stunden im Monat, rund dem Fünffachen. Zahlen musste Microsoft dafür trotzdem nichts, denn gerechnet wird pro Dienst, pro Monat und in Nutzerminuten, es zählen also nur die tatsächlich betroffenen Konten.
Entscheidender ist, woran gemessen wird. Das zentrale Service Level für Exchange Online misst allein Outlook Web Access und definiert Ausfallzeit als Zeitraum, in dem Nutzer über den Browserzugang keine Mail senden oder empfangen können. Daneben stehen drei Level für Zustellzeit, garantierte Zustellung und die Annahme ein- und ausgehender Post.
Eine Störung, die nur den Outlook-Desktop, die mobile App oder ältere Zugangsprotokolle trifft, erzeugt unter keinem davon Ausfallzeit. Von März bis April 2026 blieben Postfächer über Outlook Mobile und das neue Outlook für Mac wochenlang unerreichbar, ohne dass dies vertraglich als Ausfall zählte.
Die Gutschrift ist dreifach gestaffelt. Unter 99,9 % gibt es 25 % der Monatsgebühr des betroffenen Dienstes zurück, unter 99 % die Hälfte, unter 95 % den vollen Betrag. Sie ist laut Vertrag der alleinige Rechtsbehelf.
Die Beweislast liegt beim Kunden, der Dauer, betroffene Ressourcen, Nutzerzahl und Standorte dokumentieren muss, unvollständige Anträge werden abgelehnt. Der Anspruch verfällt zum Ende des Folgemonats.
Die Pflicht bleibt im Haus
Während der Anspruch gegen den Anbieter begrenzt ist, gilt die eigene Meldepflicht für einen erheblichen Sicherheitsvorfall unabhängig davon, wo dessen Ursache liegt. Paragraf 2 Nummer 11 des BSI-Gesetzes (BSIG) knüpft den erheblichen Sicherheitsvorfall an die Folgen, nicht an einen Angriff. Erfasst ist, was schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, ebenso was Dritte erheblich schädigt. Ein Ausfall kann deshalb genügen, sofern er diese Schwelle erreicht.
Das BSIG verlangt von betroffenen Einrichtungen allerdings nicht nur die Meldung erheblicher Sicherheitsvorfälle. § 30 verpflichtet sie auch zu Maßnahmen für Betriebsfortführung, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Ob ein Betrieb betroffen ist, entscheidet unter anderem Anlage 2 des BSIG. Sie führt das verarbeitende Gewerbe auf, aber nicht vollständig. Erfasst sind unter anderem Medizinprodukte, Elektronik, elektrische Ausrüstungen, Maschinenbau und Fahrzeugbau, jeweils unter den im Gesetz genannten Größenvoraussetzungen. Die chemische Industrie wird separat erfasst.
Für die Erfassten gilt Erstmeldung binnen 24 Stunden nach Kenntniserlangung, Bewertung binnen 72 Stunden, Abschlussmeldung einen Monat danach. Der eigene IT-Dienstleister kann den Verfahrenshinweisen des BSI stellvertretend melden, die Verantwortung bleibt bei der Einrichtung.
Wie weit die Abhängigkeit reicht, hat Bitkom Research im Frühjahr 2026 unter 603 Unternehmen ab 20 Beschäftigten erhoben. 46 % müssten bei einem Cloud-Ausfall über kurz oder lang den Betrieb einstellen, 9 % sofort. Nach der Crowdstrike-Panne zwei Jahre zuvor hatten 48 % der für eine Studie befragten Betroffenen tatsächlich vorübergehend eingestellt. Unter den Cloud-Nutzern haben 82 % Notfallpläne, aber nur 35 % redundante Systeme und 8 % einen zweiten Anbieter.
Der Aufwand für die einfachsten Vorkehrungen liegt bei einem halben Tag und einigen hundert Euro im Jahr. Wogegen das versichert, hat der Ausfall vom 31. August gezeigt: nicht gegen einen Angriff, sondern gegen einen Konfigurationsfehler in einer Komponente, die außerhalb der Kontrolle des Kunden liegt und sich daher auch nicht umgehen lässt.