Der Durchschnitt ist gut, die Ausrei\u00dfer nicht<\/p>\n
Microsoft ver\u00f6ffentlicht die weltweite Verf\u00fcgbarkeit von Microsoft 365 quartalsweise. Im ersten Quartal 2026 lag sie bei 99,526 %, dem niedrigsten Wert, den das Team von Office 365 for IT Pros um Tony Redmond seit Beginn seiner Aufzeichnungen 2013 registriert hat. Im Quartal darauf war der Wert mit 99,994 % wieder unauff\u00e4llig.<\/p>\n
Genau darin liegt der Punkt. Auf 99,98 % oder mehr in allen vier Quartalen 2023 folgten 99,927 % Ende 2024, 99,954 % Ende 2025 und der Einbruch Anfang 2026. Wiederkehrend sind zwei Ursachen: zum einen Konfigurations- und Code\u00e4nderungen, deren Schutzmechanismen nicht greifen, zum anderen zentrale Komponenten, die alle Regionen zugleich tragen.<\/p>\n
Als Azure Front Door am 29. Oktober 2025 ausfiel, waren Microsoft 365, das Azure-Portal und fremde Kundenanwendungen gut acht Stunden gleichzeitig gest\u00f6rt. Dagegen hilft Redundanz beim Kunden nicht, umleiten kann nur der Anbieter.<\/p>\n
Was der Vertrag misst<\/p>\n
Das Service Level Agreement sagt 99,9 % monatliche Verf\u00fcgbarkeit zu, je nach Monatsl\u00e4nge also 40 bis 45 Minuten erlaubte Ausfallzeit. Die 99,526 % aus dem ersten Quartal entsprechen dagegen gut drei Stunden im Monat, rund dem F\u00fcnffachen. Zahlen musste Microsoft daf\u00fcr trotzdem nichts, denn gerechnet wird pro Dienst, pro Monat und in Nutzerminuten, es z\u00e4hlen also nur die tats\u00e4chlich betroffenen Konten.<\/p>\n
Entscheidender ist, woran gemessen wird. Das zentrale Service Level f\u00fcr Exchange Online misst allein Outlook Web Access und definiert Ausfallzeit als Zeitraum, in dem Nutzer \u00fcber den Browserzugang keine Mail senden oder empfangen k\u00f6nnen. Daneben stehen drei Level f\u00fcr Zustellzeit, garantierte Zustellung und die Annahme ein- und ausgehender Post.<\/p>\n
Eine St\u00f6rung, die nur den Outlook-Desktop, die mobile App oder \u00e4ltere Zugangsprotokolle trifft, erzeugt unter keinem davon Ausfallzeit. Von M\u00e4rz bis April 2026 blieben Postf\u00e4cher \u00fcber Outlook Mobile und das neue Outlook f\u00fcr Mac wochenlang unerreichbar, ohne dass dies vertraglich als Ausfall z\u00e4hlte.
Die Gutschrift ist dreifach gestaffelt. Unter 99,9 % gibt es 25 % der Monatsgeb\u00fchr des betroffenen Dienstes zur\u00fcck, unter 99 % die H\u00e4lfte, unter 95 % den vollen Betrag. Sie ist laut Vertrag der alleinige Rechtsbehelf.<\/p>\n
Die Beweislast liegt beim Kunden, der Dauer, betroffene Ressourcen, Nutzerzahl und Standorte dokumentieren muss, unvollst\u00e4ndige Antr\u00e4ge werden abgelehnt. Der Anspruch verf\u00e4llt zum Ende des Folgemonats.<\/p>\n
Die Pflicht bleibt im Haus<\/p>\n
W\u00e4hrend der Anspruch gegen den Anbieter begrenzt ist, gilt die eigene Meldepflicht f\u00fcr einen erheblichen Sicherheitsvorfall unabh\u00e4ngig davon, wo dessen Ursache liegt. Paragraf 2 Nummer 11 des BSI-Gesetzes (BSIG) kn\u00fcpft den erheblichen Sicherheitsvorfall an die Folgen, nicht an einen Angriff. Erfasst ist, was schwerwiegende Betriebsst\u00f6rungen oder finanzielle Verluste verursacht hat oder verursachen kann, ebenso was Dritte erheblich sch\u00e4digt. Ein Ausfall kann deshalb gen\u00fcgen, sofern er diese Schwelle erreicht.<\/p>\n
Das BSIG verlangt von betroffenen Einrichtungen allerdings nicht nur die Meldung erheblicher Sicherheitsvorf\u00e4lle. \u00a7 30 verpflichtet sie auch zu Ma\u00dfnahmen f\u00fcr Betriebsfortf\u00fchrung, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Ob ein Betrieb betroffen ist, entscheidet unter anderem Anlage 2 des BSIG. Sie f\u00fchrt das verarbeitende Gewerbe auf, aber nicht vollst\u00e4ndig. Erfasst sind unter anderem Medizinprodukte, Elektronik, elektrische Ausr\u00fcstungen, Maschinenbau und Fahrzeugbau, jeweils unter den im Gesetz genannten Gr\u00f6\u00dfenvoraussetzungen. Die chemische Industrie wird separat erfasst. <\/p>\n
F\u00fcr die Erfassten gilt Erstmeldung binnen 24 Stunden nach Kenntniserlangung, Bewertung binnen 72 Stunden, Abschlussmeldung einen Monat danach. Der eigene IT-Dienstleister kann den Verfahrenshinweisen des BSI stellvertretend melden<\/a>, die Verantwortung bleibt bei der Einrichtung.<\/p>\n