Wenn die Wolke ausfällt: die Microsoft-365-Störung und was ein Unternehmen daraus mitnimmt

Am 12. November um 18:17 Kyjiwer Zeit begann in Microsoft 365 eine Störung, die zum Zeitpunkt dieser Veröffentlichung noch andauert. Postfächer, Kalender, Teams und SharePoint ließen sich nicht mehr öffnen. Getroffen wurden Unternehmen weltweit, darunter auch ukrainische, denn die meiste Firmenpost läuft hier über Microsoft 365.

Wir haben es am eigenen Postfach gemerkt und geprüft, was genau kaputt ist. Nachstehend die von uns überprüften Fakten, die offizielle Position von Microsoft und vor allem: was ein Unternehmer daraus mitnehmen sollte, ob er Microsoft nutzt oder nicht.

Was genau nicht funktioniert

Die erste Reaktion auf „die Post öffnet sich nicht" ist immer dieselbe: Schuld sind wir, das Passwort, das Internet, die Domaineinstellungen. Deshalb haben wir mit der Prüfung der eigenen Seite begonnen, und sie ergab ein klares Bild.

• Die Anmeldung am Konto funktioniert. Microsoft erkennt den Nutzer und gewährt Zugang - also liegt es weder am Passwort noch an Rechten noch an Zugangseinstellungen.
• Der Abruf der Nachrichten liefert einen Serverfehler - Code 502. Nicht „kein Zugriff", nicht „falsches Passwort", sondern „der Server konnte nicht antworten".
• Der Kalender fällt genauso aus - Code 503. Es geht also nicht um die Post allein, sondern um alles, was in Exchange Online liegt.
• Die Mail-Einträge der Domain (MX) wurden nicht geändert und verweisen weiterhin auf Microsoft. Die Post geht dorthin, wohin sie soll.

Der Schluss ist einfach: Unsere Seite ist heil, es antwortet der Dienst selbst nicht. Dieselbe Prüfung sollte jeder vornehmen, der zweifelt - sie dauert ein paar Minuten und nimmt die Hälfte der Fragen weg.

Die offizielle Chronik

Microsoft führt die Störung unter zwei Nummern: EX1550543 - Zugang zu den Exchange-Online-Postfächern, und MO1550821 - alles, was von Exchange abhängt. Eine gesonderte Teams-Störung (TM1550488) ist bereits geschlossen. Zunächst war von Amerika die Rede, später wurde die Formulierung geändert zu „kann Nutzer in jeder Region betreffen".

Die Zeiten unten sind Kyjiwer Zeit.

• 18:17, 12. November. Nutzer können ihre Postfächer nicht öffnen. Microsoft meldet, man untersuche ein Problem beim Zugriff auf die Post.
• 20:19. Erhöhte Last in mehreren Regionen zugleich festgestellt.
• 21:18. Präzisierung: Die Last stieg nicht durch einen Zustrom von Datenverkehr. Ein Teil der Server wurde plötzlich nicht mehr erreichbar, und die übrigen übernahmen deren Arbeit.
• 21:43. Es stellt sich heraus, dass die betroffenen Server die automatische Funktionsprüfung nicht bestehen - und das System sie selbst außer Betrieb nimmt.
• 21:57. „Wir haben keine kürzliche Änderung festgestellt, die mit dem Beginn der Störung zusammenhängt."
• 00:00, 13. November. „Der Hauptprozess auf den betroffenen Servern wird überlastet, wodurch Kapazität verloren geht."
• Nachts. Präzisierung: Überlastet wird genau der Prozess, der für den Aufbau gesicherter Verbindungen zuständig ist. Parallel beginnt Microsoft, eine kürzliche Änderung der Netzwerkkonfiguration zurückzunehmen, die zeitlich mit dem Beginn der Störung zusammenfällt.
• 06:11. „Wir bestätigen: Es gibt keinerlei Anzeichen, dass dies die Folge böswilliger Handlungen ist."
• 13:04. Die Wiederherstellung ist im asiatisch-pazifischen Raum abgeschlossen, der Verkehr wird schrittweise zugelassen, die Arbeit auf weitere Regionen ausgedehnt.

Die Ursache: bis heute nicht benannt

Das Ehrlichste, was sich zum Zeitpunkt der Veröffentlichung sagen lässt: eine offizielle Ursache gibt es nicht. Die Erklärungen von Microsoft änderten sich im Lauf eines Tages - von „wir sehen keine kürzliche Änderung" bis „wir nehmen eine kürzliche Änderung der Netzwerkkonfiguration zurück, die mit dem Beginn der Störung zusammenfällt". Eine vollständige Analyse mit Ursache will das Unternehmen veröffentlichen, sobald die Wiederherstellung abgeschlossen ist.

Was Microsoft eindeutig feststellt: Dies ist kein Cyberangriff. Diese Formulierung fiel zweimal, mit einigen Stunden Abstand.

Das Interessanteste an dieser Geschichte ist nicht die Ursache, sondern warum sich die Reparatur hinzog. Wieder in Betrieb genommene Server fielen erneut aus, sobald Verkehr auf sie gelassen wurde. Microsoft räumte offen ein, dass die Änderungen „nicht wie erwartet wirken". Danach ging die Arbeit im Kreis: Stopp aller Updates und Konfigurationsänderungen, Neustarts, ein Umweg bei der Funktionsprüfung, Neuaufbau eines Teils der Server auf der früheren Konfiguration, zusätzliche Kapazität durch virtuelle Maschinen. Bewegung kam erst nach einem Patch für die Komponente, die für Autorisierung und Weiterleitung der Anfragen zuständig ist.

Was mit den Nachrichten geschieht

Diese Frage beunruhigt am meisten, daher gesondert.

• Die Zustellung verzögert sich - Microsoft räumt das direkt in der Störungsbeschreibung ein.
• Das Wartefenster für eine Nachricht wurde auf 48 Stunden verlängert. Üblicherweise schickt ein Server, der eine Nachricht nicht innerhalb einer bestimmten Zeit zustellen konnte, sie mit einem Fehlvermerk an den Absender zurück. Ein verlängertes Fenster bedeutet, dass Nachrichten nicht zurückprallen, sondern in der Warteschlange bleiben.
• Über Datenverlust hat Microsoft nicht berichtet. Aber man sollte genau sein: Ausdrücklich „es ist nichts verloren gegangen" hat das Unternehmen auch nicht gesagt. Wörtlich gesagt wurde, dass verzögerte Nachrichten aufbewahrt werden.

Praktische Folge: Senden Sie Nachrichten nicht erneut. Sie stehen in der Warteschlange, und wenn der Dienst sie freigibt, bekommt der Kunde Dubletten. Rechnen Sie mit einem Schwall - ein ganzer Tag kommt auf einmal an.

Was ein Unternehmen jetzt sofort tun sollte

1. Vergewissern Sie sich, dass das Problem nicht bei Ihnen liegt. Wenn die Anmeldung am Konto klappt, die Nachricht sich aber nicht öffnet, liegt es beim Anbieter. Den Stand der Störung sehen Sie im Microsoft-365-Administrationszentrum unter „Dienstzustand", unter den Nummern EX1550543 und MO1550821.
2. Fassen Sie die Einstellungen nicht an. Während einer fremden Störung richten Versuche, bei sich selbst zu „reparieren", den größten Schaden an: geänderte Domaineinträge, neu installierte Mailprogramme, zurückgesetzte Passwörter. Wenn der Dienst wiederkommt, müssen Sie erst die eigenen Folgen auflösen.
3. Schalten Sie einen Ersatzkanal ein. Verlegen Sie dringende Kundenangelegenheiten für die Dauer in einen Messenger oder ans Telefon. Sagen Sie denen Bescheid, die auf Antwort warten - ein kurzes „unsere Post ist ausgefallen, schreiben Sie uns auf Telegram" ist besser als Schweigen.
4. Halten Sie den Ausfall fest. Wenn der Stillstand Sie Geld gekostet hat, notieren Sie Zeit und Folgen. Microsoft hat Verpflichtungen zum Serviceniveau; ob diese Störung in Ihrem Fall Anlass für eine Entschädigung gibt, ist eine Frage an Ihren Lizenzvertrag und an den Partner, über den die Lizenzen gekauft wurden.

Vier Lehren für die Zukunft

Eine Störung dieses Ausmaßes ist selten, und daraus zu schließen „die Cloud taugt nichts", wäre falsch: Der eigene Server in der Abstellkammer fällt häufiger aus und braucht länger. Die Lehren sind andere.

1. Ein Ersatzkanal muss vor der Störung bestehen und nicht während ihrer erfunden werden. Läuft die gesamte Kommunikation mit Kunden über die Post eines Anbieters, legt dessen Ausfall Sie vollständig lahm. Ein Telegram-Bot, ein Firmenmessenger, das Telefon - irgendetwas, das die Kunden vorher kennen.
2. Legen Sie nicht alles in einen Korb. Post, Dokumente, Kommunikation, Authentifizierung und Schutz bei einem einzigen Anbieter ist genau bis zu dem Tag bequem, an dem dort etwas kaputtgeht. Dann steht alles auf einmal. Genau so war es: Mit der Post fielen Teams, SharePoint und Defender aus.
3. Was Geld bringt, gehört unter Ihre Kontrolle. Website, Bestellungen, Katalog, Anfragen - halten Sie sie dort, wo Sie den Zustand selbst prüfen, eine Kopie hochfahren und dem Kunden antworten können, ohne auf einen fremden Bericht zu warten.
4. Lernen Sie, „bei uns" von „bei denen" zu unterscheiden. Die einfache Prüfung vom Anfang dieses Beitrags spart Stunden Panik und bewahrt vor überflüssigen Änderungen an den Einstellungen.

Wie es bei uns eingerichtet ist

Wir nutzen Microsoft 365 für Post und Dokumente - und während dieser Störung ließ sich auch unser Postfach nicht öffnen. Was wir aber für Kunden tun, lief und läuft: Websites auf unserem System Smart CMS, Chatbots, Kundenbereiche und Telefonie liegen auf eigenen Servern, getrennt von der Post. Keine einzige Kundenwebsite hat unter dieser Störung gelitten.

Genau das ist die Risikoverteilung, von der in den Lehren die Rede ist: Bürowerkzeuge bei einem zuverlässigen externen Anbieter, und das, was verkauft und Bestellungen annimmt, dort, wo wir selbst dafür geradestehen.

Zu den Quellen

Die Prüfungen von Zugang, Mail-Einträgen und Antwortcodes haben wir selbst vorgenommen. Chronik und Zitate von Microsoft stammen aus ihren Meldungen im Administrationszentrum und auf der Seite zum Dienstzustand - in der Wiedergabe von Branchenbeobachtern, miteinander abgeglichen, weil beide Quellen nur den Administratoren des jeweiligen Kunden zugänglich sind. Die Erstquelle ist für jeden Inhaber sein eigenes Administrationszentrum.

---

Das Material hat das Team von SmartGTerstellt. Wenn Sie nicht sicher sind, wie stark Ihr Unternehmen von einem einzigen Anbieter abhängt und was an einem solchen Tag mit Ihrer Website geschähe, schreiben Sie uns: center@uvc.in.net oder +38 073 949 61 79. Wir sehen es uns gemeinsam an und sagen offen, was man auf verschiedene Körbe verteilen sollte.