Eine weltweite Microsoft-Störung hat Unternehmen am 12. und 13. November 2026 mehr als 16 Stunden lang von zentralen Cloud-Diensten abgeschnitten. Betroffen waren unter anderem Outlook und Exchange Online. Der Risikomodellierer Kovrr schätzt den weltweiten Produktivitätsausfall auf eine Größenordnung von rund 16 Milliarden US-Dollar. Davon sind ersten Schätzungen zufolge lediglich 300 Millionen bis 1,4 Milliarden US-Dollar versichert. Für Cyber- und Betriebsunterbrechungsversicherer sowie deren Vermittler ergibt sich daraus eine entscheidende Frage: Wer kommt für die milliardenschwere Differenz auf?
Microsoft-Ingenieuren zufolge geriet auf den betroffenen Servern ein für den Aufbau sicherer Verbindungen zuständiger Prozess an seine Kapazitätsgrenze. Die Rechner verarbeiteten daraufhin keine Anfragen mehr. Darüber hinaus setzte der Konzern eine kurz zuvor durchgeführte Konfigurationsänderung zurück, deren Zeitpunkt mit dem Einsetzen der Störung übereinstimmte. Für viele Nutzer zeigte sich der Vorfall als Outlook-Störung.
Microsoft erklärte, es lägen keine Hinweise auf eine Cyberattacke vor. Ebenso konnte das Bundesamt für Sicherheit in der Informationstechnik (BSI) keine Hinweise auf einen Cyberangriff feststellen. Zahlreiche Unternehmen meldeten dort allerdings Kommunikationsausfälle.
Das deutsche Digitalministerium geht nach eigener Aussage „von einer sehr großen Betroffenheit“ der Wirtschaft aus. Größere Störungen in der Bundesverwaltung meldete es hingegen nicht. Die Deutsche Bahn verzeichnete kaum Probleme im Zugverkehr, weil Züge unabhängig von Microsoft-Systemen fahren. Lufthansa sowie die Flughäfen Berlin-Brandenburg und Frankfurt erklärten, auf den Flugbetrieb habe der Ausfall keine Auswirkungen gehabt.
Auch aus der Finanzbranche kamen Entwarnungen. Die Commerzbank teilte mit, die Bankfunktionen seien nicht betroffen gewesen und liefen ohne Störungen. Die Deutsche Börse erklärte, der Wertpapierhandel laufe wie gewohnt. Dennoch büßte das Microsoft-Papier im vorbörslichen US-Handel knapp ein Prozent an Wert ein.
Wie hoch ist der wirtschaftliche Schaden der Microsoft-Störung wirklich?
Kovrr veranschlagt den weltweiten Produktivitätsausfall auf eine Summe von rund 16 Milliarden US-Dollar. Die versicherten Schäden schätzt der Risikomodellierer auf durchschnittlich 700 Millionen US-Dollar, innerhalb einer Bandbreite von 300 Millionen bis 1,4 Milliarden US-Dollar. Shalom Bublil, Mitgründer und Chief Product Officer von Kovrr, bezeichnet die eigene Berechnung ausdrücklich als grobe Überschlagsrechnung, als „back-of-an-envelope“-Schätzung. Als Störungsfenster legte er den Zeitraum von Donnerstagnachmittag bis Freitagabend (GMT) zugrunde. Der Schweregrad der Störung sei dabei die sensitivste Annahme gewesen.
Morningstar DBRS kommt zu einem deutlich niedrigeren Ergebnis. Mario De Cicco, Vice President European Financial Institutions, gibt für die weltweit versicherten Schäden eine Spanne von 300 bis 500 Millionen US-Dollar an. Allein die Differenz zwischen beiden Modellierern zeigt, wie unsicher solche Schnellschätzungen kurz nach einem Ausfall sind.
| Modellierer | Geschätzter Schaden | Anmerkung |
|---|---|---|
| Kovrr | Weltweiter Produktivitätsausfall: rund 16 Milliarden US-Dollar; versicherte Schäden: 300 Millionen bis 1,4 Milliarden US-Dollar (Mittelwert 700 Millionen US-Dollar) | Von Kovrr selbst als grobe Überschlagsrechnung bezeichnet |
| Morningstar DBRS | Versicherte Schäden weltweit: 300 bis 500 Millionen US-Dollar | Keine gesonderte Schätzung zum volkswirtschaftlichen Gesamtschaden |
Warum der Versicherungsschutz bei der Microsoft-Störung Lücken hat
Dass volkswirtschaftlicher und versicherter Schaden derart weit auseinanderfallen, hat strukturelle Gründe. Der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) hatte seine unverbindlichen Musterbedingungen für die Cyberrisikoversicherung bereits im Februar 2024 überarbeitet. Seitdem sind auch Schäden mitversichert, die durch Manipulation an oder unbefugten Zugriff auf Daten entstehen, sofern sich diese bei einem externen Dienstleister wie einem Cloud-Anbieter befinden. Der reine Verfügbarkeitsausfall des Dienstleisters selbst bleibt dagegen weiterhin ausgeschlossen. Genau dieser Fall liegt bei der aktuellen Microsoft-Störung vor: Weder Microsoft noch das BSI sehen Hinweise auf eine Cyberattacke.
Laut einem Bericht von Business Insurance hat mindestens ein namentlich nicht genannter Versicherungsmakler bereits Schadenmeldungen zu dem Ausfall erhalten. Dem Bericht zufolge machen manche Policen für kleinere Unternehmen den Versicherungsschutz von einem „Security Failure“ oder einem Cyberangriff abhängig. Ein rein technischer Ausfall würde in diesem Fall von vornherein nicht gedeckt sein. Doch auch wenn eine Police grundsätzlich einspringt, mindern weitere Faktoren die Auszahlungssumme. Dazu zählen Wartezeiten von acht bis zwölf Stunden, bei kleineren Unternehmen teils nur vier Stunden, sowie Selbstbehalte und Sublimits.
Der Rückversicherungsmakler Marsh Re geht deshalb vorerst von nur geringfügigen Folgen für den Versicherungsmarkt aus. Es habe sich um eine unregelmäßig verteilte, breit gestreute Beeinträchtigung gehandelt - weder um einen kompletten Cloud-Ausfall noch um einen Cyberangriff.
Was der Vergleich mit dem CrowdStrike-Ausfall zeigt
Einen Maßstab für die Einordnung liefert der CrowdStrike-Vorfall vom 19. Juli 2024. Nach Berechnungen des Spezialversicherers Parametrix sorgte er bei den Fortune-500-Unternehmen der USA (Microsoft ausgenommen) für einen unmittelbaren finanziellen Schaden in Höhe von 5,4 Milliarden US-Dollar. Parametrix zufolge waren davon lediglich 540 Millionen bis 1,08 Milliarden US-Dollar abgesichert, also rund zehn bis 20 Prozent. Am stärksten betroffen waren damals das Gesundheitswesen mit 1,938 Milliarden US-Dollar und Banken mit 1,149 Milliarden US-Dollar. Fluggesellschaften verloren zusammen 860 Millionen US-Dollar.
Morningstar DBRS veranschlagt die weltweit versicherten CrowdStrike-Schäden auf 400 Millionen bis 1,5 Milliarden US-Dollar. Nach dieser Einordnung liegt die aktuelle Microsoft-Störung damit unterhalb des CrowdStrike-Niveaus.
| Ereignis | Datum | Gesamtschaden (geschätzt) | Versicherte Schäden (geschätzt) |
|---|---|---|---|
| Microsoft 365 | 12./13. November 2026 | rund 16 Milliarden US-Dollar (weltweiter Produktivitätsausfall, Kovrr) | 300 Millionen bis 1,4 Milliarden US-Dollar (Kovrr); 300 bis 500 Millionen US-Dollar (Morningstar DBRS) |
| CrowdStrike | 19. Juli 2024 | 5,4 Milliarden US-Dollar (direkter Schaden, Fortune 500 ohne Microsoft, Parametrix) | 540 Millionen bis 1,08 Milliarden US-Dollar (Parametrix); 400 Millionen bis 1,5 Milliarden US-Dollar (Morningstar DBRS) |
Was Makler und Versicherer nach der Microsoft-Störung prüfen sollten
Für Vermittler und Risikoträger liegt die eigentliche Erkenntnis weniger in der Schadenhöhe als in der Deckungslücke. Wer gewerbliche Kunden mit einer Cyber- oder Betriebsunterbrechungsversicherung betreut, sollte deshalb den Deckungsauslöser der jeweiligen Police prüfen. Entscheidend ist, ob ein reiner Verfügbarkeitsausfall eines Cloud-Anbieters überhaupt als versicherter Tatbestand gilt. Setzen die Bedingungen dagegen einen Angriff oder eine Manipulation voraus, bleibt ein technischer Ausfall außen vor. Nicht minder wichtig sind zudem Karenzzeiten, Selbstbehalte und Sublimits, die die am Ende ausgezahlte Summe reduzieren.
