EX1464935: Microsoft 365 fällt wegen eines abgelaufenen internen Zertifikats aus — was der Vorfall über Cloud-Abhängigkeit zeigt

Ein einzelnes internes Zertifikat lief am 31. August ab und blieb unerneuert. Die Folge: Tausende Unternehmen kamen für Stunden nicht mehr an ihre E-Mails. Das klingt nach einem trivialen Verwaltungsfehler, und für die Betroffenen war es vor allem eines: nervig. Wer allerdings genauer hinschaut, erkennt ein grundsätzlicheres Problem – der Ausfall traf nicht nur den reinen Mailzugriff, sondern zeitweise auch das Exchange Admin Center selbst, mit dem Administratoren die Störung eigentlich hätten einordnen wollen.

Was ist passiert?

Am Abend des 31. August 2026 häuften sich ab etwa 18 Uhr Meldungen über Verbindungsprobleme mit Microsoft 365. Nutzer kamen weder über Outlook noch über das Webmail-Portal outlook.office.com an ihre Postfächer, die Fehlermeldung lautete schlicht „something went wrong“. Auch Administratoren blieb der Zugriff zum Teil verwehrt: Im Exchange Admin Center brach die Ausführung von Cmdlets mit einer internen Fehlermeldung ab, die auf ein abgelaufenes Zertifikat verwies. Microsoft bestätigte die Störung wenig später unter der Kennung EX1464935 und verwies Kunden auf das Admin Center – das für einen Teil der betroffenen Tenants zeitweise selbst nicht erreichbar war.

Was ist belegt?

Belegt ist der technische Kern des Problems: Die Fehlermeldung im Exchange Admin Center nannte explizit ein Zertifikat mit dem Thumbprint 19F04B8A233DD9CE916F118056D224A1751729EA als abgelaufen. Mehrere unabhängig voneinander meldende Nutzer bestätigten übereinstimmend, dass der Ausfall zwischen 17:49 Uhr und 18:00 Uhr begann und mehrere Stunden anhielt. Betroffen war nach den vorliegenden Berichten nicht nur der reine Cloud-Zugriff: Auch in Hybridumgebungen, in denen On-Premises-Exchange-Server mit Microsoft 365 verbunden sind, stockte der Mailfluss – ein Hinweis darauf, dass das abgelaufene Zertifikat tiefer in der Authentifizierungskette der Exchange-Infrastruktur verankert war als ein reines Frontend-Problem.

Was ist derzeit unklar?

Offen ist, wofür genau das abgelaufene Zertifikat diente: Ob es sich um ein internes Transport- oder Authentifizierungszertifikat innerhalb der Exchange-Backend-Infrastruktur handelte, hat Microsoft öffentlich bislang nicht bestätigt. Ebenso unklar bleibt die genaue Ausfalldauer. Nutzerberichte dokumentieren Probleme bis mindestens 21:19 Uhr, einen offiziellen Zeitpunkt der vollständigen Behebung nennt Microsoft in den verfügbaren Angaben nicht. Ein einzelner Beitrag auf X listete zeitgleich auch Störungen bei Azure, Teams und ChatGPT auf – ob diese tatsächlich denselben Ursprung hatten oder es sich um eine zufällige zeitliche Häufung unabhängiger Vorfälle handelte, ist öffentlich nicht unabhängig bestätigt.

Was der Vorfall über Cloud-Abhängigkeit zeigt

Der eigentliche Punkt an diesem Ausfall ist gerade seine Banalität. Es brauchte keinen Angreifer, keine Zero-Day-Lücke und keinen komplexen Konfigurationsfehler: Ein simples Ablaufdatum reichte, um einen der größten E-Mail-Dienste der Welt für Stunden lahmzulegen.

Genau das lohnt einen Blick auf die eigene Abhängigkeitsstruktur. Wer seine gesamte Kommunikation auf einen einzigen Cloud-Anbieter stützt, überträgt auch dessen interne Betriebsfehler direkt auf den eigenen Geschäftsbetrieb – ohne selbst Einblick oder Einfluss auf die Ursache zu haben.

Eine Alternative, die zumindest einen Teil dieser Abhängigkeit auflöst, ist eigene, selbst betriebene Infrastruktur für kritische Kommunikationswege. Ein eigener Mailserver oder eine eigene Groupware-Instanz unterliegt zwar ebenfalls dem eigenen Zertifikatsmanagement, mit denselben Fehlerrisiken. Er gibt der IT-Abteilung aber die Kontrolle und den Überblick zurück, wann genau ein Zertifikat erneuert werden muss und wer dafür verantwortlich ist. Das ersetzt keine Cloud-Strategie, kann aber als Rückfallebene für geschäftskritische Kommunikation dienen.

Was Sie aus diesem Fall mitnehmen sollten, ist weniger eine technische Prüfung als eine organisatorische Frage: Wann wurde zuletzt geprüft, wie lange Ihr Unternehmen ohne Zugriff auf Microsoft 365 handlungsfähig bliebe, und über welchen Kanal Sie im Ernstfall überhaupt noch erreichbar wären?

Quellen: Borns IT- und Windows-Blog — „EX1464935: M365-Ausfall wegen vergessener Zertifikatserneuerung (31.8.2026)“ (https://borncity.com/blog/2026/08/31/m365-ausfall-wegen-vergessener-zertifikatserneuerung-31-8-2026/)