MFA per E-Mail bedeutet, dass der zweite Faktor der Multi-Faktor-Authentifizierung (MFA) ein Einmalcode ist, den das System ins Postfach des Nutzers schickt. Genau dieses Postfach ist seit dem Abend des 12. November 2026 für viele Unternehmen nicht erreichbar. Microsoft führt die Störung bei Exchange Online unter der Kennung EX1550543, weitere betroffene Dienste unter MO1550821. Wer Anmeldungen allein mit MFA per E-Mail absichert, gerät in eine Sackgasse: Der Code liegt im Postfach, doch das Postfach lässt sich nicht öffnen.
Der Beitrag ordnet ein, was bei der Störung passiert ist, warum Codes per E-Mail bei Mailausfällen versagen und welche Verfahren auch dann tragen.
Was bei der Microsoft-365-Störung passiert ist
Die Störung betrifft vor allem Exchange Online, den E-Mail-Dienst hinter geschäftlichen Outlook-Postfächern. Die Störung begann am Abend des 12. November 2026 und war am Vormittag des 13. November laut ZDFheute noch nicht beendet. Auch aus Deutschland wurden Probleme gemeldet, schreibt die Fachzeitschrift IT-Administrator.
Nach Microsofts Liste können Nutzer teilweise weder über Outlook im Web noch über die Desktop-App auf E-Mails zugreifen. Zudem kann sich die Zustellung verzögern. Betroffen sind unter anderem die Zugriffswege MAPI, Exchange ActiveSync und REST. Dazu kommen Dienste, die auf Exchange aufbauen, etwa Teile von SharePoint Online, Copilot, Planner und Microsoft Graph.
Zur sachlichen Einordnung gehört: Kernfunktionen von Teams wie Anrufe, Meetings und Gruppenchats sind nach der von ZDFheute wiedergegebenen Liste nicht betroffen. Eine bestätigte Ursache gibt es noch nicht. Laut IT-Administrator prüft Microsoft eine mögliche fehlerhafte Änderung an der Netzwerkkonfiguration und hat mit deren Rücknahme begonnen. Einen Zeitpunkt für die vollständige Wiederherstellung nannte das Unternehmen nicht.
Warum MFA per E-Mail bei einem Mailausfall scheitert
MFA per E-Mail scheitert, weil der zweite Faktor genau dort zugestellt wird, wo bei einem Mailausfall nichts ankommt. Fachlich handelt es sich um eine Zirkelabhängigkeit. Darunter versteht man den Fall, dass ein System zum Funktionieren etwas braucht, das erst dieses System selbst bereitstellt.
Bei MFA per E-Mail zeigt sich das in drei Varianten. Erstens ist das Postfach schlicht nicht erreichbar, der Code lässt sich nicht abrufen. Zweitens kommt die Nachricht verspätet an, und der Code ist inzwischen abgelaufen, denn Einmalcodes verfallen bewusst nach kurzer Zeit. Drittens ist das Postfach selbst durch ein Konto geschützt, dessen Anmeldung wiederum einen Code per E-Mail verlangt. Dann dreht sich der Nutzer im Kreis.
Hinzu kommt ein Sicherheitsaspekt, der unabhängig von Ausfällen gilt. Wer Zugriff auf ein Postfach erlangt, erhält oft zugleich die Codes und die Rücksetz-Links für viele weitere Konten. Der zweite Faktor ist dann kein eigener, unabhängiger Schutz mehr.
Was Microsoft selbst als MFA-Methode anerkennt
Microsoft Entra ID, das Anmeldesystem hinter Microsoft 365, zählt den E-Mail-Code für Mitglieder eines Mandanten nicht zu den MFA-Methoden. Laut Microsoft Learn dient er dort nur dem Zurücksetzen von Kennwörtern (Self-Service Password Reset, kurz SSPR). Gastbenutzer können den E-Mail-Code dagegen zur Anmeldung nutzen.
Als MFA-fähig führt Microsoft unter anderem den Microsoft Authenticator, Passkeys (FIDO2), Hardware-Token, die zertifikatsbasierte Anmeldung und den Temporary Access Pass auf. Wer Microsoft 365 selbst mit diesen Methoden absichert, ist von der Zirkelabhängigkeit bei der eigentlichen Anmeldung also nicht betroffen.
Die Lücken liegen woanders: beim Kennwort-Reset, bei Gastzugängen und bei allen Systemen außerhalb von Microsoft 365, die ihren eigenen E-Mail-Code verschicken. Beim Reset wird es besonders deutlich. Hängt die hinterlegte Adresse am gestörten Mailsystem, kommt der Code nicht an, und wer sein Kennwort vergessen hat, kommt nicht weiter.
Wo MFA per E-Mail im Mittelstand trotzdem vorkommt
MFA per E-Mail steckt vor allem in Fachanwendungen, Portalen und Gastzugängen, die nicht von Microsoft stammen. In vielen Betrieben zeigt sich ein ähnliches Bild: Die Branchensoftware, das Lieferantenportal, die Verwaltungsoberfläche der Website oder ein Kundenportal verschicken bei der Anmeldung einen Code an die hinterlegte Adresse. Das war bequem, solange das Postfach immer erreichbar war.
Zusätzlich hängen die Rücksetz-Links vieler Konten am selben Postfach. Bei einem Ausfall wie jetzt wird sichtbar, wie viele Systeme am Mailsystem hängen. Die IT erfährt das meist erst durch die Anrufe der Mitarbeitenden.
Was kostet Nichtstun? Jede Stunde, in der Mitarbeitende nicht in Fachsysteme kommen, ist bezahlte Arbeitszeit ohne Ergebnis. Dazu kommt, dass in der Not gern Abkürzungen gewählt werden. Konten werden vorübergehend ohne zweiten Faktor freigeschaltet. Das senkt das Schutzniveau ausgerechnet in einer Lage, in der ohnehin Verunsicherung herrscht.
Welche Verfahren auch bei Mailausfällen tragen
Tragfähig sind Verfahren, die ohne Zustellung per E-Mail auskommen und an ein Gerät oder einen Schlüssel gebunden sind. Das BSI nennt Authenticator-Apps und Hardware-Token als starke Verfahren, dazu kryptografische Token nach FIDO/U2F, deren privater Schlüssel in Hardware liegt. Beim SMS-Code rät die Behörde davon ab, ihn auf demselben Gerät zu empfangen, mit dem die Anmeldung erfolgt.
Außerdem empfiehlt das BSI, mehr als einen zweiten Faktor zu registrieren, etwa ein Ersatz-Token. Das ist der Kern der Sache: Ein einziger Faktor bleibt ein Einzelpunkt des Versagens, egal welcher.
Für Microsoft-365-Umgebungen bietet sich der Wechsel auf Passkeys an. Microsoft macht sie ab dem 1. September 2026 zum Standard der Anmeldung in Entra und schaltet die eigene SMS- und Sprach-MFA am 28. Januar 2027 ab. Die Details stehen in unserem Beitrag zu Passkeys als neuem Standard in Microsoft Entra.
Ehrlicherweise löst auch das nicht jede Störung. Fällt der Anmeldedienst selbst aus, helfen weder App noch Schlüssel. Gegen Ausfälle, die nur das Postfach betreffen, schützen sie aber, weil die Anmeldung dann nicht von der Mailzustellung abhängt.
Notfallzugang: Break-Glass-Konten richtig einrichten
Ein Break-Glass-Konto ist ein Notfallkonto mit Administratorrechten, das bei Ausfällen oder Aussperrungen den Zugang zum Mandanten sichert. Microsoft empfiehlt mindestens zwei solcher Konten. Die Konten sollen rein cloudbasiert auf der Domain onmicrosoft.com angelegt sein, also weder synchronisiert noch föderiert, und die Rolle Globaler Administrator dauerhaft aktiv tragen.
Als Anmeldeverfahren empfiehlt Microsoft einen Passkey (FIDO2), und zwar in einer anderen Methode als bei den normalen Administratorkonten und ohne Abhängigkeit von Mobilfunknetzen. Die Konten werden von Richtlinien für bedingten Zugriff ausgenommen, die sonst die Anmeldung blockieren würden. Zugangsdaten gehören in Tresore an getrennten Orten, jede Anmeldung der Konten löst einen Alarm aus. Getestet werden sie mindestens alle 90 Tage.
Warum das gerade jetzt zählt: Laut Microsofts Liste laden im aktuellen Fall auch Seiten des Admin Centers teilweise nicht. Wer in einer Störung erst klären muss, wer überhaupt noch Zugriff hat, verliert Zeit. IT-Administrator rät außerdem, bei passenden Symptomen nicht hastig DNS-, Proxy- oder Authentifizierungseinstellungen zu ändern und zuerst die beiden Kennungen im Service Health zu prüfen. Anmeldeverfahren und Notfallzugänge gehören zur digitalen Sicherheit eines Unternehmens und sind keine Komfortfunktion.
Prüfliste: Anmeldungen ausfallsicher aufstellen
Eine Inventur in sechs Schritten reicht meist aus, um die größten Risiken zu erkennen:
- Systeme erfassen: Welche Anwendungen verschicken Anmeldecodes oder Rücksetz-Links per E-Mail, und in welchem Postfach landen sie?
- Microsoft-365-Konten prüfen: Sind mindestens zwei Faktoren registriert, die ohne E-Mail auskommen, etwa Authenticator-App und Sicherheitsschlüssel?
- Kennwort-Rücksetzung klären: Funktioniert der Weg auch dann, wenn das eigene Mailsystem ausfällt?
- Notfallkonten einrichten und testen: Zwei Break-Glass-Konten mit Passkey, Test mindestens alle 90 Tage, Anmeldungen mit Alarm.
- Fachsysteme umstellen: Wo der Hersteller App- oder Schlüssel-Faktoren anbietet, den E-Mail-Code ablösen.
- Notfallkommunikation festlegen: Wie erreichen sich Leitung, IT und Mitarbeitende, wenn E-Mail ausfällt?
Der letzte Punkt wird am häufigsten vergessen. Eine Telefonliste außerhalb des Mailsystems kostet wenig und spart im Ernstfall viel Suchen.
Fazit: Verfügbarkeit und Anmeldung gemeinsam planen
MFA per E-Mail ist nur so verfügbar wie das Postfach, an das der Code geht. Der Ausfall vom 12. November ist dabei kein Einzelfall. ZDFheute erwähnt, dass bereits Ende August 2026 ein Fehler den Zugriff auf Microsoft-Server blockiert hatte. Wer Anmeldungen allein auf E-Mail stützt, plant den nächsten Ausfall damit ein.
Die Maßnahmen sind überschaubar: Faktoren ohne Mailzustellung, mindestens zwei pro Konto, getestete Notfallkonten und eine Inventur der Fremdsysteme. Das Prinzip der geteilten Verantwortung beim Betrieb von Microsoft 365 gilt hier ebenso wie bei der Datensicherung. Der Anbieter stellt die Plattform bereit, die Absicherung der Zugänge bleibt Aufgabe des Unternehmens.
DIGITALBÜRO LIMBURG – Anmeldungen absichern, die auch bei Mailausfällen funktionieren – denn We make IT easy & smart. 🚀
Jetzt ein unverbindliches Beratungsgespräch vereinbaren, um die Anmeldeverfahren Ihres Unternehmens ausfallsicher aufzustellen, ob rund um Limburg oder bundesweit per Remote-Betreuung.
Weiterführende Quellen & Links
- ZDFheute: Microsoft-Störung bei Outlook & Co. – Diese Liste zeigt, welche Dienste betroffen sind
- IT-Administrator: Microsoft 365 – Störung legt zahlreiche Dienste lahm
- Microsoft Learn: Authentifizierungsmethoden in Microsoft Entra ID
- Microsoft Learn: Notfallzugriffskonten in Microsoft Entra ID verwalten
- BSI: Zwei-Faktor-Authentisierung