Die kurze Antwort

Eingehende E-Mails sind bei einem Ausfall des empfangenden Systems nicht sofort verloren. Der sendende Mailserver nimmt sie zurück in seine eigene Warteschlange und versucht es später erneut. Das ist kein Zusatzdienst und keine Kulanz, sondern seit den Anfängen von SMTP fest eingebaut.

Kritisch wird es erst, wenn der Ausfall länger dauert als das Wiederholungsfenster des Absenders. Dann und erst dann entsteht ein echter Verlust, und zwar in Form eines Unzustellbarkeitsberichts beim Absender.

Was technisch passiert

Jede SMTP-Zustellung endet mit einem dreistelligen Antwortcode. Für den Ausfallfall zählen zwei Klassen.

4xx heißt: später noch einmal versuchen. Der empfangende Server sagt damit, dass er die Nachricht gerade nicht annehmen kann, es aber grundsätzlich könnte. Typische Codes sind 421 und 451. Der Absender behält die Nachricht und stellt sie in seine Warteschlange.

5xx heißt: endgültig nein. Der empfangende Server lehnt dauerhaft ab, etwa weil der Empfänger nicht existiert. Der Absender wiederholt nicht, sondern erzeugt sofort einen Unzustellbarkeitsbericht.

Ein ausgefallenes System antwortet im Normalfall gar nicht oder mit 4xx. Deshalb läuft Mail bei einem Ausfall nicht ins Leere, sondern staut sich beim Absender.

Wie lange wiederholt der Absender

Das entscheidet der sendende Server, nicht der empfangende. Es gibt keine Norm, die eine feste Dauer vorschreibt, aber es gibt eine verbreitete Praxis.

Microsoft 365 wiederholt gestaffelt und gibt nach rund 24 bis 48 Stunden auf. Nach etwa vier Stunden erhält der Absender eine erste Verzögerungsmeldung.
Google Workspace wiederholt ebenfalls gestaffelt, meist bis zu 48 Stunden.
Klassische Postfix- und Exim-Installationen stehen häufig auf fünf Tage, weil das der historische Standardwert ist.

Als Faustregel für die Planung: nach 24 Stunden wird es eng, nach 48 Stunden verlieren Sie Nachrichten.

Wichtig ist, dass diese Frist beim Absender liegt. Ein Unternehmen hat darauf keinen Einfluss. Wer ein Wochenende lang ausfällt, ist auf die Großzügigkeit fremder Konfigurationen angewiesen.

Was das für die Praxis bedeutet

Aus der Mechanik folgen drei Punkte, die in jedem Notfallplan stehen sollten.

Der Posteingang läuft nicht leer, er läuft nach. Nach dem Ende eines Ausfalls kommt der gesamte Rückstau auf einmal an. Ein System, das gerade wieder anläuft, bekommt damit sofort die höchste Last des Tages. Das ist der zweithäufigste Grund, warum ein Mailsystem direkt nach der Wiederherstellung erneut wegbricht.

Der Absender merkt den Ausfall vor Ihnen. Verzögerungsmeldungen erreichen Kunden und Lieferanten oft, bevor die eigene Belegschaft überhaupt weiß, dass etwas nicht stimmt. Die erste Rückmeldung eines Ausfalls kommt erfahrungsgemäß von außen.

Ausgehende Mail ist das größere Problem. Eingehende Nachrichten warten. Die eigene Belegschaft kann in der Zwischenzeit aber weder lesen noch antworten. Der Betrieb steht, obwohl technisch nichts verloren geht.

Die Grenze der Warteschlange

Die Wiederholung des Absenders ist ein gutes Sicherheitsnetz, aber sie löst genau ein Problem: den Verlust. Sie löst nicht das eigentliche Problem eines Ausfalls, nämlich dass niemand arbeiten kann.

Für die meisten Störungen genügt das. Die überwiegende Zahl der Ausfälle bei großen Anbietern ist nach wenigen Stunden vorbei, und der Rückstau kommt vollständig an. Für längere Ausfälle, etwa nach einem Verschlüsselungsvorfall oder einem Hardwaredefekt ohne Ersatzteil, reicht es nicht.

Genau an dieser Stelle setzen Verfahren zur Betriebskontinuität an. Sie sorgen nicht dafür, dass Mail ankommt, das tut die Warteschlange schon. Sie sorgen dafür, dass Menschen weiterarbeiten können, während das Primärsystem steht.