Exchange 2016/2019 nach dem ESU-Ende: Stichtag, Notbetrieb, Ausweg

/01Was Ende Oktober 2026 endet — und was nicht

Das Extended-Security-Update-Programm für Exchange 2016 und 2019 endet mit dem 31. Oktober 2026. Das letzte Update dieses Programms hat Microsoft schon am 13. Oktober 2026 veröffentlicht; danach kommt für beide Versionen nichts mehr, auch nicht für Betriebe, die bezahlt haben. Das Exchange-Team hat das am 20. Juli 2026 so formuliert: „There will be no further extension of Exchange 2016/2019 ESU program timeline."

Wichtig für die Einordnung: Der eigentliche Support endete schon am 14. Oktober 2025. Was seitdem lief, war kein verlängerter Support, sondern ein Kaufprogramm in zwei Abschnitten. „Period 1" deckte Oktober 2025 bis April 2026 ab, „Period 2" den Zeitraum von Anfang Mai bis Ende Oktober 2026. Period 2 musste neu gekauft werden, auch von Period-1-Kunden, und zwar nur über ein Microsoft Enterprise Agreement beim Account-Team. Die meisten KMU hatten nie Zugang dazu. Für sie ist der Oktober 2026 kein neuer Stichtag — ihr Exchange steht seit dem öffentlichen Update vom Oktober 2025 still.

Was nicht endet: Der Server läuft weiter, Outlook verbindet sich, Mails gehen raus. Es gibt keinen Abschaltknopf in Redmond. Genau das macht den Stichtag tückisch. Ein Exchange 2019 sieht am 2. November genauso aus wie am 30. Oktober; der Unterschied liegt in dem, was nach diesem Tag entdeckt und nicht mehr geschlossen wird.

Abgrenzung zu unserem Beitrag zur Exchange-SE-Migration: Dort steht der Projektplan von der Bestandsaufnahme bis zum Abbau. Hier geht es um die Lage zum Stichtag — welchen Stand Sie haben, welcher Weg von dort führt und wie Sie die Wochen überbrücken, bis er gegangen ist.

/02Zeitachse: vom Supportende bis Exchange SE CU2

Die Daten stammen aus den Ankündigungen des Exchange-Teams und der Build-Tabelle auf Microsoft Learn. Die rechte Spalte sagt, was das Datum im Betrieb bedeutet.

Die letzte Zeile wird unterschätzt. Wer heute einen Exchange 2019 als „letzten Server für die Verwaltung" im Hybridbetrieb stehen lässt und daneben schon SE betreibt, kann SE ab CU2 nicht mehr aktualisieren, bis der alte Server sauber aus der Organisation entfernt ist. Die Frist für den Abbau ist also nicht „irgendwann", sondern spätestens das CU2 — und damit der nächste Sicherheitsstand von SE.

/03Was ab November ungepatcht bleibt

Ab November bleiben in Exchange 2016 und 2019 alle Lücken offen, die nach dem 13. Oktober 2026 gefunden werden. Für Server ohne ESU kommen alle Lücken dazu, die zwischen Oktober 2025 und Oktober 2026 geschlossen wurden — ein volles Jahr. Darunter CVE-2026-62911 vom August: Laut Microsofts Security Update Guide kann ein Angreifer mit einem gültigen Konto die Postfächer aller Exchange-Nutzer übernehmen, Mails lesen, senden und Anhänge abziehen.

Der Oktober-Patchday hat das Bild noch einmal verschärft. Microsoft hat sieben CVEs in Exchange geschlossen. Eine davon, CVE-2026-70571, erlaubt Codeausführung ohne Anmeldung: Eine präparierte E-Mail löst auf dem Server einen Konvertierungsprozess aus, der den Fehler auslöst. Microsoft bewertet die Angriffskomplexität als hoch und die Ausnutzung als nicht beobachtet. Aber der Angriffsweg ist SMTP — der Dienst, den ein Mailserver nicht abschalten kann.

Der dritte Punkt ist neu und kaum bekannt. Microsoft schreibt im Oktober-Update seiner Period-2-Ankündigung: Hinweise und CVEs des MSRC werden Exchange 2016 und 2019 nicht mehr erwähnen, und Microsoft testet diese Versionen nicht mehr auf Schwachstellen. Wörtlich: „This does not mean that those versions are not vulnerable." Für Ihr Patch-Management heißt das: Es gibt keine Quelle mehr, die Ihnen sagt, ob der Server betroffen ist. Eine KEV-Liste oder ein Scanner kann eine Lücke nur melden, wenn jemand sie der Version zugeordnet hat.

Zur Mailzustellung: Exchange Online drosselt und blockiert seit 2023 Mails von veralteten Servern, seit Februar 2025 für alle Versionen. Die Messlatte liegt derzeit beim öffentlichen Update vom Oktober 2025. Microsoft schreibt dazu selbst: „There will come a day when October 2025 updates too will be throttled or blocked." Ein Datum dafür gibt es nicht; wir schreiben deshalb auch keines hin. Was wir aus der Mailblockade vom September wissen: Die Ankündigung kam mit wenigen Tagen Vorlauf.

/04Exchange-Stand prüfen: Build, Health Checker, Angriffsfläche

Drei Prüfungen, zusammen unter einer Stunde. Die erste klärt den Build. Wichtig: Get-ExchangeServer zeigt nur das kumulative Update, nicht das installierte Sicherheitsupdate. Den genauen Stand liefert die Dateiversion von ExSetup.exe auf jedem Server.

# 1) CU-Stand aller Server im Verbund (Exchange Management Shell)
Get-ExchangeServer | Format-Table Name,Edition,AdminDisplayVersion -AutoSize

# 2) Genauer Build inkl. Sicherheitsupdate — auf jedem Server einzeln
Get-Command ExSetup.exe | ForEach-Object { $_.FileVersionInfo.ProductVersion }

# Deutung (Microsoft-Build-Tabelle, Stand 13.10.2026):
# 15.02.1748.055  Exchange 2019 CU15 Oct26SU  letzter ESU-Stand
# 15.02.1748.039  Exchange 2019 CU15 Oct25SU  letzter öffentlicher Stand
# 15.02.1544.050  Exchange 2019 CU14 Oct26SU  letzter ESU-Stand
# 15.01.2507.077  Exchange 2016 CU23 Oct26SU  letzter ESU-Stand
# 15.01.2507.061  Exchange 2016 CU23 Oct25SU  letzter öffentlicher Stand
# 15.02.2562.xxx  Exchange SE RTM             unterstützt, weiter patchen

Die zweite Prüfung ist der Health Checker des Exchange-Teams. Das Skript läuft als Administrator in der Exchange Management Shell, prüft alle Server in einem Durchgang und meldet fehlende CUs, Sicherheitsupdates und manuelle Nacharbeiten. Microsoft empfiehlt es im Oktober-Beitrag ausdrücklich als Inventurwerkzeug.

# Health Checker holen und über alle Exchange-Server laufen lassen
Invoke-WebRequest https://github.com/microsoft/CSS-Exchange/releases/latest/download/HealthChecker.ps1 `
    -OutFile .\HealthChecker.ps1
Get-ExchangeServer | ?{ $_.AdminDisplayVersion -Match "^Version 15" } | .\HealthChecker.ps1
.\HealthChecker.ps1 -BuildHtmlServersReport   # HTML-Übersicht aus den Einzelergebnissen
.\HealthChecker.ps1 -VulnerabilityReport      # Schwachstellenstand aller Server als JSON

Ehrlich: Der Health Checker kann nach dem 31. Oktober nur noch melden, was Microsoft bis dahin den Versionen 2016 und 2019 zugeordnet hat. Sein Ergebnis für diese Server wird mit jedem Monat weniger aussagekräftig. Für den heutigen Lauf ist er das beste Werkzeug, das es gibt.

Die dritte Prüfung betrifft die Außenseite: Was sieht das Internet von Ihrem Exchange? Die virtuellen Verzeichnisse verraten, welche Dienste nach außen veröffentlicht sind; ein Test von einem externen Anschluss zeigt, ob das stimmt.

# Welche Dienste haben eine externe Adresse?
Get-OwaVirtualDirectory          | Format-Table Server,ExternalUrl
Get-EcpVirtualDirectory          | Format-Table Server,ExternalUrl
Get-WebServicesVirtualDirectory  | Format-Table Server,ExternalUrl
Get-ActiveSyncVirtualDirectory   | Format-Table Server,ExternalUrl
Get-ReceiveConnector | Format-Table Name,Bindings,RemoteIPRanges,PermissionGroups

# Von außen (z. B. Mobilfunk-Notebook): antwortet OWA/ECP überhaupt?
curl -s -o /dev/null -w "%{http_code}\n" https://mail.example.de/owa/
curl -s -o /dev/null -w "%{http_code}\n" https://mail.example.de/ecp/

# Hybrid: Inbound-Connector und gemeldete veraltete Server (Exchange Online PowerShell)
Get-InboundConnector | Format-Table Name,ConnectorType
Get-OnPremServerReportInfo

Deutung: Antwortet /ecp/ von außen mit 200 oder einer Weiterleitung auf eine Anmeldeseite, ist die Verwaltungsoberfläche öffentlich — das ist der erste Punkt, der heute noch geschlossen wird, unabhängig vom Rest. Ein Empfangsconnector mit AnonymousUsers und einem offenen RemoteIPRanges-Bereich ist in Ordnung für den Mailempfang, aber nicht für ein Relay. Und liefert Get-OnPremServerReportInfo Einträge, ist der Server in Exchange Online schon als veraltet erfasst gewesen.

/05Entscheidungstabelle: welcher Weg von welchem Stand

Die Tabelle folgt den Upgrade-Pfaden, die das Exchange-Team veröffentlicht hat. Sie beantwortet eine Frage: Was ist von Ihrem heutigen Stand aus der kürzeste unterstützte Weg?

Zwei Hinweise aus der Praxis. Erstens: „Hybrid" heißt oft nicht, was es heißen soll. Viele Betriebe haben alle Postfächer in Microsoft Entra ID und Exchange Online, aber der alte Server nimmt noch Mails vom Kopierer an oder authentifiziert eine Fachanwendung. Dann ist die Zeile „Verwaltungsserver" falsch, und das Relay braucht vor dem Abschalten ein neues Zuhause. Zweitens: Exchange SE ist keine Wartungsfreiheit. Es ist ein Exchange mit Abonnement und laufenden Updates — wer 2019 nicht gepatcht hat, wird SE auch nicht patchen, wenn sich am Betrieb nichts ändert.

/06In-Place-Upgrade von 2019 auf SE: Ablauf und Stolpersteine

Exchange SE RTM hat laut Microsoft denselben Code-Stand wie 2019 CU15 plus die seither erschienenen Updates; neue Funktionen kommen erst mit SE CU1. Deshalb läuft das Upgrade technisch wie ein kumulatives Update: Setup starten, Server in den Wartungsmodus, aktualisieren, neu starten, zurück in den Betrieb. Rollen, Editionen, Voraussetzungen und Dimensionierung bleiben gleich.

So arbeiten wir das ab, Server für Server:

• Vorher: Health-Checker-Lauf ohne rote Einträge, aktuelle Sicherung mit geprüfter Wiederherstellung einer Datenbank, bei virtualisierten Servern zusätzlich ein Snapshot für den Rückweg — der Snapshot ersetzt die Sicherung nicht.
• Reihenfolge: In einer DAG zuerst den Knoten mit den wenigsten aktiven Datenbanken, Datenbanken vorher verschieben, Server in den Wartungsmodus.
• Nachher: Dienste prüfen (sind welche deaktiviert, wurde die Installation unterbrochen), Build per ExSetup.exe gegenprüfen, Mailfluss in beide Richtungen testen, Health Checker erneut.
• Lizenz: Der SE-Produktschlüssel und das Abonnement müssen vor dem Upgrade geklärt sein. SE verlangt Server-Lizenzen und CALs mit Software Assurance oder Cloud-Abonnements für alle Nutzer.

Wo es hakt — die Stolpersteine, die wir tatsächlich sehen:

• Windows zuerst, aber mit Vorsicht: Microsoft weist seit dem 15. Oktober 2026 darauf hin, dass Exchange-Server nach den Oktober-Updates für Windows Server instabil werden können, und hat dazu einen eigenen Beitrag mit Gegenmaßnahme veröffentlicht. Diesen Beitrag lesen, bevor Sie Windows und Exchange im selben Fenster aktualisieren.
• Drittprodukte: Signaturwerkzeuge, Archivierung und Virenscanner auf dem Exchange prüfen die Versionsnummer. Ein Hersteller, der „Exchange 2019" unterstützt, unterstützt nicht automatisch „Exchange SE". Vorher fragen.
• Exchange 2016 in derselben Organisation: Der In-Place-Weg gilt nur für die 2019-Server. Steht daneben noch ein 2016er, braucht er seinen eigenen Abbau, und zwar vor SE CU2.
• Zertifikate: Wird das Auth-Zertifikat im Zuge des Upgrades erneuert, muss in Hybridumgebungen der Hybrid Configuration Wizard erneut laufen.

/07Notbetrieb, wenn die Migration nicht fertig ist

Realistisch betrachtet werden nicht alle Server bis zum 31. Oktober migriert sein. Dann zählt, was der ungepatchte Server bis zu seinem Abbau dem Internet zeigt. Ziel des Notbetriebs ist nicht Sicherheit — die gibt es auf diesem Stand nicht mehr —, sondern eine möglichst kleine Angriffsfläche und ein Alarm, wenn trotzdem etwas passiert.

1. Was nicht ins Internet gehört

Das Exchange Admin Center (/ecp) und die Remote-PowerShell gehören sofort nach innen. Outlook im Web, EWS und ActiveSync nur, wenn sie wirklich gebraucht werden — und dann nicht direkt, sondern hinter einer vorgeschalteten Anmeldung. In der Praxis heißt das: Zugriff von außen nur per VPN oder ZTNA, oder über einen Reverse-Proxy, der vor dem Weiterreichen an Exchange selbst authentifiziert, möglichst mit MFA. Ein Proxy, der nur TLS terminiert und durchreicht, ändert an der Angriffsfläche nichts.

2. Was sich nicht abschalten lässt

SMTP bleibt offen, solange der Server Mail empfängt. Hier hilft ein vorgelagertes Mailgateway, das eingehende Mails annimmt, filtert und erst dann an den Exchange übergibt; der Exchange nimmt Port 25 dann nur noch vom Gateway an. Ehrlich: Gegen eine unbekannte Lücke in der Inhaltskonvertierung wie CVE-2026-70571 ist das kein Schutz, denn die gefilterte Mail landet am Ende trotzdem auf dem Exchange. Es reduziert aber die Zahl der Absender, die den Server direkt erreichen, auf genau einen.

3. Was überwacht wird

Ohne Patches ist die Erkennung die letzte Linie. Mindestens: IIS-Protokolle auf Zugriffe auf /ecp, /owa/auth und /autodiscover von ungewöhnlichen Adressen, neue Dateien in den Webverzeichnissen von Exchange (der klassische Ablageort für Webshells), neue Postfachweiterleitungen und Postfachberechtigungen, ungewöhnliche Prozesse unter dem IIS-Arbeitsprozess. Diese Ereignisse gehören in ein SIEM wie Wazuh mit einer Alarmierung, die jemand liest — nicht in ein Protokoll, das niemand öffnet.

4. Was vorbereitet wird

Ein geübter Wiederanlauf: eine Sicherung der Postfachdatenbanken, die nicht vom Exchange-Server aus erreichbar ist, und ein Runbook für den Fall, dass der Server isoliert werden muss. Wer im Hybridbetrieb mit Exchange Online arbeitet, sollte wissen, dass ein Tenant die Drosselung veralteter Server bis zu 90 Tage im Jahr pausieren kann. Das ist ein Notnagel für Zustellprobleme, kein Sicherheitsgewinn.

/08Rechenbeispiel 120 Postfächer: welcher Weg sich lohnt

Ein Fertigungsbetrieb, 120 Postfächer, zwei Exchange-2019-Server mit CU14 in einer DAG, Stand: öffentliches Update Oktober 2025, kein ESU. Daneben steht ein alter Exchange 2016, der nur noch Scan-to-Mail der Kopierer annimmt. Die Zahlen unten sind Listenpreise von unseren Leistungsseiten; Microsoft-Lizenzen für Exchange SE hängen vom Vertrag ab und stehen deshalb nicht in Euro da.

Die Entscheidung fällt in diesem Fall nicht am Preis, sondern an zwei Fragen. Erstens: Liegen die Office-Lizenzen ohnehin schon in Microsoft 365? Dann ist das SE-Abonnement oft bereits über E3 oder E5 abgedeckt, und Weg A oder B kostet im Lizenzteil wenig zusätzlich. Zweitens: Wer spielt ab November jeden Monat die Updates ein? Wenn die ehrliche Antwort „der Admin, wenn er Zeit hat" lautet, ist Weg A derselbe Fehler wie 2019, nur mit neuem Namen.

Wann der Aufwand für Sie gar nicht anfällt: wenn Ihre Postfächer längst in Exchange Online liegen und kein lokaler Exchange mehr läuft, auch kein vergessener. Und wann er sich trotz allem nicht in SE lohnt: bei weniger als etwa zwei Dutzend Postfächern ohne Fachanwendung am Exchange. Dort ist jeder eigene Server Aufwand ohne Gegenwert, und die Wahl liegt zwischen Exchange Online und einem betriebenen Mailsystem — die Abwägung steht in Exchange Online vs. On-Premise.

/09Die nächsten zehn Arbeitstage

Wenn Sie heute einen Exchange 2016 oder 2019 betreiben, ist das die Reihenfolge, in der wir vorgehen würden:

• Tag 1: Build jedes Servers per ExSetup.exe erfassen, Health Checker über alle Server, Ergebnis ablegen.
• Tag 2: Von außen prüfen, was antwortet. /ecp und Remote-PowerShell nach innen nehmen.
• Tag 3: Relays inventarisieren: Wer stellt über den Exchange zu? Kopierer, Fachanwendungen, Monitoring, Webformulare.
• Tag 4: Entscheidung nach der Tabelle in /05, mit Lizenzfrage und Verantwortlichem für den Betrieb danach.
• Tag 5: Sicherung prüfen: eine Postfachdatenbank testweise wiederherstellen, Zeit messen (RPO und RTO).
• Tag 6–7: Überwachung auf IIS-Protokolle, Webverzeichnisse und Postfachregeln einrichten.
• Tag 8–10: Erstes Wartungsfenster: Windows-Updates unter Beachtung des Oktober-Hinweises, danach In-Place-Upgrade des ersten Knotens oder Aufbau des SE-Servers für den 2016-Umzug.

Danach steht ein Abbaudatum für jeden alten Server im Kalender. Ein Exchange, der nach dem Umzug noch Autodiscover beantwortet und Zertifikate hält, bleibt ein Exchange im Netz. Der Abbau gehört ins Projekt, nicht auf die Liste „irgendwann".

/10Häufige Fragen