EWS in Exchange Online geht vom Netz — welche Anwendung als Nächstes schweigt

/01Was abgeschaltet wird — und was nicht

Microsoft entfernt die Exchange Web Services (EWS) aus Exchange Online. Die Abschaltung läuft seit dem 1. Oktober 2026 gestaffelt über alle Mandanten, ab dem 1. April 2027 ist EWS in Exchange Online dauerhaft weg — ohne Ausnahme und ohne Schalter, der es zurückholt. Wer bis dahin noch eine Anwendung hat, die per EWS Postfächer liest, Termine anlegt oder Mails verschickt, verliert diese Funktion an diesem Tag.

EWS ist eine SOAP-Schnittstelle aus der Exchange-2007-Zeit. Über sie greifen Programme auf Postfächer, Kalender, Kontakte und Ordner zu, ohne selbst ein Mailprogramm zu sein. Beschleunigt hat die Abschaltung der Angriff der Gruppe Midnight Blizzard im Januar 2024, bei dem EWS eine Rolle spielte. Seitdem gilt die Abschaltung nicht mehr nur für Drittanbieter, sondern auch für Microsofts eigene Produkte — Outlook, Office, Teams und Dynamics 365 werden schrittweise von EWS gelöst.

Ebenso wichtig ist, was nicht betroffen ist:

• Exchange Server im eigenen Haus. Microsoft plant laut Message-Center-Meldung MC1227454 keine Änderung an EWS in Exchange Server on-premises. Wer ausschließlich einen eigenen Exchange betreibt, hat mit diesem Stichtag nichts zu tun — mit dem eigenen Supportende seiner Version allerdings sehr wohl; der Weg dorthin steht in Exchange Server SE: Der Pflicht-Migrationspfad 2026.
• SMTP-Versand. Ein Multifunktionsgerät oder ein ERP, das Mails per SMTP an Exchange Online übergibt, nutzt kein EWS. Diese Geräte melden sich zwar ebenfalls am Mandanten an, laufen aber über einen anderen Weg und tauchen im EWS-Bericht nicht auf.
• Normale Postfachnutzung. Outlook im Web, die Outlook-Apps auf dem Telefon und aktuelles Outlook für Windows arbeiten weiter. Für Outlook für Windows nennt Microsoft eine Mindestversion (Build 16.0.20430.20092); Installationen außerhalb des Patch-Managements sollten Sie prüfen.

Die Abschaltung trifft also die Programme dazwischen. Sie laufen unbeaufsichtigt unter einem Dienstkonto, und ihr Ausfall fällt erst auf, wenn eine Auftragsbestätigung nicht ankommt.

/02Der Zeitplan bis zum 1. April 2027

Die Termine stammen aus drei Meldungen im Message Center (MC1227454 vom 5. Februar 2026, MC1447678 und MC1485116 vom 1. Oktober 2026) und aus Microsofts Learn-Seite zur EWS-Abschaltung. Was an jedem Datum konkret passiert:

Die Durchsetzung läuft also seit vier Wochen; wer jetzt erst hinsieht, arbeitet nicht mehr vorbeugend. Bis zum 1. April 2027 bleiben gut fünf Monate — für den Austausch einer einzelnen Schnittstelle reichlich, für ein ERP-Update mit Testphase beim Hersteller knapp.

/03Wie Exchange Online seit Oktober entscheidet

Ob eine EWS-Anfrage heute durchkommt, hängt an zwei Mandanteneinstellungen in der Organisationskonfiguration: dem Schalter EwsEnabled und der Positivliste EwsAllowedAppIDs, einer Liste von Anwendungs-IDs aus Entra ID. Microsoft hat das Verhalten in MC1447678 beschrieben; in eine Tabelle gebracht ergibt sich folgendes Bild:

Daneben gibt es die Postfachebene: Set-CASMailbox -EwsEnabled sperrt EWS für einzelne Postfächer. Und es gibt die ältere Einstellung EwsAllowList, die nach dem User-Agent filtert. Microsoft stellt in MC1485116 klar, dass diese mit der Abschaltung nichts zu tun hat und EwsAllowedAppIDs nicht ersetzt. In der Praxis sorgt genau diese Namensähnlichkeit für die meisten Fehlkonfigurationen, die wir in Mandanten sehen: Jemand pflegt sorgfältig eine Liste — die falsche.

Zwei Betriebsdetails, die bei der Fehlersuche Zeit sparen: Eine Änderung an EwsEnabled wirkt nach etwa einer Stunde, eine Änderung der Positivliste kann bis zu 24 Stunden brauchen. Wer nach einer Anpassung sofort testet und „geht nicht" notiert, hat oft nur nicht lange genug gewartet. Und: Die Positivliste wird beim Setzen vollständig ersetzt. Wer eine neue Anwendung ergänzt und die bisherigen IDs nicht mitgibt, sperrt alle anderen aus.

/04EWS-Nutzung im eigenen Mandanten finden

Die Bestandsaufnahme hat drei Quellen, die sich ergänzen: den EWS-Nutzungsbericht im Admin Center, die aktuelle Mandantenkonfiguration und die Berechtigungen der Unternehmensanwendungen. Den Anfang macht die Konfiguration, weil sie erklärt, warum etwas gerade (nicht) funktioniert. In Exchange Online PowerShell:

PS C:\> Connect-ExchangeOnline
PS C:\> Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy |
           Format-List EwsEnabled, EwsAllowedAppIDs, EwsApplicationAccessPolicy

EwsEnabled                 : True
EwsAllowedAppIDs           : {aaaaaaaa-1111-2222-3333-444444444444,
                              bbbbbbbb-5555-6666-7777-888888888888}
EwsApplicationAccessPolicy :

# Postfaecher, fuer die EWS einzeln abgeschaltet ist
PS C:\> Get-CASMailbox -ResultSize Unlimited |
           Where-Object { $_.EwsEnabled -eq $false } |
           Select-Object PrimarySmtpAddress, EwsEnabled

Die Ausgabe ist ein erfundenes Beispiel. Wichtig ist der Schalter -RetrieveEwsOperationAccessPolicy: Ohne ihn liefert Get-OrganizationConfig die Positivliste aus Leistungsgründen nicht mit, und das Feld sieht leer aus, obwohl Microsoft es Anfang Oktober vielleicht automatisch befüllt hat. Steht dort eine Liste, die Sie nicht selbst angelegt haben, stammt sie sehr wahrscheinlich aus der automatischen Befüllung vom 8./9. Oktober — und die beruht auf 60 Tagen Aktivität. Eine Anwendung, die nur zum Quartalsabschluss oder zur Jahresinventur läuft, fehlt darin.

Der Nutzungsbericht

Im Microsoft 365 Admin Center finden Sie unter Berichte → Nutzung → Exchange die Registerkarte EWS-Nutzung. Sie zeigt für 7, 30 oder 90 Tage je Anwendungs-ID die aufgerufenen SOAP-Aktionen, die Zahl erfolgreicher Aufrufe und das letzte Aktivitätsdatum. Die Daten werden wöchentlich zusammengefasst und erscheinen mit bis zu zehn Tagen Verzug. Über Exportieren bekommen Sie eine CSV-Datei. Die rohe ID hilft wenig; erst mit dem Namen der Anwendung wird daraus eine Liste, mit der man mit Fachabteilungen und Herstellern reden kann. Die Auflösung erledigt Microsoft Graph PowerShell:

PS C:\> Connect-MgGraph -Scopes "Application.Read.All"
PS C:\> $ews = Import-Csv .\EWSUsage.csv
PS C:\> $ews | Group-Object 'Application ID' | ForEach-Object {
    $sp = Get-MgServicePrincipal -Filter "appId eq '$($_.Name)'"
    [pscustomobject]@{
        App      = if ($sp) { $sp.DisplayName } else { '(nicht im Mandanten)' }
        AppId    = $_.Name
        Aufrufe  = ($_.Group | Measure-Object 'Call Volume' -Sum).Sum
        Aktionen = ($_.Group.'SOAP Action' | Sort-Object -Unique) -join ', '
        Zuletzt  = ($_.Group.'Last Activity date (UTC)' | Sort-Object)[-1]
    } } | Sort-Object Aufrufe -Descending | Format-Table -AutoSize

App                    Aufrufe Aktionen                                  Zuletzt
---                    ------- --------                                  -------
CRM-Mailtracking        48211 FindItem, GetItem, Subscribe               2026-10-18
Raumbuchung Empfang     12904 GetUserAvailability, CreateItem            2026-10-19
Archiv-Connector         3377 ExportItems, FindItem, GetFolder           2026-10-17
(nicht im Mandanten)      612 GetItem, SyncFolderItems                    2026-10-12
Inventur-Skript            41 SendItem                                    2026-09-30

Auch diese Ausgabe ist ein erfundenes Beispiel; die Spaltennamen entsprechen denen des Berichts, im Export können sie je nach Sprache des Admin Centers abweichen — prüfen Sie die Kopfzeile der CSV, bevor Sie das Skript laufen lassen. Die Deutung ist wichtiger als das Skript:

• Hohe Aufrufzahl, aktuelles Datum: Die Anwendung ist produktiv und wird nach dem 1. April 2027 sicher fehlen. Erste Priorität.
• „Nicht im Mandanten": Häufig eine Microsoft-eigene Anwendung, deren ID in Ihrem Verzeichnis nicht als Unternehmensanwendung auftaucht. Die Erstanbieter-Apps löst Microsoft per Update von EWS; hier hilft meist, Clients aktuell zu halten.
• Wenige Aufrufe, letztes Datum am Monatsende: Ein Kandidat für die Lücke der automatischen Befüllung. Das Inventur-Skript im Beispiel läuft einmal im Monat — in 60 Tagen Aktivität taucht es zweimal auf, im ungünstigsten Fall gar nicht.
• Die SOAP-Aktionen verraten den Umbauaufwand. SendItem allein ist ein Nachmittag; ExportItems oder Zugriffe auf Öffentliche Ordner können an Graph-Lücken scheitern (Abschnitt /09).

Wer die Anmeldeprotokolle von Entra ID in einen Log-Analytics-Arbeitsbereich oder ein SIEM leitet, findet dort zusätzlich Anmeldungen von Dienstprinzipalen an der Ressource „Office 365 Exchange Online" — kein EWS-Nachweis, aber ein aktuelleres Datum als der Bericht. Microsofts eigenes Werkzeug Ews.App.Usage aus dem Projekt ews-migration-analyzer auf GitHub kombiniert genau diese beiden Quellen und braucht dafür die Anwendungsberechtigungen AuditLog.Read.All und Application.Read.All.

/05Berechtigungen prüfen: wer EWS überhaupt darf

Der Nutzungsbericht zeigt, wer EWS benutzt. Mindestens genauso aufschlussreich ist, wer EWS darf. Eine Anwendung braucht für EWS über OAuth eine Berechtigung auf die Ressource „Office 365 Exchange Online" (App-ID 00000002-0000-0ff1-ce00-000000000000): entweder delegiert EWS.AccessAsUser.All — die Anwendung handelt im Namen eines angemeldeten Benutzers — oder als Anwendungsberechtigung full_access_as_app. Letztere ist die heikle: Sie erlaubt Zugriff auf jedes Postfach des Mandanten, ohne dass ein Benutzer angemeldet ist, sofern sie nicht zusätzlich eingeschränkt wird.

PS C:\> Connect-MgGraph -Scopes "Application.Read.All","Directory.Read.All"
PS C:\> $exo = Get-MgServicePrincipal -Filter "appId eq '00000002-0000-0ff1-ce00-000000000000'"

# Anwendungsberechtigung full_access_as_app (App-only, alle Postfaecher)
PS C:\> Get-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $exo.Id -All |
           Where-Object AppRoleId -eq 'dc890d15-9560-4a4c-9b7f-a736ec74ec40' |
           Select-Object PrincipalDisplayName, CreatedDateTime

# Delegierte Berechtigung EWS.AccessAsUser.All
PS C:\> Get-MgOauth2PermissionGrant -All -Filter "resourceId eq '$($exo.Id)'" |
           Where-Object Scope -match 'EWS\.AccessAsUser\.All' |
           ForEach-Object { (Get-MgServicePrincipal -ServicePrincipalId $_.ClientId).DisplayName } |
           Sort-Object -Unique

Legen Sie das Ergebnis neben den Nutzungsbericht. Daraus ergeben sich vier Fälle, und einer davon ist ein Sicherheitsgewinn, der mit der Abschaltung gar nichts zu tun hat:

• Berechtigung und Nutzung: eine echte Abhängigkeit, kommt auf die Arbeitsliste.
• Nutzung ohne eigene Berechtigung: meist eine Microsoft-Anwendung oder eine Anwendung mit Benutzerzustimmung, die im Bericht unter anderer ID läuft. Nachfassen.
• Berechtigung ohne Nutzung seit 90 Tagen: Eine tote Anwendung, die noch Zugriff auf alle Postfächer hat — bei full_access_as_app genau die Art Altlast, die Angreifer suchen. Entfernen, nicht erst im April.
• Weder noch: nichts zu tun.

Das ist kein Nebenschauplatz. Wer die EWS-Bestandsaufnahme ohnehin macht, sollte die Gelegenheit nutzen, Anwendungsberechtigungen auf Postfächer grundsätzlich nach dem Prinzip der geringsten Rechte (Privileged Access Management) zu ordnen und für Graph-Nachfolger von Anfang an enger zu fassen. Ein Graph-Zugriff mit Mail.Send für ein einziges Absenderpostfach ist etwas anderes als ein EWS-Vollzugriff auf alles.

/06Typische Fachanwendungen und ihr Weg zu Graph

Microsoft veröffentlicht eine Zuordnung von EWS-Operationen zu Graph-Schnittstellen. Für den Mittelstand ist die interessantere Frage, welche Anwendung typischerweise welche Operation nutzt und wer den Umbau leisten muss. Die Tabelle fasst die Fälle zusammen, die in mittelständischen Mandanten immer wieder auftauchen:

Drei Beobachtungen aus der Tabelle. Erstens: Bei fast allen eingekauften Anwendungen liegt der Umbau beim Hersteller, nicht bei Ihnen. Ihre Aufgabe: fragen, den Termin schriftlich holen, das Update einspielen. Zweitens: Archiv und Backup sind die Kandidaten mit dem größten Risiko, weil sie an genau den Graph-Funktionen hängen, die Microsoft erst für das vierte Quartal 2026 ankündigt. Drittens: Die eigenen Skripte werden fast immer vergessen, weil sie niemand als „Anwendung" führt. Durchsuchen Sie Skriptordner nach Microsoft.Exchange.WebServices und ExchangeService suchen — das sind die Spuren der EWS Managed API.

Wie ein Umbau im Kleinen aussieht, zeigt der Belegversand. Ein ERP, das bisher per EWS CreateItem mit anschließendem Senden über ein Dienstkonto verschickt, ruft unter Graph POST /users/{absender}/sendMail auf. Die Anwendung braucht dafür keinen Postfach-Vollzugriff mehr, sondern Mail.Send — und kann über eine Zugriffsrichtlinie für Anwendungen in Exchange Online auf genau das eine Absenderpostfach begrenzt werden. Die Funktion bleibt, die Angriffsfläche schrumpft.

/07Die Positivliste als Brücke bis März

Für jede Anwendung, die noch nicht umgebaut ist, aber bis zum 31. März 2027 laufen muss, ist EwsAllowedAppIDs die einzige Brücke. Gesetzt wird sie so:

# 1. Bestehende Liste sichern (wird beim Setzen komplett ersetzt)
PS C:\> (Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy).EwsAllowedAppIDs |
           Out-File .\ews-positivliste-2026-10-28.txt

# 2. Vollstaendige Liste setzen: alte IDs + neue ID, kommagetrennt in EINEM String
PS C:\> Set-OrganizationConfig -EwsEnabled $true `
           -EwsAllowedAppIDs "aaaaaaaa-1111-2222-3333-444444444444,bbbbbbbb-5555-6666-7777-888888888888,cccccccc-9999-0000-1111-222222222222"

# 3. Pruefen (Wirkung bis zu 24 Stunden verzoegert)
PS C:\> Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Format-List EwsAllowedAppIDs

Die Sicherung ist keine Pedanterie: Ein vergessener Eintrag ist eine abgeschaltete Anwendung, und das fällt wegen der Verzögerung erst am nächsten Tag auf. Wir legen die Liste deshalb als Datei im Änderungsprotokoll ab und setzen sie immer aus dieser Datei, nie aus dem Gedächtnis. Das gehört in ein Runbook, nicht in die Erinnerung eines einzelnen Administrators.

Behandeln Sie jeden Eintrag als befristete Ausnahme mit Verantwortlichem und Enddatum. Eine einfache Tabelle reicht: Anwendung, App-ID, Fachverantwortlicher, Hersteller-Termin für die Graph-Version, geplanter Austrittstermin aus der Liste. Spätestens im Februar 2027 sollte diese Tabelle leer werden. Was im März noch darin steht, ist ein Ausfall mit Ansage.

Eine Warnung zur Gegenrichtung: Setzen Sie EwsEnabled nicht reflexartig auf True, nur weil irgendwo etwas klemmt. Ohne Liste ist das seit dem 10. Oktober wirkungslos; mit einer zu großzügigen Liste öffnen Sie EWS für Anwendungen, die gar nicht mehr gebraucht werden. Die Positivliste ist ein Werkzeug für die Übergangszeit im Sinne von Zero Trust — so wenig wie möglich, so kurz wie nötig.

/08Entscheidung je Anwendung

Am Ende steht für jede Zeile Ihrer Bestandsliste eine von fünf Entscheidungen. Die Logik ist einfacher, als die Vielfalt der Anwendungen vermuten lässt:

Die unbequemste Zeile ist die vierte. Ein Hersteller, der im Oktober 2026 noch keinen Termin nennen kann, obwohl die Abschaltung seit 2023 feststeht, liefert selten im Februar. Ehrlich: Die Suche nach einem Ersatz kostet weniger Nerven, wenn sie im November beginnt statt am 2. April.

In der Praxis bewährt sich diese Reihenfolge: tote Berechtigungen entfernen, Herstellerfragen stellen (Antwortfrist zwei Wochen), eigene Skripte umschreiben, erst dann über Ersatz entscheiden. Wer Microsoft 365 im Managed-Services-Modell betreuen lässt, sollte genau diese Liste vom Dienstleister einfordern.

/09Wann das Thema Sie nicht betrifft — und wo es hakt

Zuerst die gute Nachricht für einen Teil der Leser: Wenn der Nutzungsbericht über 90 Tage keine aktive Anwendung zeigt, die Berechtigungsabfrage aus Abschnitt /05 leer bleibt und Ihre Clients aktuell sind, können Sie das Thema abhaken. Kleine Betriebe, die Microsoft 365 nur für Mail, Teams und Office nutzen, landen oft genau dort. Ebenso unbetroffen ist, wer ausschließlich Exchange Server im eigenen Haus betreibt und keine Hybrid-Anbindung an Exchange Online hat.

Wo es dagegen hakt — vier Punkte, die in keiner Herstellermitteilung gern stehen:

Exchange-Hybrid

Microsoft nennt Exchange-Hybrid ausdrücklich unter den EWS-abhängigen Szenarien und verweist auf eine eigene Veröffentlichung zur Auswirkung auf die Hybrid-Koexistenz und die organisationsübergreifende Freigabe. Wer Frei/Gebucht-Informationen zwischen lokalen und Cloud-Postfächern austauscht, sollte das in einem Testpostfach prüfen, bevor die Nutzer es merken. Mandantenübergreifende Organisationsbeziehungen nimmt Microsoft von der Sperre ohne Positivliste aus. Verlassen Sie sich nicht darauf, dass Ihre Hybrid-Konfiguration darunter fällt — testen Sie es.

Graph-Lücken bei Archiv und Öffentlichen Ordnern

Microsoft führt eine Liste offener Funktionen mit Zieltermin viertes Quartal 2026: Import und Export für Archivpostfächer, Öffentliche Ordner und Gruppenpostfächer, Zugriff auf In-Place-Archive, das Melden von Nachrichten als Junk oder Phishing, MIME-Erstellung für nicht gesendete Nachrichten und weitere. Microsoft schreibt selbst, dass diese Termine sich verschieben können. Drei Funktionen kommen gar nicht: generischer Lese- und Schreibzugriff auf Öffentliche Ordner, generischer Zugriff auf Gruppenpostfächer und der Zugriff auf alte Discovery-Postfächer. Wer einen Prozess auf Öffentlichen Ordnern betreibt, etwa eine gemeinsame Auftragsablage, die ein Programm per EWS befüllt, muss den Ablauf ändern — nach SharePoint, in ein gemeinsames Postfach oder in die Fachanwendung selbst.

Selten laufende Prozesse

Automatische Befüllung (60 Tage) und Bericht (höchstens 90 Tage) übersehen Jahresabschluss-Exporte, die Inventur im Januar oder halbjährliche Archivläufe. Fragen Sie die Fachabteilungen ausdrücklich nach Vorgängen, die „nur einmal im Jahr" laufen.

Wiederherstellung aus dem Backup

Wenn ein Backup-Produkt auf Graph umgestellt wird, ist die Sicherung meist schnell wieder grün. Die Wiederherstellung ist der Teil, den niemand testet. Spielen Sie nach dem Update eines Backup- oder Archivprodukts mindestens einen Ordner und einen Kalender in ein Testpostfach zurück. Warum ein eigenes Backup für Microsoft 365 ohnehin nötig ist, steht in Microsoft 365 Backup: Warum die Cloud kein Backup ist; hier geht es nur darum, dass es nach dem Schnittstellenwechsel auch noch zurückspielt.

Ein Ausfall nach dem 1. April 2027 ist kein Sicherheitsvorfall und kein Fall für die Incident Response, sondern ein angekündigter Funktionsverlust ohne Rückweg. In der Praxis bleiben bis zuletzt erfahrungsgemäß nicht die großen ERP-Systeme übrig — deren Hersteller sind meist früh dran —, sondern das kleine Raumbuchungsdisplay am Empfang und das Skript, das vor sechs Jahren jemand geschrieben hat, der nicht mehr im Haus ist.

/10Häufige Fragen