Exchange 2016/2019: Mailblockade ab September 2026

/01Was Microsoft ab September 2026 genau tut

Das Exchange-Team hat die Maßnahme am 2. September 2026 im Microsoft Tech Community Blog angekündigt; heise online hat sie unter dem Titel „Alte Exchange-Server riskieren Mailblockaden" aufgegriffen. Der Kern in einem Satz: Exchange Online hebt die älteste zugelassene Version für Exchange 2016 und Exchange 2019, die über einen Inbound-Connector vom Typ OnPremises zustellen, auf den Stand des letzten öffentlichen Updates vom Oktober 2025 an. Wer darunter liegt, wird ab der zweiten Septemberwoche 2026 gedrosselt — und wer weiter darunter bleibt, blockiert.

Das Werkzeug dahinter ist nicht neu. Microsoft betreibt seit 2023 ein transportbasiertes Durchsetzungssystem in Exchange Online, das in drei Stufen arbeitet: Zuerst erscheint ein Bericht im Exchange Admin Center, dann drosselt Exchange Online den Verkehr des betroffenen Servers mit temporären SMTP-Fehlern, zuletzt lehnt es die Zustellung dauerhaft ab. Bisher richtete sich das System gegen einzelne, stark veraltete Versionen. Neu ist, dass die Messlatte jetzt beim letzten öffentlichen Update liegt — also bei einem Stand, den jeder Server hätte erreichen können, solange er noch versorgt wurde.

Ehrlich: Microsoft hat sich damit ein Druckmittel gebaut, das ohne Lizenzprüfung und ohne Anwalt funktioniert. Ein ungepatchter Exchange stört nicht nur seinen Betreiber, sondern jeden Empfänger in Exchange Online. Dass der Betreiber der Cloud dort die Tür zuzieht, ist aus seiner Sicht folgerichtig. Für den Mittelstand heißt es aber, dass ein „läuft doch noch" seit diesem Monat messbare Folgen hat — verzögerte Mails, später unzustellbare.

/02Zeitleiste der Fristen

Die Daten liegen nicht in ferner Zukunft, sondern größtenteils hinter uns. Das ist der Punkt, den viele Betriebe unterschätzen: Die Frist ist nicht der Septembertermin, sondern das Support-Ende, das schon elf Monate zurückliegt.

Microsoft nennt für die Dauer der Drosselungsphase in der Ankündigung vom 2. September keine Tagesangabe; wir schreiben deshalb keine hin. In der Praxis hat das Durchsetzungssystem bisher in Wochen gerechnet, nicht in Monaten. Wer den Bericht im Admin Center sieht, sollte das Update in derselben Woche einplanen.

/03Wer betroffen ist — und wer nicht

Die Maßnahme trifft eine klar umrissene Gruppe: lokale Exchange-2016- oder -2019-Server, die in einer Hybridumgebung Mails an Exchange Online übergeben — über den Inbound-Connector, den der Hybrid Configuration Wizard als Typ OnPremises anlegt. Das ist die Standardkonstellation, wenn ein Betrieb einen Teil der Postfächer in Microsoft 365 hat und den Rest noch lokal, oder wenn ein lokaler Server für Anwendungen und Drucker als Relay dient und über Exchange Online nach außen zustellt.

Nicht betroffen sind nach Angaben Microsofts alle anderen Übertragungswege: ein Exchange, der über einen eigenen Mailgateway oder direkt per MX-Eintrag ins Internet zustellt, ein Exchange SE, und selbstverständlich jede Umgebung ohne Exchange Online. Das klingt nach Entwarnung für reine On-Premise-Betriebe. Es ist keine. Ein Exchange 2019 ohne Oktober-Update ist seit elf Monaten für jede seit dem geschlossene Lücke offen — und Exchange gehört zu den Produkten, bei denen Angreifer Patches binnen Tagen rückwärts in Exploits übersetzen. Die Blockade durch Microsoft ist nur das erste Symptom, das man sieht. Die Ransomware über eine bekannte Exchange-Lücke ist das zweite.

/04So prüfen Sie Ihren Stand in fünf Minuten

Der Stand eines Exchange-Servers steht in der Exchange Management Shell. AdminDisplayVersion liefert die Hauptversion und das kumulative Update; den genauen Build mit Sicherheitsupdate zeigt erst die Dateiversion der Exchange-Setup-Binärdatei. Beides zusammen genügt für die Einordnung:

# Version und CU aller Server im Verbund
Get-ExchangeServer | Format-List Name,Edition,AdminDisplayVersion

# Genauer Build inklusive Sicherheitsupdate (auf dem Server selbst)
Get-Command ExSetup.exe | ForEach-Object { $_.FileVersionInfo.ProductVersion }

# Welche Inbound-Connectoren in Exchange Online vom Typ OnPremises sind
Connect-ExchangeOnline
Get-InboundConnector | Where-Object ConnectorType -eq 'OnPremises' |
    Format-Table Name,Enabled,SenderDomains,TlsSenderCertificateName

Steht bei Exchange 2019 etwas unter CU15 oder bei Exchange 2016 etwas unter CU23, fehlt schon das kumulative Update, auf dem das Oktober-Sicherheitsupdate aufsetzt. In dem Fall sind zwei Schritte fällig, nicht einer — und das CU braucht ein Wartungsfenster mit Neustart und einer Prüfung des Active-Directory-Schemas. Ergänzend lohnt der HealthChecker des Exchange-Teams, der Build, fehlende Updates und bekannte Fehlkonfigurationen in einem Lauf ausgibt.

Der zweite Blick gehört dem Exchange Admin Center in Exchange Online: Unter den Berichten zum Mailfluss weist Microsoft Server aus, die von der Durchsetzung erfasst sind. Steht dort ein Eintrag, ist die Uhr bereits gestartet.

/05Vier Wege aus der Lage

Das Update ist die Pflicht. Die Entscheidung, die darauf folgt, ist die eigentliche Arbeit: Exchange 2016 und 2019 sind seit Oktober 2025 ohne Support, und das Oktober-Update ist das letzte, das es kostenlos gibt. Wer danach weiter Sicherheitsupdates will, zahlt für Extended Security Updates oder wechselt die Plattform. Vier Wege kommen in Frage. Wir bieten die ersten beiden selbst an, den dritten begleiten wir, und den vierten nennen wir, weil er für manche der richtige ist.

Weg 1: Exchange Server Subscription Edition im eigenen Rechenzentrum

Exchange SE ist der Nachfolger von Exchange 2019 und technisch zunächst dessen Fortsetzung: gleiches Schema, gleiche Architektur, In-Place-Upgrade von Exchange 2019 möglich. Von Exchange 2016 führt der Weg über eine Zwischenstufe oder eine klassische Migration mit neuem Server. Der Unterschied liegt im Modell — Exchange SE wird im Abonnement lizenziert und laufend versorgt, ein Support-Ende mit Datum gibt es nicht mehr, dafür die Pflicht, mit den Updates mitzugehen.

Wir betreiben Exchange SE als verwalteten Dienst auf Ihrer Hardware oder in unserem Rechenzentrum in Coburg: Migration von 2016 oder 2019, Virtualisierung auf Proxmox VE, Patchpflege im festen Rhythmus, Monitoring der Warteschlangen und TLS-Zertifikate, Sicherung auf Proxmox Backup Server mit anwendungskonsistenten Postfachdaten und getestetem Wiederanlauf. Der Server bleibt on-premise im rechtlichen Sinn: Die Daten liegen in Deutschland, der Zugriff folgt Ihrem Berechtigungskonzept, und der CLOUD Act greift nicht.

Weg 2: Managed Exchange bei uns

Für Betriebe, die Exchange als Funktion wollen und nicht als Server, ist Managed Exchange der kürzere Weg: Postfächer auf unserer Plattform im deutschen Rechenzentrum, Outlook und mobile Geräte wie gewohnt, Anmeldung mit MFA, Betrieb, Updates, Spam-Filter und Sicherung inklusive. Die Migration läuft postfachweise aus dem Bestand, meist an einem Wochenende. Der Preis bemisst sich je Postfach; die Konditionen stimmen wir im Erstgespräch ab, weil Speichervolumen und Archivpflichten den Unterschied machen.

Weg 3: Offene Groupware

Kopano, Zimbra, Open-Xchange und mailcow decken Mail, Kalender und Kontakte ab; die ersten drei bringen ActiveSync oder ein MAPI-Gegenstück für Outlook mit. Das ist der Weg für Betriebe, die aus dem Microsoft-Lizenzmodell heraus wollen und deren Anforderungen an Outlook-Feinheiten überschaubar sind. Ehrlich: Freigegebene Postfächer, Raumbuchung und Regeln funktionieren dort anders als in Exchange, und die Umstellung der Anwender ist der größere Aufwand als die der Server. Ein Pilot mit zehn Nutzern vor der Entscheidung ist Pflicht.

Weg 4: Microsoft 365

Exchange Online in Microsoft 365 nimmt Ihnen den Server vollständig ab und ist für viele Betriebe der bequemste Weg. Zwei Vorbehalte gehören dazu. Erstens die Souveränitätsfrage: Daten in der Cloud eines US-Anbieters, bei der die DSGVO-Bewertung von Ihrer Branche und Ihrem Verfahrensverzeichnis abhängt. Zweitens die Abhängigkeit: Der Ausfall vom 31. August 2026 hat gezeigt, was ein einzelner Betreiber für viele Betriebe gleichzeitig bedeutet — wir haben das in einem eigenen Beitrag aufgearbeitet. Wer M365 wählt, plant den Ausfall mit.

/06Vergleich der vier Wege

Kosten geben wir als Größenordnung an, nicht in Euro. Exchange-Lizenzen hängen von Nutzerzahl, CAL-Bestand und Vertragsform ab; Zahlen, die für einen Betrieb mit 40 Postfächern stimmen, sind für 400 falsch. Was sich vergleichen lässt, sind Aufwand, Souveränität und Risiko.

/07Wo es bei jedem Weg hakt

Kein Weg ist umsonst, und jeder hat eine Stelle, an der Projekte hängen bleiben. Aus unseren Migrationen:

• Exchange SE: Das In-Place-Upgrade von 2019 setzt CU15 voraus — wer das noch nicht hat, macht erst das CU, dann das Upgrade, mit zwei Wartungsfenstern. Von 2016 gibt es keinen direkten Weg. Und Exchange SE ist weiterhin Exchange: Ein ungepatchter SE-Server ist in einem Jahr genauso verwundbar wie heute ein 2019er.
• Managed Exchange: Große Archive und Öffentliche Ordner sind die Zeitfresser der Migration. Wer 200 GB je Postfach mitnimmt, migriert nicht an einem Wochenende. Und ein Postfach beim Dienstleister heißt, dass der Dienstleister die Sicherung verantwortet — prüfen Sie, wie er das nachweist und welche RPO und RTO im SLA stehen.
• Offene Groupware: Der Server ist in einer Woche aufgesetzt, die Anwender brauchen ein Quartal. Wer Outlook-Add-ins aus der Fachanwendung nutzt, prüft deren Kompatibilität zuerst.
• Microsoft 365: Der Ausfall vom 31. August war nicht der erste und wird nicht der letzte sein. Und die eigene Sicherung der Postfächer bleibt Ihre Sache — Microsoft sichert die Plattform, nicht Ihre Daten gegen Löschung oder Verschlüsselung.

Was für alle Wege gilt: Der alte Server verschwindet nicht von selbst. Nach der Migration bleibt ein Exchange 2016 oder 2019 stehen, der Autodiscover beantwortet, Zertifikate hält und weiter angreifbar ist, bis er sauber deinstalliert ist. Diese Deinstallation gehört ins Projekt, nicht auf die Liste „irgendwann".

/08Unsere Empfehlung nach Betriebsgröße

In der Praxis entscheidet sich die Wahl weniger an der Technik als an der Frage, wer den Betrieb verantworten soll und welche Daten im Haus bleiben müssen.

• Bis etwa 25 Postfächer ohne Sonderanforderungen: Managed Exchange. Ein eigener Server rechnet sich hier weder im Betrieb noch in der Aufmerksamkeit, die er braucht.
• 25 bis 250 Postfächer mit Fachanwendungen am Exchange: Exchange SE, gemanagt — auf Ihrer Hardware oder bei uns in Coburg. Sie behalten die Integrationen, wir übernehmen Patch, Monitoring und Sicherung.
• Betriebe unter NIS2, Kanzleien, Gesundheitswesen, öffentliche Hand: Exchange SE on-premise oder offene Groupware; die Souveränitätsfrage entscheidet, nicht der Komfort.
• Betriebe, die ohnehin tief in Microsoft 365 stehen: Exchange Online — mit eigener Postfachsicherung und einem Ausfallplan, der Telefon und Zweitkanal einschließt.

Was nicht geht: abwarten. Das Oktober-Update ist Pflicht für jeden, der diese Woche noch Mails über den Hybridpfad zustellen will. Danach ist die Frage nicht mehr, ob der Weg wegführt von Exchange 2016 und 2019, sondern welcher.

/09Häufige Fragen