Microsoft hat am 9. November 2026 die OAuth-Authentifizierung für Postfachmigrationen zwischen lokalen Exchange-Servern und Microsoft 365 freigegeben. Der Mailbox Replication Service (MRS) kann damit für solche Umzüge eine Anwendungsidentität nutzen, statt sich mit Benutzername und Kennwort eines privilegierten lokalen Active-Directory-Kontos anzumelden. Die neue Möglichkeit steht sowohl hybriden als auch nicht hybriden Exchange-Umgebungen offen.
Die Umstellung ist freiwillig. Microsoft ersetzt die bisherige Basic-Authentifizierung für diese Migrationsendpunkte vorerst nicht; bestehende Endpunkte und laufende Postfachumzüge bleiben unverändert funktionsfähig.
Separate Anwendungsberechtigung statt Administratoranmeldung
Für die Migration registriert die IT-Administration eine eigene Anwendung in Microsoft Entra ID und richtet die Berechtigungen für den Microsoft-365-Migrationsdienst ein. Der lokale Exchange-MRS-Proxy erhält die passende Autorisierung. Danach lässt sich in Exchange Online ein Migrationsendpunkt mit OAuth anlegen und für Migrationsbatches sowie den Umzug einzelner Postfächer in beide Richtungen verwenden.
Wichtig ist die Abgrenzung zur bereits bekannten Hybrid Modern Authentication: Die neue OAuth-Funktion authentifiziert nicht Benutzer bei Outlook oder Exchange, sondern speziell den Postfach-Migrationsdienst. Microsoft verwendet dafür ein eigenständiges anwendungsbasiertes Berechtigungsmodell. Dadurch lässt sich der Zugriff für Migrationsaufgaben von anderen Exchange-Hybridfunktionen trennen.
Diese Exchange-Versionen werden unterstützt
Die Freigabe gilt zunächst für die weltweite kommerzielle Microsoft-365-Multi-Tenant-Cloud. Für weitere Cloud-Umgebungen hat Microsoft eine spätere Verfügbarkeit angekündigt, aber noch keinen verbindlichen Termin genannt.
- Exchange Server Subscription Edition (SE) mit dem Stand vom Oktober 2026 oder neuer.
- Exchange Server 2019 CU15 mit installiertem Extended Security Update (ESU) vom Oktober 2026.
- Zugriff auf Microsoft Entra ID sowie eine korrekt konfigurierte lokale Domäne für die Migrationsanwendung.
Bei Exchange Server SE verlangt die dokumentierte Einrichtung zudem Cookie-basierte Session-Affinität auf dem Loadbalancer. Die vollständige technische Einrichtung umfasst eine App-Registrierung in Entra ID, die Autorisierung des MRS-Service-Principals und mehrere Konfigurationseinträge auf den lokalen Exchange-Servern. Ein bloßer Austausch des Kennworts im bisherigen Migrationsendpunkt genügt deshalb nicht.
Für die Umstellung einen neuen Endpunkt anlegen
Administratoren können den neuen Endpunkttyp über Exchange Online PowerShell erstellen. Microsoft dokumentiert dafür den Parameter -UseOAuth bei New-MigrationEndpoint. Der angegebene Remoteserver muss dabei zum Hostnamen der zuvor registrierten Application-ID-URI passen. Vor einer produktiven Übernahme sollten Migrationsendpunkt, Berechtigungen und Erreichbarkeit in einer kontrollierten Testmigration geprüft werden.
Eine wichtige Feinheit der Microsoft-Anleitung: Test-MigrationServerAvailability -Endpoint prüft bei einem solchen OAuth-Endpunkt zunächst nur, ob ein OAuth-Token beschafft werden kann. Laut Microsoft stellt dieser Test keine Verbindung zum entfernten Exchange-Host her. Eine Erfolgsmeldung allein ist damit noch kein Nachweis für einen tatsächlich funktionierenden Postfachumzug.
Für laufende Migrationen besteht kein unmittelbarer Änderungsbedarf. Neue Projekte können die getrennte Anwendungsidentität dagegen von Beginn an berücksichtigen und dadurch die Abhängigkeit von einem besonders privilegierten lokalen Benutzerkonto reduzieren.
Offizielle Anleitung und technische Dokumentation
Microsoft Learn: OAuth-Migrationsendpunkte Schritt für Schritt einrichten. Die Dokumentation beschreibt App-Registrierung, MRS-Konfiguration, erforderliche Berechtigungen, Diagnoseprotokolle und das Anlegen eines Endpunkts mit PowerShell.
Microsoft Exchange Team: Ankündigung vom 9. November 2026. Dort sind Verfügbarkeit, unterstützte Exchange-Versionen und der Weiterbetrieb bestehender Migrationen bestätigt.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten