Exchange Online wird den Nachrichtenversand veralteter lokaler Exchange-Server voraussichtlich ab Januar 2027 nach strengeren Versionsvorgaben kontrollieren. Microsoft hat den entsprechenden Herstellerhinweis am 10. November 2026 überarbeitet. Schon jetzt kann der Cloud-Dienst E-Mails von erheblich veralteten Exchange-Installationen verzögern oder zurückweisen. Betroffen sind insbesondere Unternehmen mit einer lokalen oder hybriden Exchange-Umgebung, deren Server Nachrichten über einen Exchange-Online-Inbound-Connector des Typs OnPremises zustellen.
Der Januar 2027 ist ausdrücklich ein voraussichtlicher Zeitpunkt, kein bislang fest zugesagter Umstellungstag. Für Administratoren besteht trotzdem Handlungsbedarf: Wer weiterhin Exchange 2016 oder 2019 einsetzt, sollte die Transportwege, installierten Sicherheitsupdates und den Migrationsstand auf Exchange Server Subscription Edition (SE) prüfen.
Welche Exchange-Versionen Microsoft künftig akzeptieren will
Nach der am 10. November aktualisierten Exchange-Team-Mitteilung müssen derzeit bereits gedrosselte oder blockierte Server mindestens den Sicherheitsupdatestand von Oktober 2025 erreichen. Microsoft zufolge endet die darauf beruhende Drosselung oder Sperre nach einer entsprechenden Aktualisierung innerhalb von etwa 24 Stunden, sofern der Server die geltenden Anforderungen erfüllt.
Bei der nächsten Anhebung der Mindestanforderungen sollen laut Microsoft nur Exchange Server SE sowie Installationen von Exchange 2016/2019 mit erworbenem Extended Security Update (ESU), Zeitraum 2, die genannte Versionsgrenze erfüllen können. Diese Aussage bezieht sich auf die angekündigte Transportdurchsetzung. Sie ist nicht mit einer erneuten Verlängerung des Produktsupports gleichzusetzen.
Der kostenpflichtige zweite ESU-Zeitraum für Exchange 2016 und 2019 galt nur von Mai bis Ende Oktober 2026. Microsoft hat ausdrücklich keine weitere Fortsetzung dieses Programms vorgesehen. Eine ESU-Berechtigung für den zurückliegenden Zeitraum bedeutet nicht, dass die betroffenen Server auch nach Oktober 2026 neue Sicherheitsupdates erhalten. Microsoft empfiehlt die Migration zur unterstützten Subscription Edition.
Erst verzögerte Zustellung, später vollständige Sperre
Das Transportschutzverfahren läuft bereits seit längerer Zeit und prüft, ob sich lokale Exchange-Server mit veralteten oder nicht mehr unterstützten Ständen an Exchange Online verbinden. Eine festgestellte Abweichung erscheint zunächst in der Berichterstattung des Exchange Admin Centers. Bleibt sie bestehen, folgen schrittweise verschärfte Drosselungen des Nachrichtenverkehrs und schließlich Sperren.
Bei einer Drosselung antwortet Exchange Online mit einem vorübergehenden SMTP-Fehler 450 4.7.230. Der sendende Server stellt die Nachricht in eine Warteschlange und versucht später erneut zuzustellen. Bei einer Sperre kann dagegen 550 5.7.230 auftreten. Dann wird die Nachricht zurückgewiesen und üblicherweise ein Unzustellbarkeitsbericht erzeugt. Microsoft beschreibt acht Eskalationsstufen bis zur vollständigen Blockierung nicht konformer Verbindungen.
Die derzeit dokumentierte Regel gilt für Exchange-Server, die über Inbound-Connectoren des Typs OnPremises an Exchange Online senden. Sie betrifft nicht pauschal jede Nachricht, die ein Unternehmen über Microsoft 365 verschickt. Microsoft hat jedoch angekündigt, den Anwendungsbereich perspektivisch auszuweiten.
Connectoren, Serverberichte und Buildstände kontrollieren
Administratoren hybrider Exchange-Umgebungen können zunächst mit Get-InboundConnector | ft Name,ConnectorType feststellen, welche Inbound-Connectoren vorhanden sind. Im Exchange Admin Center gibt es unter den Nachrichtenflussberichten eine Übersicht zu verbindenden lokalen Exchange-Servern. Ergänzend liefert Get-OnPremServerReportInfo über Exchange Online PowerShell Hinweise auf erkannte veraltete Server und die Transportdurchsetzung. Ein leerer Bericht beweist allerdings nicht, dass eine lokale Exchange-Installation insgesamt sicher oder vollständig aktuell ist.
Wichtig sind außerdem die tatsächlich installierten Buildstände sämtlicher verbindender Server, einschließlich möglicherweise übersehener Hybrid- oder Relay-Systeme. Ein aktueller Connector oder eine fehlerfreie Transportverbindung ersetzt keinen Sicherheitsupdate-Nachweis. Für noch betriebene Exchange-2016/2019-Systeme muss zusätzlich geprüft werden, ob die Migration auf Exchange SE vorbereitet ist und ob individuelle ESU-Berechtigungen bestanden.
Versionshinweise und Updates: Die offizielle deutsche Übersicht der Exchange-Server-Buildnummern nennt veröffentlichte Updates und die zugehörigen Versionsstände. Die unterstützte Produktlinie und den jeweiligen Sicherheitsupdatebedarf sollten Betreiber unmittelbar anhand der Microsoft-Dokumentation abgleichen.
Vorübergehende Aussetzung nur als Übergangslösung
Microsoft ermöglicht betroffenen Mandanten, die Drosselung und Blockierung für insgesamt bis zu 90 Tage pro Kalenderjahr zeitweise auszusetzen. Der Hersteller beschreibt die Freistellung als kurzfristige Hilfe für notwendige Aktualisierungen oder Migrationen, nicht als dauerhafte Möglichkeit, nicht mehr unterstützte Server weiterzubetreiben. Ein einmal beanspruchter Zeitraum lässt sich auch bei vorzeitig abgeschlossener Reparatur nicht wieder gutschreiben.
Die Microsoft-Anleitung zur vorübergehenden Aussetzung erläutert die Bedienung im Exchange Admin Center und über Exchange Online PowerShell. Weitere Einzelheiten zum zeitlich begrenzten ESU-Programm stehen in der Ankündigung des zweiten ESU-Zeitraums.
Unternehmen mit hybrider Exchange-Struktur sollten die Migration deshalb nicht allein an der nächsten angekündigten Transportgrenze ausrichten: Seit dem Ende der regulären Unterstützung von Exchange 2016 und 2019 im Oktober 2025 und dem Ablauf des letzten ESU-Zeitraums bleibt das Sicherheitsrisiko älterer Systeme bestehen, auch wenn Exchange Online Nachrichten derzeit noch annimmt.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten