Microsoft setzt neue Mindestversion für Exchange durch
Microsoft verschärft die technischen Voraussetzungen für E-Mails von lokalen Exchange-Servern an Exchange Online. Ab der zweiten Septemberwoche 2026 sollen bestimmte Installationen von Exchange Server 2016 und 2019 gedrosselt oder vollständig blockiert werden.
Als Mindestanforderung gilt die finale öffentliche Update-Baseline von Oktober 2025. Eine Baseline bezeichnet hier den ältesten noch akzeptierten Patch-Stand. Zwischen der Veröffentlichung dieses Updates und der Durchsetzung liegt damit fast ein Jahr.
| Zeitpunkt | Vorgabe | Auswirkung |
|---|---|---|
| Oktober 2025 | Finale öffentliche Update-Baseline für Exchange Server 2016 und 2019 | Dieser Patch-Stand wird zur Mindestanforderung |
| Zweite Septemberwoche 2026 | Beginn der Durchsetzung | Veraltete Systeme werden gedrosselt oder blockiert |
Welche Exchange-Installationen betroffen sind
Die Regel gilt derzeit für Exchange Server 2016 und 2019, wenn diese E-Mails über einen Inbound-Connector des Typs OnPremises an Exchange Online übermitteln. Solche Connectoren kommen vor allem in hybriden Umgebungen zum Einsatz, in denen lokale Server und Microsofts Cloud-Dienst zusammenarbeiten.
Andere Zustellwege sind nach aktuellem Stand nicht betroffen. Microsoft stellt außerdem klar, dass die Richtlinie nicht automatisch sämtliche Server einer Organisation erfasst. Ob und wann weitere Übertragungswege einbezogen werden, ist offen.
„Dieser Update-Stand wurde vor fast einem Jahr veröffentlicht, und alle Organisationen hätten darauf aktualisieren sollen“, erklärt Microsoft in sinngemäßer deutscher Übersetzung.
Das Unternehmen deutet zugleich eine mögliche Ausweitung an. Die Aussage „Dies könnte sich in der Zukunft ändern“ lässt bewusst offen, welche Systeme oder Zustellszenarien später zusätzlich unter die Mindestvorgaben fallen.
Patch-Management wird zur Voraussetzung für Zustellung
Microsoft setzt Drosselungen und Blockaden für deutlich veraltete Exchange-Installationen bereits seit mehreren Jahren ein. Neu ist vor allem, dass die Mindestversion nun auf den letzten öffentlichen Update-Stand von Exchange Server 2016 und 2019 angehoben wird.
Aus Sicht der IT-Sicherheit ist ein zeitnahes Patch-Management nachvollziehbar. Ungepatchte Kommunikationssysteme sind ein attraktives Angriffsziel. Wie wichtig konsequente Aktualisierungen im Microsoft-Umfeld sind, zeigt auch die aktiv ausgenutzte kritische Lücke in Microsoft Entra ID.
„Unter dem Strich müssen Administratoren verstehen, dass Exchange rechtzeitig aktualisiert werden sollte“, sagte Microsoft-Manager Nino Bilic, sinngemäß aus dem Englischen übersetzt. Die Änderung wäre laut Bilic auch ohne die vorherige Ankündigung umgesetzt worden.
Für den Betrieb bleibt dennoch ein Zielkonflikt. Sicherheitsupdates müssen schnell installiert werden, zugleich benötigen geschäftskritische Mail-Systeme ausreichend Zeit für Tests und eine kontrollierte Einführung. Die angekündigte Frist schafft Planungsspielraum, ersetzt aber keine Bestandsaufnahme der vorhandenen Connectoren und Serverstände.
Hybride Exchange-Umgebungen im DACH-Raum
Viele mittelständische Unternehmen im DACH-Raum betreiben Exchange weiterhin hybrid. Gründe sind Datenschutzvorgaben, Compliance-Anforderungen, bestehende Anwendungen oder technische Abhängigkeiten von lokalen Mailservern.
Wird der geforderte Patch-Stand nicht erreicht, können E-Mails an Kunden, Partner oder andere Empfänger mit Postfächern in Exchange Online scheitern. Das macht die Vorgabe zu einem operativen Risiko, nicht nur zu einem Supportthema.
IT-Verantwortliche sollten deshalb prüfen, welche Systeme über OnPremises-Inbound-Connectoren senden, welchen Patch-Stand diese aufweisen und ob die Aktualisierung vor der zweiten Septemberwoche 2026 getestet werden kann. Auch die Überwachung abgewiesener Nachrichten sollte in die Vorbereitung einbezogen werden.
Der nächste Versionssprung verschärft den Lock-in
Die aktuelle Mindestversion lässt sich noch mit dem letzten öffentlichen Update für Exchange Server 2016 und 2019 erfüllen. Bei einer weiteren Anhebung wären jedoch nur Unternehmen kompatibel, die am Extended-Security-Update-Programm teilnehmen oder auf die Exchange Server Subscription Edition migrieren.
Microsoft nennt keine konkreten Kosten für diese Wege. Klar ist aber, dass sich der Handlungsspielraum lokaler Betreiber verkleinert. Die Reichweite von Exchange Online gibt Microsoft die Möglichkeit, technische Mindeststände auch gegenüber selbst betriebenen Systemen durchzusetzen.
Das ist ein typischer Lock-in-Effekt hybrider SaaS-Umgebungen. Ähnliche Abhängigkeiten und Lizenzrisiken werden auch bei der Debatte über den VMware-Lock-in unter Broadcom sichtbar.
Herstellerunabhängige Open-Source-Mailserver können mehr Kontrolle über Versionen, Kosten und Betriebsmodelle bieten. Sie verlagern allerdings Verantwortung für Sicherheit, Zustellbarkeit und Wartung vollständig in das Unternehmen oder zu einem beauftragten Dienstleister. Für bestehende Exchange-Landschaften ist ein solcher Wechsel daher kein kurzfristiger Ersatz für das notwendige Update, sondern eine strategische Architekturentscheidung.