Bis zum 30. September 2025 sind es noch drei Wochen, und in vielen Azure-Tenants wird es langsam unruhig. Die Azure-Abkündigungen im September 2025 treffen mehr Workloads, als man zunächst vermutet. Das gilt vor allem für das Aus der Basic Public IPs und das Ende des Default Outbound Access für neue virtuelle Netzwerke. In meinen letzten Projekten tauchten gerade bei kurzfristigen Prüfungen Abhängigkeiten und alte Deployments auf, an die sich niemand mehr erinnern konnte.

Microsoft schaltet Basic Public IPs ab und streicht den Default Outbound Access für neue Netze

Am deutlichsten spürbar wird das Ende der Basic Public IPs. Am 30. September 2025 stellt Azure die Unterstützung für Basic-Public-IP-Adressen endgültig ein. Neue Basic Public IPs lassen sich schon seit einiger Zeit nicht mehr anlegen, ab dem Stichtag funktionieren aber auch die vorhandenen nicht mehr. Mir begegnen immer wieder Tenants, in denen jahrelang die Basic-SKU gewählt wurde, als wäre sie der Standard. Meist liegt das an alten ARM-Templates oder manuellen Deployments, die nie jemand angepasst hat. Hinzu kommt, dass neue virtuelle Netzwerke ab diesem Datum keinen automatischen Default Outbound Access mehr erhalten. Wer für ausgehende Internetverbindungen weiterhin eine einfache Lösung braucht, muss nun ausdrücklich ein NAT Gateway oder einen Load Balancer einsetzen. Mehr Hintergrund findet ihr in meinen Beiträgen zum Retirement der Basic IPs und zum Default Outbound Access.

Aus der Praxis: Die Migration auf Standard-SKUs und NAT Gateway macht zunächst Arbeit, bringt aber eine einheitlichere Sicherheit und mehr Kontrolle über die Netzwerktopologie. Alte Abhängigkeiten von Basic IPs sind ein häufiger Stolperstein, wenn Zero Trust und Netzwerksegmentierung eingeführt werden sollen.

Advisor und Resource Graph zeigen die betroffenen Ressourcen in kurzer Zeit

Jetzt lohnt sich ein gründlicher Blick in den Azure Advisor. Unter Azure Portal → Advisor → Empfehlungen lässt sich gezielt nach Abkündigungen filtern. Noch aufschlussreicher ist das Service Retirement Workbook (Advisor → Workbooks → Service Retirement). Dort erkennt man schnell, welche Ressourcen betroffen sind und wie wichtig sie für den Betrieb sind. Für die Praxis genügt das allerdings nicht. Basic Public IPs stecken manchmal tief in verschachtelten Deployments, etwa in älteren Load Balancern oder Application Gateways. Deshalb nutze ich zusätzlich immer den Azure Resource Graph Explorer und erfasse Basic Public IPs mit einigen gezielten Abfragen automatisiert über den ganzen Tenant.

Die folgende KQL-Abfrage hat sich bei mir bewährt. Sie findet alle Basic Public IPs im Tenant und wird im Azure Resource Graph Explorer ausgeführt (Berechtigung: mindestens Reader auf der Subscription):

resources
| where type == "microsoft.network/publicipaddresses"
| where sku.name == "Basic"
| project name, resourceGroup, location, properties.ipAddress, properties.publicIPAddressVersion

So habe ich sämtliche Basic-IP-Adressen mit Standort und Ressourcengruppe auf einen Blick.

Nicht jeder Migrationspfad lässt sich automatisieren

Für den Wechsel von Basic auf Standard Public IP empfiehlt Microsoft das bewährte Vorgehen: eine neue Public IP mit Standard-SKU anlegen, die bisherige Basic IP damit ersetzen und die alte Adresse erst nach erfolgreicher Umstellung löschen. Dabei sollte man wissen, dass Standard-SKUs bei Firewallregeln andere Voreinstellungen mitbringen. Sie unterstützen Zonen, Floating IPs dagegen nicht mehr. Auch Load Balancer müssen auf die Standard-SKU wechseln. Microsoft liefert dafür im offiziellen Leitfaden ein PowerShell-Skript mit. Produktive Systeme stellt man am besten in einem geplanten Wartungsfenster um, denn IP-Adressen sind in der Praxis häufig in DNS-Records und Firewallregeln eingetragen oder bei externen Partnern hinterlegt.

Für den Default Outbound Access gibt es keinen direkten Ersatz. Brauchen Workloads weiterhin ausgehenden Internetzugang, muss ein NAT Gateway oder ein Load Balancer ausdrücklich konfiguriert werden. Betroffen sind vor allem Legacy-VMs, Dev/Test-Umgebungen und alte Templates. Wer herausfinden möchte, ob und wo der Default Outbound Access schon genutzt wird, sollte den offiziellen Leitfaden von Microsoft lesen und gezielt nach virtuellen Netzwerken suchen, die keine eigene Komponente für ausgehenden Datenverkehr haben.

Sprecht vor jeder Umstellung rechtzeitig mit den Verantwortlichen der Anwendungen. Häufig wissen nur sie, welche externen Systeme auf die alte IP-Adresse angewiesen sind.

Ein Schaubild verdeutlicht das Zusammenspiel von Basic Public IP und Default Outbound Access

Ich werde oft gefragt, wie Basic-Public-IP-Adressen und Default Outbound Access zusammenhängen und was sich mit der Abkündigung ändert. Das folgende Diagramm stellt es übersichtlich dar:

flowchart TD
    VM["VM"] --> VNet["Virtuelles Netzwerk"]
    VNet --> BasicIP["Basic Public IP"]
    VNet --> DOA["Default Outbound Access"]
    BasicIP -. "End of support 2025" .-> End["Kein Zugang"]
    DOA -. "Nur für alte Netzwerke" .-> End

Abbildung: Basic Public IP und Default Outbound Access und die Folgen der Abkündigungen für den Netzwerkzugang

Wer jetzt aufräumt, erlebt im Oktober keine bösen Überraschungen

Die Azure-Abkündigungen im September 2025 betreffen nicht allein die Infrastruktur. Auch kritische Anwendungen, Dev/Test-Umgebungen und Automatisierungen hängen daran. Basic Public IPs sind häufig unbemerkte Single Points of Failure, die erst bei einem Ausfall ins Auge fallen. Wer jetzt mit dem Advisor, dem Service Retirement Workbook und passenden Resource-Graph-Abfragen eine Bestandsaufnahme macht, hat einen klaren Vorsprung. Die Mühe, die Migration sorgfältig mit den Application Ownern abzustimmen, macht sich spätestens im Oktober bezahlt. Oft bietet die Umstellung zudem eine gute Gelegenheit, veraltete Deployments zu modernisieren und die Netzwerkzugriffe endlich ordentlich zu dokumentieren. Weitere Migrationsstrategien mit vielen Praxisbeispielen und Skripten findet ihr in meiner Azure-Kategorie im Blog. Mein Rat lautet daher, die Umstellung jetzt sauber anzugehen und die eigene Cloud für 2026 vorzubereiten.