Viel Zeit bleibt nicht mehr. Seit Oktober 2025 liegen Exchange Server 2016 und 2019 endgültig außerhalb des regulären Supports. Wer auf die Extended Security Updates (ESU) gesetzt hat, muss sich spätestens im April 2026 entscheiden, denn mit dem ESU-Ende für Exchange 2016 und 2019 bleiben auch die letzten Sicherheitsupdates aus. In vielen Kundenprojekten sehe ich, dass der Abschied vom letzten Exchange-Server bis zuletzt aufgeschoben wird. Mit Abwarten kommt man jetzt aber nicht mehr weiter, es braucht klare Entscheidungen.

Ab April 2026 bekommen Exchange 2016 und 2019 keine Sicherheitsupdates mehr

Das Support-Ende ist kein Stichtag wie jeder andere, sondern ein echter Einschnitt in der Geschichte von Exchange. Ab April 2026 erhalten die Server keine Sicherheitsupdates mehr und sind damit angreifbar, ganz gleich, ob sie noch produktiv laufen oder nur der Verwaltung dienen. Viele Admins hoffen, das Risiko mit einer Minimalinstallation oder einem reinen Verwaltungsserver im Griff zu behalten. Das ist leider ein Irrtum. Auch Management-Server bieten Angreifern einen Weg ins Netz, und genau solche Systeme nehmen Angreifer immer häufiger ins Visier. Ich rate deshalb dringend davon ab, das ESU-Ende als „weiche“ Deadline abzutun. Die nächsten Schritte gehören spätestens jetzt auf die Agenda.

Die Subscription Edition überbrückt die Zeit für Hybrid und Verwaltung

Wer Exchange noch für das Recipient Management synchronisierter Konten (hybrid) oder als SMTP-Relay braucht, sollte das In-Place-Upgrade auf die Exchange Server Subscription Edition (SE) ins Auge fassen. Microsoft unterstützt diesen Weg offiziell ab Exchange 2019, und in vielen Umgebungen klappt er erstaunlich problemlos, sofern die Patches aktuell und alle Voraussetzungen erfüllt sind. Wer noch mit 2016 arbeitet, kommt um den Zwischenschritt auf 2019 nicht herum und sollte ihn jetzt gehen. Allerdings bleibt Exchange auch mit SE im Grunde ein „Zombie“-Dienst. Auf lange Sicht sollte der komplette Ausstieg das Ziel sein. Viele Details zum Wechsel habe ich bereits in meinem Beitrag über Upgrade und Support der Exchange Server Subscription Edition beschrieben.

Für das Recipient Management reichen die Management Tools ohne eigenen Server

Schon seit einiger Zeit gibt es mit den Exchange Management Tools („Recipient Management tools“) eine schlanke Alternative. Wer AD-Objekte für Exchange Online verwalten will, braucht dafür keinen produktiven Exchange-Server mehr. Die Management Tools (nur PowerShell) lassen sich auf jedem beliebigen Server installieren, der Mitglied der Active-Directory-Domäne ist und keine Exchange-Rolle mehr bereitstellt. Die Angriffsfläche schrumpft dadurch erheblich. Voraussetzung ist allerdings, dass die Hybridumgebung korrekt auf „Recipient Management“ umgestellt und der letzte Exchange-Server gemäß dem offiziellen Offboarding-Leitfaden sauber entfernt wurde. In vielen Tenants scheitert das an Altlasten wie Verteilergruppen, Legacy-Objekten oder nicht migrierten SMTP-Relays. Dann hilft meist nur ein geplanter Frühjahrsputz mit klaren Zielen, bei dem man auch bereit sein muss, alte Zöpfe abzuschneiden.

# Exchange Recipient Management Tools Installation (auf Windows Server, PowerShell 7, Domänenmitglied)
Install-WindowsFeature RSAT-AD-PowerShell
# Download Exchange SE Management Tools Setup (aktuelles ISO)
# Dann im Setup-Assistenten: „Management Tools“ wählen

Tipp aus der Projektpraxis: Wer auf die Management Tools umstellt, sollte die Exchange-Berechtigungen im AD regelmäßig prüfen und auf das Nötigste beschränken. Alte Konten mit Exchange-Rechten tauchen bei Penetrationstests immer wieder auf.

Das SMTP-Relay lässt sich auch ohne Exchange-Server betreiben

Viele Unternehmen halten den letzten Exchange-Server nur noch für das interne SMTP-Relay am Leben, etwa für Multifunktionsgeräte, Scanner oder Anwendungen. Diese Abhängigkeiten sollten Sie jetzt auflösen. Microsoft empfiehlt, stattdessen das SMTP-Relay mit Exchange Online einzurichten oder auf dedizierte SMTP-Gateways wie interne Mail-Appliances umzusteigen. In manchen Umgebungen lohnt es sich auch, die SMTP-Authentifizierung in Exchange Online gezielt für interne Systeme freizugeben. Dann aber bitte immer mit restriktiven Richtlinien und Überwachung, etwa über Conditional Access und eine detaillierte Protokollierung.

Erst nach einer sauberen Migration lässt sich der letzte Exchange-Server abschalten

Wer den vollständigen Ausstieg geschafft hat, kann durchatmen, bis dahin ist es aber oft ein mühsamer Weg. Bevor der letzte Exchange-Server vom Netz gehen kann, müssen alle Postfächer, Verteiler, Ressourcen und SMTP-Flows sauber migriert sein. Außerdem dürfen keine AD-Objekte mehr an Exchange hängen, etwa Linked Mailboxes oder spezielle Exchange-Attribute. Erst danach lassen sich die letzten Exchange-Komponenten vollständig entfernen. Wie so ein Hybrid-Exit in der Praxis abläuft, habe ich in einem eigenen Beitrag zum Hybrid-Exit Schritt für Schritt beschrieben.

Das folgende Diagramm zeigt die typischen Entscheidungswege nach dem ESU-Ende. Da es nach April 2026 keine Sicherheitsupdates mehr gibt, sollte jede Umgebung jetzt auf eines der drei Ziele hinarbeiten:

flowchart TD
   ESUEnd["ESU-Ende erreicht"]
   UpgradeSE["Upgrade auf SE"]
   MgmtTools["Recipient Management Tools nutzen"]
   SMTPRelay["SMTP-Relay migrieren"]
   HybridMinimal["Minimaler Hybrid-Server (SE)"]
   RemoveEx["Letzten Exchange-Server entfernen"]
   SMTPAlt["SMTP-Relay Exchange Online / Appliance"]

   ESUEnd --> UpgradeSE
   UpgradeSE --> HybridMinimal
   HybridMinimal --> MgmtTools
   MgmtTools --> RemoveEx
   ESUEnd --> SMTPRelay
   SMTPRelay --> SMTPAlt
   SMTPAlt --> RemoveEx

Abbildung: Entscheidungswege nach dem ESU-Ende für Exchange 2016 und 2019 – Upgrade, Management Tools oder Ausstieg

Halbe Lösungen verlängern nur das Risiko

Ich habe es oft genug gesehen. Der letzte Exchange-Server bleibt aus Bequemlichkeit oder wegen „gefühlter Sicherheit“ im Keller stehen und wird von Monat zu Monat unsicherer. Wer jetzt nicht auf Exchange Server SE oder die Management Tools umsteigt, geht ein ernstes Risiko ein. Spätestens nach dem ESU-Ende für Exchange 2016 und 2019 haben „Zombie-Server“ in keiner Umgebung mehr etwas verloren. Meist ist der Ausstieg die beste Option. Dafür setzen Sie die Management Tools für das Recipient Management ein, stellen das SMTP-Relay um und schalten anschließend die letzten Exchange-Reste ab. Wer noch einen Hybrid-Server braucht, sollte ihn wenigstens auf SE heben und den Ausstieg weiter vorantreiben. In den kommenden Monaten fällt die Entscheidung, und wer jetzt handelt, kann der nächsten Runde Penetrationstests gelassen entgegensehen.