EWS wird abgeschaltet: Was bis zum 31. August zu tun ist

Am 1. Oktober 2026 sperrt Microsoft die Exchange Web Services in jedem Mandanten, der bis dahin nichts unternommen hat. Betroffen sind nicht die Postfächer selbst, sondern die Programme, die auf sie zugreifen: das Archivsystem, die CRM-Anbindung, die den Kalender abgleicht, das Raumbuchungssystem im Besprechungsraum, der Sicherungsdienst. Alles Dinge, die seit Jahren unauffällig laufen und deshalb auf keiner Liste stehen.

Die Frist, um das selbst in die Hand zu nehmen, endet am 31. August 2026.

Was wann passiert

• 31. August 2026: Letzter Tag, um selbst eine Freigabeliste zu hinterlegen und EwsEnabled auf $true zu setzen. Wer das tut, wird im Oktober nicht automatisch gesperrt.
• September 2026: Microsoft legt für Mandanten ohne eigene Freigabeliste eine an, anhand dessen, was dort tatsächlich über EWS gelaufen ist. Sie ist eine Vorarbeit, keine Rettung.
• 1. Oktober 2026: In jedem Mandanten, in dem EwsEnabled noch auf Null steht, wird der Wert auf False gesetzt. Damit ist EWS für alle Anwendungen gesperrt, auch für die, die auf der von Microsoft angelegten Liste stehen.
• 1. April 2027: Endgültige Abschaltung. Danach lässt sich EWS nicht mehr einschalten, auch nicht über eine Freigabeliste.

Es geht ausschließlich um EWS in Exchange Online. Ein lokaler Exchange-Server, der Postfächer im eigenen Haus bedient, ist davon nicht berührt. Wer hybrid arbeitet, prüft allerdings genauer: Ein lokaler Server oder ein lokales Werkzeug, das über EWS auf Postfächer in der Cloud zugreift, fällt sehr wohl unter die Sperre.

Der häufigste Denkfehler: „Microsoft legt die Liste doch selbst an"

Das stimmt, und es hilft trotzdem nicht. Der Grund steckt in zwei Schaltern, die unabhängig voneinander wirken.

Die Freigabeliste sagt, welche Anwendungen EWS nutzen dürfen. Der Schalter EwsEnabled sagt, ob EWS überhaupt offen ist. Am 1. Oktober wird dieser zweite Schalter in jedem Mandanten, der ihn nicht selbst gesetzt hat, auf False gestellt. Ein geschlossener Zugang bleibt geschlossen, egal wer auf der Liste steht.

Nur wer beides selbst gesetzt hat, Liste und Schalter, läuft am 1. Oktober unverändert weiter. Die von Microsoft angelegte Liste erspart Arbeit, sobald jemand den Schalter umlegt; sie ersetzt diesen Schritt aber nicht.

Zwei weitere Gründe sprechen dagegen, sich auf die fremde Liste zu verlassen, auch wenn der Schalter gesetzt ist:

• Sie kennt nur, was gerade lief. Die Liste entsteht aus gemessener Nutzung. Eine Anwendung, die nur zum Quartalsende arbeitet, nur beim Jahresabschluss oder nur im Störungsfall, war in diesem Zeitraum still und steht deshalb nicht darauf. Sie fällt dann an dem Tag aus, an dem sie gebraucht wird.
• Sie ist nicht selbst bestimmt. Auslesen lässt sie sich, aber niemand hat entschieden, was daraufsteht, und Änderungen sind nicht nachvollziehbar. Für eine Umgebung, die in einer Prüfung oder einem Sicherheitskonzept beschrieben werden muss, ist das ein Rückschritt.

Und der Fall, den kaum jemand mitdenkt: Wer nachweislich niemanden hat, der EWS nutzt, für den ist die automatische Sperre nicht das Risiko, sondern das Ziel. Sie schließt eine Tür, die ohnehin niemand mehr benutzt. Die Prüfung lohnt sich trotzdem, aber sie endet dann mit „nichts zu tun", und das ist ein gutes Ergebnis.

Wie man herausfindet, wer EWS überhaupt nutzt

Das ist der eigentliche Aufwand, und er ist geringer, als er klingt. Microsoft stellt im Microsoft-365-Admin-Center einen Nutzungsbericht für EWS bereit. Er zeigt je Anwendung die Kennung (Application ID), die aufgerufene Funktion, die Zahl der Aufrufe und den Zeitpunkt der letzten Aktivität.

Der gewählte Zeitraum ist die entscheidende Einstellung. Der kürzeste zeigt den Alltag. Der längste zeigt auch das, was nur monatlich oder quartalsweise läuft, und das ist genau der Teil, der bei der automatischen Liste durchfällt. Welche Zeiträume der Bericht im eigenen Mandanten anbietet, steht in der Ansicht selbst; die Angaben dazu haben sich mehrfach geändert.

Ergänzend helfen das Überwachungsprotokoll in Microsoft Purview und die Anmeldeprotokolle in Entra ID. Sie zeigen dieselben Zugriffe aus einer anderen Richtung und helfen dort, wo im Nutzungsbericht nur eine nackte Kennung ohne erkennbaren Namen steht. Für die Anmeldeprotokolle in vollem Umfang ist allerdings Entra ID P1 nötig, das nicht in jedem Tarif enthalten ist.

Kein Bericht sieht alles. Was nur jährlich läuft, taucht in keinem Messfenster auf. Deshalb gehört neben den Bericht ein zweiter Blick: die Anwendungsregistrierungen in Entra ID daraufhin durchsehen, wer überhaupt EWS-Berechtigungen hat, und bei den Herstellern der eingesetzten Fachanwendungen nachfragen. Der Bericht zeigt, was lief. Die Berechtigungen zeigen, was laufen könnte.

Am Ende dieses Schrittes steht eine Liste von Anwendungskennungen. Dass darunter welche sind, die sich nicht auf Anhieb zuordnen lassen, ist kein Versäumnis; eine gewachsene Umgebung sammelt solche Einträge über Jahre an. Diese Kennungen aufzulösen ist die Arbeit, die zwischen dem Bericht und einer belastbaren Freigabeliste liegt.

Ein Hinweis zur Abgrenzung, weil er oft für Verwirrung sorgt: Geräte, die eingescannte Dokumente per Mail verschicken, arbeiten in aller Regel über SMTP, nicht über EWS. Sie sind von dieser Abschaltung also nicht betroffen, wohl aber von anderen Umstellungen, die Microsoft parallel fährt. Der Nutzungsbericht ist auch hier die verlässliche Auskunft: Was dort nicht auftaucht, nutzt EWS nicht.

Was bis zum 31. August zu tun ist

Ein Befehl in der Exchange-Online-PowerShell:

Set-OrganizationConfig -EwsEnabled $true -EwsAllowedAppIDs "<App-ID-1>,<App-ID-2>"

EwsAllowedAppIDs nimmt die Entra-Anwendungskennungen (GUIDs) auf; alles, was nicht daraufsteht, wird blockiert. EwsEnabled hält den Zugang offen. Beides gehört in denselben Aufruf. So zeigt es auch Microsofts eigenes Beispiel in der PowerShell-Dokumentation.

Zum Nachsehen, was hinterlegt ist:

Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Format-List EwsAllowedAppIDs

Zwei Dinge, die dabei leicht schiefgehen:

• Nicht verwechseln: Es gibt einen älteren Parameter EwsAllowList, der Anwendungen über Namensmuster freigibt und mit EwsApplicationAccessPolicy zusammenarbeitet. Für die Umstellung 2026 ist EwsAllowedAppIDs der richtige; er arbeitet mit Entra-Kennungen.
• Die Liste wird gesetzt, nicht ergänzt. Wer den Befehl ein zweites Mal mit nur einer Kennung aufruft, hat danach auch nur diese eine freigegeben. Erst auslesen, dann vollständig neu setzen.

Wer lieber in der Oberfläche arbeitet: Der Baseline Security Mode im Microsoft-365-Admin-Center enthält für Exchange Online eine Empfehlung, und die lautet, EWS zu blockieren. Er ist also das Gegenstück: nützlich, um die Angriffsfläche zu verkleinern, wenn im Haus wirklich niemand mehr EWS braucht, aber kein Weg, eine Freigabeliste zu pflegen.

Der eigentliche Weg führt zu Microsoft Graph

Die Freigabeliste verschafft Zeit bis zum 1. April 2027, mehr nicht. Der vorgesehene Nachfolger ist Microsoft Graph; für viele EWS-Funktionen führt Microsoft dort eine dokumentierte Entsprechung. Welche das im Einzelfall sind, steht in Microsofts Gegenüberstellung und ändert sich noch.

Nicht für alle. Sicherungslösungen und der Im- und Export öffentlicher Ordner haben in Graph heute keinen gleichwertigen Weg, und sie sind nicht die einzigen Lücken; Microsoft führt die offenen Punkte selbst und ändert die Liste laufend. Wer eine Sicherung einsetzt, die über EWS arbeitet, klärt das am besten direkt mit dem Hersteller, und zwar jetzt, nicht im März.

Der Weg zu Graph muss nicht bedeuten, selbst zu entwickeln. Wo Standardsoftware im Einsatz ist, führt er meist über eine neuere Fassung, vorausgesetzt, der Hersteller hat umgestellt, die Lizenz deckt sie ab und die nötigen Berechtigungen lassen sich in Entra einrichten. Die erste Frage lautet deshalb nicht „wie programmieren wir das um", sondern „was sagt der Hersteller zu seinem Zeitplan".

Was das für ein Unternehmen konkret bedeutet

• Bis 31. August: Nutzungsbericht ziehen, Kennungen zuordnen, Freigabeliste setzen, EwsEnabled auf $true. Danach greift die automatische Umstellung am 1. Oktober nicht mehr. Ob wirklich alles weiterläuft, hängt daran, ob die Liste vollständig ist. Deshalb gehört nach dem Setzen ein Funktionstest dazu, nicht nur das Auslesen.
• Wer die Frist verpasst: Der Zugang lässt sich auch nach dem 1. Oktober wieder öffnen; Microsoft nennt das ausdrücklich als Möglichkeit und weist zugleich auf die Dienstunterbrechung hin, die bis dahin läuft. Der Ausfall dauert also so lange, bis jemand merkt, woran es liegt, und genau das ist der teure Teil, nicht der Befehl selbst.
• Bis 1. April 2027: Für jede Anwendung auf der Liste klären, ob sie auf Graph umgestellt ist oder umgestellt werden kann. Dieser Termin ist der harte, denn danach hilft kein Schalter mehr.
• Nicht betroffen: Lokale Exchange-Server mit lokalen Postfächern, und alles, was über andere Protokolle arbeitet.

Wo wir helfen

Wir ziehen den Nutzungsbericht, lösen die Anwendungskennungen auf, hinterlegen die Freigabeliste und klären mit den Herstellern, was bis 2027 auf Graph umgestellt sein muss, im Rahmen der Betreuung von Microsoft 365 oder als eigener Schritt. Wie sich hybride Umgebungen sonst noch auswirken, steht unter hybride Infrastruktur. Und warum der letzte lokale Exchange-Server seit 2026 weg kann, steht in diesem Beitrag. Ein erstes Gespräch geht auf uns.

Stand: 23. August 2026, geprüft gegen die Ankündigungen des Exchange-Teams und die PowerShell-Dokumentation von Microsoft. Termine und Umfang haben sich bei dieser Umstellung schon mehrfach geändert: Vor einer Änderung am eigenen Mandanten gehört der Stand dort noch einmal nachgesehen.