Der letzte Exchange-Server kann weg: Was sich 2026 geändert hat

In vielen Häusern steht ein Exchange-Server, den niemand mehr braucht. Die Postfächer liegen längst in der Cloud, gearbeitet wird über Exchange Online, und trotzdem läuft die alte Maschine weiter, wird gepatcht, gesichert und lizenziert. Der Grund war bisher zwingend. Seit 2026 ist er es nicht mehr.

Warum der letzte Server stehen bleiben musste

Wer Benutzerkonten im lokalen Active Directory führt und in die Cloud synchronisiert, verwaltet damit auch die postfachbezogenen Angaben lokal, von zusätzlichen E-Mail-Adressen über den Archivstatus bis zu Weiterleitungen und Absenderlisten. Für die Bearbeitung waren die Exchange-Verwaltungswerkzeuge der vorgesehene Weg, und in der Praxis lief das über einen vorhandenen Exchange-Server. Deshalb blieb er stehen.

Microsoft hat das jahrelang so dokumentiert: Wer die Konten lokal führt, behält einen Server, auch wenn kein Postfach mehr darauf liegt. Für die Betreiber bedeutete das Aufwand ohne Gegenwert (inklusive der Pflicht, ihn aktuell zu halten), und mit dem Ende der Unterstützung ist das nicht mehr möglich. Exchange-Server aus dem Internet erreichbar zu betreiben, ohne Sicherheitsaktualisierungen zu erhalten, ist ein Risiko, das mit jedem Monat wächst.

Was sich geändert hat

Microsoft hat die Verwaltung dieser Attribute in die Cloud verlagert. Postfächer lassen sich als „cloud-verwaltet" kennzeichnen; die Exchange-Angaben werden dann in Exchange Online gepflegt und von dort ins lokale Active Directory zurückgeschrieben. Der Fachbegriff dafür ist Writeback.

Der Ablauf hat zwei Richtungen, und die gehören auseinandergehalten. Nach oben bleibt es bei der gewohnten Verzeichnissynchronisierung: Die Identität (Name, Anmeldung, Gruppen) kommt weiter aus dem lokalen Active Directory. Für die Exchange-Angaben wechselt dagegen die Zuständigkeit in die Cloud, dort werden sie gepflegt, und Entra Cloud Sync bringt sie nach unten zurück ins Active Directory. Wichtig dabei: Zurückgeschrieben wird ein festgelegter Teil der Exchange-Angaben, nicht alles. Dazu gehören die E-Mail-Adressen (Proxy-Adressen und die Hauptadresse) sowie die frei belegbaren Zusatzfelder, an denen in gewachsenen Umgebungen oft Fachanwendungen hängen. Andere Angaben lassen sich in der Cloud bearbeiten, erscheinen aber nicht wieder im lokalen Verzeichnis. Welche das sind, gehört vor der Umstellung Feld für Feld gegen die Microsoft-Dokumentation geprüft.

Eine Voraussetzung geht in den Ankündigungen leicht unter: Das Zurückschreiben setzt Entra Cloud Sync voraus. Wer heute mit dem klassischen Entra Connect Sync synchronisiert, und das sind die meisten, muss es deswegen aber nicht ersetzen. Microsoft beschreibt beide ausdrücklich als nebeneinander betreibbar: Connect Sync macht die Verzeichnissynchronisierung weiter wie bisher, Cloud Sync kommt zusätzlich dazu und übernimmt allein das Zurückschreiben der Exchange-Felder. Zu prüfen ist stattdessen die Fassung: Connect Sync braucht eine aktuelle Version, sonst scheitert die Synchronisierung an den umgestellten Postfächern.

Damit fällt der Grund weg, den letzten Server zu behalten. Anwendungen im Haus, die ihre Adressdaten aus dem Active Directory lesen, können weiterlaufen; genau dafür wird zurückgeschrieben. „Können" ist hier wörtlich zu nehmen: Ob es im Einzelfall trägt, hängt davon ab, welche Felder die Anwendung liest, ob sie zum zurückgeschriebenen Satz gehören und wie empfindlich die Anwendung auf die Verzögerung reagiert. Genau das ist der Prüfauftrag vor der Umstellung.

Was das für ein Unternehmen konkret bedeutet

• Ein Server weniger, der gepatcht, gesichert und überwacht werden muss, und einer weniger, der bei einer Sicherheitslücke unter Zeitdruck aktualisiert werden muss.
• Weniger Angriffsfläche: Ein aus dem Internet erreichbarer Exchange-Server ist ein bekanntes Ziel, und ein abgebauter Server fällt als Einstiegspunkt weg.
• Klarere Verhältnisse: Die Postfachverwaltung findet an einer Stelle statt, nicht an zwei.
• Voraussetzungen bleiben, und sie sind konkret: Das lokale Active Directory muss das Exchange-Schema tragen. Entra Cloud Sync muss zusätzlich eingerichtet sein, mit einem Bereitstellungsagenten ab Version 1.1.1107.0. Und wer Entra Connect Sync einsetzt, braucht dort mindestens Version 2.5.190.0. Mit einer älteren versucht die Synchronisierung, die umgestellten Postfächer weiter von unten zu befüllen, und scheitert dabei. Alle drei Punkte sind zu prüfen, nicht anzunehmen.

Zum Reifegrad, und das gehört vor jede Planung: Beide Stufen (die cloud-seitige Verwaltung und das Zurückschreiben) sind inzwischen allgemein verfügbar, also nicht mehr im Vorschaustadium. In der Verwaltungsoberfläche trägt die anzulegende Konfiguration allerdings weiterhin den Zusatz „Preview". Das ist kein Widerspruch, sondern ein Hinweis darauf, wie frisch die Sache ist: Wer sie einsetzt, sollte zuerst in einer Testumgebung prüfen und den Server erst abschalten, wenn es für die eigene Konstellation nachweislich trägt.

Ein Schalter verdient besondere Vorsicht: Die Umstellung lässt sich einzeln je Postfach oder für den gesamten Mandanten aktivieren. Die mandantenweite Variante gehört erst eingeschaltet, wenn wirklich alle Postfächer in der Cloud liegen und lokal keine neuen mehr angelegt werden. Wer sie zu früh setzt, erzeugt Konten, die in Exchange Online nicht mehr sauber ankommen. Dieser Zustand ist nicht vorgesehen und lässt sich nicht selbst zurückdrehen.

Der Druck kommt ohnehin von einer anderen Seite: Für Exchange Server 2016 und 2019 ist die Unterstützung am 14. Oktober 2025 ausgelaufen, keine Sicherheitsaktualisierungen mehr. Wer den letzten Server behalten will, muss ihn auf die Subscription Edition bringen, die seither die einzige unterstützte lokale Fassung ist. Damit steht die Frage anders als früher: Nicht „warum abschalten", sondern „warum eine weitere Fassung installieren für eine Aufgabe, die die Cloud übernehmen kann".

Was zu tun ist, bevor der Server ausgeht

Abschalten ist der letzte Schritt, nicht der erste. Vorher gehört geprüft, was noch auf den Server zeigt, und diese Liste ist in gewachsenen Umgebungen regelmäßig länger als erwartet.

• Anwendungen und Geräte, die über den Server E-Mails versenden: Scanner, Warenwirtschaft, Überwachungssysteme, Zeiterfassung. Für sie braucht es vorher einen Ersatzweg, je nach Fall ein Versandkonto in Exchange Online, ein Relay oder Direktversand, jeweils mit eigenen Grenzen bei Menge und Absenderprüfung.
• Der Verzeichniseintrag, über den Outlook seine Einstellungen findet (AutoDiscover beziehungsweise der Service Connection Point im Active Directory). Zeigt er weiter auf den alten Server, sucht Outlook dort, auch wenn dort nichts mehr ist.
• Verbindungen und Einträge, die auf seinen Namen verweisen: im DNS, in Zertifikaten, in Firewall-Regeln, in Verbindungsfiltern.
• Systempostfächer, öffentliche Ordner und Verteiler: Die cloud-seitige Verwaltung samt Zurückschreiben gilt für Benutzerpostfächer. Verteilergruppen und Kontakte, die aus dem lokalen Verzeichnis kommen, werden davon nicht erfasst. Sie aus der Cloud zu verwalten ist ein eigener, gesonderter Schritt. Was hier noch liegt, entscheidet über die Reihenfolge.
• Die hybride Verbindung selbst: Sende- und Empfangsverbindungen, die Freigaben zwischen lokaler Umgebung und Cloud, und die Konfiguration, die der Hybrid-Assistent angelegt hat. Sie gehört geordnet zurückgenommen, sonst blockiert das Setup oder es bleiben Wege im Mandanten stehen, die niemand mehr bedient.
• Der Abbau selbst: Ein Exchange-Server wird über sein Setup deinstalliert, nicht durch Löschen der virtuellen Maschine. Welcher Weg der unterstützte ist, hängt davon ab, was noch auf dem Server liegt. Dafür gibt es eine eigene Microsoft-Anleitung, und die gehört vorher gelesen.
• Der Weg zurück: Solange nicht bestätigt ist, dass alles ohne ihn läuft, wird der Server nur abgeschaltet und nicht abgebaut. Ein Beobachtungszeitraum von einigen Wochen ist dabei keine Übervorsicht, sondern die Zeit, in der Monatsläufe und Quartalsabschlüsse einmal durchlaufen.

Wir prüfen diese Abhängigkeiten, stellen die Verwaltung um und begleiten die Außerbetriebnahme, im Rahmen einer Microsoft-365-Migration oder als eigener Schritt. Wie sich hybride Umgebungen sonst noch auswirken, steht unter hybride Infrastruktur. Ein erstes Gespräch kostet nichts.

Stand: August 2026, geprüft gegen die Microsoft-Dokumentation. Umfang der zurückgeschriebenen Felder, Voraussetzungen und Mengengrenzen haben sich in den vergangenen Monaten mehrfach geändert und werden sich weiter ändern. Vor einer Umstellung gehört der aktuelle Stand nachgesehen, nicht dieser Beitrag.