Exchange 2016 und 2019: Ende Oktober ist endgültig Schluss – und Exchange Online zieht die Schraube an

Ende Oktober 2026 endet das letzte Programm für erweiterte Sicherheitsupdates (ESU) für Exchange Server 2016 und 2019. Gleichzeitig hat Microsoft angekündigt, dass Exchange Online E-Mails von veralteten Exchange-Servern künftig drosseln und blockieren wird – in einer nächsten Stufe auch von Servern, die auf dem letzten öffentlichen Patchstand sind. Was genau angekündigt ist, wen es betrifft und was wir unseren Kunden raten.

Das Ende ist endgültig

Exchange 2016 und 2019 sind bereits seit dem 14. Oktober 2025 aus dem Support. Für Organisationen, die ihre Migration nicht rechtzeitig abschließen konnten, hat Microsoft zwei kostenpflichtige Verlängerungen angeboten. Die zweite davon läuft Ende Oktober 2026 aus.

Microsoft hat im Juli unmissverständlich klargestellt: Es wird keine weitere Verlängerung geben. Nach Ende Oktober 2026 erscheinen keine Updates mehr für Exchange 2016 und 2019 – auch nicht für Kunden, die aktuell am ESU-Programm teilnehmen.

Was Exchange Online jetzt verlangt

Microsoft betreibt seit 2023 ein System, das E-Mails von veralteten Exchange-Servern an Exchange Online erkennt, drosselt und schließlich blockiert. Die geforderte Mindestversion wurde bisher regelmäßig und ohne Ankündigung angehoben.

Am 2. September 2026 hat Microsoft erstmals offen angekündigt: Ab der zweiten Septemberwoche müssen Exchange-2016- und -2019-Server, die über einen eingehenden Connector vom Typ „OnPremises“ an Exchange Online senden, mindestens auf dem Stand der Sicherheitsupdates vom Oktober 2025 sein.

Die nächste Stufe ist bereits angekündigt

Entscheidend ist ein Satz in Microsofts Ankündigung: Bei der nächsten Anhebung wird die geforderte Version neuer sein als jedes öffentlich verfügbare Update für Exchange 2016 oder 2019. Dann können nur noch Kunden mit ESU-Updates oder mit Exchange Server Subscription Edition (SE) ohne Drosselung an Exchange Online senden. Microsoft schätzt den Zeitpunkt auf „in mehreren Monaten“ – ein Datum gibt es nicht.

Da das ESU-Programm Ende Oktober endet, bleibt für betroffene Server danach nur ein Weg: die Migration.

Wie die Drosselung abläuft

Nach Microsofts Beschreibung erfolgt die Durchsetzung schrittweise: Zunächst wird die Verbindung für einige Minuten pro Stunde abgewiesen, der sendende Server stellt die Mails zurück und versucht es später erneut – E-Mails kommen verzögert an. Bleibt der Server veraltet, wird aus der Verzögerung eine Blockierung mit Unzustellbarkeitsmeldungen an Ihre Mitarbeitenden, bis Exchange Online schließlich gar keine Nachrichten mehr von diesem Server annimmt.

Microsoft bietet die Möglichkeit, Drosselung und Blockierung vorübergehend auszusetzen. Das verschafft einige Wochen Zeit, löst das Problem aber nicht.

Wer ist betroffen – Microsoft widerspricht sich selbst

Die Ankündigung vom September nennt ausdrücklich Server, die über einen eingehenden Connector vom Typ „OnPremises“ an Exchange Online senden – also Hybrid-Umgebungen.

In den laufend aktualisierten Fragen und Antworten zum Durchsetzungssystem schreibt Microsoft dagegen, dass derzeit alle Versionen von Exchange Server erfasst sind – unabhängig davon, wie sie sich mit Exchange Online verbinden. Ausgewertet werden dabei ausschließlich die Build-Informationen des sendenden Exchange-Servers.

Auch ein vorgeschalteter Mail-Gateway oder Smarthost ist kein verlässlicher Schutz: Die Versionsnummer des Exchange-Servers steht in den Kopfzeilen jeder E-Mail, die er verschickt. Wie Microsoft diese Information künftig auswertet, ist nicht dokumentiert – und Microsoft hat die bisherigen Verschärfungen nach eigener Aussage ohne Vorankündigung eingeführt.

Ob Ihre Umgebung bereits heute unter die Regel fällt, zeigt im Exchange Admin Center der Nachrichtenfluss-Bericht zu veralteten verbindenden lokalen Exchange-Servern. Ob eine Hybrid-Anbindung besteht, lässt sich auch per PowerShell prüfen – ein Connector vom Typ OnPremises bedeutet Hybrid:

Get-InboundConnector | ft Name,ConnectorType

Auch Microsoft macht Fehler

Hinzu kommt: Änderungen von Microsoft laufen nicht immer fehlerfrei. Erst in den vergangenen Wochen haben wir über Office-Updates berichtet, die Office deinstallierten, über ein Exchange-Update, das ohne jede Dokumentation verteilt wurde, und über die EWS-Umstellung in Exchange Online mit ihren Nebenwirkungen. Wer mit einem veralteten Server am Rand der Mindestanforderungen arbeitet, hat bei einer fehlerhaften Umsetzung keinen Puffer.

Das eigentliche Risiko ist nicht die Drosselung

So unangenehm verzögerte oder blockierte E-Mails sind: Das größere Problem ist ein Mailserver, der seit Oktober 2025 keine Sicherheitsupdates mehr erhalten hat und mit dem Internet verbunden ist. Exchange-Server gehören seit Jahren zu den bevorzugten Angriffszielen. Die im August geschlossene Lücke CVE-2026-62911 etwa wurde nur noch für unterstützte Versionen und ESU-Kunden behoben. Jede weitere Lücke bleibt auf Exchange 2016 und 2019 ab November dauerhaft offen.

Wichtig auch für Betreiber aktueller Versionen: Das Durchsetzungssystem gilt seit 2025 für alle Exchange-Versionen, also auch für Exchange SE, wenn ein Server deutlich hinter den Sicherheitsupdates zurückliegt. Die Migration allein genügt nicht – regelmäßiges Patchen bleibt Pflicht.

Ihre Optionen

• Exchange Server SE: Für alle, die ihre Postfächer weiterhin im eigenen Haus oder Rechenzentrum betreiben wollen oder müssen – etwa aus Datenschutz- oder Souveränitätsgründen. Exchange 2019 lässt sich direkt auf SE aktualisieren, Exchange 2016 erfordert eine Migration.
• Exchange Online: Für Organisationen, die den Betrieb des Mailservers ganz abgeben möchten.

Welcher Weg passt, hängt von Ihrer Umgebung, Ihren Fachverfahren und Ihren Vorgaben ab.

Wie wir unterstützen

Exchange-Migrationen gehören zu unseren Kernthemen. Rund zehn Kundenumgebungen – Kommunen und mittelständische Betriebe in der Region – betreiben wir inzwischen mit Exchange Server SE. Alle sind auf dem aktuellen Sicherheitsstand, einschließlich des außerplanmäßigen Updates vom 2. Oktober 2026, das Microsoft zunächst ohne jede Dokumentation verteilt hatte.

Dazu gehören für uns die Koexistenzphase während der Umstellung, die Anbindung von Archiv- und Verschlüsselungslösungen, die anschließende Härtung und vor allem der laufende Betrieb: Sicherheitsupdates für Exchange spielen wir zeitnah und kontrolliert ein, statt auf die nächste Drosselstufe von Microsoft zu warten.

Unsere Empfehlung: Planen Sie die Migration jetzt – dann bestimmen Sie den Zeitpunkt und nicht eine Fehlermeldung im Postausgang.

Quellen & weiterführende Links

• Microsoft Exchange Team

  Exchange 2016/2019: Throttling and Blocking up to the Final Public Update Baseline (2. September 2026)
• Microsoft Exchange Team

  Reminder: Exchange 2016 and 2019 ESU Program Ends in October 2026
• Microsoft Exchange Team

  Announcing Period 2 Exchange 2016/2019 Extended Security Update (ESU) program
• Microsoft Exchange Team

  Throttling and Blocking Email from Persistently Vulnerable Exchange Servers to Exchange Online