Von Exchange 2016 zu Exchange SE: Migration im laufenden Verwaltungsbetrieb

Auf einen Blick

Unser Kunde ist eine Gemeindeverwaltung in Baden-Württemberg, die bis zum Projektstart Exchange Server 2016 on-premises betrieb. Der Herstellersupport dafür endete am 14. Oktober 2025. Ziel war der Wechsel auf Exchange Server SE on-premises, damit die Daten weiterhin im eigenen Rechenzentrum bleiben.

Wir sind dafür den Weg einer kontrollierten Koexistenz gegangen und haben Dienst für Dienst umgestellt. Heute liegen alle Postfächer auf Exchange SE, die Archivierung läuft und der Altserver ist sauber zurückgebaut.

Die Ausgangslage

„Der Exchange läuft doch“ — das stimmt oft. Die entscheidende Frage ist aber, ob er noch Sicherheitsupdates bekommt. Bei Exchange Server 2016 ist das seit Oktober 2025 nicht mehr der Fall. Für eine Kommune ist ein E-Mail-Server ohne Herstellersupport nicht vertretbar — weder aus Sicht der IT-Sicherheit noch mit Blick auf BSI-Grundschutz und Datenschutz.

Eine Migration nach Microsoft 365 kam für die Verwaltung nicht in Frage. Die Daten sollten im eigenen Rechenzentrum bleiben. Der logische Nachfolger war daher Exchange Server SE, die aktuelle On-Premises-Version von Microsoft.

Die Umgebung war dabei eng verzahnt: Eine revisionssichere E-Mail-Archivierung greift direkt auf die Postfächer zu, der ein- und ausgehende Mailverkehr läuft über einen externen Relay-Dienstleister, und für alle Dienste wird ein öffentliches Wildcard-Zertifikat genutzt. Gleichzeitig ist E-Mail im täglichen Verwaltungsbetrieb ein Kernwerkzeug.

Die Herausforderungen

Eine Exchange-Migration ist selten ein reines Technikthema. Entscheidend sind die Abhängigkeiten.

• Laufender Betrieb: Rathaus und Bürgerservice sind auf E-Mail angewiesen, Ausfälle während der Umstellung waren deshalb zu vermeiden.
• Archivpflicht: Die Archivlösung musste nach der Migration lückenlos weiterarchivieren — eine gesetzliche Anforderung, kein Komfortmerkmal.
• Mehrere Beteiligte: Der Mailfluss hängt an einem externen Dienstleister, dessen Konfiguration im richtigen Moment mitziehen muss.
• Neue Sicherheitsstandards: Exchange SE aktiviert Schutzmechanismen wie Extended Protection standardmäßig, und nicht jede Drittsoftware ist darauf vorbereitet.
• Sauberer Abschluss: Der Altserver sollte vollständig und ohne Altlasten aus dem Active Directory entfernt werden.

Unser Vorgehen

Wir haben uns für eine kontrollierte Koexistenz entschieden: Alter und neuer Server laufen parallel, jeder Dienst wird erst umgestellt, wenn er auf dem neuen System geprüft ist.

• 1. Bestandsaufnahme: Mit dem Microsoft Exchange HealthChecker haben wir die Umgebung analysiert und alle Connectoren, Virtual Directories, Zertifikate und Abhängigkeiten dokumentiert.
• 2. Installation im Hintergrund: Exchange SE wurde installiert, Client-Dienste wie Autodiscover blieben bewusst deaktiviert. So findet Outlook den neuen Server nicht vorzeitig.
• 3. Eingehender Mailfluss: In Abstimmung mit dem Relay-Dienstleister wurde der Mailempfang auf Exchange SE umgestellt.
• 4. Postfachmigration: Die Postfächer wurden in Etappen verschoben, inklusive System-, Arbitration- und Audit-Postfächern. Große Postfächer haben wir gezielt zeitversetzt abgeschlossen.
• 5. Client-Dienste aktivieren: Autodiscover, URLs und Zertifikatsbindungen zeigen seitdem auf Exchange SE, der Altserver ist kein Einstiegspunkt mehr.
• 6. Archivanbindung prüfen: Die Archivierung und alle Postfachzugriffe der Archivlösung wurden auf dem neuen Server getestet.
• 7. Rückbau: Zum Abschluss haben wir die Altdatenbanken entfernt, die Connectoren bereinigt und Exchange 2016 sauber deinstalliert.

Stolpersteine — und wie wir sie gelöst haben

Kein Projekt läuft exakt nach Plan. Entscheidend ist, wie schnell und kontrolliert reagiert wird.

Ausgehender Mailfluss unterbrochen

Problem: Mitten in der Koexistenzphase wurde der Altserver beim Relay-Dienstleister früher als geplant aus der Konfiguration entfernt. Die Postfächer lagen noch auf Exchange 2016, ausgehende Mails blieben hängen.

Lösung: Wir haben kurzfristig eine Übergangslösung eingerichtet. Der Altserver leitet seinen ausgehenden Verkehr intern über Exchange SE, der beim Dienstleister bereits freigeschaltet war. Ein eigener, auf den Altserver beschränkter Relay-Connector öffnet genau diesen einen Weg.

Archivierung nach der Migration gestört

Problem: Die eingesetzte Archivlösung unterstützt die von Exchange SE standardmäßig aktivierte Extended Protection in ihrer aktuellen Version nicht. Die Anmeldung an den Postfächern schlug fehl.

Lösung: Wir haben die Konfiguration auf die Vorgaben des Archivherstellers abgestimmt, die Abweichung dokumentiert und in den Wartungsprozess aufgenommen. Nach jedem Exchange-Update wird der Zustand geprüft.

Zertifikatswarnungen in Outlook

Problem: Das Wildcard-Zertifikat war auf dem neuen Server noch nicht allen Diensten zugewiesen.

Lösung: Nach der korrekten Bindung an IIS verschwanden die Warnungen. Für den SMTP-Verkehr haben wir das Zertifikat direkt an den Connectoren hinterlegt.

Altlasten beim Rückbau

Problem: Ein nicht mehr genutztes Postfach für Öffentliche Ordner ließ sich auf regulärem Weg nicht entfernen und blockierte die Deinstallation.

Lösung: Nachdem wir geprüft hatten, dass keine Daten betroffen waren, haben wir die Altdatenbank kontrolliert entfernt und den Weg für die Deinstallation frei gemacht.

Das Ergebnis

Die Verwaltung arbeitet heute auf einer unterstützten Plattform — und bleibt bei ihrer On-Premises-Strategie.

• Aktuelle Plattform: Alle Postfächer laufen auf Exchange SE, mit Herstellersupport und Sicherheitsupdates.
• Archivierung lückenlos: Die revisionssichere E-Mail-Archivierung arbeitet auf dem neuen Server weiter.
• Mailfluss gesichert: Auch im Störfall blieb die Verwaltung dank der Übergangslösung erreichbar.
• Sauberer Rückbau: Exchange 2016 ist vollständig aus der Umgebung und dem Active Directory entfernt.
• Daten bleiben vor Ort: Keine Cloud-Abhängigkeit, volle Kontrolle im eigenen Rechenzentrum.

Was Sie vor Ihrer Migration prüfen sollten

Aus diesem Projekt lassen sich vier Fragen ableiten, die jede Kommune und jedes Unternehmen vorab klären sollte.

• Archivlösung: Ist Ihre E-Mail-Archivierung mit Exchange SE und Extended Protection kompatibel — und in welcher Version?
• Externe Dienstleister: Wer betreibt Relay, Spamfilter oder Smarthost, und wann genau muss dort umgestellt werden?
• Zertifikate: Sind alle benötigten Dienste — IIS, SMTP, Connectoren — auf dem neuen Server korrekt gebunden?
• Rückbau: Sind System-, Arbitration- und Öffentliche-Ordner-Postfächer erfasst, bevor der Altserver deinstalliert wird?

Exchange-Migration planen oder prüfen lassen

Viele Kommunen und Unternehmen betreiben noch Exchange 2016 oder 2019 ohne Herstellersupport. Wir begleiten den Wechsel auf Exchange SE — inklusive Archivanbindung, E-Mail-Security mit Hornetsecurity und sauberem Rückbau der Altsysteme. Unverbindliches Erstgespräch inklusive.

Hinweis zur Anonymisierung

Die Angaben zum Kunden wurden anonymisiert. Details zur Umgebung sind so verallgemeinert, dass kein Rückschluss auf die Verwaltung möglich ist.