Exchange Online blockiert veraltete Exchange 2016 und 2019 Server.

Microsoft zieht die nächste Sicherheitsschraube in Exchange Online an. Diesmal trifft es Unternehmen, die Exchange Server 2016 oder Exchange Server 2019 weiterhin in einer Hybrid-Umgebung betreiben. Ab der zweiten Septemberwoche 2026 hebt Microsoft die Mindestversion an, mit der lokale Exchange Server E-Mails über einen Inbound Connector vom Typ „OnPremises“ an Exchange Online übertragen dürfen. Als neue Untergrenze gilt der Patchstand des letzten öffentlichen Security Updates vom Oktober 2025. Liegt der sendende Exchange Server darunter, kann Exchange Online die eingehenden E-Mails zunächst drosseln und anschließend vollständig blockieren.

Welche Exchange Server sind betroffen?

Die Änderung betrifft Exchange Server 2016 und Exchange Server 2019, die E-Mails über einen Exchange-Online-Inbound-Connector vom Typ „OnPremises“ übertragen. Das ist insbesondere in klassischen Hybrid-Umgebungen relevant. Der lokale Exchange Server nimmt beispielsweise E-Mails von internen Anwendungen, Multifunktionsgeräten oder lokalen Postfächern entgegen und sendet diese anschließend an Exchange Online. Nur weil auf einem Server Exchange 2016 CU23 oder Exchange 2019 CU15 installiert ist, bedeutet das noch nicht, dass der erforderliche Sicherheitsstand erreicht wurde. Entscheidend ist die vollständige Buildnummer inklusive der installierten Security Updates.

Der aktuelle Stand lässt sich in der Exchange Management Shell prüfen:

Get-ExchangeServer | ft Name, Edition, AdminDisplayVersion

Anschließend muss die ermittelte Buildnummer mit der offiziellen Buildübersicht von Microsoft verglichen werden. Für die neue Mindestanforderung muss mindestens der Patchstand des öffentlichen Security Updates vom Oktober 2025 erreicht sein.

Was passiert mit den E-Mails?

Microsoft führt die Einschränkung nicht zwingend als sofortige harte Blockierung ein. Veraltete Exchange Server können zunächst gedrosselt werden. Dadurch werden E-Mails verzögert angenommen und verbleiben länger in der Transportwarteschlange. Später kann aus der Drosselung eine vollständige Blockierung werden. Exchange Online weist die Nachricht dann zurück. Das Ergebnis sind dauerhaft gefüllte Warteschlangen und gegebenenfalls Unzustellbarkeitsberichte.

Der Patchstand vom Oktober 2025 ist nur die nächste Mindestanforderung. Microsoft weist bereits darauf hin, dass eine spätere Anhebung der Mindestversion über die regulär veröffentlichten Updates von Exchange 2016 und Exchange 2019 hinausgehen wird. Unternehmen, die diese Versionen weiterhin betreiben, benötigen dann entsprechende Extended Security Updates oder müssen auf Exchange Server SE wechseln.

Eine Migration auf Exchange Server SE sollte nun endgültig in Betracht gezogen werden.