Exchange Online EWS läuft aus.

Microsoft räumt weiterhin unter der Cloud-Haube auf und modernisiert die nächste Schnittstelle. Diesmal trifft es die Exchange Web Services, kurz EWS. EWS erreicht in Exchange Online das Ende seines Lebenszyklus. Bereits 2018 hatte Microsoft angekündigt, EWS nicht weiter funktional auszubauen. 2023 wurde dann die Abschaltung ab Oktober 2026 kommuniziert. Nun gibt es konkrete Gewissheit. Die Deaktivierung startet schrittweise ab Oktober 2026, im April 2027 folgt die vollständige Abschaltung. Dies betrifft jedoch nur Exchange Online. Für Exchange Server on-premises bleibt EWS weiterhin bestehen.

EWS ist eine alte Schnittstelle. Die Technologie dahinter passt nicht mehr zu heutigen Anforderungen an Sicherheit, Skalierung und Zuverlässigkeit. Gleichzeitig wurde Microsoft Graph in den letzten Jahren so weit ausgebaut, dass viele frühere EWS-Szenarien heute bereits darüber abgebildet werden können. Microsoft will damit alte Abhängigkeiten abbauen und Exchange Online auf eine moderne API-Basis stellen.

EWS Nachfolger

Die strategische Alternative heißt Microsoft Graph. Microsoft empfiehlt ausdrücklich, Anwendungen mit Exchange-Online-Bezug von EWS auf Graph umzustellen. Graph bietet moderne REST-Schnittstellen statt SOAP, feinere Berechtigungen über OAuth und ein einheitlicher Zugriffspunkt für Microsoft 365 Dienste.
Microsoft Graph ist nicht für lokale Exchange-Postfächer gedacht. Die Migrationsstrategie in Richtung Graph gilt für Exchange Online und Hybrid-Szenarien mit Exchange-Online-Bezug.

EWS Berichte

Bevor etwas umgestellt werden kann, braucht es Transparenz. Der EWS Usage Report im Microsoft 365 Admin Center gibt uns Auskunft. Dort lässt sich erkennen, welche Anwendungen in der eigenen Umgebung noch EWS verwenden, welche SOAP-Aktionen genutzt werden, wie hoch das Anfragevolumen ist und wann zuletzt Aktivität stattgefunden hat. Der Report kann außerdem exportiert werden.

1. Admin Center (Alle Anzeigen)
2. Berichte
3. Verwendung
4. Exchange auswählen
5. Reiter „EWS usage“ auswählen

Hier ein Beispiel aus der Praxis. In der Berichtsübersicht für die EWS Schnittstelle sehen wir das durchschnittliche Aufrufevolumen und die Anzahl an Apps, die dafür verantwortlich sind.

Nutzungsbericht EWS

Anhand der Application ID findet man in Entra die verantwortliche Instanz, welche auf die Schnittstelle zugreift.

Anwendungen Zugriffe

Die Anwendungs-ID lässt sich im Entra der Applikation zuordnen und somit lässt sich herausfinden, wer für die EWS Zugriffe verantwortlich ist. In unserem Beispiel ist es eine Archivlösung, welche noch nicht auf Graph API umgestellt wurde.

EWSAllowedAppIDs

Im besten Fall schafft man es, alle Applikationen vor Oktober 2026 von EWS auf Graph API umzustellen. Braucht man mehr Zeit, gibt es einen Rettungsanker der von Microsoft den Admins zugeworfen wird. Einen Rettungsanker namens EWSAllowedAppIDs. Die Abschaltung wird über das EWSEnabled-Property und der EWSAllowedAppIDs realisiert. EWSEnabled-Property ist eine globale tenantweite Einstellung und wird seitens Microsoft ab dem Oktober hart umgesetzt.

Folgende Übersicht zeigt die EWSEnabled-Werte vor und nach dem Oktober 2026 auf:

Unternehmen, die auch nach Oktober 2026 noch auf EWS angewiesen sind, können den Dienst weiterhin vorübergehend nutzen. EWS kann entweder gezielt für freigegebene Anwendungen über eine Allow List aktiviert bleiben oder über Exchange Online PowerShell erneut freigeschaltet werden.

Wer EWS weiterhin benötigt, sollte spätestens bis Ende August 2026 eine Allow List konfigurieren und EWSEnabled auf True setzen. Diese Mandanten werden von der automatischen Deaktivierung ab Oktober 2026 ausgenommen. Leider funktioniert das setzen der EWSAllowedAppIDs–Liste noch nicht. Die Syntax ist korrekt, doch das Ergebnis bleibt leer.

EWSAllowedAppID Cmd

Microsoft rollt die neue EWSAllowedAppIDs–Liste schrittweise aus. Je nach Tenant kann es daher vorkommen, dass der Parameter bereits angezeigt wird, die Konfiguration aber noch nicht sauber gespeichert oder umgesetzt wird. Das Vorhaben kann also erst dann vollständig greifen, wenn die Funktion im jeweiligen Mandanten vollständig bereitgestellt ist.

Aber! Wird EWSEnabled auf True gesetzt, ist der Tenant zunächst vor der automatischen Deaktivierung durch Microsoft geschützt. Damit bleibt EWS vorerst aktiv und Unternehmen gewinnen Zeit, um die eigentliche Allow-List sauber nachzuziehen.