Drei Wege für Exchange nach dem Support-Ende

Wenn die Sicherheitsupdates für einen Mailserver auslaufen, ist das kein Thema für die nächste Budgetrunde. Ein Exchange-Server ist aus dem Internet erreichbar, und bekannte Lücken in erreichbaren Systemen werden systematisch abgearbeitet. Die Frage ist also nicht, ob etwas geschieht, sondern welcher der drei möglichen Wege zum eigenen Haus passt – und in welcher Reihenfolge die Schritte zu gehen sind. Die Termine selbst sind gesetzt und an anderer Stelle zusammengestellt; hier geht es um die Entscheidung.

Was die Subscription Edition ist – und was nicht

Die Exchange Server Subscription Edition ist kein neues Produkt im gewohnten Sinn. Microsoft beschreibt die erste Fassung als codegleich mit Exchange Server 2019 im Stand CU15, mit drei Unterschieden: geänderte Lizenzbedingungen, geänderter Produktname, andere Buildnummer. Neue Funktionen kommen erst mit dem ersten kumulativen Update der Subscription Edition. Wer also ein Funktionssprung erwartet, wird ihn nicht finden – was für ein Upgrade spricht, ist genau diese Ähnlichkeit.

Der entscheidende Unterschied liegt im Lebenszyklus. Die Subscription Edition folgt der modernen Lebenszyklusrichtlinie von Microsoft und wird seit dem 1. Juli 2025 in dieser Systematik geführt. Für den Betrieb heißt das: Es gibt kein festes Enddatum mehr, das man in einen Kalender einträgt, sondern die dauerhafte Pflicht, auf einem aktuellen Stand zu bleiben. Ein Server, der zwei Jahre lang keine kumulativen Updates erhält, verlässt diese Systematik – und damit den unterstützten Zustand.

Mit der Subscription Edition ändern sich zugleich einige Voreinstellungen, die im Betrieb sofort wirken. Nur TLS 1.2 und TLS 1.3 sind standardmäßig aktiv, ältere Verfahren sind abgeschaltet; TLS 1.3 setzt allerdings Windows Server 2022 oder 2025 voraus und steht für SMTP noch nicht zur Verfügung. Windows Extended Protection ist bei der Installation standardmäßig eingeschaltet. Der Betrieb auf Windows Server Core ist möglich, die Sprachdienste der Unified Messaging sind entfallen, und der Zugriff auf die Verwaltungsoberflächen lässt sich über Zugriffsregeln auf das interne Netz begrenzen.

Von Exchange 2019 führt ein kurzer Weg

Steht die Umgebung auf Exchange Server 2019 im Stand CU14 oder CU15, ist ein Upgrade an Ort und Stelle möglich – Microsoft beschreibt es als vergleichbar mit dem Einspielen eines kumulativen Updates. Praktisch bedeutet das: dieselben Server, dieselbe Organisation, kein Postfachumzug. Wer noch auf einem älteren Stand von Exchange 2019 steht, aktualisiert zuerst auf CU14 oder CU15 und geht dann den kurzen Weg. Neue Hardware oder eine neuere Windows-Server-Version lassen sich stattdessen über eine Migration auf neu installierte Server verbinden, wenn dieser Schritt ohnehin ansteht.

Von Exchange 2016 gibt es diesen Weg nicht

Für Versionen vor Exchange Server 2019 unterstützt Microsoft kein Upgrade an Ort und Stelle. Aus Exchange 2016 führen zwei Wege: die Migration auf Exchange Server 2019 im Stand CU14 oder CU15 und anschließend das Upgrade auf die Subscription Edition – oder die Migration direkt auf die Subscription Edition. In beiden Fällen werden neue Server aufgebaut, es gibt eine Phase des Nebeneinanderlaufens, und die Postfächer ziehen um. Für Exchange 2013 gilt zusätzlich, dass zuerst auf Exchange 2019 CU14 migriert und Exchange 2013 vollständig aus der Organisation entfernt werden muss, bevor das Upgrade an Ort und Stelle möglich ist.

Diese Unterscheidung ist der wichtigste Punkt der gesamten Planung, weil sie über den Aufwand entscheidet. Ein Upgrade an Ort und Stelle ist ein Wartungsfenster. Eine Migration auf neue Server ist ein Projekt mit Beschaffung, Zertifikaten, Namensauflösung, Veröffentlichung nach außen und Postfachumzügen. Wer den eigenen Versionsstand nicht kennt, kennt also auch die Größe des Vorhabens nicht.

Der Wechsel nach Exchange Online

Der dritte Weg verlagert die Postfächer in den Dienst. Er nimmt dem Haus den Betrieb eines aus dem Internet erreichbaren Servers ab – und damit die Aufgabe, Sicherheitsupdates für dieses System einzuspielen. Dafür verlagert er Fragen in andere Bereiche: Wo liegen die Postfächer, wie werden Berechtigungen verwaltet, wie werden Postfächer gesichert und wie lange aufbewahrt, und was passiert, wenn die Internetanbindung ausfällt. Diese Fragen sind lösbar, aber sie sind zu beantworten, bevor der erste Postfachumzug läuft.

Technisch ist der Einstieg unaufwendiger geworden. Der Assistent für die Hybridkonfiguration ist inzwischen eine kleine Anwendung, die bei Bedarf heruntergeladen und installiert wird; Microsoft nennt als Vorteil, dass sie schnell an Änderungen im Dienst angepasst werden kann. Auch Umgebungen mit mehreren Verzeichnisdienst-Strukturen werden über die Synchronisierung nach Entra ID einfacher. Ein Detail mit Praxisfolgen: Clients für Exchange ActiveSync werden nach einem Postfachumzug automatisch umgeleitet, sofern sie die entsprechende Weiterleitung unterstützen – ältere Geräte tun das nicht immer.

Zwei Bestände verdienen bei diesem Weg eigene Aufmerksamkeit, weil sie in Projektplänen regelmäßig fehlen: öffentliche Ordner, die über Jahre als Ablage für Abteilungen genutzt wurden, und sehr große Archivpostfächer. Beide ziehen nicht einfach mit, sondern brauchen eine eigene Entscheidung – umziehen, in eine andere Ablage überführen oder geordnet auflösen. Wer diese Entscheidung nicht vorab trifft, trifft sie unter Zeitdruck am Umzugswochenende.

Hybrid ist eine Brücke, kein Ziel

Die hybride Betriebsform verbindet die eigene Organisation mit dem Dienst, sodass Postfächer auf beiden Seiten liegen können, Kalender sich gegenseitig sehen und Adressen einheitlich bleiben. Sie ist der übliche Weg für einen Umzug in Etappen und für Häuser, die einzelne Postfächer bewusst im eigenen Haus behalten. Sie ist aber kein Dauerzustand ohne Kosten: Solange ein eigener Exchange-Server steht, bleibt er ein zu pflegendes, aus dem Internet erreichbares System mit allen Update- und Zertifikatspflichten.

Wer hybrid einsteigt, sollte deshalb von Anfang an festlegen, ob der Zustand befristet ist und wann er endet – oder ob er dauerhaft gewollt ist und wer den Server dann dauerhaft pflegt. Eine hybride Umgebung, die aus Zeitnot entstanden ist und drei Jahre später niemandem mehr zugeordnet ist, verbindet die Nachteile beider Wege.

Reihenfolge und Fallstricke

Die Entscheidung in vier Fragen

Erstens: Müssen Postfächer aus vertraglichen oder vertraulichkeitsbezogenen Gründen im eigenen Haus liegen? Wenn ja, bleibt der Weg über die Subscription Edition oder eine hybride Form. Zweitens: Welche Zusatzprogramme greifen auf den Mailserver zu, und werden sie in der neuen Welt unterstützt? Drittens: Wie viel Betrieb will das Haus dauerhaft selbst leisten – gemessen nicht am Können, sondern an der verfügbaren Zeit. Viertens: Steht der Hardwarewechsel ohnehin an? Dann ist der Zeitpunkt günstig, beide Vorhaben zu verbinden, statt zweimal anzufassen.

Alle drei Wege sind fachlich vertretbar, und keiner ist erkennbar der bessere. Was den Unterschied macht, ist die Reihenfolge: Erst der Versionsstand, dann die Inventur der Zugriffe, dann die Wahl des Wegs – und der Umzug zuletzt. Wer in der umgekehrten Reihenfolge beginnt, merkt in der Abnahmephase, dass ein Scanner seit Wochen keine Rechnungen mehr ablegt.

Verwandte Themen: Wer hier weiterdenkt, liest bei Microsoft-Lebenszyklus, Microsoft 365 Backup und Windows 10 weiter.