Exchange 2016/2019 am Ende: Der ESU-Notnagel ist gezogen
Seit April 2026 gibt es keine Sicherheitsupdates mehr – warum jetzt nur noch Exchange SE oder die Cloud bleiben
Die Schonfrist ist abgelaufen. Der Support für Exchange Server 2016 und 2019 endete bereits am 14. Oktober 2025. Das einzige Sicherheitsnetz danach war ein einmaliges, kostenpflichtiges Extended-Security-Update-Programm (ESU) – eine reine Überbrückung, die am 14. April 2026 ausgelaufen ist. Seitdem gibt es für Exchange 2016/2019 keinerlei Sicherheitsupdates mehr, auch nicht über das ESU-Programm.
Klartext: Wer im Juni 2026 noch Exchange 2016 oder 2019 produktiv betreibt, läuft auf nicht unterstützter Software ohne Patches. Jede künftige Schwachstelle bleibt offen. In Hybrid-Szenarien kann Microsoft die Kommunikation mit Exchange Online zudem einschränken oder blockieren.
Es bleiben zwei Wege
Microsofts Empfehlung ist eindeutig: entweder vollständig nach Exchange Online / Microsoft 365 migrieren oder On-Premises auf Exchange Server Subscription Edition (SE) umsteigen.
| Option | Für wen geeignet |
|---|---|
| Exchange Online / M365 | Wer raus aus dem On-Premises-Betrieb will; einmaliger Umzug, danach kein Server-Lifecycle mehr |
| Exchange Server SE | Wer aus regulatorischen Gründen, Datensouveränität oder Air-Gap on-prem bleiben muss |
Exchange SE ist seit dem 1. Juli 2025 verfügbar – ein versionsloses, „evergreen” gepflegtes On-Premises-Produkt unter Microsofts Modern Lifecycle Policy. Der Support läuft mindestens bis Ende 2035, setzt aber aktive Software Assurance für den Update-Bezug voraus.
Migrationspfade zu Exchange SE
- Exchange 2019: In-Place-Upgrade direkt auf Exchange SE wird unterstützt.
- Exchange 2016: typischerweise Side-by-Side-/Legacy-Upgrade – einen SE-Server zur bestehenden Organisation hinzufügen und dann umziehen.
Deadline-Falle CU2: Mit Exchange SE CU2 endet die Koexistenz-Phase. Findet die CU2-Installationsroutine in Active Directory noch Informationen zu älteren Exchange-Editionen, wird die Installation abgebrochen. Auch abonnierte Edge-Transport-Server müssen vorher auf SE gehoben und neu subscribet werden. Heißt: Legacy-Server müssen vor CU2 vollständig raus sein.
Aktionsplan für Nachzügler
- Risiko anerkennen: Sie betreiben nicht unterstützte Software. Das ist Faktenlage, kein Verkaufsargument.
- Umgebung inventarisieren: Postfächer, Datenmengen, öffentliche Ordner, freigegebene Postfächer, SMTP-Relays, Journal-/Archiv-Connectoren, Hybrid-Integrationspunkte.
- Pfad entscheiden: Cloud oder SE – die Entscheidung gehört auf den Tisch, nicht in die Zukunft.
- Kompensierende Kontrollen schärfen: bis zur Migration Monitoring/Logging erhöhen, MFA und Conditional Access erzwingen, Legacy-Systeme segmentieren, Admin-Zugriffe einschränken. Das ersetzt keine Patches, senkt aber die akute Exposition.
- Deadline setzen: Ein festes Datum im Kalender, von dem aus rückwärts geplant wird.
Fazit
Mit dem Ende des ESU-Programms gibt es keinen Puffer mehr. Kleine Umgebungen mit überschaubaren Postfachzahlen schaffen den Umzug oft in Wochen, mittlere und große Organisationen brauchen Monate für Inventarisierung, Remediation von Integrationen und Cutover. Wer noch auf 2016/2019 sitzt, sollte den Pfad jetzt festlegen und die Migration vor Exchange SE CU2 abschließen.
Exchange-Umzug planen oder absichern?
Von der Bestandsaufnahme über DKIM/Mail-Flow bis zum Postfach-Export unterstütze ich Sie bei Migration und Härtung – mit Tools wie dem ISW Exchange Mailbox Exporter und dem ISW Exchange DKIM Signer. Mehr auf isw-adtools.de.