Entscheidungshilfe

Exchange on-premises: Exit, Subscription Edition oder Hybrid?

Mit dem Ende der ESU-Periode im Oktober 2026 läuft die letzte Verlängerung für Exchange 2016 und 2019 aus. Drei Wege bleiben – und einer davon wird regelmäßig unterschätzt.

29. August 2026 · Lesezeit ca. 11 Minuten · IT-Service Walter

ExchangeMicrosoft 365MigrationLifecycle

Exchange Server 2016 und 2019 haben ihr reguläres Supportende am 14. Oktober 2025 erreicht. Danach folgte ein ESU-Programm, das anfangs als einmalig angekündigt und dann doch um eine zweite Periode verlängert wurde. Diese zweite Periode endet im Oktober 2026 – und Microsoft hat auf Nachfragen deutlich gemacht, dass keine weitere Verlängerung kommt.

ESU war nie eine Lösung. Es war ein bezahlter Aufschub für eine Entscheidung, die ohnehin ansteht.

Die drei realistischen Wege

Weg	Für wen geeignet	Aufwand	Laufende Kosten
Exchange Server SE (Subscription Edition, on-premises)	Regulatorische Anforderungen an lokale Datenhaltung, gewachsene Integration in Branchensoftware, sehr große Postfachbestände	In-Place-Upgrade von 2019 möglich, von 2016 ist ein Umzug nötig	Abonnement pro Server und Zugriff, dauerhaft
Exchange Online (vollständige Migration)	Der Normalfall im Mittelstand – kein eigener Exchange mehr, kein Perimeter-Risiko	Migrationsprojekt, abhängig von Postfachanzahl und Anbindung	M365-Lizenzen, dafür kein Serverbetrieb
Hybrid mit minimalem Server	Wenn Anwendungen zwingend über einen lokalen SMTP-Endpunkt gehen oder Attribute lokal verwaltet werden	Migration plus dauerhafter Betrieb eines Servers	M365-Lizenzen plus Serverbetrieb – die teuerste Variante

Der unterschätzte Fall: „Wir migrieren, aber der Server bleibt“

In vielen Umgebungen bleibt nach der Postfachmigration ein Exchange-Server stehen – für den Relay von Scannern, Kopierern, ERP-Systemen und Monitoring-Meldungen. Damit bleibt auch das Risiko: ein am Perimeter erreichbarer Exchange ohne Sicherheitsupdates. Wer diesen Fall nicht bewusst plant, migriert das Postfach und behält das Problem.

Die Fragen, die die Entscheidung tatsächlich bestimmen

Vor der Wegwahl zu klären

Wer relayed über den Exchange? Multifunktionsgeräte, ERP, Warenwirtschaft, Monitoring, Zeiterfassung. Diese Liste ist fast immer länger als erwartet und bestimmt, ob ein Server bleiben muss.
Welche Anwendungen greifen über EWS oder MAPI zu? Archivlösungen, CRM-Anbindungen, Signaturverwaltung, Faxserver.
Wie werden Postfachattribute verwaltet? Bei bestehendem Entra Connect ist ein Teil der Verwaltung an lokale Attribute gebunden – das ist der klassische Grund für einen Hybrid-Server.
Gibt es öffentliche Ordner? Der häufigste Grund, warum ein Migrationsprojekt aus dem Zeitplan läuft.
Wie groß ist der Gesamtbestand? Volumen und Anbindung bestimmen die Migrationsdauer stärker als die Postfachanzahl.
Welche Aufbewahrungspflichten gelten? Archivierung ist in der Cloud lösbar, aber anders – und muss vor der Migration geklärt sein.

Die ersten beiden Fragen lassen sich direkt auf dem Server beantworten. Diese Bestandsaufnahme sollte am Anfang stehen, nicht in der Migrationswoche:

Exchange Management Shell – Bestandsaufnahme vor der Entscheidung

# Auf dem Exchange-Server ausfuehren (Exchange Management Shell)
Get-ExchangeServer | Select-Object Name, Edition, AdminDisplayVersion, ServerRole

# Genauer Patchstand aller Exchange-Server der Organisation
Get-ExchangeServer | ForEach-Object {
    $v = Get-Command Exsetup.exe -ErrorAction SilentlyContinue
    [pscustomobject]@{
        Server  = $_.Name
        Version = $_.AdminDisplayVersion
        Rollen  = $_.ServerRole
        Site    = $_.Site
    }
}

# Wie viele Postfaecher liegen noch on-premises, wie gross sind sie?
Get-Mailbox -ResultSize Unlimited |
  Get-MailboxStatistics |
  Measure-Object TotalItemSize -Sum -Average -Maximum |
  Select-Object Count,
    @{n='SummeGB'; e={[math]::Round($_.Sum/1GB,1)}},
    @{n='MittelMB';e={[math]::Round($_.Average/1MB,0)}}

# Welche Anwendungen relayen ueber den Exchange? (Connector-Uebersicht)
Get-ReceiveConnector | Select-Object Server, Name, Bindings, RemoteIPRanges, PermissionGroups

Das Relay-Problem sauber lösen

Wenn die einzige verbliebene Aufgabe des Servers der SMTP-Relay ist, brauchen Sie dafür keinen Exchange. Drei Alternativen, in der Reihenfolge, in der sie meistens passen:

Lösung	Geeignet für	Zu beachten
Direct Send an Microsoft 365	Wenige Geräte, Versand ausschließlich an interne Empfänger	Keine Authentifizierung, feste IP und korrekter SPF-Eintrag erforderlich; keine externen Empfänger
SMTP-Relay über einen Connector mit Zertifikat	Geräte, die auch nach außen zustellen müssen	Connector im Tenant, feste IP, saubere SPF- und DKIM-Konfiguration
Lokaler SMTP-Relay-Dienst (IIS SMTP oder schlanke Alternative)	Viele Altgeräte, die weder TLS noch Authentifizierung beherrschen	Der Relay steht intern, nimmt nur aus definierten Netzen an und leitet authentifiziert an M365 weiter – kein Exchange, kein Perimeter-Risiko

Zur E-Mail-Zustellbarkeit

Jede Umstellung des Versandwegs berührt SPF, DKIM und DMARC. Prüfen Sie diese drei Einträge vor der Umstellung und kontrollieren Sie sie danach erneut – ein falsch gesetzter SPF-Eintrag zeigt sich nicht sofort, sondern über Wochen in einzelnen nicht zugestellten Nachrichten.

Ein realistischer Zeitplan

Phase	Dauer	Inhalt
Bestandsaufnahme	1–2 Wochen	Relay-Quellen, Anwendungszugriffe, öffentliche Ordner, Datenvolumen, Aufbewahrung
Entscheidung und Freigabe	1 Woche	Weg festlegen, Kosten gegenüberstellen, Freigabe durch die Geschäftsleitung
Vorbereitung	2–4 Wochen	Lizenzen, Tenant-Konfiguration, DNS, Relay-Lösung, Testpostfächer
Migration	2–8 Wochen	Wellenweise nach Abteilungen, mit Rückfallebene je Welle
Nachlauf	2–4 Wochen	Alte Verweise bereinigen, Relay umstellen, Server außer Betrieb nehmen, AD-Attribute prüfen

Was Sie in diesem Jahr nicht mehr schaffen

Ein Migrationsprojekt, das im September beginnt, ist bis Mitte Oktober nicht abgeschlossen. Das ist in Ordnung – solange die Übergangszeit bewusst gestaltet ist: Exchange nicht mehr direkt aus dem Internet erreichbar, Zugriff über veröffentlichte Dienste beschränkt, Überwachung verschärft, Entscheidung und Kompensation dokumentiert. Was nicht in Ordnung ist: unverändert weiterlaufen zu lassen und zu hoffen.

Passendes Werkzeug

ISW Exchange Hygiene & ISW DKIM Signer

Sauber ankommen, nicht nur umziehen. Exchange Hygiene prüft und bereinigt Postfächer nach PST-Import und Tenant-Migration – Duplikate, verwaiste Erinnerungen und Altlasten, die eine Migration typischerweise mitbringt. Der ISW DKIM Signer sorgt dafür, dass die Zustellbarkeit nach der Umstellung stimmt.

Zum Produkt auf isw-adtools.de

Fazit

Die zweite ESU-Periode ist die letzte. Für die meisten mittelständischen Umgebungen ist Exchange Online der richtige Weg, weil der eigentliche Gewinn nicht in den Lizenzkosten liegt, sondern im Wegfall eines am Perimeter erreichbaren Systems, das dauerhaft gepatcht werden muss. Die Subscription Edition ist die richtige Antwort auf konkrete regulatorische oder technische Bindungen – nicht auf Gewohnheit. Und wer migriert, sollte den Relay-Fall von Anfang an mitplanen, sonst bleibt der Server stehen und mit ihm das Risiko.

Über den Autor: Joern Walter betreibt IT-Service Walter in Euskirchen, betreut rund 400 Kundendomänen und entwickelt die ISW-ADTools für Windows-Administration, Sicherheit und Compliance. Fachbeiträge erscheinen als „Der Windows Papst“.