Exchange 2016/2019: Am 31. Oktober endet das letzte ESU – endgültig

Mit dem Ende des Monats Oktober 2026 liefert Microsoft für Exchange Server 2016 und 2019 keine Sicherheitsupdates mehr – auch nicht gegen Bezahlung. Eine weitere Verlängerung hat das Exchange-Team ausdrücklich ausgeschlossen. Wer noch einen dieser Server im Einsatz hat, betreibt ihn ab November dauerhaft ungepatcht.

Die Zeitleiste im Überblick

Wichtig: Schon die ESU-Perioden waren keine Support-Verlängerung. Sie deckten nur Exchange 2016 CU23 sowie Exchange 2019 CU14/CU15 ab und nur Schwachstellen, die das MSRC als Kritisch oder Wichtig einstuft. Supportfälle waren ausgeschlossen, solange sie nicht ein ESU-Update selbst betrafen.

Warum das kein „Läuft ja noch“-Thema ist

Exchange ist eines der beliebtesten Angriffsziele überhaupt: aus dem Internet erreichbar, tief im Active Directory verankert und mit weitreichenden Rechten ausgestattet. Jede Exchange-Lücke, die ab November bekannt wird und 2016 oder 2019 betrifft, bleibt für immer offen. Erfahrungsgemäß analysieren Angreifer die Patches für Exchange SE und übertragen sie auf die alten Versionen – der Abstand zwischen Veröffentlichung und Ausnutzung ist bei Exchange traditionell kurz.

Dazu kommt die Compliance-Seite: Ein Server ohne Sicherheitsupdates verstößt gegen die Grundanforderungen von BSI IT-Grundschutz OPS.1.1.3 (Patch- und Änderungsmanagement) und APP.5.2 (Microsoft Exchange und Outlook). Unter NIS2 fällt der Umgang mit Schwachstellen ausdrücklich unter die Risikomanagementmaßnahmen nach Art. 21 Abs. 2 lit. e. Ein bewusst weiterbetriebener End-of-Life-Exchange ist im Audit kaum zu begründen.

Schritt 1: Bestandsaufnahme

Bevor geplant wird, muss klar sein, was überhaupt läuft. In der Exchange Management Shell:

# Alle Exchange-Server mit Version und Rolle
Get-ExchangeServer | Sort-Object Name |
    Format-Table Name, Edition, AdminDisplayVersion, ServerRole -AutoSize

# Genauer Build pro Server (Abgleich mit der Build-Liste von Microsoft)
Get-ExchangeServer | ForEach-Object {
    $v = Invoke-Command -ComputerName $_.Fqdn -ScriptBlock {
        (Get-Command Exsetup.exe).FileVersionInfo.ProductVersion }
    [pscustomobject]@{ Server = $_.Name; Build = $v }
}

Ergänzend lohnt ein Lauf des HealthChecker.ps1 aus dem CSS-Exchange-Repository von Microsoft. Er zeigt Build-Stand, fehlende Updates und Konfigurationsschwächen pro Server.

Schritt 2: Den richtigen Weg wählen

Von Exchange 2019: In-Place-Upgrade auf Exchange SE

Der einfachste Weg. Exchange Server Subscription Edition wird auf Exchange 2019 CU14 oder CU15 wie ein kumulatives Update installiert. Server, Namespace und Zertifikate bleiben, eine Postfachmigration entfällt. Voraussetzung ist eine gültige Subscription-Lizenz bzw. Software Assurance.

Von Exchange 2016: Klassische Migration

Ein 2016-Server wird nie zu einem SE-Server. Es braucht neue Server, eine Postfachmigration und das Außerbetriebnehmen der alten Maschinen. Viele Umgebungen gehen dabei den Umweg über Exchange 2019 auf aktueller Hardware und aktuellem Betriebssystem, migrieren dorthin und führen danach das In-Place-Upgrade auf SE durch.

Alternative: Exchange Online

Wer ohnehin Microsoft 365 nutzt, kann die Postfächer per Hybrid-Bereitstellung nach Exchange Online verschieben. Auch dann bleibt meist ein Exchange-Server für die Verwaltung der Empfängerattribute im lokalen AD – und der muss ebenfalls unterstützt sein.

Schritt 3: Die Migration als Aufräumchance nutzen

Eine Migration ist der ideale Zeitpunkt, um Altlasten zu beseitigen, die sich über die Jahre angesammelt haben:

• Mail-Authentifizierung: SPF, DKIM und DMARC prüfen und neu aufsetzen. Exchange On-Premises signiert ohne Zusatzkomponente nicht mit DKIM.
• TLS: TLS 1.0/1.1 auf den neuen Servern gar nicht erst aktivieren, Cipher-Suites nach BSI TR-02102-2 setzen.
• Authentifizierung: Extended Protection aktivieren, NTLM wo möglich zurückdrängen, moderne Authentifizierung für Outlook einschalten.
• Postfachhygiene: verwaiste Postfächer, alte Weiterleitungen und Berechtigungen entfernen, statt sie mitzumigrieren.
• Zertifikate: Laufzeiten und SAN-Einträge der Exchange-Zertifikate neu planen.

Fallstricke

• Vergessene Server: Ein alter Exchange 2016 „nur für SMTP-Relay“ oder für die Hybrid-Verwaltung ist genauso verwundbar wie ein Postfachserver.
• Betriebssystem: Exchange SE setzt ein unterstütztes Windows Server voraus. Ein 2019er auf Windows Server 2016 hat mit dem Support-Ende von Server 2016 im Januar 2027 das nächste Problem.
• Lizenzierung: Exchange SE gibt es nur im Abonnement. Das Budget dafür sollte vor dem Upgrade geklärt sein.
• Drittprodukte: Archivierung, Signaturlösungen und Virenscanner auf SE-Kompatibilität prüfen.

Fazit

Der 31. Oktober 2026 ist das endgültige Aus für Exchange 2016 und 2019 – diesmal ohne Hintertür. Für 2019 ist der Weg zu Exchange SE vergleichsweise kurz und sollte jetzt gegangen werden. Für 2016 gilt: Migration starten, die Angriffsfläche bis zum Abschluss konsequent verkleinern und die Gelegenheit nutzen, die Mail-Infrastruktur auf einen sauberen Stand zu bringen.

Quellen: Microsoft Exchange Team Blog „Reminder: Exchange 2016 and 2019 ESU Program Ends in October 2026“ (20.07.2026); BleepingComputer; CodeTwo Admin’s Blog; Messageware; BSI IT-Grundschutz-Kompendium (APP.5.2, OPS.1.1.3)