Exchange Online weist bald Mails von veralteten Exchange 2016/2019-Servern ab

Kurze Information für Administratoren, die noch mit Microsoft Exchange 2016 oder 2019-On-Premises-Servern unterwegs sind. Ab der zweiten Woche im September 2026 fordert Microsoft von On-Premises Exchange-Server einen minimalen Patchstand. Mails von Servern, die diesen Sicherheitsstand nicht erfüllen, werden von Exchange Online (bei Verwendung eines bestimmten Connectors) ggf. gedrosselt oder sogar abgewiesen.

Bereits im Jahr 2023 hatte ich im Blog-Beitrag Exchange Online: Blockierung von Mails von ungepatchten Exchange-Systemen gestartet auf angezogene Sicherheitsanforderungen bei der Mailzustellung an Exchange Online hingewiesen. Microsoft hatte damit begonnen, eine Sicherheitsmaßnahme bei Exchange Online einzuführen. Die Zustellung von Mails von (on-premises) Exchange-Servern an Exchange Online wurde verzögert, falls diese Systeme aus dem Support gefallen oder nicht gepatcht sind.

Mailzustellung an Exchange Online verschärft

Bereits zum 2. September 2026 hat das Exchange-Team den Techcommunity-Beitrag Exchange 2016/2019: Throttling and Blocking up to the Final Public Update Baseline veröffentlicht. Dort hat Microsoft bekannt gegeben, dass man ab der zweiten Septemberwoche 2026 verlangt, dass Exchange 2016- oder Exchange 2019-Server auf den Patchstand Oktober 2025 sein müssen, wenn diese Maschinen über einen eingehenden OnPremises-Konnektor eine Verbindung zu Exchange Online herstellen wollen.

Nach Inkrafttreten dieser Änderung ist die älteste Exchange-Server-Version, die E-Mails über den eingehenden "OnPremises"-Konnektor an Exchange Online senden darf, ein Exchange-Server mit den Updates vom Oktober 2025. Ist dies nicht gegeben, soll Exchange Online die Mails blockieren bzw. zurück weisen.

Diese Verschärfung wurde vor fast einem Jahr angekündigt und dann von Microsoft im Hintergrund umgesetzt. Bei der nächsten Anpassung der Anforderungen wird Exchange Online E-Mails von Exchange Server 2016 oder Exchange Server 2019 nur annehmen, wenn diese auf einem Update-Stand sind, die einen Extended Security Update Support (ESU) für die beiden genannten Server-Versionen erfordern. Die Alternative wäre der Umstieg auf Exchange SE. Wann diese nächste Anpassung erfolgt, ist derzeit offen. Das Exchange-Team rechnet mit einem Zeitraum von mehreren Monaten.

Die Drosselung und Blockierung von E-Mails von dauerhaft ungepatchten, d.h. anfälligen, On-premises Exchange-Servern an Exchange Online:

• Gilt für Exchange-Server, die über einen Inbound-Connector vom Typ "OnPremises" eine Verbindung zu Exchange Online herstellen.
• Diese Blockierung oder Drosselung gilt dagegen nicht für Exchange-Server, die E-Mails auf andere Weise (über andere Connector-Typen usw.) an Exchange Online senden.

Laut Blog-Beitrag kann sich die Aussage zum letztgenannten Punkt in Zukunft ändern. Microsoft betont zudem, dass alle On-Premises Exchange-Server, die nicht auf dem aktuellen Patchstand sind, als "unsicher" zu gelten haben und nicht mehr betrieben werden, oder aktualisiert werden sollten.