Der Sicherheits-Support für Exchange Server 2016 und 2019 läuft endgültig aus. Unternehmen müssen jetzt handeln.
Microsoft hat bestätigt: Die erweiterten Sicherheitsupdates (ESU) für Exchange Server 2016 und 2019 enden im Oktober 2026. Eine weitere Verlängerung wird es nicht geben. Damit steht der endgültige Schlussstrich unter die Ära lokaler Exchange-Installationen aus den Jahren 2015 bis 2018.
Kein Pardon mehr für alte Versionen
Der Support-Ausstieg folgt einem seit Jahren absehbaren Fahrplan. Der reguläre Support für Exchange 2016 endete bereits im Oktober 2020, für Exchange 2019 im Januar 2024. Seit dem 14. Oktober 2025 sind beide Versionen offiziell am Ende ihres Lebenszyklus angelangt.
Mit dem ESU-Programm hatte Microsoft den Unternehmen eine Gnadenfrist eingeräumt. Die zweite und letzte Phase läuft von Mai bis Oktober 2026. Danach gibt es keine kritischen Sicherheitspatches mehr. Wer dann noch auf den alten Servern sitzt, läuft Gefahr, ungeschützte Sicherheitslücken zu hinterlassen.
Die Botschaft an Administratoren ist klar: Entweder Umstieg auf Exchange Online in der Cloud oder Upgrade auf die neue Abo-Version.
Der neue Weg: Exchange Subscription Edition
Seit dem 1. Juli 2025 gibt es den Exchange Server Subscription Edition (SE) als Nachfolger. Das Besondere: Statt eines festen End-of-Support-Datums gilt hier die Modern Lifecycle Policy. Microsoft liefert kontinuierlich Updates – solange das Abo läuft.
Der Abschied von alten On-Premises-Strukturen erfordert eine weitsichtige Sicherheitsstrategie, um keine neuen Einfallstore für Angreifer zu öffnen. Dieses kostenlose E-Book unterstützt IT-Verantwortliche dabei, Sicherheitslücken effektiv zu schließen und moderne Standards umzusetzen. Gratis-E-Book: IT-Sicherheit ohne teure Investitionen stärken
Für Exchange-2019-Nutzer ist der Umstieg vergleichsweise einfach: Ein In-Place-Upgrade ist möglich, sofern die Server auf dem kumulativen Update 14 oder 15 laufen. Wer noch Exchange 2016 einsetzt, hat es schwerer. Hier führt der Weg meist über Exchange Online oder einen Zwischenschritt über die 2019er-Version.
Sicherheitsrisiken: Kein Raum für Verzögerung
Die Dringlichkeit zeigt ein aktueller Vorfall. Erst Anfang Juli 2026 entdeckten Sicherheitsforscher eine kritische Lücke in SharePoint Server. Die Schwachstelle CVE-2026-50522 – mit einem CVSS-Wert von 9,8 von 10 – wird bereits aktiv ausgenutzt. Angreifer extrahieren damit IIS-Maschinenkeys, um sich dauerhaft Zugang zu verschaffen. Betroffen sind SharePoint 2016, 2019 und die Subscription Edition.
Das macht deutlich: On-Premises-Infrastruktur wird zunehmend zum Risiko. Microsoft rät, die Juli-Updates sofort einzuspielen und Zugangsdaten zu rotieren.
Alte Zöpfe werden abgeschnitten
Parallel zum Support-Ende verschwinden auch veraltete Funktionen. Die Outlook Web App Light (OWA Light) wird im August 2026 endgültig eingestellt – bereits seit August 2024 war sie nur noch im Deprecated-Status. Administratoren können sie jetzt schon per PowerShell deaktivieren.
Besonders beim Übergang zu neuen Systemen nutzen Cyberkriminelle oft die Unsicherheit der Belegschaft aus, um sensible Zugangsdaten abzugreifen. Erfahren Sie in diesem Experten-Report, wie Sie Ihr Unternehmen proaktiv gegen aktuelle Bedrohungen und Manipulationstaktiken absichern. Kostenloses Anti-Phishing-Paket für Unternehmen anfordern
Cloud-Nutzer profitieren
Während es für On-Premises-Betreiber eng wird, rollt Microsoft für Cloud-Kunden Verbesserungen aus. Ab August 2026 werden freigegebene Kalender in Exchange Online für GCC-High- und Verteidigungsbehörden automatisch umgestellt. Der Wechsel von MAPI auf REST verspricht schnellere Synchronisation – und das ohne manuelles Eigenreife.
Branchenbeobachter sehen darin eine klare Strategie: Microsoft drängt seine Kunden in Richtung Abo-Modelle und Cloud-Dienste. Dort lassen sich Sicherheitsupdates einheitlicher ausrollen. Wer weiter auf eigene Server setzt, muss sich sputen – der Oktober 2026 kommt schneller als gedacht.
