Exchange Server 2019/2016 EOL: Ihre 3 Optionen

Am 14. Oktober 2025 ist für Exchange Server 2016 und 2019 der Support ausgelaufen. Wer diese Systeme noch im Keller stehen hat, betreibt seit diesem Tag eine E-Mail-Zentrale, die keine Sicherheitsupdates mehr bekommt. Das ist kein Randthema: Exchange ist geschäftskritisch und zugleich eines der beliebtesten Angriffsziele überhaupt. Dieser Beitrag erklärt, was das Exchange Server EOL konkret bedeutet, welche drei Wege es nach vorn gibt und wie eine Migration mit kalkulierbarem Aufwand abläuft.

Exchange Server EOL: was das Support-Ende wirklich bedeutet

Kein technischer Support, keine Fehlerbehebungen, keine Sicherheitsfixes, nicht einmal mehr Zeitzonen-Updates — genau diese vier Punkte listet die offizielle Roadmap von Microsoft als das auf, was seit dem 14. Oktober 2025 entfällt. „End of Life” heißt dabei nicht, dass die Server stehenbleiben; Microsoft schreibt ausdrücklich, dass die Installation weiterläuft, empfiehlt aber dringend, so schnell wie möglich zu migrieren.

Wichtig für die Einordnung: Der 14. Oktober 2025 war das Ende des erweiterten Supports — die Mainstream-Phase lag für Exchange 2016 und 2019 längst davor. Einen Nachschlag stellt Microsoft nicht in Aussicht: Ein Programm für verlängerte Sicherheitsupdates, wie es Windows Server kennt, taucht in der Roadmap nicht auf — dort steht als einzige Handlungsempfehlung die Migration. Das Support-Ende ist damit endgültig, und der Weiterbetrieb eines On-Premises-Exchange ohne Patches wird mit jedem Tag riskanter.

Wie groß das Problem in Deutschland tatsächlich ist, hat das BSI zwei Wochen nach dem Stichtag gemessen. In seiner Cybersicherheitswarnung vom 28. Oktober 2025 nennt die Behörde rund 33.000 dem BSI bekannte On-Premises-Exchange-Server mit offen aus dem Internet erreichbarem Outlook Web Access — und 92 Prozent davon liefen weiterhin auf Version 2019 oder älter. Betroffen sind laut BSI neben tausenden Unternehmen auch Krankenhäuser und Arztpraxen, Schulen, Anwalts- und Steuerkanzleien, Stadtwerke und Kommunalverwaltungen. Die Empfehlung der Behörde ist eindeutig: umgehend auf Version SE aktualisieren oder auf eine Alternative migrieren.

Für beide Berufsgruppen wiegt das schwerer als für ein durchschnittliches Unternehmen: Wer Patienten- oder Mandantendaten verarbeitet, hat neben der DSGVO noch Berufsrecht im Nacken — und ein offener Exchange-Server ist dort nicht nur ein IT-Problem, sondern eine Verschwiegenheitsfrage.

Für die Praxis ist die Sicherheitsfrage die entscheidende: Jede Lücke, die nach dem Support-Ende bekannt wird, bleibt auf einem solchen System dauerhaft offen.

Wer betroffen ist, sollte das Thema deshalb nicht ins nächste Jahr schieben. Wie eng IT-Sicherheit inzwischen mit gesetzlichen Pflichten verknüpft ist, zeigt unser Überblick zum NIS2-Umsetzungsgesetz.

Warum Exchange ein bevorzugtes Angriffsziel ist

Kaum ein anderes On-Premises-Produkt zieht so viel Aufmerksamkeit von Angreifern auf sich wie Microsoft Exchange Server. Der Grund liegt in der Natur des Systems: Es ist aus dem Internet erreichbar, verwaltet die komplette Kommunikation und ist auf zehntausenden Servern nahezu identisch installiert. Wer eine Lücke findet, kann sie in großem Stil ausnutzen — so geschehen bei mehreren Angriffswellen der vergangenen Jahre, die ungepatchte Exchange-Server reihenweise kompromittierten.

Das trifft nicht nur große Häuser: Wer einen Exchange-Server mit offenem Outlook Web Access betreibt, steht in denselben Scan-Ergebnissen wie jeder Konzern.

Ob Sie 5 oder 500 Mitarbeitende haben — einem automatisierten Massenangriff ist das egal. Der verschlüsselt Sie, weil er kann. Deshalb braucht heute jedes Unternehmen einen Grundschutz.

Jens HagelGründer & Geschäftsführer

Für die Migration ist eine technische Vorbedingung wichtig: Ein Upgrade auf Exchange Server SE setzt voraus, dass der bestehende Server auf einem aktuellen Cumulative Update läuft. Welche Basisversionen dafür reichen, steht weiter unten. Wo Sie in Sachen Grundschutz sonst stehen, sortiert die IT-Sicherheits-Checkliste für KMU.

Die drei Wege nach vorn

Nach dem Support-Ende gibt es im Kern drei Optionen. Welche passt, hängt von Nutzerzahl, vorhandener Infrastruktur und Anforderungen an den Betriebsort der Daten ab.

Weg 1: Exchange Online in Microsoft 365

Für die große Mehrheit mittelständischer Betriebe ist der Umzug in die Microsoft-365-Cloud der einfachste und wirtschaftlichste Weg. Kein eigener Mailserver mehr, keine Exchange-Patches, keine Hardware am Lebensende — Microsoft betreibt die Infrastruktur, Sie nutzen den Dienst. E-Mail wird damit vom Dauer-Sorgenkind zur Selbstverständlichkeit: Outlook und die Postfächer laufen weiter wie gewohnt, nur ohne eigenen Server dahinter. Wie kjello Microsoft 365 betreut und die Lizenzen transparent weitergibt, zeigt die Seite zu Microsoft 365.

Zwei Punkte gehören dabei ehrlich dazu. Erstens verschwindet die Verantwortung nicht, sie verschiebt sich: Identitäten, Zugriffsrichtlinien und die Datensicherung der Postfächer bleiben Ihre Aufgabe. Zweitens sind die Lizenzkosten kein Fixpunkt für die Ewigkeit — was sich zuletzt geändert hat, steht in unserem Beitrag zur Microsoft-365-Preiserhöhung 2026.

Weg 2: Exchange Server SE on-premises

Wer aus regulatorischen oder betrieblichen Gründen zwingend einen eigenen, lokalen Exchange Server braucht, hat mit Exchange Server SE — der Subscription Edition — die offizielle Nachfolgeversion. Sie ist die Ablösung von Exchange 2019 und 2016, allerdings mit geändertem Lizenzmodell: Statt Einmalkauf gilt ein Abonnement mit Server-Lizenz und Zugriffslizenzen (CAL). Der Dienst läuft weiterhin auf Ihrem eigenen Windows Server; Hardware, Betrieb und Patches bleiben in Ihrer Verantwortung.

Neue Features bringt die Version bewusst kaum. Laut Microsoft Learn zu den Neuerungen in Exchange Server SE entspricht der RTM-Code weitgehend Exchange Server 2019 CU15; echte Neuerungen beginnen erst mit dem ersten Cumulative Update. Was dazukommt, ist vor allem Sicherheit: Unterstützung für Windows Server Core, Sperrmöglichkeiten für den externen Zugriff auf das Exchange Admin Center und eine Standardkonfiguration, die nur noch TLS 1.2 und TLS 1.3 aktiviert.

Entscheidend für die Planung ist der Upgradepfad. Microsoft unterstützt in derselben Dokumentation ein direktes Upgrade nur von Exchange Server 2019 CU14 oder CU15 aus — also auf derselben Maschine, ohne Neuinstallation und ohne Datenumzug. Wer noch auf Exchange 2016 sitzt, muss deshalb zuerst auf Exchange 2019 CU14/CU15 gehen oder einen neuen Server mit Exchange SE danebenstellen und die Postfächer übertragen. Das ist der richtige Weg für spezielle Anforderungen, aber selten der günstigste.

Weg 3: Hybrider Betrieb

Der hybride Weg kombiniert beides: ein Teil der Postfächer in der Cloud, ein Teil on-premises, verbunden über eine Hybrid-Konfiguration. Microsoft beschreibt die Voraussetzungen dafür in seiner Dokumentation zu Hybridbereitstellungen für Exchange Server — unter anderem müssen Berechtigungen vor der Migration explizit gesetzt und alle Objekte E-Mail-aktiviert sein. In der Praxis ist Hybrid meist eine Übergangslösung während der Migration oder eine Antwort auf sehr spezifische Anforderungen. Dauerhaft betrieben verdoppelt sie die Angriffsfläche: Sie haben dann eine Cloud-Umgebung und einen weiterhin gepflegten Server.