Exchange Online: Wichtige Neuerungen und End of Support für EWS im Oktober 2026

Executive Summary

Am 1. Oktober 2026 dreht Microsoft in Exchange Online den Hahn zu. Nicht symbolisch, nicht mit einem freundlichen Hinweisbanner, sondern per Schalter: Jeder Tenant, dessen Eigenschaft EWSEnabled an diesem Tag noch auf Null steht, bekommt sie auf False gesetzt. Ab dann läuft keine einzige Anwendung mehr über Exchange Web Services, die nicht ausdrücklich auf einer Allow-List steht. Am 1. April 2027 ist endgültig Schluss – ohne Verlängerung, ohne Ausnahmegenehmigung und ohne den netten Kollegen im Support, der noch mal ein Auge zudrückt.

Das Handlungsfenster ist deutlich enger, als das Datum vermuten lässt. Wer bis Ende August 2026 seine Allow-List befüllt und EWSEnabled aktiv auf True setzt, wird von der automatischen Umstellung am 1. Oktober ausgenommen und bleibt unterbrechungsfrei im Betrieb. Wer das nicht tut, überlässt die Auswahl seiner erlaubten Anwendungen im September einem Algorithmus, der aus beobachtetem Datenverkehr rät. Das kann gut gehen. Muss es aber nicht.

Parallel dazu passiert etwas Erfreuliches: Ab Mitte August 2026 rollt Cross-Tenant Message Recall aus, eine der am längsten gewünschten Funktionen in Exchange Online überhaupt. Damit lässt sich eine Mail auch dann zurückrufen, wenn sie längst im Postfach einer fremden Organisation liegt. Der Haken: Es funktioniert nur, wenn die Gegenseite dich vorher ausdrücklich auf eine Vertrauensliste gesetzt hat. Beides zusammen ergibt eine klare Ansage für dieses Quartal – inventarisieren, entscheiden, konfigurieren. In genau dieser Reihenfolge.

Der Weg von der ersten Ankündigung 2018 bis zur finalen Abschaltung 2027 – mit dem einzigen Zeitfenster, das jetzt noch zählt.

Worum geht es im Detail?

Exchange Web Services ist knapp zwanzig Jahre alt. Als die Schnittstelle entworfen wurde, galt SOAP als moderne Idee, XML als elegant und ein Postfach als etwas, das in einem Rechenzentrum steht, das man selbst abschließen kann. Von allen drei Annahmen ist heute keine mehr haltbar. Microsoft hat bereits im Juli 2018 angekündigt, dass EWS keine neuen Funktionen mehr bekommt, und 2023 das Abschaltdatum Oktober 2026 in den Kalender geschrieben. Das war damals eine sportliche, aber komfortable Frist. Inzwischen ist sie fast abgelaufen.

Beschleunigt hat das Ganze ein Vorfall, den man in Kundengesprächen kaum noch erklären muss, weil ihn ohnehin jeder kennt: Midnight Blizzard im Januar 2024. Der Angriff nutzte unter anderem EWS, um sich über Anwendungsberechtigungen breitflächig Zugriff auf Postfächer zu verschaffen. Danach war die Diskussion beendet. Der Umfang der Abschaltung wurde von Drittanbieter-Anwendungen auf sämtliche Anwendungen ausgeweitet, die eigenen inklusive. Outlook, Office, Teams und Dynamics 365 bauen ihre EWS-Abhängigkeiten seitdem systematisch ab. Wenn Microsoft die eigenen Produkte umbaut, um eine Schnittstelle loszuwerden, ist die Wahrscheinlichkeit einer Fristverlängerung ungefähr so hoch wie die eines Wintereinbruchs im August.

Technisch hängt alles an einer einzigen Tenant-Eigenschaft mit drei Zuständen. Null bedeutet aktuell: alles erlaubt. Das ist der Standard, in dem sich die meisten Organisationen befinden, und genau deshalb ist es die Falle. True bedeutet heute ebenfalls alles erlaubt, ab Oktober aber nur noch das, was auf der Allow-List steht. False blockiert kompromisslos, heute wie morgen. Am 1. Oktober wandert jeder Tenant, der noch auf Null steht, im Zuge des Rollouts automatisch auf False. Wer bis dahin bewusst True gesetzt und eine Liste gepflegt hat, wird von dieser Umstellung ausgenommen.

Drei Zustände, zwei Zeitalter, ein Stichtag: Wie EWSEnabled und die beiden Allow-List-Mechanismen zusammenspielen.

Bei den Allow-Lists gibt es eine Feinheit, die in der Praxis regelmäßig für Verwirrung sorgt. Die ältere EWSAllowList filtert nach User Agent, also nach einer Zeichenkette, die sich jede Anwendung selbst aussuchen darf. Der neue Mechanismus EWSAllowedAppIDs filtert nach der Anwendungs-ID aus Entra ID und ist damit deutlich härter. Beide lassen sich parallel betreiben, sie greifen an unterschiedlichen Stellen. Wichtig beim Setzen: Die Eigenschaft wird immer komplett überschrieben. Wer eine App ergänzen will, muss die bestehende Liste auslesen, erweitern und vollständig zurückschreiben. Ein bequemes Anhängen im laufenden Betrieb gibt es nicht – und der Kollege, der das nicht weiß, hat die Liste in genau drei Sekunden auf einen einzigen Eintrag reduziert.

Der Nachfolger heißt Microsoft Graph und deckt inzwischen nahezu alle Szenarien ab. Nahezu ist dabei das entscheidende Wort. Offene Lücken gibt es weiterhin beim Import und Export öffentlicher Ordner und von Microsoft-365-Gruppen, beim In-Place-Archiv, beim Event-Delta für Serientermine, bei Sticky Notes und bei der UserConfiguration, die sich noch in der Vorschau befindet. Auch die Administrations-APIs für akzeptierte Domänen, Verteilergruppenmitgliedschaften, Postfachordner-Berechtigungen und die Organisationskonfiguration sind erst als Preview verfügbar. Der Import und Export von Postfächern ist ebenfalls in der Vorschau, allerdings ohne Gruppen- und Public-Folder-Postfächer. Wer genau in einer dieser Lücken sitzt, hat kein Migrationsprojekt, sondern ein Architekturprojekt.

Ein Sonderfall, der in vielen Häusern noch unter dem Radar läuft, ist die Hybridbereitstellung. Der Shared Service Principal, über den Free/Busy, MailTips und die Fotosynchronisation zwischen lokalem Exchange und der Cloud liefen, wurde bereits am 31. Oktober 2025 abgeschaltet. Seit dem Hotfix-Update vom Mai 2026 unterstützt Exchange Server Subscription Edition Microsoft Graph für Free/Busy, Profilbilder und in Teilen für MailTips. Wer noch auf einer älteren Version steht, hat damit nicht ein Problem, sondern zwei: eine Schnittstellenabschaltung und ein fälliges Serverupgrade, die sich gegenseitig blockieren. Die lokalen Postfächer selbst bleiben unberührt, EWS in Exchange Server on premises wird nicht angefasst. Es geht ausschließlich um Zugriffe in Richtung Cloud.

Und dann ist da noch die gute Nachricht des Monats. Cross-Tenant Message Recall startet Mitte August 2026 in die allgemeine Verfügbarkeit – weltweit sowie in GCC, GCC High, DoD und bei 21Vianet, Abschluss ist für Anfang bis Mitte September geplant. Bisher endete ein Rückruf an der Tenant-Grenze. Künftig lässt sich eine Mail auch aus dem Postfach einer fremden Organisation zurückholen, sofern diese Organisation die Funktion aktiviert und deine Entra-Tenant-ID auf ihre Vertrauensliste gesetzt hat. Die Steuerung liegt vollständig beim Empfänger, gesetzt wird sie per PowerShell.

Cross-Tenant Message Recall greift nur, wenn zwei Bedingungen im Empfänger-Tenant gleichzeitig erfüllt sind. Der Absender hat darauf keinerlei Einfluss.

Was sind Chancen? Was sind Risiken?

Fangen wir mit den Chancen an, weil sie in der Aufregung um Abschaltdaten gern untergehen. EWS ist historisch eine ausgesprochen großzügige Schnittstelle. Wer Zugriff hatte, hatte meistens sehr viel Zugriff, und in vielen Umgebungen laufen bis heute Dienstkonten mit Impersonation-Rechten auf sämtliche Postfächer herum, weil das 2014 die schnellste Lösung war und seitdem niemand hingeschaut hat. Der Umstieg auf Graph zwingt dich, jede einzelne Berechtigung neu zu begründen. Mit granularen Anwendungsberechtigungen und Anwendungszugriffsrichtlinien lässt sich eine Anwendung sauber auf die Postfächer begrenzen, die sie tatsächlich braucht. Das ist keine lästige Pflicht, das ist die Aufräumaktion, die du seit Jahren vor dir herschiebst – diesmal mit einem Termin, der sie durchsetzt.

Die zweite Chance ist eine Bereinigung des Anwendungszoos. In fast jedem Inventar tauchen Skripte auf, die niemand mehr kennt, Konnektoren zu Systemen, die vor drei Jahren abgelöst wurden, und ein Archivierungswerkzeug, dessen Hersteller es nicht mehr gibt. Ein erzwungenes Inventar bringt diese Leichen ans Licht. Manche Anwendungen muss man nicht migrieren, sondern nur beerdigen. Und für viele einfache Automatisierungen ist die Power Platform mit ihren fertigen Konnektoren ohnehin der bessere Weg als ein selbstgebautes Skript auf einem Server, den nur noch der Praktikant von damals verstanden hat.

Die Risiken sind dafür unangenehm konkret. Das größte ist der stille Ausfall. EWS-Anwendungen arbeiten typischerweise im Hintergrund – Archivierung, Signaturverwaltung, Raumbuchungssysteme, CRM-Anbindungen, Datensicherung. Wenn diese Dienste ausfallen, klingelt kein Telefon, es blinkt keine Meldung auf einem Bildschirm, es passiert schlicht nichts mehr. Bemerkt wird der Ausfall erst, wenn jemand eine Mail aus dem Archiv braucht oder eine Wiederherstellung ansteht. Ein Datensicherungsprodukt, das seit sechs Wochen leise fehlschlägt, ist kein Störungsfall, sondern ein Vorfall mit Berichtspflicht.

Das zweite Risiko ist die Abhängigkeit von Dritten. Deine eigenen Skripte kannst du umstellen. Bei gekaufter Software hängst du am Zeitplan des Herstellers, und der Markt gibt derzeit ein gemischtes Bild ab. Veeam etwa hat für Backup for Microsoft 365 und die Data Cloud angekündigt, auf Graph umzustellen, verlangt dafür aber aktives Zutun: Bei der Data Cloud muss ein globaler Administrator die Anwendung neu autorisieren, bei Backup for Microsoft 365 müssen die Graph-Berechtigungen an der App-Registrierung in Entra ID nachgezogen werden. Passiert das nicht rechtzeitig, schlagen die Sicherungen fehl, und beim Wiederanlauf steht eine vollständige Neusynchronisation an. Frag deine Hersteller schriftlich nach Version und Termin, nicht mündlich nach Absichten.

Was müssen wir jetzt schon vorbereiten?

Der erste Schritt kostet zehn Minuten und liefert die halbe Antwort. Im Microsoft 365 Admin Center findest du unter Berichte, Nutzung, Exchange den Reiter zur EWS-Nutzung. Dort siehst du für die letzten 7, 30 oder 90 Tage, welche Anwendungs-IDs welche SOAP-Aktionen wie oft aufrufen und wann die letzte Aktivität war. Die Daten werden wöchentlich aggregiert, nicht täglich – ein Prozess, der nur zum Monatsende läuft, taucht also unter Umständen spät auf. Deshalb: Zeitraum auf 90 Tage stellen, exportieren und den Export als Grundlage für die Inventarliste nehmen. Anwendungs-IDs, die du nicht zuordnen kannst, findest du in den Unternehmensanwendungen in Entra ID oder in der veröffentlichten Liste der Microsoft-Erstanbieter-Apps.

Danach wird zugeordnet, und zwar mit Namen. Nicht Abteilung, nicht Team – Name, Telefonnummer, Vertreter. Jede Anwendungs-ID bekommt einen Verantwortlichen und eine Entscheidung aus genau drei Möglichkeiten: migrieren, ersetzen oder abschalten. Erfahrungsgemäß fällt ein knappes Drittel in die dritte Kategorie, sobald jemand ernsthaft fragt, wer das eigentlich noch benutzt. Für die verbleibenden Anwendungen helfen der EWS Analyzer für die Codeanalyse und die dokumentierten Zuordnungen zwischen EWS-Operationen und Graph-Aufrufen. Bei schlichten Skripten ist die KI-gestützte Refaktorierung inzwischen erstaunlich brauchbar – bei allem mit Streaming Notifications und Delegierungslogik bleibt es Handarbeit.

Bis Ende August muss die operative Entscheidung stehen. Entweder du bist fertig und setzt EWSEnabled bewusst auf False, dann bist du raus aus dem Thema. Oder du brauchst noch Zeit, dann setzt du EWSEnabled auf True und pflegst eine kuratierte Allow-List mit genau den Anwendungs-IDs, die du bis April 2027 noch benötigst. Was du auf keinen Fall tun solltest, ist auf Null stehen bleiben und hoffen. Denn dann übernimmt im September die Automatik: Microsoft befüllt Allow-Lists anhand beobachteter Nutzung. Das ist gut gemeint, aber es ist eine Vermutung auf Basis von Telemetrie und keine Inventur. Eine Anwendung, die nur quartalsweise läuft, steht dann eben nicht drauf.

Ein Detail, das gern vergessen wird: Auch die Berechtigungsseite braucht Vorlauf. Ein Wechsel von EWS Impersonation auf Graph-Anwendungsberechtigungen bedeutet in aller Regel eine neue Zustimmung durch einen globalen Administrator. In größeren Organisationen ist das kein Klick, sondern ein Änderungsantrag mit Freigabekette und Terminen. Plane dafür Wochen ein, nicht Tage. Und dokumentiere für jede Anwendung, welche Berechtigung sie warum bekommt – spätestens beim nächsten Audit ist genau das die Frage, die gestellt wird.

Für Cross-Tenant Message Recall ist die Vorbereitung schlanker, aber nicht trivial. Es geht um eine Governance-Frage: Welchen Partnerorganisationen räumst du das Recht ein, Nachrichten aus den Postfächern deiner Mitarbeiter zu entfernen? Sinnvolle Kandidaten sind Konzerntöchter, langjährige Dienstleister und Joint Ventures. Weniger sinnvoll ist es, die Liste zum Sammelbecken für jeden Lieferanten zu machen, der freundlich fragt. Leg fest, wer die Liste pflegt, wie ein Eintrag beantragt wird und wann er wieder verschwindet. Und informiere den Service Desk vorher, sonst erklärt der ab Herbst dem Vertrieb, warum eine Mail von gestern heute nicht mehr auffindbar ist.

Häufig gestellte Fragen

Was passiert genau, wenn ich bis Oktober 2026 gar nichts unternehme?

Deine Tenant-Eigenschaft EWSEnabled steht dann vermutlich auf Null und wird ab dem 1. Oktober 2026 im Zuge des Rollouts automatisch auf False gesetzt. Ab diesem Moment schlagen sämtliche EWS-Zugriffe fehl, die nicht über eine zuvor eingerichtete Allow-List abgedeckt sind – meist ohne sichtbare Fehlermeldung, weil die betroffenen Dienste im Hintergrund laufen.

Kann ich EWS nach dem 1. Oktober 2026 noch einmal einschalten?

Ja, bis zum 1. April 2027 lässt sich EWSEnabled weiterhin auf True setzen, allerdings gilt dann ausschließlich die Allow-List: Nur ausdrücklich gelistete Anwendungs-IDs kommen durch. Nach dem 1. April 2027 ist die Steuerungsmöglichkeit vollständig entfernt und es gibt keine Ausnahmen mehr.

Ist mein lokaler Exchange Server von der Abschaltung betroffen?

EWS in Exchange Server on premises wird nicht abgeschaltet und funktioniert weiter. Betroffen sind aber Hybrid-Szenarien, in denen der lokale Server auf Cloud-Postfächer zugreift, etwa für Free/Busy, MailTips oder Profilbilder – dafür braucht es Exchange Server Subscription Edition mit dem Hotfix-Update vom Mai 2026 und die Umstellung auf Microsoft Graph.

Deckt Microsoft Graph wirklich alles ab, was EWS konnte?

Für die große Mehrheit der Szenarien ja, und für viele EWS-Operationen existieren dokumentierte direkte Entsprechungen in Graph. Offene Lücken gibt es weiterhin unter anderem beim Import und Export öffentlicher Ordner und von Microsoft-365-Gruppen, beim In-Place-Archiv, beim Event-Delta für Serientermine und bei Sticky Notes, während mehrere Administrations-APIs noch im Vorschaustadium sind.

Kann eine fremde Organisation ungefragt Mails aus unseren Postfächern zurückrufen?

Nein. Cross-Tenant Message Recall ist standardmäßig deaktiviert und greift nur, wenn deine eigene Organisation die Funktion aktiv einschaltet und die Entra-Tenant-ID des Absenders ausdrücklich auf eine Freigabeliste setzt. Die Kontrolle liegt vollständig bei der empfangenden Seite, konfiguriert wird sie über Exchange Online PowerShell.