Exchange Online: Verbesserte Security-Features im August-Release

Executive Summary

Der August 2026 bringt dir in Exchange Online kein einzelnes glitzerndes Feature, auf das du eine Folie mit Raketen-Emoji bauen kannst. Er bringt dir ein Bündel. Und dieses Bündel besteht ungefähr zur Hälfte aus echten Sicherheitsgewinnen und zur anderen Hälfte aus Microsoft, das deine Altlasten aus dem Keller holt und gut sichtbar auf den Hof stellt. Beides musst du einplanen, und zwar am besten in derselben Woche.

Die guten Nachrichten zuerst: Defender for Office 365 Plan 1 ist seit dem 1. August 2026 vollständig in Microsoft 365 E3 und Office 365 E3 ausgerollt. Safe Links, Safe Attachments, Anti-Phishing und die Prüfung von URLs zum Zeitpunkt des Klicks sind damit für einen sehr großen Teil der Kundschaft plötzlich lizenziert, ohne dass jemand eine Bestellung unterschreiben musste. Parallel dazu rollt eine neue Safe-Attachments-Option aus, mit der du passwortgeschützte Anhänge, die der Scanner schlicht nicht öffnen kann, automatisch in die Quarantäne schicken lässt. Und der Nachrichtenrückruf funktioniert ab Mitte August erstmals über Tenant-Grenzen hinweg.

Die weniger guten Nachrichten: Der August ist gleichzeitig der letzte bequeme Monat vor drei harten Terminen. Exchange Web Services wird ab dem 1. Oktober 2026 global abgeschaltet, und wer danach noch EWS braucht, muss vorher eine Allow-List mit Anwendungs-IDs pflegen. Die Berechnung des Tenant External Recipient Rate Limit wurde am 13. August 2026 angepasst. Und Ende Dezember 2026 fällt SMTP AUTH mit Basic Authentication standardmäßig um. Wenn du im August nichts tust, merkst du das im Oktober. Nur eben nicht in einem Change-Ticket, sondern an der Hotline.

Abbildung 1: Die Termine, die im August 2026 und danach für Exchange Online zählen.

Worum geht es im Detail?

Defender for Office 365 Plan 1 landet in E3. Microsoft hat 2026 die Paketierung von Microsoft 365 angefasst, und für die E3-Welt ist das die spürbarste Änderung seit Jahren. Der Rollout lief seit Juni und war zum 1. August 2026 abgeschlossen. Du bekommst damit Safe Attachments, Safe Links inklusive Time-of-Click-Prüfung, erweiterten Phishing- und Impersonation-Schutz sowie Echtzeitberichte. Was du nicht bekommst, ist Plan 2: Threat Explorer, Automated Investigation and Response und Attack Simulation Training bleiben hinter der teureren Tür. Wer also glaubt, mit E3 jetzt ein vollwertiges SOC geschenkt bekommen zu haben, wird bei der ersten größeren Phishing-Welle merken, dass Erkennung und Untersuchung zwei verschiedene Dinge sind.

Wichtig ist der Mechanismus dahinter. Die sogenannte Built-in Protection Policy greift automatisch für alle Nutzer. Du kannst sie nicht abschalten, du kannst sie nur durch eigene, höher priorisierte Richtlinien überschreiben. Das ist die inzwischen übliche Secure-by-default-Logik: Microsoft geht davon aus, dass ein nicht konfigurierter Tenant geschützter sein soll als ein absichtlich falsch konfigurierter. Für die Praxis heißt das: Prüfe deine bestehenden Richtlinien auf Prioritäten, bevor du dich wunderst, warum eine Ausnahme nicht mehr zieht.

Verschlüsselte Anhänge, die niemand scannen kann. Der Trick ist so alt wie langweilig und funktioniert trotzdem: Der Angreifer packt die Schadsoftware in ein passwortgeschütztes Archiv und schreibt das Passwort in den Mailtext, gerne als Bild, damit auch die Texterkennung Arbeit hat. Der Scanner kommt nicht hinein, kann also nichts finden, und die Mail geht durch. Der Anwender dagegen kommt hinein, weil das Passwort ja direkt darüber steht. Genau diese Asymmetrie schließt Microsoft jetzt.

Ab Anfang August 2026 rollt weltweit eine neue Option in den Safe-Attachments-Richtlinien aus, mit der du Nachrichten mit passwortgeschützten Anhängen automatisch in Quarantäne stellen lässt, wenn Scan oder Detonation nicht abgeschlossen werden können. Du kannst dabei auswählen, welche Dateikategorien betroffen sind, also etwa ZIP, GZIP, 7z, RAR, PDF und die Office-Formate. Der weltweite Rollout läuft bis Ende August, GCC folgt bis Ende September, GCC High und DoD bis Ende Oktober. Entscheidend: Die Funktion ist standardmäßig aus und verlangt eine bewusste Entscheidung von dir. Microsoft schaltet hier nichts hinter deinem Rücken scharf, was angesichts des Störpotenzials auch eine sehr weise Entscheidung ist.

Abbildung 2: Die Filterstufen einer eingehenden Nachricht und die neue Quarantäne-Option.

Nachrichtenrückruf über Tenant-Grenzen. Bis jetzt war der Rückruf einer Mail in Exchange Online eine rein interne Angelegenheit. Sobald die Nachricht den eigenen Tenant verlassen hatte, war sie weg, und man durfte den Klassiker schreiben: Bitte ignorieren Sie meine vorherige Mail. Ab Mitte August 2026 rollt Cross-Tenant Message Recall aus, der Abschluss ist für Anfang September vorgesehen, und zwar für alle Clouds inklusive GCC, GCC High, DoD und 21Vianet.

Die Sicherheitsarchitektur dahinter ist bewusst konservativ gebaut, und das ist gut so. Die Funktion ist standardmäßig deaktiviert. Die Kontrolle liegt vollständig beim empfangenden Tenant: Nur wenn dieser den Cross-Tenant-Rückruf aktiviert und die Tenant-ID des Absenders explizit auf eine Allow-List setzt, wird ein Rückrufversuch überhaupt bearbeitet. Konfiguriert wird das über Set-CrossTenantRecallConfiguration mit dem Schalter CrossTenantRecallEnabled und der Liste AllowedSenderTenantIds, die sich additiv pflegen lässt. Niemand kann also einfach in deinen Postfächern aufräumen, nur weil er sich vertan hat.

EWS: Die Uhr läuft ab. Exchange Web Services wurde bereits 2018 für tot erklärt, und wie das bei Protokollen so ist, hat es danach munter weiter funktioniert. Ernst wurde es erst mit dem Midnight-Blizzard-Vorfall im Januar 2024, bei dem EWS eine Rolle spielte. Seitdem ist der Abschaltplan nicht nur beschleunigt, sondern auch ausgeweitet worden: Er betrifft nicht mehr nur Drittanbieter, sondern ausdrücklich auch Microsoft-eigene Produkte wie Outlook, Office, Teams und Dynamics 365.

Der Fahrplan ist unmissverständlich. Ab dem 1. Oktober 2026 beginnt die globale Abschaltung. Ohne Aktion setzt Microsoft EWSEnabled für deinen Tenant auf False, und alles, was EWS benutzt, hört auf zu funktionieren. Wer EWS über diesen Termin hinaus braucht, muss vorher zwei Dinge tun: EWSEnabled auf True setzen und eine Allow-List mit den Anwendungs-IDs der erlaubten Apps pflegen. Beides geschieht über Set-OrganizationConfig mit den Parametern EwsEnabled und EwsAllowedAppIDs, wobei du entweder eine kommaseparierte GUID-Liste übergibst oder einzelne IDs additiv hinzufügst. Kontrollieren kannst du das Ergebnis über Get-OrganizationConfig mit dem Schalter RetrieveEwsOperationAccessPolicy. Microsoft empfiehlt ausdrücklich, diese Konfiguration bis Ende August 2026 abgeschlossen zu haben. Am 1. April 2027 ist dann endgültig Schluss, ohne Wiedereinschalten, ohne Ausnahmeantrag, ohne Ticket, das noch hilft.

Der schwierige Teil ist nicht die PowerShell-Zeile, sondern die Inventur davor. Für genau diesen Zweck gibt es die EWS Usage Reports im Microsoft 365 Admin Center, den EWS Analyzer für eigenen Code und eine Mapping-Tabelle, die EWS-Operationen den entsprechenden Graph-Aufrufen gegenüberstellt. Nutze sie. Erfahrungsgemäß findest du dabei mindestens einen Multifunktionsdrucker, ein Raumbuchungspanel, eine Signaturlösung und ein Archivierungstool, dessen Hersteller seit zwei Jahren von einem Update spricht.

Abbildung 3: Vier Fragen, mit denen du deine EWS-Abhängigkeiten sortiert bekommst.

Baseline Security Mode als Abkürzung. Parallel zu alldem hat Microsoft mit dem Baseline Security Mode im Microsoft 365 Admin Center ein Bündel empfohlener Sicherheitseinstellungen an eine Oberfläche gebracht, die vorher nur per PowerShell erreichbar waren. Du findest es unter Einstellungen, Organisationseinstellungen, Reiter Sicherheit und Datenschutz. Darin steckt unter anderem das organisationsweite Deaktivieren von EWS, das Blockieren von Legacy-Authentifizierung und Basic Authentication, phishing-resistente Mehrfaktor-Authentifizierung für administrative Rollen und eine Einschränkung der Zustimmung von Endanwendern zu Anwendungen. Jede Einstellung ist einzeln schaltbar, und zu jeder gibt es einen Impact Report. Die Empfehlung von Microsoft ist erfrischend pragmatisch: Report laufen lassen, bei null Auswirkungen aktivieren, bei kritischen Abhängigkeiten erst aufräumen.

Ausgehende Limits: TERRL und das Ende von SMTP AUTH. Zur Sicherheit gehört auch, dass dein Tenant nicht zur Spamschleuder wird, wenn ein Konto kompromittiert ist. Der ursprünglich geplante Grenzwert auf Postfachebene mit 2.000 externen Empfängern in 24 Stunden wurde im Januar 2026 nach massiver Kundenkritik gestrichen. Geblieben ist das Tenant External Recipient Rate Limit auf Mandantenebene. Es errechnet sich aus 500 multipliziert mit der Anzahl der Nicht-Trial-Lizenzen hoch 0,7, zuzüglich 9.500, und arbeitet mit einem gleitenden 24-Stunden-Fenster. Verteilerlisten zählen dabei pro Mitglied, was gerne unterschätzt wird. Wird das Limit gerissen, bekommen alle Absender im Tenant den NDR 550 5.7.233, und zwar gleichzeitig. Am 13. August 2026 hat Microsoft angekündigt, die Berechnung für neue Tenants, Testmandanten und Bildungseinrichtungen anzupassen, der Rollout startet ab dem 14. September 2026, Testmandanten landen bei 500 externen Empfängern pro Tag.

Der zweite Termin betrifft SMTP AUTH mit Basic Authentication. Bis Ende Dezember 2026 ändert sich nichts, danach ist das Verfahren für bestehende Tenants standardmäßig deaktiviert und muss bei Bedarf bewusst wieder eingeschaltet werden. Neue Tenants bekommen es gar nicht mehr. Das endgültige Abschaltdatum will Microsoft in der zweiten Jahreshälfte 2027 nennen. Wichtig für die Abgrenzung, weil das regelmäßig verwechselt wird: Direct Send und der Relay über Connectoren sind etwas anderes als die authentifizierte Client-Einlieferung und von dieser Änderung nicht betroffen.

Was sind Chancen? Was sind Risiken?

Die größte Chance ist banal und trotzdem echtes Geld: Defender for Office 365 Plan 1 in E3 bedeutet, dass viele Organisationen ein bestehendes Drittanbieter-Gateway zumindest ernsthaft hinterfragen können. Wenn dessen Vertrag ohnehin ausläuft, hast du gerade ein sehr gutes Argument bekommen. Rechne aber sauber: Plan 1 erkennt und blockt, es untersucht nicht. Wer heute die Auswertungsfunktionen des Gateways nutzt, tauscht sonst Schutz gegen Blindheit.

Die zweite Chance ist strategisch. Die Kombination aus Baseline Security Mode und den Impact-Reports gibt dir zum ersten Mal eine belastbare Liste, mit der du im Management-Gespräch nicht mehr über Bauchgefühl reden musst. Du kannst zeigen, welche unsichere Einstellung wie viele reale Zugriffe betrifft. Das verändert Diskussionen erheblich, weil aus "das könnte etwas kaputt machen" ein "das betrifft genau diese vier Anwendungen" wird.

Angriffsfläche sinkt messbar: Legacy-Protokolle sind der Hauptvektor für Password-Spraying und Credential-Stuffing. Jedes abgeschaltete Verfahren ist ein Vektor weniger.

Der Rückruf über Tenant-Grenzen entschärft alltägliche Fehlversendungen, ohne dem Absender Rechte in fremden Postfächern zu geben.

Die Quarantäne für unscanbare Archive schließt eine Lücke, die seit Jahren zuverlässig für Ransomware-Erstzugänge genutzt wird.

Die Risiken liegen fast alle im Bereich Betrieb und Kommunikation, nicht in der Technik. Die EWS-Abschaltung trifft mit hoher Wahrscheinlichkeit Systeme, die in keiner CMDB stehen und für die niemand mehr zuständig ist. Der Baseline Security Mode zerlegt in nicht wenigen Häusern Power-BI-Dataflows und die tenantübergreifende Terminplanung, und beides fällt typischerweise nicht der IT auf, sondern dem Controlling und dem Vorstandssekretariat. Die neue Quarantänestufe erzeugt eine Helpdesk-Welle, wenn du sie ohne Ankündigung aktivierst. Und das TERRL-Update kann Bildungseinrichtungen und junge Tenants unerwartet ausbremsen, weil es dort künftig deutlich enger zugeht.

Was müssen wir jetzt schon vorbereiten?

Die folgende Reihenfolge hat sich in mehreren Projekten bewährt, weil sie mit der Inventur beginnt und nicht mit dem Abschalten. Das klingt selbstverständlich und wird trotzdem in jedem zweiten Projekt andersherum gemacht.

EWS-Nutzung erfassen: Öffne den EWS Usage Report im Microsoft 365 Admin Center und beobachte mindestens eine volle Woche, besser einen Monatswechsel mit. Notiere jede Anwendungs-ID samt Fachbereich und Verantwortlichem. Ohne diese Liste ist jede weitere Entscheidung geraten.

Allow-List als Brücke setzen: Für alles, was bis Oktober nicht migriert sein kann, konfigurierst du EwsEnabled und EwsAllowedAppIDs. Setze dir gleichzeitig eine Erinnerung auf Januar 2027, denn diese Brücke trägt nur bis zum 1. April 2027.

Hersteller anschreiben, schriftlich: Frage konkret nach dem Release-Datum der Graph-basierten Version und nach der Anwendungs-ID, die auf die Allow-List gehört. Ein Telefonat hilft dir im Eskalationsfall nicht, eine Mail schon.

Defender-Richtlinien aufräumen: Prüfe, ob eigene Anti-Malware-, Safe-Links- und Safe-Attachments-Richtlinien noch die gewünschte Priorität haben, jetzt wo Built-in Protection für alle greift. Doppelte Filterung mit einem vorgelagerten Gateway bewusst entscheiden, nicht erben.

Anhangs-Quarantäne pilotieren: Aktiviere die neue Option zunächst für eine Abteilung, kläre den Freigabeprozess über die Quarantäne-Richtlinie und informiere die Fachbereiche, die regelmäßig passwortgeschützte Archive erhalten, vorab und schriftlich.

Baseline Security Mode reportieren, nicht aktivieren: Lass zuerst nur die Impact-Reports laufen. Alles mit null Treffern kannst du zeitnah einschalten, alles andere kommt auf eine Abhängigkeitsliste mit Terminen.

Ausgehenden Verkehr messen: Zieh den Bericht zu externen Empfängern auf Tenant-Ebene und richte eine Alarmierung bei etwa 80 Prozent des Limits ein. Massenversand gehört in einen dafür gebauten Dienst, nicht in ein Exchange-Postfach.

SMTP-AUTH-Inventur starten: Suche jetzt nach Geräten und Anwendungen mit hinterlegtem Benutzernamen und Passwort. Multifunktionsgeräte, Fakturierung, Alarmierungssysteme und Monitoring sind die üblichen Verdächtigen. Der Dezember kommt schneller, als dein Beschaffungsprozess läuft.

Häufig gestellte Fragen

Brauchen wir für die neuen Sicherheitsfunktionen zusätzliche Lizenzen?

Für die Kernfunktionen nicht: Defender for Office 365 Plan 1 ist seit dem 1. August 2026 Bestandteil von Microsoft 365 E3 und Office 365 E3 und bringt Safe Links, Safe Attachments und erweiterten Phishing-Schutz mit. Untersuchungsfunktionen wie Threat Explorer, automatisierte Untersuchung und das Angriffssimulationstraining bleiben aber Plan 2 vorbehalten.

Was passiert am 1. Oktober 2026 konkret mit unseren EWS-Anwendungen?

Ab diesem Datum beginnt Microsoft, Exchange Web Services global zu deaktivieren. Ohne vorherige Konfiguration wird EWSEnabled auf False gesetzt, und alle Anwendungen, die EWS nutzen, funktionieren nicht mehr. Wer EWS länger braucht, muss vorher EWSEnabled auf True setzen und die erlaubten Anwendungs-IDs auf eine Allow-List eintragen; ab dem 1. April 2027 ist auch das nicht mehr möglich.

Kann eine fremde Organisation künftig einfach Mails aus unseren Postfächern zurückrufen?

Nein. Cross-Tenant Message Recall ist standardmäßig deaktiviert, und die Kontrolle liegt vollständig beim empfangenden Tenant. Ein Rückruf wird nur ausgeführt, wenn du die Funktion aktiv eingeschaltet und die Tenant-ID der absendenden Organisation ausdrücklich auf eine Allow-List gesetzt hast.

Warum kommen passwortgeschützte ZIP-Dateien plötzlich nicht mehr an?

Sehr wahrscheinlich ist in den Safe-Attachments-Richtlinien die neue Option aktiviert, die Nachrichten mit passwortgeschützten Anhängen in Quarantäne stellt, wenn der Anhang nicht gescannt oder detoniert werden kann. Die Nachrichten sind nicht verloren, sondern liegen in der Quarantäne und können je nach Quarantäne-Richtlinie durch Administratoren oder die Anwender selbst freigegeben werden.

Was bedeutet der Fehlercode 550 5.7.233 beim Mailversand?

Dieser Unzustellbarkeitsbericht sagt, dass dein gesamter Tenant das Tageslimit für externe Empfänger überschritten hat. Das Limit skaliert mit der Anzahl der Lizenzen und arbeitet in einem gleitenden 24-Stunden-Fenster; Abhilfe schaffen die Verlagerung von Massenversand in einen dafür vorgesehenen Dienst und eine Alarmierung, bevor die Grenze erreicht ist.