Ihr eigener Mailserver hat im Oktober sein letztes Sicherheitsupdate bekommen. Ist das wirklich ein Problem?

„Unsere E-Mail funktioniert, also ist alles in Ordnung.“ So denken die meisten Inhaber über den Mailserver im Technikraum, und jahrelang war das ein brauchbarer Test. Seit Oktober ist er es nicht mehr. Ein Server kann jede Nachricht pünktlich zustellen und trotzdem der einfachste Weg ins Unternehmen sein. E-Mail-Software ist genau die Stelle, an der Angreifer zuerst suchen, und der Hersteller behebt ab sofort nicht mehr, was sie finden.

Wenn Ihre Mitarbeitenden Outlook nutzen, die Postfächer aber auf einem eigenen physischen oder virtuellen Server liegen, oder in einem Rechenzentrum, in dem Sie Platz mieten, betrifft Sie das. Läuft Ihre E-Mail bereits in Microsoft 365, betrifft es Sie nicht, mit einer Ausnahme weiter unten: dem Altserver, den viele Firmen nach dem Umzug nie abgeschaltet haben.

Kurz beantwortet

Welche Versionen sind betroffen? Exchange Server 2016 und Exchange Server 2019. Der reguläre Support endete am 14. Oktober 2025. Danach verkaufte Microsoft ein Jahr lang kostenpflichtige Zusatz-Sicherheitsupdates, und diese endeten im Oktober 2026.

Hört der Server auf zu arbeiten? Nein. Er sendet und empfängt weiter. Es fehlen nur noch die Korrekturen für neu entdeckte Sicherheitslücken.

Lässt sich Zeit nachkaufen? Nicht bei Microsoft. Die Erinnerung des Exchange-Teams sagt ausdrücklich, dass der Zeitplan nicht verlängert wird, auch nicht für Kunden mit bezahltem zweiten Verlängerungszeitraum.

Was ist der schnellste sichere Weg? Für die meisten kleinen Unternehmen Exchange Online, denn dann gibt es keinen Server mehr zu pflegen. Wer einen Server im Haus behalten muss, kann nur Exchange Server Subscription Edition einsetzen.

Was genau ist wann zu Ende gegangen?

Der Zeitplan ist kurz, aber leicht misszuverstehen, weil Microsoft ihn zweimal gestreckt hat. Der reguläre Support für Exchange 2016 lief schon vor Jahren aus, der für Exchange 2019 im Januar 2024, so die Zusammenfassung von BleepingComputer. Beide Versionen sollten im Oktober 2025 jeden Support verlieren. Microsoft bot dann als Brücke ein kostenpflichtiges Programm für erweiterte Sicherheitsupdates (ESU) an und hängte im April 2026 einen zweiten Zeitraum von sechs Monaten an.

Diese Brücke ist jetzt überquert. Das Exchange-Team hat am 13. Oktober 2026 einen Hinweis an die Ankündigung zum zweiten ESU-Zeitraum gehängt: Der letzte Satz an Updates ist erschienen, danach kommt nichts mehr. In seiner früheren Erinnerung stellte Microsoft klar, dass es nach Oktober 2026 keine weiteren Updates für Exchange 2016 und 2019 gibt, auch nicht für Kunden mit einer Lizenz für den zweiten Zeitraum.

Warum wird ein funktionierender Server über Nacht zum Risiko?

Stellen Sie sich das letzte Update als Momentaufnahme der bekannten Schwachstellen vor. Jede Lücke, die danach gefunden wird, bleibt bestehen, und wer den Code jetzt noch genau studiert, will hinein. Solange es für ein unterstütztes Produkt Korrekturen gibt, müssen Angreifer sich beeilen. Gibt es nie wieder eine, ist die Lücke eine Dauertür.

Bei Mailservern wiegt das besonders schwer, aus drei Gründen. Sie müssen aus dem Internet erreichbar sein, sonst könnte niemand Ihnen schreiben. Sie enthalten die nützlichsten Daten im Unternehmen: Verträge, Rechnungen, Nachrichten zum Zurücksetzen von Passwörtern. Und sie stehen meist nah an Ihren internen Benutzerkonten, ein Einbruch bleibt deshalb selten im Postfach.

Dazu kommt ein leiseres Problem. Versicherer und Kunden fragen nach unterstützter Software. Auf die Frage, ob alle Systeme am Rand des Netzes noch Sicherheitsupdates erhalten, lautet Ihre Antwort jetzt Nein. Verarbeiten Sie personenbezogene Daten, schwächt das auch Ihre Position nach der DSGVO, die angemessene technische Maßnahmen verlangt und einen ungepatchten, öffentlich erreichbaren Server als Gegenteil davon liest.

Betreiben Sie überhaupt noch Exchange?

Das klingt nach einer albernen Frage, ist aber die häufigste Überraschung. In den Umgebungen, die wir uns ansehen, ist der vergessene Server meistens eines von drei Dingen:

• Der eigentliche Mailserver. Die Postfächer liegen dort. Das wissen Sie, weil Ihr IT-Betreuer ihn pflegt oder auf der Rechnung Ihres Anbieters „Exchange“ steht.
• Der Hybrid-Rest. Sie haben die Postfächer vor Jahren nach Microsoft 365 verschoben, aber einen Exchange-Server behalten, um Benutzer zu verwalten, oder weil ein alter Scanner und eine Branchenanwendung darüber Mails senden. Er wirkt harmlos, weil sich niemand anmeldet. Er ist trotzdem ein Exchange 2016 oder 2019 und zählt mit.
• Das Relay. Ein Server, dessen einzige Aufgabe es ist, Druckern und Anwendungen den Mailversand zu erlauben. Gleiche Software, gleiches Ende.

Um das herauszufinden, bitten Sie Ihren IT-Dienstleister um die Liste aller Server mit der Exchange-Rolle und prüfen dann von außen, ob unter Ihrer öffentlichen Adresse eine Anmeldeseite für Outlook im Web antwortet. Haben Sie keinen Dienstleister, den Sie fragen können, beantwortet ein kostenloser externer Portscan Ihrer öffentlichen Adressen dieselbe Frage in wenigen Minuten.

Welcher Weg passt zu einem kleinen Unternehmen?

Es gibt zwei realistische Wege. Nichts zu tun ist der dritte, und er gehört in die Tabelle, weil er passiert, wenn man nichts entscheidet.

Für ein Unternehmen mit 10 bis 50 Mitarbeitenden empfehlen wir fast immer Exchange Online. Ein Mailserver im Haus ist nur dann sinnvoll, wenn etwas Konkretes ihn erzwingt, etwa eine Aufsichtsbehörde oder eine Produktionsanlage, die nicht mit der Cloud sprechen kann. „Das haben wir schon immer so gemacht“ ist kein konkreter Grund.

Ist die Subscription Edition der bequeme Weg?

Manchmal. Microsoft beschreibt den Wechsel eines Exchange-2019-Servers auf die Subscription Edition als Vorgang, der dem Einspielen eines kumulativen Updates gleicht, und Server mit Exchange 2016 können direkt oder über 2019 wechseln, ebenfalls laut BleepingComputer. Das ist technisch der kürzeste Weg.

Der Haken liegt in dem, was danach kommt. Sie betreiben weiter einen Server, der aus dem Internet erreichbar ist, und folgen dem Update-Rhythmus von Microsoft, solange er läuft. Jemand muss jedes Update zeitnah einspielen, die Protokolle beobachten und das Betriebssystem aktuell halten. Mit einem fähigen IT-Partner ist das ein fairer Tausch. Wo „die IT“ eine Person mit zehn weiteren Aufgaben ist, driftet der Server wieder weg, und Sie lesen in ein paar Jahren einen Beitrag wie diesen noch einmal.

Klären Sie vorab die Lizenzseite. Das Abonnementmodell hat eigene Bedingungen, lassen Sie sich die genauen Zahlen deshalb von Ihrem Händler nennen, statt sich auf einen Blogbeitrag zu verlassen.

Was gehört zum Umzug nach Exchange Online?

Weniger, als die meisten Inhaber erwarten, und mehr als ein Wochenende. Die Post selbst zieht in Etappen um: Postfächer, Kalender und freigegebene Ordner werden kopiert, während alle weiterarbeiten, und eine kurze Umschaltung ändert, wohin Ihre Mail zugestellt wird. Ob es glatt läuft, entscheidet sich an allem drumherum:

• Geräte und Anwendungen, die Mails senden. Scanner, Alarmanlagen und alte Software nutzen oft Einstellungen, die Microsoft 365 abgeschaltet hat. Unsere Beiträge zur Abschaltung von SMTP Basic Auth und zur Abschaltung der Exchange Web Services erklären, welche davon ausfallen und warum.
• Sicherheit an der Eingangstür. Am Umzugstag schalten Sie am besten die Mehrfaktor-Anmeldung ein und sperren alte Anmeldeverfahren, statt die Lücken von gestern in die Cloud zu kopieren.
• Datensicherung. Microsoft hält den Dienst am Laufen, die Daten zu schützen bleibt Ihre Aufgabe. Planen Sie Backup und Wiederherstellung für Ihre Postfächer von Anfang an mit.
• Alte Postfächer und Archive. Entscheiden Sie, was mitkommt und was exportiert wird, damit Sie nicht für zehn Jahre Post zahlen, die niemand öffnet.

Unser Leitfaden zur Planung einer Microsoft-365-Migration, die funktioniert, beschreibt den gesamten Ablauf. Bei einem typischen Unternehmen mit 20 Mitarbeitenden dauern Planung und Vorbereitung länger als das eigentliche Kopieren.

Was tun, wenn der Umzug diesen Monat nicht klappt?

Dann senken Sie die Angriffsfläche, während Sie planen, und schreiben das Datum auf, bis zu dem Sie fertig sind. Diese Maßnahmen machen den Server nicht sicher, sie machen ihn schwerer erreichbar:

• Nehmen Sie die Weboberflächen (Outlook im Web und die Verwaltungsseiten) aus dem öffentlichen Internet, oder erlauben Sie den Zugriff nur von bekannten Adressen oder über ein VPN.
• Schalten Sie einen Mailfilter-Dienst vor den Server, damit dieser nie direkt mit unbekannten Absendern spricht.
• Stellen Sie sicher, dass alle von Microsoft veröffentlichten Updates installiert sind, auch der Satz vom Oktober 2026. Ein letzter Patch, den Sie nicht einspielen, nützt niemandem.
• Verlangen Sie die Mehrfaktor-Anmeldung für alles, was den Server berührt, und entziehen Sie Konten Administratorrechte, die sie nicht brauchen.
• Halten Sie eine getrennte, getestete Sicherung vor. Geht der Server verloren, ist eine funktionierende Wiederherstellung mehr wert als jede Regel.

Betrachten Sie das als Brücke von Wochen, nicht von Monaten. Jeder dieser Schritte hilft gegen bekannte Tricks, keiner gegen eine Lücke, die noch niemand veröffentlicht hat. Eine Überprüfung der Cloud-Sicherheit zeigt, was sonst noch von außen an diesen Server herankommt.

Was kostet Abwarten?

Eine einzelne Zahl können wir nicht nennen, sie hängt davon ab, was der Server tut. Die Form der Kosten können wir beschreiben. Eine geplante Migration ist ein Projekt mit Preis und Termin. Ein Einbruch auf einem nicht mehr unterstützten Server ist ein Dienstagmorgen, an dem die Post weg ist, Kunden Nachrichten von Ihnen ignorieren sollen, und Sie für forensische Arbeit, Wiederherstellung und verlorene Tage zahlen, bevor überhaupt jemand über Bußgelder spricht.

Es gibt auch einen kleineren, sicheren Kostenpunkt. Mit jedem Monat rückt der Abschied der Person näher, die den alten Server kennt, die Hardware wird einen Monat älter, und die Migration wird nicht billiger. Nach unserer Erfahrung kostet eine ruhige Migration weniger als das erste Notfall-Wochenende einer überstürzten.

Ein 30-Tage-Plan, den Sie heute starten können

Woche 1. Listen Sie alle Server mit der Exchange-Rolle auf, auch Relays und Hybrid-Reste. Spielen Sie auf den verbliebenen die letzten Updates ein. Legen Sie fest, wer das Projekt verantwortet.

Woche 2. Erfassen Sie alles, was über den Server Mails sendet oder liest: Scanner, Anwendungen, Mobilgeräte, freigegebene Postfächer. Wählen Sie zwischen Exchange Online und Subscription Edition, die Tabelle oben hilft dabei.

Woche 3. Richten Sie das Ziel ein, aktivieren Sie die Mehrfaktor-Anmeldung und testen Sie mit einer Pilotgruppe aus zwei oder drei Postfächern, darunter eines mit geteiltem Kalender.

Woche 4. Verschieben Sie die übrigen Postfächer, stellen Sie die Zustellung um und lassen Sie den alten Server kurze Zeit offline, aber unversehrt. Schalten Sie ihn dann endgültig ab. Ein abgeschalteter Server kann nicht angegriffen werden, ein nicht mehr unterstützter, der weiterläuft, schon.

Langsamer ist in Ordnung, wenn die vorübergehenden Schutzmaßnahmen aus dem vorigen Abschnitt stehen. Alles ohne Datum ist der Weg, auf dem Server im Vorfallbericht des nächsten Jahres landen.