Microsoft schaltet eine alte Verbindung hinter Ihrer E-Mail ab. Das kann im Oktober ausfallen

Im Januar 2024 gab Microsoft bekannt, dass eine russische, staatlich unterstützte Gruppe, die das Unternehmen als Midnight Blizzard führt, in eine kleine Zahl eigener Firmenpostfächer eingedrungen war. Die Angreifer nutzten dafür eine alte Verbindung, keine neue, und ein Teil davon war Exchange Web Services, eine Programmierschnittstelle, die Microsoft bereits 2007 gebaut hatte, damit andere Software in einem Postfach lesen und in dessen Namen senden kann. Der Einbruch hat den Abschaltplan nicht erfunden, den Microsoft schon Jahre vorher angekündigt hatte, aber er hat aus einer langsamen, wenig dringlichen Aufräumaktion eine unternehmensweite Frist gemacht, und deshalb betrifft die Abschaltung inzwischen auch Microsofts eigene Produkte, nicht nur Add-ons von Drittanbietern.

Auch wenn Ihr Unternehmen noch nie eine Zeile Code geschrieben hat, kann das trotzdem bei Ihnen landen, denn Exchange Web Services steckt still und leise in erstaunlich vielen ganz normalen KMU-Werkzeugen: dem Backup-Produkt, das nachts die Postfächer kopiert, dem Multifunktionsdrucker, der direkt in ein Postfach scannt, dem CRM, das gesendete E-Mails an einem Kundendatensatz protokolliert, und manchen älteren Telefon- und Kalender-Sync-Apps. Nichts davon muss exotisch oder eigens programmiert sein, um betroffen zu sein, und die meisten Inhaber haben keinen Grund zu wissen, dass die Technik hinter diesen Alltagswerkzeugen einen Namen hat, geschweige denn ein Abschaltdatum. Ein richtig verwaltetes Microsoft-365-Konto sollte das längst auf der Checkliste haben, viele haben es noch nicht.

Kurz beantwortet

Warum ein Einbruch bei Microsoft zu Ihrer Frist wurde

Microsoft kündigte Entwicklern bereits 2018 an, nicht mehr in Exchange Web Services zu investieren, und legte 2023 ein festes Abschaltdatum fest, deutlich vor dem Midnight-Blizzard-Vorfall. Jahrelang gab das Drittanbietern einen langsamen, unaufgeregten Vorlauf, in eigenem Tempo zu migrieren, und die meisten kleinen Unternehmen bekamen davon nichts mit, weil es ausschließlich in der Entwicklerdokumentation stand.

Der Midnight-Blizzard-Einbruch hat die Priorität verändert, nicht den Plan. Sobald Microsofts eigenes Sicherheitsteam einen Teil eines staatlich gesteuerten Angriffs auf genau dieselbe alte Verbindungsart zurückführte, die ohnehin schon zur Abschaltung anstand, wurde aus einem Aufräumprojekt ein Sicherheitsauftrag, der inzwischen auch Microsofts eigene Apps umfasst, darunter Outlook, Teams und Dynamics 365. Das Unternehmen hat seine Einschätzung zu dem Vorfall öffentlich gemacht, und sie ist der klarste Beleg dafür, dass diese Abschaltung eine echte Sicherheitsentscheidung ist, kein willkürlicher Schnitt, um Kunden zu einem neueren Produkt zu drängen.

Welche Ihrer Alltagswerkzeuge könnten wirklich betroffen sein?

Niemand kauft "Exchange Web Services" absichtlich. Es steckt gebündelt in anderer Software, deshalb ist es ehrlicher, nach Kategorien statt nach Produktnamen zu suchen. Prüfenswert sind die Werkzeuge, die im Hintergrund still mit einem Postfach sprechen:

• Postfach-Backup- und Archivierungsprodukte, die Outlook-Daten nachts kopieren, besonders ältere oder selbst gehostete Backup-Agenten statt neuerer, cloudnativer Lösungen.
• Multifunktionsdrucker und Scanner, die so eingerichtet sind, dass sie direkt in ein Gemeinschaftspostfach scannen, ein Aufbau, der in kleinen Büros ohne formellen IT-Rollout häufig vorkommt.
• CRM- und Helpdesk-Software, die Kunden-E-Mails automatisch protokolliert oder Mitarbeitenden erlaubt, direkt aus dem CRM heraus zu senden.
• Ältere Mobile-Device-Management- und Kalender-Sync-Tools, besonders wenn sie vor mehr als vier oder fünf Jahren eingerichtet und seitdem nicht angefasst wurden.
• Individuelle Skripte oder Automatisierungen, die vor Jahren von einer inzwischen ausgeschiedenen Person gebaut wurden, oft die Kategorie, die am schwersten zu finden ist, geschweige denn zu reparieren.

Ein Microsoft-365-Sicherheitsassessment deckt genau solche vergessenen Abhängigkeiten üblicherweise nebenbei auf, weil niemand über Jahre hinweg ein laufendes Verzeichnis dessen führt, was still mit einem Postfach verbunden ist.

Die drei Termine, auf die es ankommt

Diese Abschaltung betrifft ausschließlich Exchange Online, die Cloud-Postfächer hinter Microsoft 365. Läuft in Ihrem Unternehmen noch ein lokaler Exchange-Server, ist dieser Teil davon nicht betroffen, bringt aber eigene, separate Patch-Pflichten mit, die eine Microsoft-365-Migration gleich mit lösen würde.

Wie Sie Ihren eigenen Mandanten in etwa zehn Minuten prüfen

Sie müssen nicht raten und auch nicht warten, bis im Oktober etwas ausfällt, um herauszufinden, ob Sie betroffen sind. Microsofts Admin-Center zeigt pro Mandant bereits genau an, welche Anwendungen in der letzten Woche auf Exchange Web Services zugegriffen haben.

1. Öffnen Sie im Microsoft-365-Admin-Center den EWS-Nutzungsbericht unter den Aktivitätsberichten, oder rufen Sie ihn direkt über admin.cloud.microsoft auf.
2. Notieren Sie jeden aufgeführten Anwendungsnamen und jedes Konto. Alles Unbekannte ist eine kurze Suche oder einen Anruf bei der ursprünglich einrichtenden Person wert.
3. Prüfen Sie für jeden Treffer, ob der Hersteller bereits eine Version veröffentlicht hat, die stattdessen Microsoft Graph nutzt. Bei den meisten gängigen Backup- und CRM-Produkten aus den letzten zwei Jahren ist das bereits der Fall.
4. Bei allem Individuellen oder von einem nicht mehr existierenden Hersteller Aufgegebenen behandeln Sie es als echtes Projekt mit Frist, nicht als Hintergrundaufgabe, und planen Sie den Ersatz jetzt statt erst im September 2026.

Unternehmen ohne eigene IT-Abteilung stellen dabei oft fest, dass die Liste kürzer ausfällt als befürchtet, was beruhigend ist, oder länger und älter als gedacht, was den Anlass gibt, früh zu handeln. So oder so ist das genau die Art von vergessener Anbindung, die eine laufende Cloud-Verwaltung auffangen soll, bevor es die Abschaltmitteilung eines Herstellers tut. Wichtig ist dabei, den Bericht nicht einmalig laufen zu lassen und dann zu vergessen: Neue Software, ein neuer Drucker oder ein neu angebundenes CRM können jederzeit eine neue Abhängigkeit hinzufügen, deshalb lohnt sich eine kurze Wiederholung alle paar Monate bis zur endgültigen Abschaltung.

Wie eine Migration für ein kleines Unternehmen tatsächlich aussieht

Für die meisten kleinen Firmen ist das kein Neubau, sondern eine Versionsprüfung und Neukonfiguration, Tool für Tool statt auf einmal. Ein Backup-Produkt, das Microsoft Graph bereits unterstützt, braucht meist nur eine Berechtigungsaktualisierung und eine erneute Verbindung, keine neue Backup-Strategie. Ein Scan-to-Email-Drucker hat oft ein verfügbares Firmware-Update oder lässt sich mit kurzer Neukonfiguration auf eine andere, weiterhin unterstützte Versandmethode umstellen. Die wirklich schwierigen Fälle sind individuelle Skripte und einmalige Integrationen, die niemand mehr angefasst hat, seit die Person, die sie gebaut hat, das Unternehmen verlassen hat, und genau die sollten früh gemeldet werden, weil sie länger zu finden als zu reparieren sind.

Der Fehler, den man vermeiden sollte, ist, das als ein Thema für die IT-Abteilung zu behandeln, das später an der Reihe ist. Microsofts eigene Formulierung für das Ergebnis des Nichtstuns ist unmissverständlich: Anfragen werden ab April 2027 blockiert, ohne Ausnahme. Ein Postfach-Backup, das still aufhört zu laufen, ist gefährlicher als eines, das sichtbar fehlschlägt, denn es fällt niemandem auf, bis genau am Tag, an dem eine Wiederherstellung tatsächlich gebraucht wird, und die Lücke in der Absicherung kann dann schon Monate alt sein.

Preislich ist das für die meisten kleinen Unternehmen kein großes Budgetthema. Eine Herstelleraktualisierung kostet in der Regel nichts, sofern ein aktueller Wartungsvertrag besteht, und eine Neukonfiguration ist eher eine Frage von Arbeitsstunden als von Lizenzgebühren. Der eigentliche Wert liegt darin, das jetzt zu erledigen, während es noch ein planbares Projekt mit Vorlauf ist, statt eines Notfalls am Tag, an dem ein Drucker plötzlich keine Scans mehr verschickt oder ein nächtliches Backup ohne Fehlermeldung einfach leer bleibt. Wer die Prüfung jetzt einplant, entscheidet selbst, wann migriert wird. Wer wartet, überlässt die Reihenfolge dem Zufall des Rollout-Zeitplans von Microsoft.