Drei Dinge in Microsoft 365 enden vor dem Jahreswechsel. Welche betreffen Ihre Firma?

Drei getrennte Abschaltungen von Microsoft fallen in dasselbe Zeitfenster: von jetzt bis zum 31. Dezember. Keine davon kündigt sich bei Ihren Mitarbeitenden mit einem Hinweisfenster an, und keine ist groß genug, um außerhalb der Administratoren-Szene Schlagzeilen zu machen. Genau das ist das Problem. Wenn am 2. Januar das gemeinsame Postfach im Lager nicht mehr synchronisiert oder das Handy einer Kollegin keine Mails mehr abruft, bringt niemand das mit einer Mitteilung in Verbindung, die Microsoft im Mai veröffentlicht hat.

Dieser Beitrag sortiert die drei Änderungen nach einer einzigen Frage: Betrifft sie ein Unternehmen wie Ihres? Für die meisten Inhaber lautet die ehrliche Antwort: "Eine davon, vielleicht." Ihr Partner für Microsoft-365-Support klärt das an einem Nachmittag. Haben Sie keinen, dauert jede der Prüfungen unten etwa zehn Minuten.

Kurz beantwortet

Trifft jede Änderung jedes Unternehmen? Nein. Die Begleit-Apps zählen nur, wenn sie auf Windows-11-Rechnern installiert sind. Die Verschlüsselungsänderung zählt nur, wenn etwas über die alten Mailprotokolle POP oder IMAP zugreift. Die Zertifikatsänderung zählt nur, wenn Handys sich per Zertifikat am Postfach anmelden.

Welches Datum kommt zuerst? Der 16. Dezember 2026 für die Begleit-Apps. Die Verschlüsselungsänderung läuft bereits schrittweise, ein altes Gerät kann also vor dem Jahresende ausfallen.

Warnt Microsoft meine Mitarbeitenden? Nicht so, dass sie es bemerken. Die Hinweise gehen an Administratoren im Nachrichtencenter von Microsoft 365. Wer die Administratorrolle hat, muss sie also lesen.

Ist das ein Notfall? Nein. Rechtzeitig gefunden ist jede Änderung eine kleine Korrektur, nach der Frist ein lästiger Ausfall.

Die drei Änderungen im Vergleich

Die Tabelle zeigt, was endet, wann und wer nachsehen muss. Die Daten stammen aus Microsofts eigenen Ankündigungen, wie unten berichtet. Wo Microsoft nur "bis Ende 2026" nennt, steht das auch so da.

Lohnen sich Sorgen um die Begleit-Apps?

Wahrscheinlich nicht, aber hier gibt es ein festes Datum. Die Begleit-Apps sind kleine Fenster für Kalender, Personen und Dateien, die in der Windows-11-Taskleiste sitzen. Laut BleepingComputers Bericht zu Microsofts Ankündigung funktionieren sie ab dem 16. Dezember 2026 nicht mehr und werden nicht mehr unterstützt. Microsoft rät Administratoren, sie vorher von den Geräten zu entfernen.

Standardmäßig starten sie mit dem System, weshalb manche Personen sie haben, ohne sie je gewählt zu haben. Nach dem Stichtag stehen sie kaputt auf dem Bildschirm. Die Kosten sind kein Geld, sondern ein Anruf beim Support: "Beim Anmelden geht ein Fenster mit einem Fehler auf." Über Intune entfernen Sie die Apps mit einer einzigen Richtlinie. Auf Rechnern ohne Verwaltung deinstalliert sie jede Person selbst in den Einstellungen.

Ersatz sind der normale Outlook-Kalender, die Outlook-Kontakte und OneDrive. Wer den Taskleisten-Kalender gern nutzt, sollte es jetzt erfahren und nicht erst am 17. Dezember.

Nutzt in Ihrem Büro noch etwas POP oder IMAP?

POP und IMAP sind zwei alte Wege, wie ein Programm E-Mails abholt. Das moderne Outlook nutzt sie für Microsoft 365 nicht. Ältere Dinge schon: ein Scanner, der PDFs an ein Ordnerpostfach mailt, ein kleines Buchhaltungsprogramm, das Rechnungen aus einem Postfach liest, ein Archiv-Anschluss, ein altes Thunderbird-Profil auf einem Rechner im Büro.

Der Eintrag MC1293480 im Microsoft-Nachrichtencenter besagt, dass POP3- und IMAP4-Verbindungen zu Exchange Online TLS 1.2 oder neuer verwenden müssen. Die Umstellung läuft schrittweise vom 1. August bis zum 31. Dezember 2026. Ein Gerät, das nur ältere Versionen beherrscht, kann deshalb irgendwann in diesem Zeitraum ausfallen, nicht erst am letzten Tag. Microsoft weist darauf hin, dass moderne Mailprogramme voraussichtlich nicht betroffen sind.

Eine verwandte, getrennte Abschaltung betrifft Geräte, die Mails mit gespeichertem Passwort versenden. Falls ein Kopierer oder eine Anwendung das tut, lesen Sie auch unseren früheren Beitrag zur Abschaltung der SMTP-Basisauthentifizierung, denn beides lässt sich oft im selben Termin erledigen.

Ein Beispiel aus der Praxis: Ein Kopierer, der Scans an ein Sammelpostfach schickt, läuft jahrelang unauffällig. Bricht er aus, merkt es zuerst die Buchhaltung, weil die Eingangsrechnungen nicht mehr ankommen. Ein Mitarbeiter sucht dann zuerst im Postfach, dann am Gerät, dann beim Hersteller. Wer vorher weiß, welches Gerät welchen Mailweg nutzt, spart genau diese Suche. Kleine Firmen ohne eigene IT-Abteilung merken das besonders schnell, weil dort jede Störung bei derselben Person landet.

Der praktische Test ist eine Liste. Fragen Sie drei Personen: Wer betreut die Scanner, wer die Buchhaltungs- und CRM-Programme, wer hat die gemeinsamen Postfächer eingerichtet? Alles, was selbstständig Mails liest oder sendet, kommt mit Hersteller und Modell auf die Liste.

Melden sich Ihre Handys per Zertifikat an?

Die meisten kleinen Firmen tun das nicht und können diesen Abschnitt überspringen. Zertifikatsanmeldung für Handy-Mail nutzt man typischerweise, wenn ein Gerät sich ohne Passwort ausweisen soll, häufig in regulierten Branchen oder wenn ein Produkt zur Geräteverwaltung die Zertifikate verteilt. Microsoft hat angekündigt, die direkte Zertifikatsanmeldung per Exchange ActiveSync an Exchange Online bis Ende 2026 abzuschalten. Künftig zeigt das Handy sein Zertifikat Microsoft Entra ID, und Entra stellt das Zugriffstoken für die Mail aus, wie Petris Zusammenfassung der Ankündigung erklärt.

Petri merkt an, dass die veröffentlichten Quellen nicht immer einen genauen Tag nennen. Gehen Sie daher vom 31. Dezember als spätestem sicheren Termin aus und planen Sie, Anfang Dezember fertig zu sein. Sind Ihre Handys in Intune mit Microsoft-Profilen eingebunden, ist die Änderung meist klein. Verteilt ein Verwaltungsprodukt eines Drittanbieters die Zertifikate, fragen Sie den Anbieter heute, ob sein Profil den Weg über Entra unterstützt. Seine Antwort ist der langsame Schritt.

Das Zeichen, dass Sie betroffen sind: Handys, die Mails bekommen, ohne je nach einem Passwort zu fragen, und die nicht mit der Standard-Outlook-App eingerichtet sind. Kann niemand so eine Einrichtung nennen, sind Sie fast sicher nicht betroffen. Ein Blick in die Anmeldeprotokolle in Entra bestätigt es, und ein Microsoft-365-Sicherheitscheck enthält genau diese Prüfung.

Ein Zehn-Minuten-Check, aufgeteilt nach Zuständigkeit

Inhaber oder Geschäftsführung: bittet die Büroleitung um eine Liste der Scanner und Fachprogramme, die Mails senden oder abholen, und fragt die Person mit Administratorrechten, ob jemand das Nachrichtencenter liest. Wenn nicht, benennen Sie jemanden. Das ist die nützlichste Einzelmaßnahme, denn sie deckt auch die nächste Abschaltung ab.

Büroleitung: prüft die Windows-11-Rechner auf die drei Taskleisten-Apps und notiert Hersteller und Modell jedes Scanners und Kopierers.

Administrator oder Dienstleister: entfernt die Begleit-Apps per Geräterichtlinie, prüft die Exchange-Online-Protokolle auf POP- und IMAP-Anmeldungen und die Entra-Anmeldeprotokolle auf zertifikatsbasierte Handy-Anmeldungen. Beide Prüfungen dauern Minuten, und ein leeres Ergebnis ist eine saubere Antwort. Ein Dienstleister, der für Sie Managed Cloud Betrieb übernimmt, erledigt das als laufende Überwachung und nicht als Projekt.

Halten Sie das Ergebnis auf einer Seite fest: Punkt, Zuständiger, Stand, Prüfdatum. Diese Seite verlangen auch Prüfer oder Versicherer, wenn sie sehen wollen, dass Sie Herstelleränderungen verfolgen.

Was, wenn Sie etwas bis zur Frist nicht beheben können?

Dann haben Sie die Wahl, das Gerät zu ersetzen oder es so weiterzubetreiben, dass Microsoft-365-Mail nicht daran hängt. Ein Scanner, der nur alte Verschlüsselung kann, lässt sich oft stattdessen an ein kleines Relay anbinden oder ersetzen. Ein geschäftstaugliches Ersatzgerät kostet meist weniger als ein Tag Arbeitszeit, den der Ausfall verschlingt. Schwieriger ist ein Individualprogramm eines Anbieters, den es nicht mehr gibt: Legen Sie ein Datum für den Ersatz fest und halten Sie das Risiko schriftlich fest.

Was Sie nicht tun sollten: Sicherheitseinstellungen im gesamten Tenant abschalten, um ein altes Gerät wieder zum Laufen zu bringen. Damit tauschen Sie ein Ein-Gerät-Problem gegen ein Problem der ganzen Firma. Unternehmen mit einer klaren Governance-Routine für Ausnahmen, mit Verantwortlichem und Enddatum je Ausnahme, vermeiden diese Falle.

Was kostet es, nach der Frist davon zu erfahren?

In den Tenants, die wir betreuen, ist das Muster jedes Mal gleich: Nichts fällt spektakulär aus, ein einzelnes Ding hört auf zu arbeiten, und die Suche dauert ein, zwei Tage, weil sich niemand erinnert, dass der Scanner vor vier Jahren von einem Techniker eingerichtet wurde, der längst weg ist. Die Kosten sind Arbeitszeit und ein verspäteter Rechnungslauf, kein Datenabfluss. Es ist die Art Verlust, die in keinem Budget auftaucht, und genau deshalb schlägt eine Zehn-Minuten-Prüfung ihn.

Die zweite Kostenart ist Aufmerksamkeit. Verbringt Ihr Administrator die erste Januarwoche mit drei unzusammenhängenden Mailproblemen, rutscht die Sicherheitsarbeit, die für diese Woche geplant war. Wer die Punkte im November und Anfang Dezember abräumt, hat ruhige Feiertage und startet planmäßig ins neue Jahr. Tragen Sie den Prüftermin jetzt in den Kalender ein und machen Sie den 9. Dezember zur internen Frist, damit die Woche vor Microsofts eigenem Datum ein Puffer ist.