Exchange Server 2016 und 2019: Am 31. Oktober ist endgültig Schluss
Das letzte Sicherheitsupdate kam am 13. Oktober. Am 31. Oktober läuft auch das kostenpflichtige Verlängerungsprogramm aus, und Microsoft hat eine weitere Verlängerung ausgeschlossen. Wer noch einen eigenen Exchange betreibt, hat jetzt eine Entscheidung zu treffen.
Am 31. Oktober 2026 liefert Microsoft die letzten Sicherheitsupdates für Exchange Server 2016 und 2019 aus. Ein Exchange Server ist der Mailserver, der im eigenen Haus steht statt beim Anbieter. Ab November bleibt in diesen beiden Versionen jede neu gefundene Lücke dauerhaft offen.
Das betrifft mehr Betriebe, als man annimmt. Ein Exchange im Serverraum fällt nicht auf, solange die Mails ankommen. Genau das ist das Problem.
Was am 31. Oktober genau passiert
Der reguläre Support für beide Versionen endete bereits am 14. Oktober 2025. Danach gab es Sicherheitsupdates nur noch über ein kostenpflichtiges Zusatzprogramm, die Extended Security Updates. Dieses Programm lief in zwei Abschnitten: der erste von Oktober 2025 bis April 2026, der zweite bis zum 31. Oktober 2026.
Das letzte Update dieses zweiten Abschnitts kam am 13. Oktober und schloss sechs als kritisch eingestufte Lücken. Microsoft hat im Juli klargestellt, dass es keine weitere Verlängerung geben wird.
Praktisch heißt das: Ab dem 1. November gibt es für Exchange 2016 und 2019 keinen legalen Weg mehr zu Sicherheitsupdates. Eine Lücke, die im Dezember bekannt wird, bleibt offen. Nicht für ein paar Wochen, sondern dauerhaft.
Woran Sie erkennen, ob Sie betroffen sind
Die Frage ist leichter zu beantworten, als sie klingt. Drei Anhaltspunkte:
- Sie haben einen Serverraum oder einen Serverschrank. Wenn dort ein Gerät steht, auf dem „Exchange“ läuft, sind Sie wahrscheinlich betroffen.
- Ihre Mailadressen laufen nicht über Microsoft 365. Oder nur teilweise. Teilweise ist der häufigste Fall und der unübersichtlichste.
- Sie haben irgendwann „nach Microsoft 365 migriert“, aber ein Server blieb stehen. Das passiert oft, weil die Verwaltung der Postfächer an diesem Server hängt. Dieser Server zählt mit.
Im Zweifel beantwortet das Ihr IT-Dienstleister in fünf Minuten. Wenn er lange braucht, ist das selbst eine Antwort.
Exchange Online drosselt Ihre Mails schon jetzt
Das ist der Teil, der in der Berichterstattung meist untergeht, und er wirkt bereits. Seit der zweiten Septemberwoche 2026 verlangt Microsoft von Exchange-Servern, die über eine Hybrid-Anbindung an Exchange Online hängen, einen Mindest-Patchstand: Exchange 2019 CU15 SU5 oder Exchange 2016 CU23 SU19.
Wer darunter liegt, durchläuft drei Stufen. Zuerst erscheint ein Hinweis im Admin Center. Dann wird gedrosselt: Mails werden verzögert angenommen und bleiben länger in der Warteschlange. Zuletzt werden sie abgewiesen.
Das trifft nur Server mit einem Eingangs-Connector vom Typ „OnPremises“, also die klassische Hybrid-Konstellation. Und Microsoft hat angekündigt, die Grenze weiter anzuheben — bis kein öffentlich verfügbares Update mehr ausreicht.
Aus der Praxis: Der erste Hinweis ist selten eine Fehlermeldung. Er ist der Anruf eines Kunden, dass eine Mail von gestern erst heute angekommen ist. Zu diesem Zeitpunkt läuft die Drosselung schon.
Die drei Wege
Es gibt genau drei, und die Entscheidung hängt weniger an der Technik als an der Frage, ob Ihre Daten im Haus bleiben müssen.
| Exchange Server SE | Microsoft 365 | Hybrid | |
|---|---|---|---|
| Was es ist | Nachfolger im eigenen Haus, Abonnement statt Kauflizenz | Postfächer vollständig bei Microsoft | Postfächer in der Cloud, ein Server bleibt für die Verwaltung |
| Passt, wenn | Daten im Haus bleiben müssen, etwa aus Aufsichtsgründen | kein zwingender Grund für eigenen Betrieb besteht | Fachanwendungen zwingend einen lokalen Mailserver brauchen |
| Laufende Kosten | Serverlizenz plus Zugriffslizenzen plus Hardware und Betrieb | pro Postfach und Monat, keine Hardware | beides, und damit am teuersten |
| Aufwand einmalig | mittel, Umstieg vom Vorgänger | hoch, je nach Datenmenge und Altlasten | mittel bis hoch |
| Dauerhafter Betreuungsaufwand | bleibt, Updates weiter Pflicht | deutlich geringer | bleibt |
Für die meisten Betriebe unter 250 Mitarbeitenden, die keine aufsichtsrechtliche Vorgabe haben, ist der zweite Weg der richtige. Nicht weil Cloud grundsätzlich besser wäre, sondern weil der Betrieb eines eigenen Mailservers Aufwand erzeugt, der sich nur selten rechnet.
Was das kostet, ehrlich gerechnet
Eine Zahl, die für alle stimmt, gibt es nicht. Was sich sagen lässt: Der teuerste Weg ist der, bei dem nichts passiert.
Ein ungepatchter Mailserver am Internet ist seit Jahren eines der beliebtesten Angriffsziele überhaupt, weil er von außen erreichbar sein muss und weil in ihm die gesamte Korrespondenz liegt. Dazu kommt ab November ein zweites Problem: Wer nachweispflichtig ist, etwa nach NIS-2 oder gegenüber einer Cyberversicherung, muss erklären, warum ein System ohne Sicherheitsupdates weiterbetrieben wird. Diese Erklärung gibt es nicht.
Realistisch sollten Sie für eine Migration mit 20 bis 60 Postfächern mehrere Tage Projektzeit einplanen, verteilt über zwei bis vier Wochen. Der Umstieg selbst findet meist an einem Wochenende statt.
Was wir empfehlen
Zuerst Klarheit: Welche Version, welcher Patchstand, welche Anbindung? Das ist eine Stunde Arbeit und beantwortet, wie eilig es ist.
Wenn ein Hybrid-Server unter dem Mindeststand läuft, hat das Vorrang vor allem anderen, denn dort geht es nicht um ein theoretisches Risiko, sondern um Mails, die nicht ankommen.
Und dann die Entscheidung treffen, statt sie zu verschieben. Der 31. Oktober ist keine Frist, nach der ein Alarm angeht. Es ist der Tag, ab dem das Risiko jeden Monat größer wird, ohne dass man es merkt.
Häufige Fragen
Was passiert am 1. November mit meinem Exchange Server?
Technisch nichts. Er läuft weiter, Mails kommen an. Was endet, sind die Sicherheitsupdates: Jede ab diesem Tag bekannt werdende Lücke bleibt dauerhaft offen. Das Risiko entsteht nicht am 1. November, es wächst ab dann jeden Monat.
Gibt es doch noch eine Verlängerung des ESU-Programms?
Nein. Microsoft hat im Juli 2026 ausdrücklich klargestellt, dass das Programm nicht verlängert wird. Das letzte Update kam am 13. Oktober 2026 und schloss sechs kritische Lücken.
Woran merke ich, dass Exchange Online meine Mails drosselt?
Zuerst an einem Hinweis im Microsoft 365 Admin Center. Danach daran, dass Mails verzögert ankommen und länger in der Warteschlange stehen. Zuletzt werden sie abgewiesen. Betroffen sind Hybrid-Server unter Exchange 2019 CU15 SU5 beziehungsweise Exchange 2016 CU23 SU19.
Was ist Exchange Server SE?
Die Subscription Edition, der Nachfolger für den Betrieb im eigenen Haus. Technisch nah an Exchange 2019, aber als Abonnement statt als Kauflizenz. Sinnvoll für Betriebe, die ihre Postfächer aus rechtlichen Gründen lokal halten müssen.
Wie lange dauert eine Migration nach Microsoft 365?
Bei 20 bis 60 Postfächern meist zwei bis vier Wochen Projektlaufzeit, der eigentliche Umstieg an einem Wochenende. Entscheidend sind Datenmenge, Altlasten in den Postfächern und die Frage, welche Fachanwendungen am Mailserver hängen.
Wir sind bereits bei Microsoft 365. Betrifft uns das trotzdem?
Möglicherweise ja. Bei vielen Migrationen bleibt ein lokaler Exchange für die Verwaltung der Postfächer stehen. Dieser Server fällt unter dieselbe Frist und ist zusätzlich von der Drosselung betroffen, weil er über eine Hybrid-Anbindung läuft.
Woher die Angaben stammen
Supportdaten und das Ende des ESU-Programms nach Microsoft Learn und der Microsoft-Lifecycle-Übersicht. Die Mindest-Patchstände und der dreistufige Ablauf der Drosselung nach der Ankündigung im Exchange-Team-Blog von Microsoft, aufbereitet unter anderem bei Franky’s Web. Das letzte Sicherheitsupdate vom 13. Oktober 2026 nach den Microsoft-Supporthinweisen (KB5128895). Stand dieses Beitrags: 21. Oktober 2026.
Nick Rehberg
IT Consultant: Schwerpunkt Microsoft 365, Serverbetrieb und Migrationen.