Exchange Online drosselt ab September 2026 Mails von veralteten On-Premises-Servern

Microsoft hat am 2. September 2026 über das Exchange Team Blog angekündigt, die Mindest-Patchbasis für Mails von lokalen Exchange Servern anzuheben, die über einen Connector vom Typ OnPremises mit Exchange Online verbunden sind. Betroffen sind Exchange Server 2019 unterhalb von CU15 SU5 (KB5066367, Build 15.2.1748.39) und Exchange Server 2016 unterhalb von CU23 SU19 (KB5066369, Build 15.1.2507.61). Das ist zugleich die letzte öffentliche Sicherheitsaktualisierung für beide Produktlinien vom 14. Oktober 2025, denn der reguläre Support für Exchange 2016 und 2019 ist an diesem Tag ausgelaufen. Übertragungsweg ist ausschließlich der Hybrid-Mailfluss über den OnPremises-Connector; Server ohne diesen Connectortyp sowie Exchange Server Subscription Edition sind nach aktuellem Stand nicht betroffen, Microsoft behält sich aber ausdrücklich vor, den Anwendungsbereich später zu erweitern.

Gesichert ist der Starttermin: Ab der zweiten Septemberwoche 2026 greift das Transport-based Enforcement System und drosselt Mails von Servern unterhalb der genannten Baseline zunächst mit einem temporären Fehler 450 4.7.230, der Absenderserver versucht die Zustellung dann automatisch erneut. Nicht gesichert ist der Zeitpunkt der nächsten Verschaerfungsstufe, in der aus der Drosselung eine endgültige Ablehnung mit 550 5.7.230 und Non-Delivery-Report wird. Microsoft nennt dafür nur "in einigen Monaten" ohne festes Datum. Dringlichkeit besteht deshalb sofort: Administratoren mit Hybrid-Umgebungen sollten den Patchstand ihrer Exchange Server umgehend prüfen, bevor die erste Drosselungsphase beginnt. Erste Prüfschritte sind der Bericht im Exchange Admin Center unter Reports, Mail flow, out-of-date connecting on-premises Exchange servers, sowie das PowerShell-Cmdlet Get-OnPremServerReportInfo nach Verbindung per Connect-ExchangeOnline. Konkrete Sofortmaßnahme ist die Installation der jeweils aktuellen Security Update für die eigene CU-Version oder, sofern möglich, direkt der Wechsel auf die neue Produktlinie.

Was Microsoft konkret angekündigt hat

Der Blogeintrag im Techcommunity-Bereich des Exchange Teams beschreibt das Vorgehen als Fortsetzung eines bereits 2024 gestarteten Mechanismus zur Drosselung und Blockierung von Mails dauerhaft verwundbarer Exchange Server. Neu ist die konkrete Kopplung an die letzte öffentliche Update-Baseline, die mit dem Support-Ende am 14. Oktober 2025 zusammenfällt. Damit erhält jede Exchange-Version, für die es künftig keine neuen Security Updates mehr geben wird, einen festen Referenzstand, unterhalb dessen die Durchsetzung greift.

• Start der ersten Drosselungsstufe: zweite Septemberwoche 2026
• Referenzstand Exchange 2019: CU15 SU5, KB5066367, Build 15.2.1748.39
• Referenzstand Exchange 2016: CU23 SU19, KB5066369, Build 15.1.2507.61
• Beide Referenzstände stammen aus dem letzten öffentlichen Security-Update-Zyklus vom 14. Oktober 2025
• Betroffener Übertragungsweg: Mailfluss über Connector vom Typ OnPremises zu Exchange Online
• Temporärer Fehlercode in der ersten Phase: 450 4.7.230
• Endgültiger Fehlercode in der späteren Blockierungsphase: 550 5.7.230 mit NDR
• Nicht betroffen: Exchange Server Subscription Edition sowie Server ohne OnPremises-Connector
• Ausnahmepause möglich, aber auf maximal 90 Tage pro Kalenderjahr begrenzt
• Zeitpunkt der Verschärfung von Drosselung zu vollständiger Blockade derzeit ohne festes Datum

Betroffene Systeme im Detail

Die Regelung betrifft ausschließlich Hybrid-Konfigurationen, in denen lokale Exchange Server per OnPremises-Connector Mails an Exchange Online weiterleiten. Reine On-Premises-Umgebungen ohne Anbindung an Microsoft 365 sind von der Drosselung nicht direkt betroffen, unterliegen aber weiterhin dem allgemeinen Risiko durch fehlende Sicherheitsupdates. Die folgende Tabelle fasst die relevanten Versionsstände zusammen.

Wichtig ist der Unterschied zwischen Support-Ende und Enforcement: Der offizielle Support für Exchange 2016 und 2019 endete bereits am 14. Oktober 2025, das bedeutet insbesondere, dass es keine weiteren Security Updates für diese Versionen mehr geben wird. Die jetzt angekündigte Drosselung im Transport-System ist eine zusätzliche, später greifende Maßnahme, die Hybrid-Kunden zum Handeln zwingen soll, auch wenn ihre Server technisch weiterlaufen.

Prüfung des eigenen Patchstands

Administratoren sollten den Status ihrer Umgebung auf zwei Wegen prüfen, um konsistente Ergebnisse zu erhalten.

• Im Exchange Admin Center unter Reports, Mail flow, den Bericht out-of-date connecting on-premises Exchange servers öffnen
• Per PowerShell zunächst mit Connect-ExchangeOnline verbinden
• Anschließend Get-OnPremServerReportInfo ausführen, um die erkannten On-Premises-Server und deren gemeldete Build-Nummern einzusehen
• Gemeldete Build-Nummern mit der offiziellen Übersicht der Build-Nummern und Release-Daten von Microsoft Learn abgleichen
• Bei mehreren Exchange-Servern im selben Hybrid-Verbund jeden Server einzeln prüfen, da Enforcement pro sendendem Server greifen kann

Maßnahmen und Ausnahmeregelung

Wer unterhalb der Mindestbaseline liegt, sollte kurzfristig das jeweils aktuelle Security Update installieren. Da es sich bereits um die letzte öffentliche Aktualisierung handelt, ist damit allerdings nur der aktuelle Status erreichbar, keine langfristige Absicherung. Für eine dauerhafte Lösung nennt Microsoft zwei Pfade: Bei Exchange Server 2019 ab CU15 ist ein In-Place-Upgrade auf Exchange Server Subscription Edition möglich, bei Exchange Server 2016 ist eine Parallelmigration auf neue Server mit Subscription Edition der vorgesehene Weg, da hier kein direktes In-Place-Upgrade existiert.

• Kurzfristig: fehlende Security Updates gemäß der genannten KB-Nummern installieren
• Mittelfristig: Migrationsplanung für Exchange Server Subscription Edition aufsetzen
• Bei Exchange 2019 ab CU15: In-Place-Upgrade prüfen
• Bei Exchange 2016: Parallelmigration mit neuen Servern einplanen
• Bei akutem Zeitdruck: Ausnahmepause über Get-TenantExemptionInfo prüfen und mit New-TenantExemptionInfo beantragen

Die Ausnahmepause ist auf maximal 90 Tage pro Kalenderjahr begrenzt und laut Microsoft ausdrücklich kein Ersatz für das eigentliche Patchen oder Migrieren, sondern lediglich ein zeitlicher Puffer für laufende Migrationsprojekte. Wer sie nutzt, sollte parallel bereits konkrete Migrationsschritte umsetzen, da nach Ablauf der Frist die Durchsetzung ohne weitere Vorwarnung greifen kann.

Ausmaß des Problems laut öffentlich verfügbaren Daten

Wie groß das Problem tatsächlich ist, lässt sich anhand öffentlich zitierter Scan-Daten grob einschätzen. Der Blog der-windows-papst.de beruft sich auf eine Auswertung von Shadowserver und nennt weltweit rund 21.899 ungepatchte Exchange Server, davon etwa 5.100 in Deutschland. Diese Zahlen stammen aus einer externen Quelle und wurden von uns nicht selbst mit eigenen Scan-Daten verifiziert, sie vermitteln aber einen Eindruck von der Größenordnung des Problems und decken sich mit frühen Warnungen zu ähnlichen Auswertungen bei älteren Exchange-Schwachstellen.

Passende Anleitungen auf S-EDV

• Exchange Server OWA Zero-Day CVE-2026-42897: CISA KEV und Patch
• Fast 22.000 Exchange Server wegen CVE-2026-62911 ungepatcht
• Microsoft Patch Tuesday Juni 2026: Secure Boot und Exchange Patch

Quellen

• Microsoft Techcommunity: Exchange 2016/2019 throttling and blocking up to the final public update baseline
• Microsoft Techcommunity: Throttling and blocking email from persistently vulnerable Exchange servers
• Born City: Exchange Online weist bald Mails von veralteten Exchange 2016/2019 Servern ab
• Der Windows Papst: Exchange 2016/2019, das Endspiel hat begonnen
• Microsoft Learn: Exchange Server Build Numbers and Release Dates