Exchange Server · Hybrid · Exchange Online

Exchange-Experte für Exchange Server, Hybrid und Exchange Online.

Exchange ist selten kaputt. Meistens ist es nur nicht mehr verstanden: Connectoren aus drei Projekten, ein Hybrid, den niemand anfassen will, Geräte, die irgendwie über den alten Server senden. Nils Lappenbusch kennt Exchange von der lokalen Organisation bis zum Tenant, vom Receive Connector bis zum DMARC-Report. Er findet die Ursache, behebt sie und dokumentiert, was danach gilt.

Exchange-Thema besprechen Mailflow im Detail

Microsoft 365: derzeit nur in Deutschland. Leistungen rund um Microsoft 365 (Beratung, Migration, Betrieb, Security und Workshops) bieten wir derzeit ausschliesslich für Organisationen in Deutschland an. In der Schweiz übernehmen wir keine Microsoft-365-Mandate. Für Schweizer Kunden: Software & KI, Infrastruktur und Projekt-Recovery.

Kennen Sie das?

Sätze, mit denen Exchange-Aufträge beginnen

Hinter jedem dieser Sätze steckt eine technische Ursache, die sich finden lässt. Mit Protokollen, Headern und Konfiguration, nicht mit Vermutungen.

«Mails an einen bestimmten Kunden kommen seit gestern zurück.»

Meist eine Kombination aus NDR-Code, SPF, Connector oder TLS. Lesbar, wenn man weiss, wo man schaut.

«Den Hybrid-Server schalten wir lieber nicht ab. Da hängt noch irgendwas dran.»

Geräte, Fachanwendungen und Empfängerverwaltung, die niemand inventarisiert hat.

«Frei/Gebucht zwischen Cloud und lokal geht seit Monaten nicht mehr.»

Seit Oktober 2025 braucht der Hybrid die dedizierte Exchange-Hybrid-App. Viele Umgebungen haben sie nie bekommen.

«Der Scanner sendet mit dem Passwort von Frau K.»

SMTP AUTH mit Basic Authentication. Microsoft schaltet es Ende 2026 in bestehenden Tenants standardmässig ab.

«Unsere Newsletter landen im Spam, fremde Mails mit unserer Domain nicht.»

SPF zu lang, DKIM nicht für alle Absender, DMARC auf p=none.

«Wir haben noch Exchange 2016. Was ist jetzt mit SE?»

Kein In-Place-Upgrade von 2016, Koexistenz nur noch begrenzt: Es braucht eine Entscheidung.

Exchange Server SE

Lokal bleiben, wechseln oder nur noch verwalten

Exchange Server 2016 und 2019 sind seit dem 14. Oktober 2025 ohne Support. Nachfolger ist Exchange Server Subscription Edition (SE), seit Juli 2025 verfügbar. Für die meisten Organisationen gibt es drei Wege, und alle drei brauchen eine bewusste Entscheidung.

Exchange SE folgt der Modern Lifecycle Policy und wird nur noch im Abonnement lizenziert: Server und CALs brauchen Abonnementlizenzen oder aktive Software Assurance. Von Exchange 2019 mit CU14 oder CU15 ist ein In-Place-Upgrade möglich. Von Exchange 2016 führt der Weg über neue Server und eine Migration. Microsoft hat zudem angekündigt, dass ein späteres kumulatives Update von Exchange SE die Koexistenz mit 2016 und 2019 nicht mehr zulässt. Das kostenpflichtige Extended-Security-Update-Programm für 2016 und 2019 war befristet und ersetzt keinen Plan.

Daneben stellt sich oft die eigentliche Frage: Wofür braucht die Organisation den lokalen Server noch? Für lokale Postfächer, für die Verwaltung synchronisierter Empfänger oder nur noch für einen Relay, den niemand ersetzt hat?

Die drei Wege, sauber bewertet

Exchange SE lokal: In-Place-Upgrade oder Migration, wenn Postfächer bewusst lokal bleiben sollen
Hybrid mit Exchange SE: wenn Postfächer verteilt bleiben oder die Migration in Wellen läuft
Exchange Online plus Management Tools: letzter Server abgeschaltet, Empfänger werden ohne laufenden Exchange Server verwaltet
Für jeden Weg: Lizenzen, Abhängigkeiten, Relays, Zertifikate und Rückweg geprüft

Zur Exchange-Migration

Exchange Hybrid

Hybrid, der funktioniert und den man versteht

Ein Hybrid besteht aus mehr als dem Hybrid Configuration Wizard. Entscheidend ist, dass Frei/Gebucht, Postfachverschiebungen, Mailflow und Empfängerobjekte zueinander passen, und dass jemand weiss, warum sie so konfiguriert sind.

Classic Full Hybrid oder Modern Hybrid

Classic Hybrid braucht eingehend veröffentlichte Exchange-Dienste. Modern Hybrid nutzt den Hybrid Agent für Frei/Gebucht und Postfachverschiebungen. Wir prüfen, welche Variante läuft, ob sie zur Umgebung passt und was beim Umstieg zu beachten ist.

Dedizierte Exchange-Hybrid-App

Seit dem 31. Oktober 2025 funktionieren Frei/Gebucht, MailTips und Profilbilder im Hybrid nur noch mit der eigenen Hybrid-App in Entra ID und unterstützten Server-Builds. Wir richten sie ein und bereinigen die alte Konfiguration.

Frei/Gebucht & OAuth

Organisationsbeziehungen, IntraOrganizationConnector, OAuth-Konfiguration, Autodiscover und Zertifikate. Wenn der Kalender zwischen Cloud und lokal nicht funktioniert, liegt es fast immer an einem dieser Bausteine.

Zentraler oder dezentraler Mailflow

Mit zentralisiertem Mailtransport läuft ausgehende Internet-Mail aus Exchange Online über die lokale Organisation. Das ist manchmal nötig, oft aber ein Überbleibsel. Wir entscheiden das bewusst und dokumentieren den Weg jeder Mail.

Empfängerobjekte

Remote Mailboxes mit korrekter RemoteRoutingAddress, Mail-User in Exchange Online, Proxyadressen auf der Routing-Domain. Ein falsches Objekt genügt, und Mails landen im falschen System.

Entra Connect & Synchronisation

Exchange-Attribute, Hybrid-Writeback, Soft- und Hard-Match. Viele Hybrid-Probleme beginnen nicht in Exchange, sondern in der Synchronisation der Identitäten.

Mailflow & Transport

Jede Mail hat einen Weg. Wir machen ihn sichtbar.

Die meisten Zustellprobleme entstehen an den Übergängen: zwischen Gateway und Exchange Online, zwischen lokal und Cloud, zwischen Domain und DNS. Diese Bausteine prüfen, bereinigen und dokumentieren wir.

Connectoren

Inbound und Outbound Connectoren in Exchange Online, Send und Receive Connectoren lokal. Scope, Zertifikat, TLS und Partner-Connectoren mit erzwungener Verschlüsselung.

Transportregeln

Disclaimer, Signaturen, Routing, Moderation, Kennzeichnung. Historisch gewachsene Regeln werden gelesen, zusammengefasst und dort abgelöst, wo sie heute stören.

Akzeptierte Domänen

Autoritativ oder interne Weiterleitung, je nachdem, ob alle Empfänger in Exchange Online existieren. Falsch gesetzt, gibt es Unzustellbarkeitsmeldungen oder Mail-Schleifen.

Remote-Domänen

Abwesenheitsnotizen, Weiterleitungen, Zeichensätze und TNEF pro Zieldomain. Unscheinbar, aber oft der Grund für Winmail.dat beim Partner.

Journal

Journalregeln für Archivlösungen. In Exchange Online braucht es ein Journalziel ausserhalb von Exchange Online und eine Adresse für unzustellbare Journalberichte.

Mail-Gateways vor Exchange Online

Liegt der MX bei einem vorgelagerten Filter, braucht Exchange Online Enhanced Filtering for Connectors, um die echte Absender-IP zu sehen. Verändert das Gateway Nachrichten, hilft ARC über vertrauenswürdige ARC-Sealer.

SMTP-Relay für Geräte

Multifunktionsgeräte, Fachanwendungen und Skripte bekommen einen dauerhaften Versandweg: Connector mit IP oder Zertifikat, OAuth, Microsoft Graph oder High Volume Email.

TLS, MTA-STS, DANE

Exchange Online prüft MTA-STS beim Versand. Für eingehende Mails veröffentlichen wir die eigene Policy samt TLS-Reporting und, wo DNSSEC sauber läuft, SMTP DANE.

Relay & Mail-Authentifizierung

Weg vom Passwort im Drucker. Hin zu p=reject.

Microsoft schaltet Basic Authentication für SMTP AUTH Ende 2026 in bestehenden Tenants standardmässig ab, den endgültigen Termin will Microsoft später bekanntgeben. Wer seine Absender jetzt inventarisiert, stellt geplant um statt im Störungsfall.

Alle Absender aus Anmeldeprotokollen, Message Trace und Receive-Connector-Logs erheben
Anwendungen auf Microsoft Graph mit Zertifikat umstellen, Zugriff per RBAC for Applications auf einzelne Postfächer begrenzt
Für interne Massenmails High Volume Email prüfen: seit April 2026 allgemein verfügbar, nur für Empfänger im eigenen Tenant und pro Empfänger abgerechnet
SMTP AUTH organisationsweit aus, nur noch begründete Ausnahmen pro Postfach
Direct Send abweisen, sobald kein Gerät mehr davon abhängt
SPF unter zehn DNS-Lookups, DKIM für jede Domain und jeden Drittanbieter
DMARC über Reports schrittweise von p=none bis p=reject, auch für geparkte Domains

Für die Auswertung der DMARC-Reports über viele Domains hinweg haben wir DMARC Geeks gebaut. Es zeigt, welche Absender noch nicht sauber authentifiziert sind, bevor die Policy verschärft wird.

SMTP-Relay ablösen

Geräte und Anwendungen sicher über Microsoft Graph senden lassen.

Artikel lesen

DMARC bis p=reject

Wie Sie alle Absender finden und ohne Zustellprobleme auf Durchsetzung gehen.

Artikel lesen

Exchange Hybrid Mailflow

Wenn Mails nach der Migration nicht mehr ankommen: Ursachen und Diagnose.

Artikel lesen

Mit Werkzeugen statt Handarbeit

Konfiguration, die sich reproduzieren und belegen lässt

Exchange Online und Defender for Office 365 von Hand durch mehrere Admin-Center zu klicken, ist fehleranfällig und im Nachhinein kaum nachvollziehbar. Nils baut und betreibt Automatisierung über Microsoft Graph und PowerShell, mit der sich Best-Practice- und Threat-Protection-Konfigurationen reproduzierbar ausrollen, prüfen und belegen lassen.

Tenant-Analyse, auf Wunsch nur lesend

Zugriff über eine App-Registrierung mit Zertifikat. Für reine Prüfaufträge gibt es einen Modus mit ausschliesslich lesenden Berechtigungen, in dem jede schreibende Aktion gesperrt ist.

EOP und Defender for Office 365 als Vorlage

Anti-Phishing, Anti-Spam, Anti-Malware, Quarantänerichtlinien, Safe Links und Safe Attachments werden idempotent ausgerollt und gegen den Sollzustand verglichen. Was die Lizenz nicht hergibt, wird erkannt statt erfolglos probiert.

Ausgehender Mailflow mit Vorsicht

Externe Weiterleitung sperren, Direct Send abweisen, SMTP AUTH abschalten: Schalter, die den Betrieb unterbrechen können. Deshalb werden die betroffenen Absender vorher aus den Anmeldeprotokollen erhoben und Ausnahmen gesetzt, bevor die Organisation umgestellt wird.

Audit gegen anerkannte Baselines

Prüfung gegen CIS Microsoft 365, CISA SCuBA und ORCA mit der Open-Source-Testsuite Maester, mit Verlauf pro Tenant. Für Conditional Access zeigt eine Auswirkungsprognose aus echten Anmeldungen, wen eine Richtlinie im Report-only-Modus blockieren würde.

Nachweise, bevor Microsoft sie löscht

Änderungsprotokolle, Audit-Log-Abfragen und privilegierte Konten werden mit Zeitstempel archiviert. Entra ID hält Protokolle nur begrenzt vor, ein Archiv beantwortet auch in einem Jahr noch, wer was geändert hat.

Changes, Risiken und wiederkehrende Jobs

Änderungen im Tenant werden gegen die Baseline korreliert, kritische Abweichungen landen zusammen mit Audit-Findings in einer Risikoliste. Wiederkehrende Prüfungen laufen zeitgesteuert über einen Job-Runner wie Semaphore.

Migration, öffentliche Ordner, Rückbau

Bis der letzte Server wirklich aus ist

Postfächer zu verschieben ist Routine. Ein Exchange-Projekt ist erst fertig, wenn öffentliche Ordner, Relays, DNS und der letzte Server erledigt sind.

Postfachmigrationen

Remote Move über den Hybrid, Tenant-to-Tenant mit Microsofts Cross-Tenant-Mailbox-Migration oder Umzüge von anderen Mailsystemen. In Wellen, mit Pre-Checks und Rückweg.

Öffentliche Ordner

Batch-Migration nach Exchange Online, Umzug in Microsoft-365-Gruppen oder bewusste Ablösung. Vorher wird geklärt, welche Ordner überhaupt noch genutzt werden und wer sie besitzt.

Decommissioning

Seit Exchange 2019 CU12 unterstützt Microsoft die Empfängerverwaltung über die Exchange Management Tools ohne laufenden Server. Wir prüfen die Voraussetzungen, ziehen Relays um, bereinigen Hybrid und DNS und schalten dann ab.

Ablauf einer Exchange-Migration

Fehlersuche

Diagnose bis zur belegten Ursache

«Müsste eigentlich gehen» ist keine Diagnose. Wir lesen, was Exchange selbst protokolliert, und belegen die Ursache, bevor etwas geändert wird.

Message Trace im Exchange Admin Center und per PowerShell mit Get-MessageTraceV2
Lokal Message Tracking Logs und Protokollierung der Connectoren
Header-Analyse: Authentication-Results, compauth, ARC, Spam-Bewertung und Hop-Kette
NDR-Codes richtig lesen, etwa 5.1.10 (Empfänger unbekannt), 5.4.1 (Relay oder Directory Based Edge Blocking), 5.4.14 (Schleife), 5.7.30 (Basic Auth abgewiesen)
Zertifikate, TLS-Aushandlung, DNS und Firewall-Freigaben entlang des Weges
Ergebnis schriftlich: Ursache, Beleg, Korrektur, Test

Illustratives Beispiel

Nach der Zertifikatserneuerung kamen interne Mails als extern an.

Symptom: Mails von lokalen Postfächern landeten in Exchange Online im Spam, mit Hinweis auf externe Absender. Zeitweise gab es Unzustellbarkeitsmeldungen.
Ursache: Das Zertifikat am lokalen Send Connector war erneuert worden, der Inbound Connector in Exchange Online erwartete noch den alten Namen. Die Mails wurden nicht mehr als organisationsintern erkannt.
Vorgehen: Header und Message Trace ausgewertet, Connector-Konfiguration korrigiert, Zertifikatswechsel ins Runbook aufgenommen.

Mailflow wieder intern, Ursache dokumentiert, nächster Zertifikatswechsel geplant

Exchange-Sicherheit

Ein lokaler Exchange Server ist ein beliebtes Angriffsziel

Exchange Server hängen am Internet, haben weitreichende Rechte im Active Directory und waren in den letzten Jahren mehrfach Ziel kritischer Angriffe. Solange einer läuft, muss er gepflegt werden.

Patches und Builds

Aktuelle kumulative Updates und Sicherheitsupdates, regelmässig geprüft mit dem Exchange Health Checker von Microsoft. Ein Server ohne aktuellen Build ist auch für den Hybrid ein Problem.

Extended Protection & Härtung

Extended Protection, AMSI-Integration, Emergency Mitigation Service, aktuelle TLS-Konfiguration. Und OWA und ECP nur dort veröffentlicht, wo es wirklich gebraucht wird.

Admin-Rollen & RBAC

Wer ist in Organization Management und warum? Rollengruppen nach minimalem Bedarf, getrennte Admin-Konten, in Exchange Online RBAC for Applications statt Vollzugriff für Apps.

Zertifiziert und selbst Trainer

Exchange-Wissen, das auch erklärt werden kann

Nils Lappenbusch ist zertifizierter Microsoft 365 Messaging Administrator Associate und seit 2020 Microsoft Certified Trainer. Er schult Administratoren auch selbst.

Die Trainer-Erfahrung zeigt sich im Projekt: Ihr Team bekommt nicht nur eine Konfiguration, sondern versteht, warum sie so ist. Runbooks, Dokumentation und Übergabe sind so geschrieben, dass Ihre Admins danach selbst weiterarbeiten können.

Messaging Administrator Associate Microsoft Certified Trainer (MS-102, MD-102) M365 Enterprise Administrator Expert Modern Desktop Administrator Associate

Workshops für Admins

Verwandte Leistungen

Rund um Exchange und Mail

Exchange-Migration & Mailflow

Exchange Server und Hybrid nach Exchange Online, MX-Cutover und Rückbau des letzten Servers.

Mehr erfahren

Mail-Security

Defender for Office 365, Exchange Online Protection, Quarantäne und Mail-Authentifizierung.

Mehr erfahren

E-Mail-Verschlüsselung

Verschlüsselte Kommunikation mit Partnern und Kunden, sauber in den Mailflow eingebunden.

Mehr erfahren

E-Mail-Archivierung

Archivlösung auswählen und per Journal oder API korrekt anbinden.

Mehr erfahren

M365 Security Managed Service

Sollzustand halten, Abweichungen erkennen und Änderungen laufend belegen.

Mehr erfahren

DMARC Geeks

DMARC-Reports für viele Domains auswerten und den Weg zu p=reject sichtbar machen.

Zum Produkt

Aus dem Wissensbereich

Exchange & Mail10 Min. Lesezeit E-Mail-Verschlüsselung im Gesundheitswesen: TLS, S/MIME, Portal – und wo KIM bleibt Befunde, Arztbriefe, Rückfragen von Kostenträgern, Nachrichten von Patientinnen und Patienten: Gesundheitsdaten laufen täglich per E-Mail. Eine einzige Verschlüsselungsmethode passt dafür nicht. Entscheidend ist, für jeden Kommunikationspartner den passenden Weg festzulegen und technisch durchzusetzen. Artikel lesen Security11 Min. Lesezeit Microsoft 365 im Krankenhaus: § 391 SGB V, B3S und NIS2 praktisch umgesetzt Exchange Online, Teams und OneDrive sind in vielen Krankenhäusern längst Alltag, meist in Verwaltung, Organisation und Kommunikation. Seit dem NIS2-Umsetzungsgesetz gelten dafür nachprüfbare Pflichten. Dieser Artikel ordnet die Vorgaben ein und übersetzt sie in konkrete Massnahmen für den Tenant. Artikel lesen Microsoft 3659 Min. Lesezeit Aufbewahrung ist kein Backup: Warum Microsoft 365 eine eigene Datensicherung braucht «Microsoft sichert doch alles.» Der Satz fällt in fast jedem Gespräch über Datensicherung. Richtig ist: Microsoft schützt den Dienst vor dem Ausfall eines Rechenzentrums. Vor gelöschten Postfächern, überschriebenen Bibliotheken und verschlüsselten OneDrives schützt Sie das nur begrenzt und nur für kurze Zeit. Artikel lesen

Häufige Fragen

Exchange: was Sie wissen sollten

Sollen wir auf Exchange Server SE wechseln oder ganz nach Exchange Online?

Das hängt davon ab, warum Exchange heute noch lokal läuft. Gibt es echte Gründe für lokale Postfächer, ist Exchange SE der unterstützte Weg, inklusive Abonnementlizenzierung. Läuft der Server nur noch für Verwaltung oder Relay, ist meist Exchange Online mit den Management Tools die schlankere Lösung. Wir bewerten beide Wege mit Lizenzen, Abhängigkeiten und Aufwand, bevor Sie entscheiden.

Können wir den letzten Exchange Server abschalten?

Oft ja. Microsoft unterstützt seit Exchange 2019 CU12 die Verwaltung synchronisierter Empfänger über die Exchange Management Tools ohne laufenden Server. Voraussetzung: keine lokalen Postfächer mehr, kein Mailflow und kein Relay über den Server und keine benötigten Hybrid-Funktionen. Wo das nicht passt, bleibt ein schlanker, gepflegter Server für die Verwaltung.

Was passiert mit Geräten, die per SMTP mit Passwort senden?

Microsoft schaltet Basic Authentication für SMTP AUTH Ende 2026 in bestehenden Tenants standardmässig ab. Wir erheben alle betroffenen Absender und stellen jeden auf einen dauerhaften Weg um: OAuth, Microsoft Graph, einen Connector mit IP oder Zertifikat oder für interne Massenmails High Volume Email. Danach lässt sich SMTP AUTH bis auf begründete Ausnahmen abschalten.

Unser Mail-Gateway liegt vor Exchange Online. Ist das ein Problem?

Nicht grundsätzlich. Wichtig ist, dass der Inbound Connector auf das Gateway beschränkt ist, Enhanced Filtering for Connectors aktiv ist, damit Exchange Online die echte Absender-IP sieht, und dass klar geregelt ist, welches System welche Prüfung übernimmt. Verändert das Gateway Nachrichten, sollte es als vertrauenswürdiger ARC-Sealer eingetragen sein.

Übernehmen Sie auch Fehlersuche ohne grosses Projekt?

Ja. Ein Mailflow-Problem, ein defekter Hybrid oder ein unerklärlicher NDR ist oft in wenigen Stunden eingegrenzt. Sie bekommen die Ursache mit Beleg, die Korrektur und eine kurze Dokumentation, damit das gleiche Problem nicht wiederkommt.

Welchen Zugriff brauchen Sie für eine erste Analyse?

Für Exchange Online genügt anfangs ein lesender Zugriff, etwa mit den Rollen Globaler Leser und View-Only Organization Management auf einem personalisierten Konto mit MFA. Lokal reicht für die Analyse meist ein Konto mit lesenden Exchange-Rechten. Schreibrechte erhalten wir erst für die Umsetzung, und nach Möglichkeit zeitlich begrenzt.

Wo hakt Ihr Exchange gerade?

Mailflow, Hybrid, Relay oder der letzte Server, der nicht abgeschaltet werden darf: In 30 Minuten ordnen wir ein, wo die Ursache liegt und was der nächste Schritt ist.

Problem schildern kontakt@lappenbusch.ch