Am 1. Oktober 2026 beginnt bei Microsoft die Abschaltung der Exchange Web Services (EWS) in Exchange Online. Wenn bei Ihnen eine Software von außen auf Postfächer, Kalender oder Kontakte zugreift und niemand weiß, auf welchem Weg, ist das jetzt eine Frage für die Geschäftsführung und nicht nur für den Administrator. Dieser Beitrag zeigt, was Microsoft angekündigt hat, wie Sie die betroffenen Anwendungen finden und wie Sie pro Anwendung entscheiden.
Die EWS-Abschaltung in Exchange Online: was Microsoft angekündigt hat
EWS ist eine Programmierschnittstelle. Programme nutzen sie, um Postfächer zu lesen, Termine anzulegen oder Kontakte abzugleichen, ohne dass dafür ein Mensch Outlook öffnet. Genau deshalb fällt ihre Abschaltung selten auf: Die Anwendungen, die sie nutzen, laufen im Hintergrund.
Laut Microsoft (Einstellung von Exchange-Webdiensten in Exchange Online) läuft die Abschaltung in zwei Schritten:
- Ab 1. Oktober 2026 wird EWS in Exchange Online standardmäßig blockiert. Ausnahme: Der Mandant hat EWS ausdrücklich aktiviert und eine Liste der Anwendungen eingerichtet, die EWS weiter nutzen dürfen. Microsoft nennt sie EWSAllowedAppIDs.
- Am 1. April 2027 wird EWS in Exchange Online endgültig abgeschaltet. Danach hilft keine Ausnahmeliste mehr.
Als Ersatz nennt Microsoft die Schnittstelle Microsoft Graph (Migrieren von EWS-Apps zu Microsoft Graph). Die Termine hat Microsoft in der Vergangenheit angepasst. Prüfen Sie deshalb die aktuellen Angaben bei Microsoft, bevor Sie Entscheidungen an einem Datum festmachen.
Wer betroffen ist, und wer nicht
Nach Angaben von Microsoft betrifft die Abschaltung Exchange Online, also Postfächer in Microsoft 365. Der Exchange Server im eigenen Rechenzentrum ist davon nicht berührt. Wer beides betreibt, eine Hybrid-Umgebung, muss genauer hinsehen, weil Anwendungen dort je nach Postfach unterschiedliche Wege nehmen.
Im Mittelpunkt stehen Programme, die als Hintergrunddienst oder Zusatzprodukt auf Postfächer zugreifen, nicht die Menschen, die täglich in ihrem Postfach arbeiten. Auch Zusatzmodule für Outlook gehören auf die Prüfliste. Typische Gruppen, nach denen Sie suchen sollten:
- Geräte und Dienste, die E-Mails einlesen oder versenden: Scanner, Multifunktionsgeräte, Ticket- und Formularsysteme.
- Kommunikationssoftware, die Kalender oder Kontakte spiegelt: Telefonanlagen, Softphones, Raumbuchung.
- Anbindungen an Fachsysteme: CRM, ERP, Dokumentenmanagement, Archivierung.
- Werkzeuge für Sicherung und Migration.
- Eigenentwicklungen: Skripte und kleine Programme, die vor Jahren jemand geschrieben hat.
Diese Liste ist eine Suchhilfe, kein Befund. Ob ein bestimmtes Produkt EWS nutzt, steht beim Hersteller, nicht hier.
Zuerst die Bestandsaufnahme: welche Anwendungen hängen an EWS?
Die Schwierigkeit liegt selten in der Technik der Umstellung, sondern darin, dass niemand die Abhängigkeiten vollständig kennt. Eine Anwendung, die seit fünf Jahren still läuft, steht in keiner Liste. Sie fällt auf, wenn sie nicht mehr funktioniert: Scans kommen nicht an, Termine fehlen, ein nächtlicher Abgleich läuft ins Leere.
Eine brauchbare Bestandsaufnahme hat drei Schritte.
1. Nutzung messen. Microsoft stellt Nutzungsberichte zu EWS bereit. Ihr Administrator oder Microsoft-Partner kann sie abrufen. Sie zeigen, welche Anwendungen in letzter Zeit über EWS zugegriffen haben. Sie zeigen nur, was in dem Zeitraum tatsächlich lief, nicht den Jahresabschluss, der nur einmal im Jahr startet.
2. Hersteller fragen. Für jede gefundene Anwendung und für jede, die Sie aus der Liste oben kennen: Nutzt das Produkt EWS, und ab welcher Version arbeitet es mit Microsoft Graph? Eine schriftliche Antwort gehört in die Akte. Wer nur „das sollte gehen“ hört, hat noch keine Aussage.
3. Zuständige benennen. Für jede Anwendung gibt es eine Person im Haus, die über die Umstellung entscheidet, und eine Stelle, die sie umsetzt. Fehlt eine davon, steht die Anwendung am Ende ohne Besitzer da. Das ist dasselbe Muster, das wir in Warum „wir dokumentieren später“ ein Betriebsrisiko ist beschreiben, nur mit einem Stichtag.
EWS oder Microsoft Graph: was sich ändert
Microsoft Graph ist keine neue Fassung von EWS, sondern eine andere Schnittstelle. Anmeldung, Berechtigungen und die einzelnen Aufrufe sind anders aufgebaut. Das hat zwei Folgen.
Erstens lässt sich eine Anwendung nicht durch eine Einstellung umstellen. Entweder der Hersteller liefert eine Version, die Graph nutzt, oder jemand passt die Anwendung an. Bei Eigenentwicklungen sind Sie dieser Jemand.
Zweitens ist die Berechtigung neu zu denken. Eine Anwendung, die über EWS Zugriff auf viele Postfächer hatte, braucht unter Graph eine ausdrücklich eingeräumte Berechtigung. Das ist sauberer, aber es ist eine Entscheidung, die jemand treffen muss: Welche Postfächer darf die Anwendung sehen, und welche nicht? Die Antwort gehört dokumentiert, nicht nur eingestellt.
Die Abwägung, ob ein Zugangsweg gebaut oder ein System abgelöst wird, haben wir in Schnittstelle bauen oder System ablösen beschrieben. Die Kriterien gelten hier eins zu eins.
Vier Antworten pro Anwendung
Für jede Anwendung auf Ihrer Liste gibt es genau vier mögliche Antworten. Alles andere ist ein Aufschub.
1. Hersteller-Update einspielen. Der Hersteller hat die Anwendung auf Graph umgestellt. Das ist der billigste Weg, wenn das Produkt gepflegt wird. Zu klären sind Version, Lizenz, Wartungsvertrag und ein Testfenster.
2. Selbst auf Graph umbauen. Das gilt für Eigenentwicklungen und für Produkte, deren Hersteller nicht mehr liefert, deren Funktion Sie aber weiter brauchen. Der Umbau ist begrenzt, wenn die Anwendung wenige Aufrufe macht. Er wird teuer, wenn niemand mehr weiß, was sie tut.
3. Ersetzen. Die Anwendung wird durch ein Produkt ersetzt, das Graph nutzt oder gar keinen Zugriff auf Postfächer braucht. Das lohnt, wenn die Anwendung ohnehin am Ende ihrer Lebensdauer ist. Dann ist die Abschaltung der Anlass für eine Entscheidung, die sowieso fällig war; die Kriterien stehen in Neu bauen, ablösen oder weiterbetreiben.
4. Abschalten. Manche Anwendungen braucht niemand mehr. Das findet man nur heraus, wenn jemand fragt. Prüfen Sie vor dem Abschalten, wer die Ergebnisse der Anwendung noch liest.
Eine Anwendung ohne Entscheidung fällt am Stichtag in die Standardreaktion: Sie funktioniert nicht mehr, und der Fehler zeigt sich dort, wo er am wenigsten erwartet wird.
Was die Umstellung kostet
Eine Pauschalzahl gibt es ohne Befund nicht, und wir nennen keine. Was den Aufwand bestimmt, lässt sich benennen:
- Zahl der Anwendungen und wie viele davon Eigenentwicklungen sind.
- Stand der Hersteller. Ein Update im Rahmen eines bestehenden Wartungsvertrags ist etwas anderes als ein Umbau ohne Hersteller.
- Zahl und Art der Aufrufe. Eine Anwendung, die nur Termine liest, ist schnell umgestellt. Eine, die Postfächer verwaltet, Regeln setzt und Anhänge verarbeitet, nicht.
- Berechtigungen. Wer darf auf welche Postfächer zugreifen, und wer gibt das frei?
- Tests und Parallelbetrieb. Alt und neu laufen eine Weile nebeneinander, damit nichts still verloren geht.
- Wissen. Wenn niemand die Anwendung erklären kann, muss ihr Verhalten rekonstruiert werden. Dieser Aufwand steht in keinem Angebot für „die Umstellung“. Wie Sie ein solches Angebot prüfen, steht in IT-Angebot prüfen.
Warum die Ausnahmeliste keine Lösung ist, und wann wir abraten
Die Ausnahmeliste kauft Zeit. Sie verlängert die Frist bis zum 1. April 2027, nicht darüber hinaus. Wer sie nutzt, sollte sie als Terminplan lesen: Bis dahin muss jede Anwendung auf der Liste eine der vier Antworten haben.
Wir raten ab,
- eine Anwendung auf der Liste zu belassen, ohne dass jemand einen Umstellungstermin hat,
- eine Eigenentwicklung umzubauen, bevor klar ist, ob sie noch gebraucht wird,
- ein Produkt zu ersetzen, nur weil der Hersteller eine Frage nicht sofort beantwortet hat,
- die Umstellung in einem Zug am Stichtag zu planen, statt Anwendung für Anwendung.
Und wir raten ab, wenn die Antwort schon feststeht und nur bestätigt werden soll. Was vorher entschieden war, schreiben wir nicht auf.
Erst der Befund, dann die Entscheidung
Die Reihenfolge ist der Kern: erst die Anwendungen finden, dann je Anwendung entscheiden, dann umsetzen. Wer mit dem Umbau beginnt, bevor die Liste steht, repariert die lauteste Anwendung und übersieht die stille.
Das System-Audit nimmt diese Bestandsaufnahme als abgegrenzten Auftrag auf: Architektur, Datenflüsse, Integrationen, Sicherheit und Betrieb, 6.500 € netto, vier Wochen, benannte Ergebnisdokumente. Es endet mit der Übergabe und verpflichtet nicht zur Umsetzung durch 01PC. Liegt bereits ein Angebot für die Umstellung auf dem Tisch, genügt oft die Architektur-Zweitmeinung: 1.400 € netto, eine Woche, ein Dokument mit klarer Aussage.
Wenn Sie nicht wissen, welche Anwendungen bei Ihnen auf Postfächer zugreifen, ist das der Ausgangspunkt. Nicht der Umbau.
Quellen