Viele Unternehmen haben ihre Postfächer längst nach Exchange Online verschoben, betreiben aber weiterhin einen lokalen Exchange-Server. Dieser Exchange Hybrid-Betrieb war als Übergang gedacht und ist oft zum Dauerzustand geworden. Seit Ende 2025 haben sich die Spielregeln geändert: Microsoft verlangt eine eigene Hybrid-App, und Exchange 2016 und 2019 sind aus dem Support. Ein vergessener Hybrid-Server wird damit zum Sicherheitsrisiko. Dieser Beitrag zeigt, was im Hybridbetrieb jetzt zu tun ist und wann Sie den letzten Server abschalten können.
Was ist Exchange Hybrid?
Exchange Hybrid bezeichnet eine Konfiguration, in der eine lokale Exchange-Organisation und Exchange Online in Microsoft 365 wie ein gemeinsames E-Mail-System arbeiten. Postfächer können an beiden Orten liegen, und Nutzer sehen gegenseitig Kalender und Adressen. Eingerichtet wird die Kopplung mit dem Hybrid Configuration Wizard (HCW).
Bestandteile eines Hybrid-Betriebs:
- Hybrid Configuration Wizard: richtet Connectoren, Zertifikate und Organisationsbeziehung ein
- Microsoft Entra Connect: synchronisiert Benutzer und Exchange-Attribute aus dem Active Directory
- Mailfluss: Connectoren zwischen lokalem Exchange und Exchange Online
- Hybrid-App: eigene Anwendung in Microsoft Entra ID für Frei/Gebucht, MailTips und Fotos
Hybrid-Varianten im Vergleich
Microsoft unterscheidet mehrere Ausprägungen. Welche bei Ihnen läuft, sehen Sie in der HCW-Konfiguration.
| Variante | Prinzip | Typischer Einsatz |
|---|---|---|
| Classic Full Hybrid | lokaler Exchange aus dem Internet erreichbar | längere Koexistenz, viele lokale Postfächer |
| Modern Full Hybrid | Verbindung über den Hybrid Agent ohne eingehende Ports | wenn eingehende Veröffentlichung vermieden werden soll |
| Minimal Hybrid | nur Synchronisation und Postfachumzug | schnelle Migration ohne Frei/Gebucht-Koexistenz |
| Management-only | kein Server, nur Exchange Management Tools | alle Postfächer in der Cloud |
Was sich 2025 und 2026 geändert hat
Zwei Änderungen betreffen jeden Hybrid-Betrieb. Beide haben feste Termine, die Sie kennen sollten.
Supportende und ESU
Exchange Server 2016 und 2019 erhalten seit dem 14. Oktober 2025 keinen regulären Support mehr.[1] Teilnehmer des kostenpflichtigen ESU-Programms (Extended Security Updates) bekommen Sicherheitsupdates bis Oktober 2026.[2] Danach veröffentlicht Microsoft Updates nur noch für Exchange Server Subscription Edition (SE).
Die dedizierte Hybrid-App
Früher nutzte Exchange Server ein gemeinsames Dienstprinzipal mit Exchange Online. Seit dem 31. Oktober 2025 ist dieser Zugriff dauerhaft gesperrt.[3] Frei/Gebucht, MailTips und Profilbilder funktionieren nur noch, wenn eine eigene Hybrid-App in Entra ID eingerichtet ist und alle Server einen unterstützten Build haben.
Unterstützte Builds laut Microsoft:
- Exchange Server SE: RTM, ab dem Hotfix-Update vom Mai 2026 auch mit Graph-API-Berechtigungen
- Exchange 2019: CU14 oder CU15 mit dem Hotfix-Update vom April 2025
- Exchange 2016: CU23 mit dem Hotfix-Update vom April 2025
Exchange Server SE als Alternative
Wer aus rechtlichen oder technischen Gründen lokale Postfächer behalten muss, aktualisiert auf Exchange Server SE. Die Subscription Edition wird, wie der Name sagt, im Abonnement lizenziert. Klären Sie die genauen Lizenzbedingungen vor dem Upgrade mit Ihrem Lizenzpartner.
Symptome einer veralteten Konfiguration
Fehlt die Hybrid-App, fällt das selten sofort auf. Typisch sind leere Frei/Gebucht-Ansichten zwischen Cloud- und lokalen Postfächern. Auch fehlende Profilbilder oder MailTips deuten darauf hin.
Typische Risiken im Dauer-Hybrid
Ein Hybrid-Server wird oft vergessen, weil keine Postfächer mehr darauf liegen. Er bleibt aber ein Exchange-Server mit Verbindung ins Internet und ins Active Directory.
Fehlende Updates
Ohne Updates bleibt ein Exchange-Server angreifbar. Gerade der Hybrid-Server ist häufig aus dem Internet erreichbar, damit Exchange Online ihn ansprechen kann.
Was regelmäßig geprüft werden sollte:
- Patch-Stand: aktuelles CU und Sicherheitsupdate
- Erreichbarkeit: welche Dienste sind aus dem Internet erreichbar
- Zertifikate: Laufzeit des Hybrid-Zertifikats
- Protokolle: Anmeldungen und Fehler im Ereignisprotokoll
SMTP-Relay für Geräte und Anwendungen
Viele Unternehmen behalten den lokalen Exchange als Relay für Drucker, Scanner und Fachanwendungen. Diese Abhängigkeit sollten Sie dokumentieren. Alternativen sind ein Connector in Exchange Online oder ein eigener Relay-Dienst.
Verwaltung der Empfänger
Solange Entra Connect Benutzer synchronisiert, werden Exchange-Attribute im lokalen Active Directory gepflegt. Wer den Server ohne Plan abschaltet, verliert unter Umständen den unterstützten Weg, Adressen und Postfacheigenschaften zu ändern.
Rückbau: Wann der letzte Exchange-Server gehen kann
Microsoft beschreibt inzwischen offizielle Wege, den letzten Exchange-Server loszuwerden. Welcher passt, hängt davon ab, ob Sie weiter synchronisieren.
Schritt 1: Herunterfahren mit Management Tools
Liegen alle Postfächer und öffentlichen Ordner in Exchange Online, können Sie Empfänger mit den Exchange Management Tools verwalten.[4] Der letzte Server darf dann heruntergefahren, aber nicht deinstalliert werden. Die Deinstallation würde Objekte im Active Directory entfernen, die die Tools benötigen.
Schritt 2: Dauerhafte Entfernung
Für die endgültige Deinstallation überträgt Microsoft die Hoheit über Exchange-Attribute (Source of Authority) in die Cloud.[5] Danach pflegen Sie Adressen und Postfacheigenschaften direkt in Exchange Online.
- Postfächer prüfen: keine lokalen Postfächer und öffentlichen Ordner mehr
- Relays ersetzen: Drucker, Scanner und Anwendungen auf Exchange Online oder einen Relay-Dienst umstellen
- DNS prüfen: Autodiscover und MX zeigen auf Microsoft 365
- Verwaltung klären: Management Tools oder Übertragung der Source of Authority
- Dokumentation: Änderungen festhalten und Rückfalloption beschreiben
Was passiert, wenn Sie nichts ändern?
Ein unveränderter Hybrid-Betrieb läuft oft lange scheinbar problemlos. Die Risiken wachsen trotzdem.
Folgen eines vernachlässigten Hybrid-Betriebs:
- Sicherheitsrisiko: Exchange 2016/2019 erhält nach dem ESU-Ende keine Sicherheitsupdates mehr[2]
- Funktionsverlust: Frei/Gebucht und MailTips fallen ohne Hybrid-App aus[3]
- Betriebsrisiko: Drucker und Anwendungen hängen an einem Server, den niemand mehr betreut
- Nacharbeit: spätere Migrationen und Tenant-Umzüge werden aufwendiger
Wenn Sie noch vor der Migration stehen, lesen Sie unseren Beitrag zu den Stolpersteinen der Exchange Migration.
Exchange Hybrid mit Blured
Exchange Hybrid ist kein Projekt, das man einmal einrichtet und vergisst. Als IT-Dienstleister aus Düsseldorf betreuen wir Hybrid-Umgebungen in Unternehmen mit 25 bis 250 Mitarbeitenden und begleiten den Rückbau, wenn er möglich ist.
Ihre Vorteile:
- Bestandsaufnahme: Hybrid-Variante, Builds, Hybrid-App und Zertifikate geprüft
- Updates: Exchange-Server auf einem unterstützten Stand gehalten
- Abhängigkeiten: SMTP-Relays und Anwendungen dokumentiert und ersetzt
- Rückbau: letzter Server nach Microsofts Vorgehen außer Betrieb genommen
Jetzt Erstgespräch vereinbaren · Telefon: +49 211 822 00 80
FAQ
Brauche ich Exchange Hybrid noch, wenn alle Postfächer in der Cloud sind?
Was ist die Exchange-Hybrid-App?
Darf ich den letzten Exchange-Server einfach deinstallieren?
Welche Exchange-Version brauche ich für den Hybridbetrieb?
Nächster Schritt
Exchange Hybrid mit BDT prüfen
Sie betreiben Exchange im Hybridmodus und möchten wissen, ob Ihre Konfiguration den aktuellen Microsoft-Vorgaben entspricht? Wir von Blured Digital Technologies in Düsseldorf prüfen Hybrid-App, Patch-Stand, Mailfluss und Rückbauoptionen und zeigen Ihnen den nächsten sinnvollen Schritt.
