Letzter Monat für Exchange 2016/2019: ESU-Programm endet mit Oktober 2026

Der Support für Exchange Server 2016 und 2019 endete am 14. Oktober 2025. Das kostenpflichtige Extended-Security-Update-Programm (ESU) endet nun mit Ablauf des Oktobers 2026, eine weitere Verlängerung schließt Microsoft aus. Für Server mit ESU ist dies der letzte Monat mit Updates. Wir fassen Änderungen, Risiken und Optionen zusammen.

Auf einen Blick

• Support-Ende: Der Support für Exchange Server 2016 und 2019 endete am 14. Oktober 2025.
• Server ohne ESU: Exchange-2016/2019-Server, die nicht am kostenpflichtigen ESU-Programm teilnehmen, erhalten seit dem 14. Oktober 2025 keine Sicherheitsupdates mehr.
• Server mit ESU: Microsoft hat eine zweite ESU-Phase (Period 2) eingerichtet, die mit dem Oktober 2026 endet. Microsoft schreibt: „Sobald der Oktober 2026 endet, wird es keine weiteren Updates für Exchange 2016/2019 geben, auch wenn Sie derzeit eine Period-2-ESU haben.“
• Keine Verlängerung: Microsoft stellt klar, dass der ESU-Zeitplan nicht erneut verlängert wird.
• Optionen: Exchange Server Subscription Edition (SE) lokal, Microsoft 365 / Exchange Online in der Cloud oder eine Hybridlösung.

Was hat sich geändert?

Mit dem Support-Ende hat Microsoft technischen Support, Fehlerbehebungen und Sicherheitsupdates für Exchange 2016 und 2019 eingestellt. Die Server laufen weiter, Microsoft empfiehlt jedoch dringend, so schnell wie möglich zu migrieren.

Für Organisationen, die ihre Migration nicht abschließen konnten, bot Microsoft ein kostenpflichtiges ESU-Programm an und verlängerte es später um eine zweite Phase. Laut der Ankündigung des Exchange-Teams vom Juli 2026 endet diese zweite Phase mit dem Oktober 2026, eine weitere Verlängerung gibt es nicht. Ab November 2026 bleiben auch Server mit ESU dauerhaft ungepatcht.

Wenn Sie nie am ESU-Programm teilgenommen haben, ist das bereits seit einem Jahr der Fall: Ihr Server erhält seit dem 14. Oktober 2025 keine Updates für neu entdeckte Schwachstellen.

Warum ein aus dem Internet erreichbarer Exchange ein Risiko ist

Exchange-Server sind häufig über Outlook im Web (OWA), das Exchange Admin Center (ECP/EAC), ActiveSync und Autodiscover direkt aus dem Internet erreichbar. Das macht sie zu einem bevorzugten Angriffsziel.

Die Folgen waren schon einmal gravierend. Im März 2021 meldete Microsoft, dass Zero-Day-Schwachstellen in lokalem Exchange Server (bekannt als ProxyLogon, CVE-2021-26855 und verwandte Lücken) für Angriffe genutzt wurden. Laut Microsoft verschafften sich Angreifer damit Zugriff auf E-Mail-Konten und installierten Web Shells; bald darauf nahmen weitere Akteure ungepatchte Systeme ins Visier.

Damals gab es einen Patch, und wer ihn schnell installierte, war geschützt. Auf einem Server ohne Support gibt es bei einer ähnlichen Lücke keinen Patch mehr.

Update Oktober 2026: Kritische Exchange-Lücke (CVE-2026-70571)

Während dieser Artikel online war, hat Microsoft am 13. Oktober 2026 sein Oktober-Sicherheitsupdate für Exchange Server veröffentlicht. Es schließt eine kritische Schwachstelle für Remote Code Execution: CVE-2026-70571 (CVSS 3.1: 8,1; Microsoft-Einstufung: Kritisch). Laut Microsoft kann ein nicht authentifizierter Angreifer mit einer speziell präparierten E-Mail einen internen Prozess zur Inhaltskonvertierung auslösen und Code auf dem Server ausführen; eine Benutzerinteraktion ist nicht erforderlich. Microsoft gibt an, die Lücke werde noch nicht ausgenutzt, hält eine Ausnutzung aber für wahrscheinlicher.

• Exchange SE: KB5128895
• Exchange 2019 CU15: KB5128896
• Exchange 2019 CU14: KB5128897
• Exchange 2016 CU23: KB5128898

Für Exchange 2016/2019 ist dies das letzte verfügbare Sicherheitsupdate: Die Updates für 2016/2019 erhalten nur Organisationen mit Period-2-ESU, und das Programm endet mit Ablauf des Oktobers 2026.

Anfang desselben Monats, am 2. Oktober 2026, betraf auch CVE-2026-96940 (CVSS 8,8) Exchange-Server. Laut Microsoft konnte ein authentifizierter Angreifer auf Postfächer anderer Benutzer derselben Organisation zugreifen und E-Mails lesen. Der Fix kam mit den September-2026-V2-Sicherheitsupdates (KB5129955 für Exchange SE); bei Exchange Online hat Microsoft den Fix selbst eingespielt.

Kurz gesagt: Auch mit ESU gibt es nach Oktober 2026 keine Patches mehr für solche Lücken. Der Migrationsplan (Exchange SE oder Microsoft 365) muss in diesem Monat abgeschlossen werden.

Ihre Optionen

1. Exchange Server SE (lokal)

Exchange Server Subscription Edition ist der lokale Nachfolger von Exchange 2019.

• Von Exchange 2019: Server mit Exchange 2019 CU14 oder CU15 lassen sich direkt per In-Place-Upgrade auf Exchange SE aktualisieren. Microsoft beschreibt SE als kumulatives Upgrade von Exchange 2019 und das In-Place-Upgrade als risikoarm. Server unterhalb von CU14 müssen zuerst aktualisiert werden.
• Von Exchange 2016: Ein In-Place-Upgrade ist nicht möglich, eine Migration ist erforderlich. Laut Microsoft können Sie vor der Veröffentlichung von Exchange SE CU2 einen Exchange-SE-Server in Ihre bestehende Exchange-2016-Organisation (oder gemischte 2016/2019-Organisation) aufnehmen und Postfächer dorthin verschieben.
• Lizenzierung: Laut Microsoft sind die Lizenzanforderungen von Exchange 2019 und Exchange SE gleich: eine Serverlizenz plus eine CAL je Benutzer oder Gerät. Der Unterschied: Um SE weiter zu nutzen und Updates zu erhalten, ist aktive Software Assurance (SA) für Serverlizenzen und CALs oder ein qualifizierendes Microsoft-365-Abonnement nötig. Wird SA nicht verlängert, endet das Nutzungsrecht für SE.

2. Microsoft 365 / Exchange Online

Wenn Postfächer in die Cloud wandern, liegen Server-Updates, Hardware und redundante Infrastruktur in der Verantwortung von Microsoft. Bei den ProxyLogon-Angriffen wies Microsoft darauf hin, dass Exchange Online nicht betroffen war. Für KMU ohne eigenes Team für den Mailserver ist dies meist der praktikabelste Weg.

3. Hybrid

Sie können die meisten Postfächer zu Exchange Online verschieben und einen lokalen Exchange-Server für Verwaltung oder besondere Anforderungen behalten. Auch dieser Server muss eine unterstützte Version (Exchange SE) nutzen.

Aktionsplan für KMU

1. Bestand erfassen: Ermitteln Sie, auf welchen Servern Exchange 2016 oder 2019 läuft und mit welchem CU-Stand. Klären Sie, ob Sie im ESU-Programm registriert sind.
2. Mit ESU: Installieren Sie alle bis Ende Oktober 2026 veröffentlichten Updates und planen Sie, die Migration vor November abzuschließen.
3. Ziel wählen: Exchange SE, Microsoft 365 oder Hybrid? Entscheiden Sie anhand von Benutzerzahl, IT-Team, Compliance-Anforderungen und Budget.
4. Lizenzen klären: Prüfen Sie für SE, ob Ihre Lizenzen aktive SA haben; wählen Sie für Microsoft 365 den passenden Plan.
5. Risiko bis zur Migration senken: Machen Sie OWA und ECP möglichst nicht direkt aus dem Internet erreichbar, beschränken Sie den Zugriff auf Verwaltungsoberflächen, nutzen Sie Multi-Faktor-Authentifizierung und überwachen Sie die Serverprotokolle. Das senkt das Risiko, ersetzt aber keine Sicherheitsupdates.

Doğa Network nasıl yardımcı olabilir?

Wir prüfen Ihre Exchange-Umgebung kostenlos und finden gemeinsam mit Ihnen den passenden Weg. Unser Team unterstützt bei der Migration zu Microsoft 365 / Exchange Online, beim In-Place-Upgrade von Exchange 2019 auf Exchange SE, bei der Migration von Exchange 2016 und bei der Lizenzberechnung (SA, CALs, Microsoft-365-Pläne). Sie erreichen uns unter +90 850 888 3642 oder hi@doga.network.

Quellen

• MSRC – CVE-2026-70571
• Microsoft Support – Exchange SE Sicherheitsupdate, 13. Oktober 2026 (KB5128895)
• Microsoft Support – Exchange Server 2019 CU15 Sicherheitsupdate, 13. Oktober 2026 (KB5128896)
• Microsoft Support – Exchange Server 2016 CU23 Sicherheitsupdate, 13. Oktober 2026 (KB5128898)
• MSRC – CVE-2026-96940
• Microsoft Support – Exchange SE September 2026 V2 Sicherheitsupdate, 2. Oktober 2026 (KB5129955)

• Microsoft Learn – Exchange Server 2019 and 2016 End of Support Roadmap
• Exchange Team Blog – Reminder: Exchange 2016 and 2019 ESU Program Ends in October 2026
• Exchange Team Blog – Announcing Exchange 2016 / 2019 Extended Security Update program
• Microsoft Learn – Exchange Server 2019 Lebenszyklus
• Microsoft Learn – Exchange Server 2016 Lebenszyklus
• Microsoft – Exchange Online und Exchange Server Licensing FAQs
• Microsoft Security Blog – HAFNIUM targeting Exchange Servers with 0-day exploits