Exchange Server 2016 und 2019: Ihr Server erhält keine Sicherheitsupdates mehr

Viele mittelständische Unternehmen betreiben ihr E-Mail-System noch im eigenen Haus, mit Microsoft Exchange Server 2016 oder 2019. Für diese beiden Versionen endet im Oktober 2026 die letzte Möglichkeit, Sicherheitsupdates zu bekommen. Danach bleibt jede neue Sicherheitslücke offen.

Was das für Ihr Unternehmen bedeutet

Microsoft hat den regulären Support für beide Versionen schon im Oktober 2025 beendet. Seitdem gab es Updates nur noch gegen Aufpreis, über ein befristetes Zusatzprogramm. Auch dieses Programm endet jetzt.

Ihr E-Mail-System läuft danach weiter. Sie merken im Alltag zunächst nichts. Wird aber eine neue Schwachstelle bekannt, schließt Microsoft sie nicht mehr. Ihr Server bleibt dann dauerhaft angreifbar. Über das E-Mail-System laufen Angebote, Verträge, Rechnungen und Kundendaten. Ein Angriff an dieser Stelle trifft das ganze Unternehmen.

Das BSI warnt ausdrücklich

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat im Oktober 2025 gewarnt: In Deutschland liefen über 30.000 dieser veralteten Exchange-Server mit einem Zugang, der offen aus dem Internet erreichbar war. Betroffen sind laut BSI Unternehmen, Krankenhäuser, Schulen, Stadtwerke und Kommunen.

Das BSI rät dringend, auf aktuelle Versionen umzusteigen oder auf eine Alternative zu wechseln. Für den Fall einer neuen Schwachstelle sieht es meist nur eine Lösung: das System abzuschalten. Dann ist Ihr Unternehmen per E-Mail nicht mehr erreichbar. Thomas Caspers, Vizepräsident des BSI: „Hier ist schnelles und konsequentes Handeln der Verantwortlichen erforderlich!“

Sie haben drei Möglichkeiten

Bei Microsoft bleiben, im eigenen Haus

Microsoft bietet eine neue Version an, die Exchange Server Subscription Edition. Ihre Daten bleiben bei Ihnen. Der Haken liegt im Namen: Die neue Version gibt es nur mit laufendem Lizenzvertrag. Kündigen Sie ihn, bekommen Sie keine Updates mehr. Aus einer einmaligen Anschaffung wird ein dauerhafter Kostenpunkt.

Bei Microsoft bleiben, in der Cloud

Sie ziehen Ihre Postfächer zu Microsoft in die Cloud und zahlen pro Mitarbeiter und Monat. Um Updates kümmert sich dann Microsoft. Dafür liegen Ihre Daten bei einem US-Konzern. Nach dem US-Gesetz CLOUD Act müssen US-Anbieter Daten auf Anordnung an US-Behörden herausgeben. Das gilt auch dann, wenn die Daten in Europa gespeichert sind. Ob das mit Ihren Pflichten nach der DSGVO vereinbar ist, sollten Sie bewusst entscheiden.

Zu einer europäischen Lösung wechseln

Sie wechseln mit E-Mail, Kalender und Kontakten zu einem Anbieter aus Europa oder betreiben eine Open-Source-Lösung auf eigenen Servern. Ein Beispiel für einen europäischen Anbieter ist mailbox.org mit Servern in Berlin. Ein Beispiel für eine Lösung zum Selbstbetrieb ist grommunio aus Wien. Ihre Mitarbeiter können dabei nach Angaben des Herstellers weiter mit Outlook arbeiten.

Dieser Weg ist mehr Aufwand als ein Update. Dafür sind Sie danach unabhängig von den Lizenzentscheidungen eines einzelnen Konzerns.

Welcher Weg der richtige ist

Das hängt von drei Fragen ab, die nur Sie als Geschäftsführung beantworten können:

1. Wo sollen die Daten Ihres Unternehmens liegen?
2. Welche laufenden Kosten wollen Sie dauerhaft tragen?
3. Wie abhängig wollen Sie von einem einzelnen Anbieter sein?

Fragen Sie Ihre IT oder Ihren IT-Dienstleister noch diese Woche, welche Exchange-Version bei Ihnen läuft. Lautet die Antwort 2016 oder 2019, sollte die Entscheidung nicht mehr lange warten.

Wenn Sie die drei Wege für Ihr Unternehmen gegenüberstellen möchten, sprechen Sie uns an. Wir beraten ohne Vorfestlegung.