Die EWS-Abschaltung in Exchange Online läuft bereits: Seit Oktober 2026 sperrt Microsoft die Exchange Web Services schrittweise. Ab April 2027 ist EWS vollständig deaktiviert. Betroffen sind alle Anwendungen, die über EWS auf Postfächer, Kalender oder Kontakte zugreifen. Dazu zählen ältere Outlook-Versionen, Backup-Werkzeuge, CRM-Add-ins und eigene Skripte.
Für Unternehmen zählt deshalb jetzt vor allem eine Frage: Welche Ihrer Anwendungen nutzen noch EWS? Danach entscheiden Sie, was auf die Freigabeliste kommt und was auf Microsoft Graph umzieht. Dieser Leitfaden zeigt den aktuellen Zeitplan, die Freigabeliste mit PowerShell und den Umstieg in sieben Schritten. Stand der Angaben ist der 27. Oktober 2026.
Was ist EWS und warum schaltet Microsoft es ab?
Exchange Web Services (EWS) ist eine rund 20 Jahre alte Schnittstelle für den Zugriff auf Exchange-Postfächer. Anwendungen lesen damit E-Mails, Termine und Kontakte oder legen sie an. Seit 2018 entwickelt Microsoft EWS nicht mehr weiter. Zudem gilt die Schnittstelle als Sicherheitsrisiko, weil Anwendungen oft Vollzugriff auf alle Postfächer erhalten. Die Abschaltung in Exchange Online hat Microsoft bereits 2023 angekündigt, Nachfolger ist Microsoft Graph.
Den Ausschlag gab zudem die Sicherheit. Beim Angriff der Gruppe Midnight Blizzard Anfang 2024 nutzten Angreifer eine alte Test-Anwendung mit weitreichenden EWS-Rechten. Damit konnten sie auf Postfächer bei Microsoft selbst zugreifen. Seitdem gilt die Abschaltung auch für Microsofts eigene Anwendungen wie Outlook, Teams und Dynamics 365. Für Sie bedeutet das: Auch Microsoft-Produkte brauchen aktuelle Versionen.
Zeitplan der EWS-Abschaltung: Was gilt seit Oktober 2026?
Seit Oktober 2026 funktionieren in Exchange Online nur noch Anwendungen, die auf einer Freigabeliste stehen. Der Schalter EWSEnabled allein reicht nicht mehr aus. Ab April 2027 ist EWS dann vollständig abgeschaltet, auch für Anwendungen auf der Liste. Was bis dahin in Ihrem Tenant passiert, hängt laut dem Exchange-Team von Microsoft von der bisherigen Einstellung des Tenants ab:
| Einstellung EWSEnabled | Was Microsoft tut | Was Sie tun sollten |
|---|---|---|
| True, ohne eigene Liste | Hat im Oktober 2026 eine Liste aus der Nutzung der letzten 60 Tage angelegt | Liste prüfen und selbst pflegen |
| Nie gesetzt (Null) | Kündigt die Sperre sieben Tage vorher im Message Center an und legt eine Liste aus der Nutzung an | Message Center beobachten, Liste prüfen |
| False | Keine Änderung, EWS ist bereits aus | Nichts, sofern keine Anwendung EWS braucht |
| True, mit eigener Liste | Überschreibt eigene Listen nicht | Liste aktuell halten |
Freigabelisten überbrücken also nur die Zeit bis April 2027. Laut Microsoft kann die Umstellung über alle Tenants bis etwa Mitte 2027 dauern. Planen Sie trotzdem mit April 2027 als letzter Frist. Für Behörden-Clouds nennt Microsoft noch keine Termine.
Welche Anwendungen sind von der EWS-Abschaltung betroffen?
Betroffen ist jede Anwendung, die über EWS auf Exchange Online zugreift, unabhängig vom Hersteller. Microsoft nennt dabei ausdrücklich auch eigene Produkte. Typisch sind ältere Outlook-Versionen, Apple Mail, Backup-Werkzeuge, CRM-Add-ins und selbst entwickelte Skripte. Laut Microsoft fallen in der Praxis vor allem diese Gruppen aus:
- Ältere Outlook-Versionen: Outlook für Windows braucht mindestens Build 16.0.20430.20092. Das klassische Outlook für Mac braucht einen Listeneintrag.
- Apple Mail und Kalender: Die Apps unter macOS greifen auf Exchange-Konten per EWS zu.
- Backup- und Archivlösungen: Viele Werkzeuge sichern Postfächer noch über EWS.
- Outlook-Add-ins und CRM-Anbindungen: Ältere Add-ins lesen Termine und Mails per EWS.
- Excel und Power BI: Die Exchange-Konnektoren in Power Query und Power BI sind ebenfalls betroffen.
- Eigene Skripte und Fachanwendungen: ERP-, DMS- oder Ticketsysteme, die Postfächer abrufen oder Termine buchen.
In unseren Projekten tauchen im EWS-Bericht am häufigsten Backup- und Archivlösungen auf. Dazu kommen Add-ins und Anbindungen von CRM- und ERP-Systemen.
EWS-Abschaltung vorbereiten: sieben Schritte
Die EWS-Abschaltung bereiten Sie in sieben Schritten vor, von der Bestandsaufnahme bis zu eingeschränkten Rechten. Die ersten vier Schritte sichern den laufenden Betrieb, denn danach steht die Freigabeliste. Die übrigen drei bereiten anschließend den endgültigen Wechsel bis April 2027 vor. So gehen Sie vor:
- Nutzung erfassen: Öffnen Sie im Microsoft 365 Admin Center unter Berichte, Nutzung, Exchange den Bericht „EWS usage“. Wählen Sie 90 Tage und exportieren Sie die Liste.
- Anwendungen zuordnen: Suchen Sie danach jede Anwendungs-ID in Microsoft Entra unter Unternehmensanwendungen. Notieren Sie Hersteller und Verantwortliche.
- Hersteller fragen: Klären Sie anschließend für jede Anwendung, ob es eine Version mit Microsoft Graph gibt und bis wann. So wissen Sie, was auf die Liste muss.
- Freigabeliste setzen: Tragen Sie nur Anwendungen ein, die bis April 2027 noch EWS brauchen. Alles andere bleibt dadurch gesperrt.
- Clients aktualisieren: Bringen Sie außerdem Outlook, Teams und Add-ins auf den geforderten Stand.
- Eigene Anwendungen umstellen: Migrieren Sie danach Skripte und Fachanwendungen auf Microsoft Graph.
- Rechte einschränken: Geben Sie schließlich jeder Anwendung nur Zugriff auf die Postfächer, die sie wirklich braucht.
Freigabeliste mit PowerShell setzen
Die Freigabeliste setzen Sie in der Exchange Online PowerShell mit dem Parameter EwsAllowedAppIDs. Wichtig: Jeder Aufruf ersetzt die gesamte Liste. Geben Sie deshalb immer alle Anwendungs-IDs zusammen an. Die bestehende Liste sehen Sie nur mit dem Schalter RetrieveEwsOperationAccessPolicy.
# Aktuelle Freigabeliste anzeigen
Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Format-List EwsAllowedAppIDs
# Liste setzen (ersetzt immer die gesamte Liste)
Set-OrganizationConfig -EWSEnabled $true -EwsAllowedAppIDs "<App-ID-1>","<App-ID-2>"Änderungen an der Liste greifen laut Microsoft erst nach bis zu 24 Stunden. Die älteren Parameter EWSAllowList und EWSBlockList filtern nur nach Client-Kennung und ersetzen die neue Liste nicht. Testen Sie die Liste daher zuerst mit einer unkritischen Anwendung.
Von EWS zu Microsoft Graph: Worauf Sie achten sollten
Microsoft Graph ersetzt EWS, deckt aber noch nicht jede Funktion ab. Bis Ende 2026 will Microsoft unter anderem Archivpostfächer, Import und Export sowie Verwaltungsaufgaben nachliefern. Laut Microsoft Learn kommen einige Funktionen nie zu Graph. Dazu zählen der allgemeine Zugriff auf öffentliche Ordner und auf Gruppenpostfächer.
Nutzen Sie den Umstieg außerdem, um Berechtigungen aufzuräumen. Viele EWS-Anwendungen hatten Vollzugriff auf alle Postfächer, oft ohne dass es jemand wusste. Mit RBAC für Anwendungen in Exchange Online beschränken Sie eine Anwendung auf bestimmte Postfächer. Wie Sie privilegierte Rechte generell absichern, zeigt unser Beitrag zu Privileged Identity Management mit Entra ID.
Sonderfall Hybrid-Umgebung
In Hybrid-Umgebungen mit lokalen Postfächern und Online-Archiv ist die EWS-Abschaltung besonders heikel. Hier müssen Sie laut Microsoft EWS in Exchange Online aktiv lassen. Zudem tragen Sie die dedizierte Exchange-Hybrid-Anwendung in die Liste ein. Ihre Exchange-Server-SE-Systeme brauchen außerdem mindestens das Update vom Mai 2026. Ohne lokale Postfächer oder ohne Online-Archiv sind Sie hier nicht betroffen.
Welche Vorteile hat der Umstieg für den Mittelstand?
Der Umstieg auf Microsoft Graph macht Ihre Microsoft-365-Umgebung sicherer und übersichtlicher. Alte Anwendungen mit Vollzugriff verschwinden, und Rechte lassen sich pro Postfach vergeben. Gerade im Mittelstand fehlt außerdem oft ein vollständiger Überblick über angebundene Anwendungen. Die Bestandsaufnahme zur EWS-Abschaltung liefert diesen Überblick. Die wichtigsten Vorteile:
- Weniger Angriffsfläche: Alte Anwendungen mit Vollzugriff auf alle Postfächer verschwinden.
- Klare Verantwortung: Künftig gibt es für jede Anwendung einen Hersteller und einen Ansprechpartner im Haus.
- Feinere Rechte: Anwendungen sehen nur die Postfächer, die sie für ihre Aufgabe brauchen.
- Moderne Schnittstelle: Graph verbindet Mail, Kalender, Teams und SharePoint über eine einheitliche API.
- Weniger Ausfälle: Wer früh umstellt, vermeidet ungeplante Störungen im April 2027.
Typische Fehler bei der EWS-Abschaltung
Der häufigste Fehler ist, sich auf die automatisch erstellte Liste von Microsoft zu verlassen. Sie beruht nur auf der Nutzung der letzten 60 Tage. Anwendungen, die selten laufen, fehlen deshalb, etwa Jahresabschluss-Skripte oder Archivläufe. Weitere typische Fehler:
- Liste versehentlich überschreiben: Ein Aufruf mit nur einer neuen ID löscht alle anderen Einträge.
- Liste für leer halten: Ohne den Schalter RetrieveEwsOperationAccessPolicy zeigt PowerShell die Liste leer an.
- Microsoft-Produkte vergessen: Denn auch Outlook, Teams und Power BI brauchen aktuelle Versionen.
- Auf den Support warten: Nur Ihre eigenen Administratoren können EWS wieder einschalten.
- Die Liste als Lösung sehen: Sie überbrückt jedoch nur bis April 2027, danach zählt allein Graph.
Was AURUM für Sie übernimmt
AURUM begleitet Sie von der Bestandsaufnahme bis zur Umstellung auf Microsoft Graph. Wir werten den EWS-Bericht aus, ordnen jede Anwendung zu und klären mit den Herstellern den Weg. Anschließend setzen wir die Freigabeliste sauber und testen sie. Die Prüfung von Hybrid-Umgebungen und Exchange Server SE übernimmt unsere Microsoft Exchange Beratung.
Eigene Skripte und Fachanwendungen stellen wir im Rahmen unserer Softwareentwicklung und Schnittstellen auf Graph um. Die Berechtigungen schränken wir dabei gleich mit ein, abgestimmt mit unserer Cloud Security Beratung. Bestandsaufnahme und Freigabeliste dauern meist nur wenige Tage, die Umstellung auf Graph planen wir danach gesondert.
Häufige Fragen zur EWS-Abschaltung
Ist Exchange Server von der EWS-Abschaltung betroffen?
Nein, die EWS-Abschaltung gilt nur für Exchange Online. Auf lokalen Exchange-Servern bleibt EWS verfügbar. Eine Ausnahme sind Hybrid-Umgebungen mit lokalen Postfächern und Online-Archiv. Dort muss EWS für die dedizierte Exchange-Hybrid-Anwendung freigegeben bleiben.
Funktioniert Outlook nach der EWS-Abschaltung noch?
Ja, mit aktuellen Versionen. Outlook für Windows braucht laut Microsoft mindestens Build 16.0.20430.20092 vom August 2026. Das klassische Outlook für Mac benötigt einen Eintrag in der Freigabeliste. Das neue Outlook für Mac ist nicht betroffen.
Kann man EWS nach einer Sperre wieder aktivieren?
Ja, aber nur übergangsweise und nur durch Ihre eigenen Administratoren. Sie schalten EWS über den Baseline Security Mode oder per PowerShell wieder ein. Der Microsoft-Support kann das nicht für Sie tun. Ab April 2027 ist auch das nicht mehr möglich.
Weitere Fragen zu EWS und Microsoft Graph
Was ersetzt EWS in Exchange Online?
Der Nachfolger ist Microsoft Graph. Microsoft schließt die letzten Funktionslücken schrittweise, etwa für Archivpostfächer und Verwaltungsaufgaben. Einige Funktionen kommen laut Microsoft nie zu Graph, etwa der allgemeine Zugriff auf öffentliche Ordner. Prüfen Sie deshalb jede Anwendung einzeln.
Wie finde ich heraus, welche Anwendungen EWS nutzen?
Am schnellsten über den Bericht „EWS usage“ im Microsoft 365 Admin Center. Sie finden ihn unter Berichte, Nutzung, Exchange. Er zeigt jede Anwendungs-ID mit Aufrufvolumen und letzter Aktivität. Die IDs ordnen Sie in Microsoft Entra unter Unternehmensanwendungen zu.
Fazit: Jetzt inventarisieren, bis April 2027 umstellen
Die EWS-Abschaltung betrifft fast jedes Unternehmen mit Exchange Online, oft an unerwarteten Stellen. Erfassen Sie jetzt die Nutzung, pflegen Sie die Freigabeliste selbst und stellen Sie bis April 2027 auf Microsoft Graph um. So vermeiden Sie Ausfälle und räumen zugleich alte Berechtigungen auf. Gern starten wir mit einer Auswertung Ihres EWS-Berichts.
