Exchange Server 2016 und 2019: Microsoft beendet den Schutz endgültig

Mit dem Patchday am 10. November 2026 hat Microsoft die Bereitstellung von Sicherheitsupdates sowie die Sicherheitsprüfungen für Exchange Server 2016 und Exchange Server 2019 endgültig beendet.

Der Konzern stuft beide Serverversionen nun als permanent verwundbar ein und legt Unternehmen einen sofortigen Wechsel nahe. Sicherheitsaktualisierungen für den Monat November 2026 erscheinen ausschließlich noch für die Exchange Server Subscription Edition (SE).

Für ältere Plattformen bedeutet dies das Ende aller offiziellen Schutzmaßnahmen. Die letzten regulären Patches für Exchange Server 2016 und 2019 waren am 13. Oktober 2026 erschienen, nachdem auch das entsprechende Erweiterungsprogramm für Sicherheitsupdates (ESU) mit zwei sechsmonatigen Paketen planmäßig ausgelaufen ist.

Kritische Sicherheitslücken nur noch in Subscription Edition geschlossen

Das aktuelle Update Exchange Server SE RTM SU12 (KB5133453, Build 15.02.2562.057) ersetzt das vorherige Update KB5128895 aus dem Oktober und schließt insgesamt neun Schwachstellen.

Unter den behobenen Problemen befinden sich kritische Schwachstellen für Remotecodeausführung wie CVE-2026-118207 mit einem CVSS-Wert von 8.8, die bei geringen Berechtigungen und ohne Nutzerinteraktion ausgenutzt werden kann.

Auch CVE-2026-118149 weist denselben Schweregrad auf. Hinzu kommen Rechteausweitungen (CVE-2026-118150, CVE-2026-118154 mit CVSS 8.8 sowie CVE-2026-118151 und CVE-2026-118157 mit CVSS 7.2), ein Denial-of-Service-Fehler (CVE-2026-118153 mit CVSS 7.5) sowie zwei Spoofing-Schwachstellen (CVE-2026-118152 und CVE-2026-118208).

Zwar war keine dieser Lücken vorab öffentlich bekannt oder wurde aktiv angegriffen, Sicherheitsdienstleister weisen jedoch darauf hin, dass die Schwachstellen sehr wahrscheinlich auch in Exchange Server 2016 und 2019 vorhanden sind. Dort werden sie jedoch weder getestet noch behoben.

Angesichts der zunehmenden Bedrohungen durch kritische Sicherheitslücken in IT-Infrastrukturen ist proaktiver Schutz für Firmen unerlässlich. Dieser kostenlose Report liefert fundierte Informationen zu aktuellen Cyberrisiken und zeigt auf, welche rechtlichen Pflichten Unternehmer jetzt kennen müssen. Gratis Cyber-Security E-Book jetzt herunterladen

Neben den Sicherheitskorrekturen adressiert das Update für die Subscription Edition diverse Stabilitätsprobleme, darunter Ausfälle von Outlook on the Web (OWA), anwachsende E-Mail-Warteschlangen sowie Mitglieder von Datenbankverfügbarkeitsgruppen (DAG), die ihr Quorum verloren hatten. Ein zuvor empfohlener Behelf über die Windows-Registrierung ist nach Einspielen der November-Updates für Windows Server und Exchange nicht mehr erforderlich.

Migrationspfade und alternative Lösungen

In hybriden Infrastrukturen verlangt Microsoft das Aufspielen des aktuellen Updates auf sämtlichen lokalen Systemen, einschließlich reiner Verwaltungsserver. Bei einem Wechsel von Zertifikaten muss der Hybrid Configuration Wizard erneut ausgeführt werden; zur Überprüfung stehen Werkzeuge wie der Health Checker und SetupAssist bereit. Der Cloud-Dienst Exchange Online ist bereits abgesichert.

Unternehmen, die weiterhin lokale Exchange-Server betreiben wollen, müssen auf die Subscription Edition migrieren. Diese ist quellcodeidentisch mit Exchange 2019 CU15. Ein direktes In-Place-Upgrade ist allerdings ausschließlich von Exchange 2019 mit kumulativem Update 14 oder 15 möglich.

Wer im Zuge der Server-Migration auch seine Client-Sicherheit stärken möchte, findet in diesem Experten-Ratgeber wertvolle Einblicke in die Abwehr moderner Angriffsmethoden. Erfahren Sie im kostenlosen Anti-Phishing-Paket, wie Sie Sicherheitslücken proaktiv schließen, bevor Cyberkriminelle sie ausnutzen können. Kostenloses Anti-Phishing-Paket sichern

Betreiber von Exchange Server 2016 müssen neue Server aufsetzen. Zudem setzt die SE-Version ein Abonnementmodell oder Lizenzen mit aktiver Software Assurance voraus.

Als Alternative in der Cloud bietet Microsoft Exchange Online Plan 1 mit Stand vom 27. September 2026 für 3,50 Euro pro Nutzer und Monat bei jährlicher Abrechnung an, inklusive je 50 Gigabyte Postfach- und Archivspeicher; Plan 2 kostet 6,90 Euro.

Für den Betrieb vor Ort nennt die Fachberichterstattung zudem das quelloffene System grommunio aus Wien. Die Plattform skaliert auf über 100.000 Benutzer und unterstützt Exchange-Protokolle wie MAPI/HTTP, EWS, EAS und Autodiscover.

Bei einem Umstieg in der Samtgemeinde Radolfshausen wurden über 40 Postfächer an einem Wochenende migriert, woraufhin in den Folgemonaten lediglich zwei neue Client-Profile eingerichtet werden mussten. Die Tarife für grommunio beginnen ab 50 Benutzern mit Stand vom 27. September 2026 bei monatlich 1,99 Euro je Nutzer für das Basispaket.

Mehr zum Thema bei The Register: „Microsoft Exchange Server 2016 and 2019 enter their 'permanently vulnerable' era“