Welche Unternehmen und Systeme betroffen sind

Die angekündigte Abschaltung von Exchange Web Services (EWS) betrifft deutlich mehr Unternehmen und Anwendungen, als auf den ersten Blick sichtbar ist. Besonders kritisch ist dabei, dass viele EWS-Abhängigkeiten über Jahre hinweg entstanden sind und heute nicht mehr vollständig dokumentiert werden.

In zahlreichen Microsoft 365 Umgebungen wird EWS weiterhin für den Zugriff auf Postfächer, Kalender oder automatisierte Prozesse genutzt – häufig über Anwendungen, die seit Jahren stabil im Hintergrund laufen.

Betroffen sind unter anderem:

• Mail- und Kalenderintegrationen
• CRM- und ERP-Anbindungen
• Archivierungs- und Compliance-Lösungen
• Backup- und Recovery-Systeme
• Workflow- und Ticketing-Systeme
• Individuelle Eigenentwicklungen
• Drittanbieter-Software mit Exchange-Anbindung

Gerade historisch gewachsene IT-Landschaften bergen dabei ein erhöhtes Risiko. Viele Unternehmen wissen heute nicht vollständig, welche Systeme noch auf EWS basieren oder welche Prozesse indirekt davon abhängig sind.

Eine Übersicht der Anwendungen, die EWS nutzen, ist in den Reports des Baseline Security Mode enthalten.

Welche Anwendungen besonders kritisch sind

Besonders sensibel sind Anwendungen, die geschäftskritische Kommunikations- oder Dokumentationsprozesse unterstützen. Dazu zählen beispielsweise automatisierte Mailverarbeitung, Kalender-Synchronisationen, Archivierungsprozesse oder Backup-Lösungen.

Problematisch wird dies vor allem dann, wenn Hersteller älterer Drittanbieter-Produkte bisher keine klare Roadmap für die Unterstützung von Microsoft Graph veröffentlicht haben. Unternehmen sollten deshalb frühzeitig prüfen:

• Welche Anwendungen nutzen aktuell noch EWS?
• Gibt es bereits Graph-kompatible Versionen?
• Sind Updates oder Anpassungen erforderlich?
• Müssen bestehende Lösungen ersetzt werden?

Je später diese Fragen beantwortet werden, desto größer wird das Risiko ungeplanter Betriebsunterbrechungen.

Warum fehlende Transparenz zum Risiko wird

Eine der größten Herausforderungen bei der bevorstehenden Abschaltung ist die fehlende Transparenz über bestehende Integrationen. In vielen Unternehmen wurden Anwendungen über Jahre hinweg erweitert oder von unterschiedlichen Dienstleistern implementiert. Dokumentationen sind häufig unvollständig oder nicht mehr aktuell.

Hinzu kommt, dass EWS teilweise indirekt genutzt wird, wie über Middleware, Plugins oder integrierte Drittkomponenten.

Microsoft wird ab Oktober 2026 sogenannte “Scream Tests” durchführen. Dabei werden EWS-Zugriffe zeitweise deaktiviert, um verbleibende Abhängigkeiten sichtbar zu machen. Unternehmen, die ihre Systeme bis dahin nicht analysiert haben, riskieren dadurch unerwartete Störungen im laufenden Betrieb.

Eine frühzeitige Analyse aller Exchange-bezogenen Anwendungen und Prozesse schafft daher die notwendige Transparenz, um Risiken kontrolliert und planbar zu minimieren.

Welche Risiken durch die EWS-Abschaltung entstehen

Die Abschaltung von Exchange Web Services ist nicht nur eine technische Änderung innerhalb von Microsoft 365. Für viele Unternehmen entstehen dadurch konkrete Risiken für bestehende Geschäftsprozesse, Integrationen und Kommunikationsabläufe.

Besonders kritisch ist dabei, dass EWS häufig im Hintergrund genutzt wird und Abhängigkeiten erst sichtbar werden, wenn Prozesse bereits gestört sind.

Unternehmen, die ihre bestehende Exchange Umgebung nicht frühzeitig analysieren, riskieren daher ungeplante Ausfälle und kurzfristigen Handlungsdruck.

Ausfälle bei Mail-, Kalender- und Archivierungsprozessen

Viele Anwendungen greifen über EWS direkt auf Exchange Online zu:

• automatisierte Mailverarbeitung
• Kalender-Synchronisationen
• Archivierungsprozesse
• Benachrichtigungen und Workflows
• CRM- oder ERP-Integrationen

Sobald Microsoft die Nutzung von EWS einschränkt oder deaktiviert, können diese Prozesse teilweise oder vollständig ausfallen.

Besonders problematisch ist dies bei Lösungen, die über Jahre hinweg unverändert betrieben wurden und heute geschäftskritische Aufgaben übernehmen.

Risiken für Backup- und Drittanbieter-Lösungen

Auch zahlreiche Drittanbieter-Produkte nutzen EWS weiterhin als technische Grundlage. Dazu zählen unter anderem:

• Backup- und Recovery-Lösungen
• Compliance- und Archivierungssysteme
• Service-Management-Plattformen
• Monitoring- und Workflow-Tools

Unternehmen sollten deshalb frühzeitig prüfen, ob ihre eingesetzten Hersteller bereits kompatible Lösungen auf Basis von Microsoft Graph bereitstellen.

Fehlende Roadmaps oder verspätete Produktanpassungen können sonst dazu führen, dass bestehende Systeme kurzfristig ersetzt oder aufwendig angepasst werden müssen.

Auswirkungen der angekündigten “Scream Tests”

Ab Oktober 2026 wird Microsoft sogenannte “Scream Tests” durchführen. Dabei werden einzelne EWS-Zugriffe temporär deaktiviert, um verbleibende Abhängigkeiten sichtbar zu machen.

Für Unternehmen bedeutet das:

Anwendungen oder Prozesse können plötzlich nicht mehr wie gewohnt funktionieren – selbst dann, wenn bislang keine Probleme sichtbar waren.

Diese Tests sollen Unternehmen zwar frühzeitig auf bestehende Risiken aufmerksam machen, können im laufenden Betrieb jedoch erhebliche Auswirkungen verursachen.

Besonders kritisch wird dies, wenn:

• keine vollständige Transparenz über EWS-Nutzung besteht
• Anwendungen nicht dokumentiert sind
• Verantwortlichkeiten unklar sind
• Drittanbieter noch keine Migration unterstützen

Unternehmen sollten daher nicht erst auf erste Störungen reagieren, sondern frühzeitig eine strukturierte Analyse und Migrationsplanung starten.

Die wichtigsten Fristen im Überblick

Microsoft hat für die Abschaltung von Exchange Web Services in Exchange Online einen klaren Zeitplan definiert. Unternehmen sollten diese Fristen frühzeitig berücksichtigen, da die Auswirkungen auf bestehende Anwendungen und Integrationen erheblich sein können.

Besonders wichtig: Die Abschaltung erfolgt schrittweise. Dadurch entsteht leicht der Eindruck, dass noch ausreichend Zeit besteht. Tatsächlich sollten Analyse, Planung und Migration jedoch möglichst frühzeitig gestartet werden, da viele Abhängigkeiten erst im laufenden Betrieb sichtbar werden.

Ab Oktober 2026: EWS wird standardmäßig blockiert

Ab dem 1. Oktober 2026 wird Microsoft EWS in Exchange Online standardmäßig blockieren. Eine Nutzung ist dann nur noch über administrative Ausnahmen möglich.

Microsoft stellt hierfür zwar vorübergehend eine sogenannte “EWS AppID AllowList” bereit, diese Lösung ist jedoch ausdrücklich nur als temporäre Übergangsmaßnahme gedacht und keine langfristige Option.

Unternehmen sollten sich deshalb nicht darauf verlassen, EWS dauerhaft weiterbetreiben zu können.

Zusätzlich startet Microsoft in dieser Phase sogenannte “Scream Tests”. Dabei werden EWS-Zugriffe zeitweise deaktiviert, um verbleibende Abhängigkeiten sichtbar zu machen.

Für Unternehmen kann dies zu unerwarteten Auswirkungen führen, beispielsweise:

• Ausfälle automatisierter Prozesse
• Fehler bei Integrationen
• Probleme bei Backup- oder Archivierungslösungen
• Störungen in Mail- und Kalenderprozessen

Je später bestehende Abhängigkeiten identifiziert werden, desto höher wird das Risiko ungeplanter Betriebsunterbrechungen.

Ab April 2027: Vollständige Abschaltung ohne Reaktivierung

Zum 1. April 2027 wird EWS in Exchange Online vollständig entfernt. Ab diesem Zeitpunkt ist keine Reaktivierung mehr möglich.

Anwendungen oder Prozesse, die weiterhin auf EWS basieren, funktionieren dann nicht mehr.

Betroffen sein können unter anderem:

• Eigenentwicklungen
• Drittanbieter-Anwendungen
• Archivierungs- und Compliance-Lösungen
• Backup- und Recovery-Systeme
• Workflow- und Automatisierungsprozesse

Unternehmen sollten deshalb ausreichend Zeit für Analyse, Anpassungen, Tests und Rollout einplanen.

Warum Unternehmen jetzt handeln sollten

Auch wenn die vollständige Abschaltung erst 2027 erfolgt, besteht bereits heute Handlungsbedarf. In vielen Unternehmen ist nicht vollständig dokumentiert, welche Anwendungen oder Integrationen noch EWS nutzen.

Eine frühzeitige Analyse bietet mehrere Vorteile:

• Risiken können kontrolliert bewertet werden
• Migrationsaufwände werden planbar
• Hersteller und Dienstleister können rechtzeitig eingebunden werden
• ungeplante Ausfälle lassen sich vermeiden
• Sicherheits- und Compliance-Anforderungen können modernisiert werden

Unternehmen, die frühzeitig mit der Umstellung auf Microsoft Graph beginnen, reduzieren nicht nur technische Risiken, sondern schaffen gleichzeitig die Grundlage für eine modernere und sicherere Microsoft 365  Umgebung.

Warum Microsoft Graph der strategische Nachfolger ist

Mit der Abschaltung von Exchange Web Services verfolgt Microsoft das Ziel, bestehende Integrationen und Anwendungen auf moderne API-Technologien umzustellen. Im Mittelpunkt steht dabei Microsoft Graph, die zentrale Schnittstellenplattform für Microsoft 365, und zahlreiche weitere Microsoft Cloud-Dienste.

Für Unternehmen ist die Migration deshalb nicht nur eine technische Notwendigkeit, sondern auch eine strategische Weiterentwicklung der eigenen Microsoft 365 Umgebung.

Unterschiede zwischen EWS und Microsoft Graph

Exchange Web Services wurden ursprünglich speziell für Exchange entwickelt und über viele Jahre als zentrale Schnittstelle für Mail-, Kalender- und Postfachzugriffe genutzt.

Microsoft Graph verfolgt dagegen einen deutlich moderneren Ansatz. Statt einzelner produktspezifischer Schnittstellen bietet Graph eine zentrale API-Plattform für unterschiedliche Microsoft-Dienste wie:

• Exchange Online
• Microsoft Teams
• SharePoint
• OneDrive
• Microsoft Entra ID
• Planner und weitere Microsoft 365 Services

Dadurch lassen sich Anwendungen und Integrationen künftig einheitlicher, flexibler und sicherer umsetzen.

Vorteile moderner Authentifizierung mit OAuth 2.0

Ein wesentlicher Unterschied liegt im Bereich Sicherheit und Authentifizierung. Während ältere EWS-Implementierungen häufig auf veralteten Zugriffskonzepten basieren, setzt Microsoft Graph konsequent auf moderne Standards wie OAuth 2.0.

Dadurch profitieren Unternehmen unter anderem von:

• sichereren Authentifizierungsverfahren
• granular steuerbaren Berechtigungen
• besserer Kontrolle über App-Zugriffe
• moderner Zero-Trust-Unterstützung
• höherer Transparenz bei API-Zugriffen

Gerade in sicherheitskritischen Microsoft 365 Umgebungen wird dies zunehmend zu einem wichtigen Faktor für Compliance und Governance.

Verbesserte Sicherheits- und Berechtigungskonzepte

Microsoft Graph ermöglicht deutlich präzisere Berechtigungsmodelle als klassische EWS-Zugriffe. Anwendungen erhalten nur noch die tatsächlich benötigten Zugriffsrechte, wodurch sich Sicherheitsrisiken besser minimieren lassen.

Zusätzlich profitieren Unternehmen von:

• zentralem Identity- und Access-Management
• moderner App-Registrierung
• besserer Auditierbarkeit
• vereinfachter Verwaltung von Berechtigungen
• Unterstützung aktueller Sicherheitsrichtlinien

Damit fügt sich Microsoft Graph deutlich besser in moderne Security-Strategien und Cloud-Governance-Konzepte ein.

Zukunftssicherheit durch moderne APIs

Microsoft investiert kontinuierlich in den Ausbau von Microsoft Graph. Neue Funktionen und Integrationen werden zunehmend ausschließlich über Graph bereitgestellt, während ältere Schnittstellen wie EWS langfristig abgelöst werden.

Für Unternehmen bedeutet das:

Wer frühzeitig auf Microsoft Graph umstellt, schafft die Grundlage für eine langfristig stabile und zukunftssichere Microsoft 365 Architektur.

Gleichzeitig bietet die Migration die Möglichkeit, bestehende Integrationen zu modernisieren, Sicherheitsstandards zu verbessern und technische Altlasten gezielt abzubauen.

So gelingt die Migration von EWS zu Microsoft Graph

Die Umstellung von Exchange Web Services auf Microsoft Graph sollte frühzeitig und strukturiert geplant werden. In vielen Unternehmen bestehen heute zahlreiche direkte und indirekte EWS-Abhängigkeiten, die zunächst identifiziert und bewertet werden müssen.

Besonders herausfordernd sind dabei historisch gewachsene Integrationen, individuelle Eigenentwicklungen sowie Drittanbieter-Lösungen ohne klare Migrationsstrategie.

Typische Fragestellungen sind:

• Welche Anwendungen nutzen aktuell noch EWS?
• Welche Geschäftsprozesse sind betroffen?
• Gibt es bereits Graph-kompatible Lösungen?
• Welche Sicherheits- und Berechtigungskonzepte müssen angepasst werden?
• Welche Risiken entstehen im laufenden Betrieb?

Die eigentliche Migration umfasst neben technischen Anpassungen häufig auch organisatorische Themen wie Dokumentation, Verantwortlichkeiten, Tests und Rollout-Planung.

Unternehmen sollten dabei ausreichend Zeit für Analyse, Qualitätssicherung und Abstimmung mit Herstellern oder Dienstleistern einplanen.

Warum frühzeitige Planung entscheidend ist

Viele EWS-Abhängigkeiten werden erst sichtbar, wenn Prozesse bereits beeinträchtigt sind. Gerade bei komplexen Microsoft-365-Umgebungen kann die Umstellung deshalb deutlich aufwendiger werden als ursprünglich erwartet.

Eine frühzeitige Analyse schafft Transparenz über bestehende Risiken und ermöglicht eine kontrollierte Migration ohne ungeplante Unterbrechungen im laufenden Betrieb.

Typische Herausforderungen bei der Umstellung

Die Migration von Exchange Web Services auf Microsoft Graph ist in vielen Unternehmen komplexer als zunächst erwartet. Besonders in gewachsenen Microsoft 365 Umgebungen bestehen häufig historische Abhängigkeiten, die nicht vollständig dokumentiert sind.

Legacy-Anwendungen und individuelle Eigenentwicklungen

Vor allem ältere Anwendungen und individuelle Integrationen basieren häufig noch auf EWS. Fehlende Dokumentationen oder nicht mehr bekannte Verantwortlichkeiten erschweren dabei die notwendige Umstellung.

Drittanbieter-Software ohne klare Roadmap

Auch zahlreiche Drittanbieter-Lösungen nutzen weiterhin EWS für den Zugriff auf Exchange Online. Unternehmen sollten deshalb frühzeitig prüfen, ob Hersteller bereits kompatible Lösungen oder Migrationspfade für Microsoft Graph anbieten.

Fehlende Transparenz über bestehende Integrationen

In vielen Unternehmen ist heute nicht vollständig nachvollziehbar, welche Anwendungen oder Prozesse noch auf EWS basieren. Dadurch steigt das Risiko unerwarteter Störungen im Zuge der angekündigten Abschaltung.

Warum kurzfristige Übergangslösungen riskant sind

Temporäre Ausnahmen wie die EWS AppID AllowList sind nur als Übergangslösung vorgesehen. Langfristig führt kein Weg an einer Migration zu Microsoft Graph vorbei.

Wer frühzeitig handelt, reduziert Risiken und schafft gleichzeitig die Grundlage für eine moderne und sichere Microsoft 365 Umgebung.

Fazit: EWS-Abhängigkeiten jetzt sichtbar machen

Die angekündigte Abschaltung von Exchange Web Services betrifft viele Microsoft 365 Umgebungen stärker als zunächst erwartet. Besonders problematisch sind Anwendungen und Prozesse, die EWS heute im Hintergrund nutzen, ohne dass diese Abhängigkeiten vollständig dokumentiert sind.

Unternehmen sollten deshalb frühzeitig analysieren, welche Systeme betroffen sind und wie eine Migration auf Microsoft Graph umgesetzt werden kann.

So lassen sich Risiken kontrolliert bewerten und spätere Ausfälle im laufenden Betrieb vermeiden.