Ein gewöhnlicher Patchtag, der zu den letzten gehört

Am 8. September 2026 hat Microsoft Sicherheitsupdates für Exchange Server veröffentlicht, auch für die Versionen 2016 und 2019. Für Betriebe mit eigenem Mailserver ist so ein Termin Routine. Der Termin gehört allerdings zu den letzten seiner Art. Der reguläre Support für beide Versionen endete bereits im Oktober 2025. Laut Microsoft erhalten Exchange Server 2016 und 2019 Sicherheitsupdates nur noch bis Ende Oktober 2026, und selbst das nur für Organisationen, die am kostenpflichtigen Verlängerungsprogramm teilnehmen.

Exchange Server ist die Microsoft-Software, mit der ein Unternehmen E-Mail, Kalender und Kontakte auf einem eigenen Server betreibt. Dieser Artikel betrifft ausschließlich solche selbst betriebenen Server in den Versionen 2016 und 2019. Wer einen davon im Einsatz hat, sollte drei Fragen klären: Betrifft uns das? Welchen Weg gehen wir? Und bis wann muss die Entscheidung stehen?

Was Microsoft schreibt

Die Lage lässt sich an wenigen Sätzen von Microsoft selbst festmachen. Auf den Microsoft-Seiten zu den Septemberupdates 2026 für Exchange Server 2016 und 2019 steht: „Microsoft Exchange Server 2016 and 2019 have reached end of support." Der reguläre Support ist also bereits vorbei. Laut Microsofts Lebenszyklus-Seite endete er im Oktober 2025.

Seitdem gibt es Sicherheitsupdates für diese beiden Versionen nur noch über das kostenpflichtige Verlängerungsprogramm Extended Security Update (ESU); Stand September 2026 läuft dessen Periode 2. An diesem Programm nehmen Organisationen gesondert teil. Microsoft schreibt dazu, dass Teilnehmer der Periode 2 veröffentlichte Sicherheitsupdates „until the end of October 2026" erhalten können, also bis Ende Oktober 2026. Einen genauen Tag nennt Microsoft nicht.

Microsoft überschreibt seine Erinnerung mit „ESU Program Ends in October 2026". Der vollständige Titel des Beitrags aus dem Exchange-Team lautet „Reminder: Exchange 2016 and 2019 ESU Program Ends in October 2026".

Für alle, die nicht am Programm teilnehmen, nennt Microsoft einen Weg: „To continue receiving the latest security updates, organizations not enrolled in the ESU program should migrate to Exchange Server Subscription Edition (SE)." Sinngemäß: Wer weiter Sicherheitsupdates erhalten will und nicht im ESU-Programm ist, soll auf Exchange Server Subscription Edition (SE) umsteigen.

Warum ein Mailserver ohne Updates ein Problem ist

Sicherheitsupdates schließen Lücken, die nach der Auslieferung einer Software entdeckt werden. Erscheinen keine Updates mehr, bleibt jede neu gefundene Lücke offen. Bei einem Mailserver wiegt das schwer, denn über ihn laufen Angebote, Rechnungen und Vertragsentwürfe.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat das kurz nach dem regulären Supportende deutlich gemacht. Das BSI zählte am 28. Oktober 2025 über 30.000 Exchange-Server in Deutschland mit Version 2016, 2019 oder älter. Diese Server würden nach damaliger Einschätzung des BSI „für neu entdeckte Schwachstellen voraussichtlich dauerhaft verwundbar bleiben und nicht kurzfristig abgesichert werden können".

Wichtig für die Einordnung: Die Zahl beschreibt die installierte Version, nicht den Update-Stand. Sie sagt also nicht, wie viele dieser Server ohne die jeweils neuesten Updates laufen. Eine neuere, belastbare Zahl für 2026 liegt uns nicht vor; mehr dazu im Abschnitt über das, was offen ist.

Betrifft es mich? So finden Sie es heraus

Ihr IT-Dienstleister oder Ihre interne IT kann die Frage mit wenigen Angaben klären.

  • Eigener Exchange Server: Läuft Ihre E-Mail über einen Exchange Server, den Sie selbst betreiben oder betreiben lassen? Wenn ja, welche Version: 2016, 2019 oder bereits Subscription Edition?
  • Update-Stand: Welches kumulative Update (CU, ein Sammelstand der Software) ist installiert, und ist das Sicherheitsupdate vom 8. September 2026 eingespielt?
  • ESU-Teilnahme: Nimmt Ihr Betrieb an der ESU-Periode 2 teil? Das steht in Ihren Lizenzunterlagen oder ist bei Ihrem Lizenzpartner zu erfragen.

Für den Abgleich des Update-Stands hilft die Versionsnummer (Build), die Microsoft zu jedem Update veröffentlicht. Jedes Update trägt außerdem eine KB-Nummer, unter der Microsoft es in seiner Wissensdatenbank führt. RTM steht für die erste ausgelieferte Fassung einer Version. Die Septemberupdates vom 8. September 2026 haben diese Nummern:

  • Exchange Server 2016 CU23, Septemberupdate KB5121611: Build 15.1.2507.73
  • Exchange Server 2019 CU15, Septemberupdate KB5121609: Build 15.2.1748.51
  • Exchange Server 2019 CU14, Septemberupdate KB5121610: Build 15.2.1544.46
  • Exchange Server SE RTM, Septemberupdate KB5121608: Build 15.2.2562.49

Zeigt Ihr Server eine niedrigere Nummer als die zu seiner Version passende, fehlt das Septemberupdate.

Für das Septemberupdate zu Exchange Server 2016 CU23 führt Microsoft zwei bekannte Probleme auf. Veröffentlichte Kalender im ics-Format können für Kalenderprogramme einen Fehler liefern („Published calendar (.ics) returns HTTP 500 for calendar applications"). Außerdem können in Hybridumgebungen, also bei einer Kombination aus eigenem Server und Cloud-Postfächern, nach dem Juni-Update 2026 sogenannte Wrapper-Nachrichten in freigegebenen Postfächern erscheinen („Wrapper messages appear in shared mailbox in hybrid environments after installing the June 2026 Security Update"). Wer diese Funktionen nutzt, prüft die Hinweise vor der Installation.

Welche Wege es gibt

Wechsel auf Exchange Server Subscription Edition (SE)

Das ist der Weg, den Microsoft Organisationen ohne ESU ausdrücklich nennt. Der Mailserver bleibt dabei im eigenen Haus oder beim eigenen Hoster. Zum Weg dorthin gibt es auf der Lebenszyklus-Seite zu Exchange 2016 einen Hinweis von Microsoft: „Move to the most recent CU for Exchange Server 2019 to be prepared for an in-place upgrade to Exchange Server SE." Sinngemäß: Wer auf dem neuesten kumulativen Update von Exchange Server 2019 steht, ist für ein direktes Upgrade auf SE vorbereitet, also für eine Aktualisierung ohne kompletten Neuaufbau.

Was das für Ihren konkreten Server bedeutet, welche Zwischenschritte nötig sind und was die Lizenzierung kostet, hängt von Ihrer Umgebung ab. Das sollte vor jeder Entscheidung jemand prüfen, der Ihre Installation kennt.

Umzug zu einem Maildienst in der Cloud

Manche Betriebe nehmen ein Versionsende zum Anlass, den eigenen Mailserver ganz aufzugeben und E-Mail, Kalender und Kontakte zu einem Cloud-Dienst zu verlagern. Auch das ist ein denkbarer Weg. Bedingungen, Preise und Ablauf eines solchen Umzugs waren nicht Teil unserer Prüfung für diesen Artikel. Wir machen dazu deshalb hier keine Angaben.

Weiterbetrieb ohne Updates

Technisch läuft ein Exchange Server nach Ende Oktober 2026 weiter. Aus dem Programm der Periode 2 erhält er dann laut Microsoft aber auch bei ESU-Teilnahme keine Sicherheitsupdates mehr. Wer diesen Weg erwägt, sollte die oben zitierte Einschätzung des BSI kennen und das Risiko bewusst tragen, nicht aus Versehen.

Was Sie bis Ende Oktober 2026 tun können

Die Entscheidung sollte bis Ende Oktober 2026 stehen, nicht erst danach. Diese Schritte helfen dabei:

  • Bestandsaufnahme: Version, kumulatives Update und Build-Nummer feststellen lassen, am besten schriftlich.
  • ESU-Status klären: Nimmt Ihr Betrieb an Periode 2 teil oder nicht? Davon hängt ab, ob Sie bis Ende Oktober 2026 noch Sicherheitsupdates erhalten oder ob Ihr Server schon mit Stand September 2026 keine mehr bekommt.
  • Septemberupdate einspielen: Fehlt das Update vom 8. September 2026, ist das der erste Schritt, sofern Ihr Server dafür berechtigt ist. Die bekannten Probleme vorher prüfen.
  • Weg festlegen: Wechsel auf SE oder Umzug in die Cloud. Beides braucht Planung, denn Postfächer, Kalender, Mobilgeräte und angebundene Programme müssen mit.
  • Zuständigkeit benennen: Eine Person im Betrieb, die die Entscheidung trägt und den Termin im Blick behält.

Was offen ist

Zu diesem Thema kursieren viele Angaben. Nicht alle lassen sich an einer Primärquelle nachprüfen. Folgendes haben wir bewusst nicht in den Artikel übernommen:

  • Ein genauer letzter Update-Tag. Microsoft spricht nur von Ende Oktober 2026. Ein Tagesdatum nennen wir deshalb nicht.
  • Eine weitere Verlängerung. Ob es je eine weitere Verlängerung geben könnte, können wir nicht sagen. Belegt ist der Titel von Microsofts Erinnerung, „ESU Program Ends in October 2026". Den Text des Beitrags konnten wir nicht auswerten.
  • Kosten. Preis, Mindestlaufzeit und Anmeldeweg des ESU-Programms haben wir nicht geprüft. Auch zu den Kosten von Exchange Server SE machen wir keine Angaben.
  • Zahlen für 2026 zu betroffenen Servern in Deutschland. In Fachmedien kursieren mehrere Zahlen, die sich teils widersprechen und die wir nicht an einer Primärquelle bestätigen konnten. Eine BSI-Veröffentlichung mit Zahlen für 2026 haben wir nicht gefunden. Das heißt nicht, dass es keine gibt. Die einzige Zahl zu Serverbeständen in diesem Artikel ist die des BSI vom 28. Oktober 2025, und sie misst die Version, nicht den Update-Stand.
  • Einzelne Sicherheitslücken. Konkrete Lücken, die das Septemberupdate schließt, nennen wir nicht, weil wir ihre Einstufung nicht bei Microsoft selbst geprüft haben.
  • Der Aufwand im Einzelfall. Wie lange ein Wechsel dauert, hängt von der Zahl der Postfächer, der vorhandenen Version und den angebundenen Programmen ab.

Wie Toptronix unterstützt

Wir stellen für Sie fest, welche Exchange-Version mit welchem Update-Stand bei Ihnen läuft, klären mit Ihnen den ESU-Status und begleiten den Wechsel auf Exchange Server SE oder den Umzug in die Cloud. Wenn Sie wissen wollen, wo Ihr Mailserver steht, sprechen Sie uns an.