Microsoft Exchange Server SE: Was Sie über die neue Enterprise Version wissen müssen

Der Microsoft Exchange Server steht vor einem entscheidenden Wendepunkt: Ab Oktober 2025 wird Exchange SE die einzige unterstützte On-Premises-Version sein. Diese Änderung markiert einen signifikanten Strategiewechsel für Unternehmen, die weiterhin lokale Exchange-Lösungen benötigen.

Microsoft hat den Exchange Server SE als modernes "Evergreen"-Modell konzipiert, das unter der Modern Lifecycle Policy steht. Dies bedeutet, dass die Unterstützung künftig kein festes Enddatum mehr hat, solange Kunden ihre Konfigurationen aktuell halten. Darüber hinaus bietet der Microsoft Exchange Server SE zahlreiche technische Verbesserungen: Er unterstützt jetzt bis zu 256 GB Arbeitsspeicher und 48 CPU-Kerne. Auch die Microsoft Exchange Server Lizenz wurde angepasst, wobei die kostenfreie Hybrid-Lizenz nun gezielt für hybride Verwaltungsaufgaben konzipiert ist. Besonders hervorzuheben sind außerdem die Microsoft Exchange Server Settings mit einer neuen Suchinfrastruktur, die die Indizierung größerer Dateien ermöglicht und eine bessere Suchleistung bietet.

Was ist Microsoft Exchange Server SE?

Microsoft Exchange Server Subscription Edition (SE) wurde am 1. Juli 2025 offiziell veröffentlicht und stellt einen bedeutenden Richtungswechsel in der Entwicklung von Microsofts Messaging-Plattform dar. Diese neue Version bringt sowohl konzeptionelle als auch lizenzrechtliche Änderungen mit sich, die Unternehmen bei ihrer IT-Strategie berücksichtigen müssen.

Zielgruppe und Einsatzbereiche

Exchange Server SE richtet sich primär an zwei Hauptzielgruppen. Einerseits an Organisationen, die aus regulatorischen, sicherheitsrelevanten oder strategischen Gründen weiterhin auf lokale Systeme angewiesen sind. Andererseits dient Exchange Server SE als wichtiges Werkzeug für hybride Umgebungen, die lokale Exchange-Server mit Cloud-Diensten kombinieren.

Die Plattform wurde entwickelt, um Menschen und Organisationen bei der Entwicklung ihrer Arbeitsgewohnheiten zu unterstützen, deren Schwerpunkt sich zunehmend von reiner Kommunikation auf Zusammenarbeit verlagert. Dabei kann Exchange SE sowohl vollständig lokal als auch in einer Hybrid-Konfiguration mit Microsoft 365 betrieben werden.

Besonders hervorzuheben ist die Rolle von Exchange SE für hybride Szenarien. Ähnlich wie bei früheren Versionen stellt Microsoft auch für Exchange SE eine kostenlose Hybrid-Lizenz bereit, die über den Hybrid-Konfigurationsassistenten aktiviert wird. Diese Lizenz ermöglicht die Verwaltung einer hybriden Umgebung, ohne dass zusätzliche Kosten für den On-Premises-Exchange-Server anfallen.

Generell bietet Exchange SE dieselben Funktionen wie seine Vorgänger: E-Mail, Terminplanung und Tools für benutzerdefinierte Zusammenarbeits- und Messaging-Dienste. Allerdings erfolgt die Bereitstellung dieser Funktionen nun im Rahmen eines modernisierten Betriebsmodells.

Unterschiede zu früheren Versionen

Der offensichtlichste Unterschied zu früheren Versionen liegt im Namen selbst: "Subscription Edition" deutet bereits auf das neue Abonnementmodell hin. Im Gegensatz zum bisherigen Modell mit Einmalkauf und empfohlenen Upgrades alle paar Jahre setzt Microsoft nun auf ein Abonnement-basiertes Lizenzmodell.

Technisch betrachtet ist Exchange Server SE bei der ersten Veröffentlichung (RTM) weitgehend identisch mit Exchange 2019 CU15. Folgende Aspekte wurden jedoch geändert:

• Die Lizenzvereinbarung wurde aktualisiert
• Der Name wurde von "Microsoft Exchange Server 2019" zu "Microsoft Exchange Server Subscription Edition" geändert
• Die Build- und Versionsnummern wurden aktualisiert
• Updates, die seit Exchange 2019 CU15 veröffentlicht wurden, sind in Exchange SE RTM integriert

Exchange SE folgt der Modern Lifecycle Policy statt der Fixed Lifecycle Policy früherer Versionen. Das bedeutet, dass die Unterstützung kein festes Enddatum mehr hat, solange Kunden ihre Konfigurationen aktuell halten. Stattdessen wird der Exchange SE-Codebase kontinuierlich als "Evergreen"-Produkt gepflegt, ohne weitere große, jahresnummerierte Versionen.

Hinsichtlich der Serverrollen hat Microsoft mit Exchange SE die Anzahl auf zwei reduziert: Postfach und Edge-Transport. Unified Messaging (UM) wurde aus Exchange SE entfernt. Der Postfachserver in Exchange SE umfasst alle Serverkomponenten der Exchange 2013-Serverrollen Postfach und Clientzugriff.

Ein weiterer wichtiger Unterschied: Die Standardkonfiguration für die Verschlüsselung aktiviert TLS 1.2 und TLS 1.3 und deaktiviert die Unterstützung für ältere Algorithmen (nämlich DES, 3DES, RC2, RC4 und MD5). Außerdem unterstützt Exchange Server SE OAuth 2.0 (moderne Authentifizierung) für reine lokale Umgebungen, die Active Directory-Verbunddienste als Sicherheitstokendienst verwenden.

Warum ein neues Modell notwendig war

Die Einführung von Exchange Server SE war aus mehreren Gründen notwendig. Zunächst endet am 14. Oktober 2025 der Support für Exchange 2016 und Exchange 2019. Nach diesem Datum wird Microsoft keine technische Unterstützung mehr für Probleme (Bugs) anbieten. Um in einem unterstützten Zustand zu bleiben, müssen Kunden entweder Exchange Server SE einführen oder zu Exchange Online wechseln.

Darüber hinaus ermöglicht das neue Evergreen-Modell eine kontinuierliche Weiterentwicklung und Modernisierung der Plattform. Anstatt alle drei bis sechs Jahre neue Hauptversionen zu veröffentlichen, kann Microsoft nun regelmäßig Funktionen hinzufügen und Verbesserungen vornehmen. Dies erfolgt durch halbjährliche kumulative Updates (CUs).

Der Wechsel zum Abonnementmodell steht zudem im Einklang mit Microsofts breiterer Strategie, seine Softwareprodukte auf Abonnementdienste umzustellen. Dieses Modell bietet sowohl für Microsoft als auch für Kunden Vorteile: Kunden erhalten kontinuierlich die neuesten Features, Sicherheitspatches und Bugfixes im Rahmen ihres Abonnements, während Microsoft eine stabilere Einnahmequelle erhält.

Für Exchange SE CU1, das für Oktober 2025 geplant ist, sind bereits weitere Verbesserungen vorgesehen, darunter Kerberos für Server-zu-Server-Kommunikation, eine neue REST-basierte Verwaltungs-API und die schrittweise Ablösung von Remote PowerShell. Diese Neuerungen unterstreichen Microsofts Bestreben, Exchange Server zu modernisieren und an Cloud-Standards anzugleichen.

Microsoft hat bei der Entwicklung von Exchange SE bewusst darauf geachtet, den Übergang so reibungslos wie möglich zu gestalten. Um schnelle und einfache In-Place-Upgrades von Exchange Server 2019 zu ermöglichen, wurden neue Funktionen entweder in Exchange Server 2019 CU15 vorgezogen oder auf Exchange Server SE CU1 oder später verschoben.

Das Evergreen-Modell und die Modern Lifecycle Policy

Mit Exchange Server SE führt Microsoft ein grundlegend neues Betriebsmodell ein: das Evergreen-Konzept unter der Modern Lifecycle Policy. Dieses neue Modell verändert maßgeblich, wie Unternehmen ihre Exchange-Infrastruktur planen, implementieren und verwalten.

Was bedeutet Evergreen für Unternehmen?

Das Evergreen-Modell stellt einen fundamentalen Wechsel dar: Anstatt große, seltene Upgrades durchzuführen, erhalten Nutzer nun regelmäßig kleinere Aktualisierungen. Während Microsoft jährlich zwischen 800 und 1.400 Updates für Microsoft 365-Dienste ausrollt, wird Exchange Server SE einem ähnlichen Muster folgen. Dadurch entfällt die Notwendigkeit aufwendiger Migrationsprojekte, die traditionell alle drei bis sechs Jahre anstanden.

Für Unternehmen bedeutet dies kontinuierlichen Zugang zu den neuesten Funktionen und Sicherheitsstandards. Die Evergreen-Strategie verbessert die Sicherheit erheblich, da Sicherheitslücken schneller geschlossen werden. Durch zeitnahe Updates und Patches verringert sich das Risiko von Cyberangriffen auf veraltete Software-Versionen, die häufig bevorzugte Ziele für Cyberkriminelle darstellen.

Allerdings bringt das Modell auch Herausforderungen mit sich. Unternehmen haben weniger Kontrolle über Updates, was bei kritischen Geschäftsprozessen problematisch sein kann. Zudem müssen sich IT-Teams kontinuierlich an neue Funktionen und Änderungen anpassen. Eine gewisse Abhängigkeit von einer stabilen Internetverbindung und den Microsoft-Servern entsteht ebenfalls, da bei Ausfällen oder Problemen nicht mehr auf lokale Versionen zurückgegriffen werden kann.

Die Modern Lifecycle Policy stellt folgende Anforderungen an Unternehmen:

• Kunden müssen ihre Konfigurationen gemäß den veröffentlichten Service- und Systemanforderungen aktuell halten
• Kunden müssen für die Nutzung des Produkts oder Dienstes lizenziert sein
• Microsoft muss aktuell Support für das Produkt oder den Dienst anbieten

Keine festen Versionsnummern mehr

Im Gegensatz zu früheren Exchange-Versionen mit Jahresbezeichnungen (2016, 2019) gibt es bei Exchange SE keine festen Versionsnummern mehr. Microsoft wird keine weiteren großen, jahresnummerierten Versionen veröffentlichen. Stattdessen wird der Exchange SE-Codebase kontinuierlich als "Evergreen"-Produkt gepflegt.

Dieser Ansatz ähnelt offenen Investmentfonds mit unbegrenzter Laufzeit. Evergreen-Fonds sind Anlageprodukte ohne festes Ende, die kontinuierliche Anpassungen ermöglichen. Übertragen auf Software bedeutet dies: Exchange SE ist darauf ausgelegt, unbegrenzt zu funktionieren, wobei kontinuierliche Investitionen und Anpassungen erfolgen, anstatt auf ein "Verfallsdatum" hinzuarbeiten.

Für die IT-Planung in Unternehmen bedeutet dies einen wichtigen Paradigmenwechsel. Anstatt große Migrations- und Upgrade-Projekte zu planen, müssen IT-Abteilungen nun einen kontinuierlichen Verbesserungsprozess etablieren. Dies erfordert möglicherweise angepasste Budget- und Personalplanungen für die Exchange-Administration.

Die Support-Struktur ändert sich ebenfalls grundlegend: Während frühere Exchange-Versionen feste Support-Endtermine hatten, hat Exchange SE unter der Modern Lifecycle Policy kein festes Enddatum für den Support, solange Kunden ihre Konfigurationen aktuell halten. Zusätzlich hat Microsoft angekündigt, die Unterstützung für Kernserverprodukte, einschließlich Exchange Server, bis mindestens 2035 fortzusetzen.

Regelmäßige Updates statt Major Releases

Microsoft wird Exchange SE CUs weiterhin im gleichen Rhythmus von zwei CUs pro Kalenderjahr veröffentlichen, wobei Sicherheits- oder Hotfix-Updates nach Bedarf herausgegeben werden. Dieses Modell ersetzt die traditionellen großen Versionssprünge, die oft mit erheblichen Änderungen, Anpassungen und Kompatibilitätsproblemen verbunden waren.

Im Rahmen der Modern Lifecycle Policy verpflichtet sich Microsoft, bei erforderlichen Änderungen mindestens 30 Tage vorab zu informieren, um erhebliche Beeinträchtigungen der normalen Nutzung zu vermeiden. Bei Sicherheitsupdates erfolgt die Benachrichtigung jedoch gleichzeitig mit der Verfügbarkeit, und Microsoft empfiehlt, diese sofort zu implementieren.

Besonders wichtig für langfristige Planungen: Falls kein Nachfolgeprodukt angeboten wird, verspricht Microsoft eine Benachrichtigung mindestens 12 Monate vor dem Ende des Supports – ausgenommen sind kostenlose Dienste oder Vorabversionen.

Der erste bedeutende Meilenstein nach der Einführung wird Exchange SE CU1 sein, das für Oktober 2025 geplant ist. Diese Version wird weitere Verbesserungen bringen, darunter Kerberos für die Server-zu-Server-Kommunikation, eine neue REST-basierte Verwaltungs-API und die schrittweise Ablösung von Remote PowerShell.

Dadurch entsteht für Unternehmen ein kontinuierlicher Anpassungsprozess statt seltener, disruptiver Migrationen. IT-Teams müssen ihre Prozesse für Tests, Validierung und Bereitstellung von Updates entsprechend anpassen, um mit dem regelmäßigen Aktualisierungszyklus Schritt zu halten. Dies erfordert möglicherweise neue Ansätze für Change-Management und Infrastrukturüberwachung.

Für Administratoren bedeutet dies weniger große Projekte, aber dafür ein kontinuierliches Testen und Bereitstellen von Updates. Da Exchange SE RTM technisch weitgehend identisch mit Exchange 2019 CU15 ist, wird der Übergang zunächst reibungslos verlaufen. Die eigentlichen Änderungen werden sich nach und nach mit den folgenden CUs entfalten.

Upgrade-Pfade: Von Exchange 2016 und 2019 zu SE

Die Umstellung auf Microsoft Exchange Server SE erfordert unterschiedliche Vorgehensweisen, abhängig von der aktuellen Exchange-Version in Ihrer Organisation. Microsoft hat klare Upgrade-Pfade definiert, die Administratoren bei der Planung berücksichtigen müssen.

Direktes CU-Upgrade von Exchange 2019

Für Organisationen, die bereits Exchange 2019 einsetzen, gestaltet sich der Umstieg vergleichsweise einfach. Ein direktes In-place-Upgrade von Exchange 2019 CU14 oder CU15 auf Exchange Server SE ist vollständig unterstützt. Dieser Prozess ähnelt stark dem Einspielen eines regulären kumulativen Updates (CU).

Das Upgrade-Verfahren funktioniert technisch identisch zur Installation eines regulären CUs auf dem vorhandenen Exchange-Server. Administratoren können Exchange SE wie ein normales Update direkt auf den Exchange 2019-Servern installieren, ohne dass eine Migration auf neue Server erforderlich ist.

Allerdings gibt es wichtige Voraussetzungen zu beachten:

• Idealerweise sollte zunächst Exchange 2019 CU15 installiert werden, das voraussichtlich bald veröffentlicht wird
• CU15 wird das letzte kumulative Update für Exchange 2019 sein, danach werden nur noch Sicherheitsupdates bis zum 14. Oktober 2025 bereitgestellt

Ein besonderes Augenmerk gilt dem Betriebssystem: Falls eine Aktualisierung des Windows Server-Betriebssystems erforderlich ist, muss anstelle des In-place-Upgrades eine klassische Migration durchgeführt werden. Dies liegt daran, dass das In-place-Upgrade des Betriebssystems nicht unterstützt wird.

Tatsächlich entspricht Exchange Server SE RTM technisch weitgehend Exchange 2019 CU15, mit nur wenigen Änderungen wie dem Produktnamen, der Lizenzvereinbarung und der Buildnummer. Dies gewährleistet einen reibungslosen Übergang für Exchange 2019-Nutzer.

Migration von Exchange 2016 mit Postfachverschiebung

Im Gegensatz zu Exchange 2019 ist für Exchange 2016-Umgebungen kein direktes In-place-Upgrade auf Exchange Server SE möglich. Stattdessen muss ein Legacy-Upgrade durchgeführt werden, das folgende Schritte umfasst:

1. Installation neuer Server mit Exchange Server SE in der bestehenden Organisation
2. Migration aller Postfächer und Ressourcen von den alten auf die neuen Server
3. Außerbetriebnahme der alten Exchange 2016-Server

Administratoren haben hierbei zwei mögliche Pfade:

• Zweistufiger Ansatz: Zunächst Migration zu Exchange 2019 CU15, gefolgt von einem In-place-Upgrade auf Exchange SE
• Direkter Ansatz: Direkte Legacy-Migration von Exchange 2016 CU23 zu Exchange SE (einfacher und empfohlener Weg)

Bei der Postfachverschiebung gilt es, mehrere Aspekte zu berücksichtigen:

Microsoft empfiehlt folgende Reihenfolge für die Postfachverschiebung:

1. Systemmailboxen (Arbitration Mailboxes)
2. Benutzerpostfächer
3. Öffentliche Ordner-Postfächer

Während der Migration werden Transaktionsprotokolle für den gesamten Inhalt erstellt, weshalb ausreichend Speicherplatz auf den Protokolllaufwerken benötigt wird. Bei Verwendung von Database Availability Groups (DAG) wird derselbe Speicherplatz auf allen Servern mit Datenbankreplikaten belegt.

Für eine effiziente Migration empfiehlt es sich, Postfächer in kleinere Gruppen aufzuteilen, obwohl Exchange standardmäßig maximal 10 gleichzeitige Postfachverschiebungen zulässt und weitere Verschiebungen automatisch pausiert.

Die Postfachverschiebung kann sowohl über das Exchange Admin Center (EAC) mit einem einfachen Assistenten als auch über die Exchange Management Shell (EMS) für Massenmigrationen durchgeführt werden.

Koexistenzregeln und Blockierungen

Beim Upgrade auf Exchange Server SE gelten strenge Koexistenzregeln, die bei der Planung berücksichtigt werden müssen. Diese Regeln werden mit zukünftigen Updates noch verschärft:

• Exchange 2019 CU15 und Exchange Server SE RTM blockieren die Koexistenz mit Exchange 2013
• Exchange Server SE CU2 wird die Koexistenz mit allen nicht unterstützten Versionen blockieren (Exchange 2013, 2016, 2019)

Dies bedeutet, dass Organisationen mit Exchange 2013 zuerst auf Exchange 2019 CU14 migrieren müssen, da CU15 die Installation in Umgebungen mit Exchange 2013 blockiert. Anschließend muss Exchange 2013 vollständig aus der Organisation entfernt werden, bevor ein Upgrade auf Exchange SE erfolgen kann.

Ursprünglich plante Microsoft, die Koexistenzblockierung bereits mit Exchange SE CU1 einzuführen, verschob diese jedoch auf CU2. Dies gibt Organisationen mehr Zeit für die Migration, allerdings sollten sie bedenken, dass sowohl Exchange 2016 als auch Exchange 2019 im Oktober 2025 das Support-Ende erreichen.

Abschließend lässt sich festhalten: Für Exchange 2019-Nutzer ist ein direktes Upgrade relativ unkompliziert, während Exchange 2016-Nutzer eine vollständige Migration durchführen müssen. Unabhängig vom gewählten Pfad müssen alle Organisationen bis spätestens zur Installation von Exchange SE CU2 alle älteren Exchange-Versionen vollständig entfernen, da sonst keine weiteren Updates mehr installiert werden können.

Technische Neuerungen in Exchange SE

Exchange Server SE bringt zahlreiche technische Neuerungen mit sich, die den täglichen Betrieb und die Administration erheblich verbessern. Diese Innovationen wurden entwickelt, um Leistung, Sicherheit und Benutzerfreundlichkeit zu optimieren.

Feature Flighting für neue Funktionen

Feature Flighting stellt eine grundlegende Änderung dar, wie Microsoft neue Funktionen in Exchange Server SE einführt und verteilt. Es handelt sich um einen optionalen cloudbasierten Dienst für lokale Exchange-Server, der den Office Config Service (OCS) nutzt, um nach Updates von Microsoft im Zusammenhang mit Flighted-Features zu suchen. Dieser Dienst verwendet denselben Endpunkt, der auch vom Emergency Mitigation-Dienst und Microsoft Office-Clients verwendet wird.

Das System arbeitet mit einem Ring-Modell, das definiert, wann oder in welcher Reihenfolge ein Feature auf einem bestimmten Exchange-Server aktiviert wird:

• Early Adopter Ring (Ring 0): Server in diesem Ring erhalten neue Features sofort nach der Installation des Updates, unabhängig von der Featureklassifizierung
• Worldwide Ring (Ring 1): Dies ist der Standardring für alle Exchange-Server. Neue Features werden aktiviert, sobald Microsoft sie für die allgemeine Verfügbarkeit freigibt
• Admin Action Ring (Ring 2): Exchange-Server in diesem Ring aktivieren keine neuen Features automatisch, was Administratoren die Kontrolle über den Rollout gibt

Administratoren können mit dem Befehl Set-ExchangeServer -FeatureFlightingRing  festlegen, welchem Ring ein Server zugeordnet wird. Allerdings gilt Feature Flighting nicht für alle neuen Features, sondern nur für jene, die das Exchange Server-Engineering-Team dafür bestimmt hat.

Verbesserte Suchinfrastruktur

Exchange SE übernimmt die komplett neu erstellte Suchinfrastruktur, die ursprünglich für Cloud-Skalierung und Zuverlässigkeit in Exchange Online entwickelt wurde. Diese Architektur ermöglicht die Indizierung größerer Dateien, eine einfachere Verwaltung und eine deutlich bessere Suchleistung.

Ein besonders wichtiger Vorteil dieser verbesserten Suchinfrastruktur sind die erheblich schnelleren und zuverlässigeren Failover zwischen Servern. Dies führt zu einer verbesserten Gesamtresilienz des Systems und minimiert Ausfallzeiten bei Serverwechseln.

Die Sucharchitektur wurde speziell auf die Anforderungen moderner Unternehmensumgebungen zugeschnitten und bietet insbesondere für große Exchange-Umgebungen erhebliche Leistungsvorteile. Die neue Infrastruktur trägt außerdem dazu bei, den Administrationsaufwand zu reduzieren, da weniger manuelle Eingriffe bei der Indexverwaltung erforderlich sind.

Metacachedatenbank und dynamischer Cache

Die Metacachedatenbank (MCDB) stellt eine signifikante Verbesserung am Kern des Exchange-Datenbankmoduls dar. Sie ermöglicht eine bessere Gesamtleistung und nutzt die neueste Speicherhardware optimal aus, insbesondere größere Datenträger und SSDs. MCDB wurde entwickelt, um Datenbankverfügbarkeitsgruppen (DAGs) mit Hilfe von Solid State Disks zu beschleunigen.

Das System funktioniert als Cache-Mechanismus: Häufig verwendete Postfachinformationen werden auf SSD-Festplatten statt auf rotierenden Festplatten gespeichert, wodurch der Zugriff deutlich beschleunigt wird. Da es sich um einen Cache handelt, gehen bei Verlust der SSD-Festplatte keine Informationen verloren – es kommt lediglich zu Leistungseinbußen.

Besonders vorteilhaft ist MCDB für Outlook-Clients im Online-Modus, beispielsweise in Citrix-Umgebungen, sowie für OWA-Benutzer. Für die Implementierung gibt es klare Empfehlungen:

• Ein Verhältnis von 1:3 zwischen SSD- und HDD-Geräten pro Server
• 5% bis 6% SSD-Kapazität im Verhältnis zur HDD-Gesamtkapazität
• SSDs sollten für "gemischte Verwendung" geeignet sein und mindestens ein Laufwerk pro Tag (DWPD) unterstützen

Zusätzlich nutzt der Informationsspeicherprozess einen dynamischen Arbeitsspeichercache, der die Speicherauslastung für die aktive Datenbanknutzung optimiert. Diese dynamische Zuweisung sorgt dafür, dass Systemressourcen effizienter genutzt werden.

Unterstützung für Windows Server Core

Exchange SE bietet vollständige Unterstützung für die Installation auf Windows Server Core, was Microsoft inzwischen als bevorzugte Bereitstellungsoption für verbesserte Sicherheit empfiehlt. Das Ausführen von Exchange auf einer Windows-Bereitstellung mit reduzierter Oberfläche bedeutet eine kleinere Angriffsfläche und weniger Komponenten, die gewartet werden müssen.

Der Hauptvorteil dieser Unterstützung liegt in der erhöhten Sicherheit, da Server Core eine minimierte Installationsoption von Windows Server darstellt. Durch den Verzicht auf nicht wesentliche Komponenten wie die grafische Benutzeroberfläche werden potenzielle Angriffsvektoren reduziert und das Risiko von Sicherheitsverletzungen verringert.

Darüber hinaus führt die schmalere Codebasis zu einem geringeren Wartungsaufwand, da weniger Updates und Patches erforderlich sind. Dies trägt zur Gesamtstabilität des Systems bei und reduziert Ausfallzeiten durch Wartungsarbeiten.

Sicherheits- und Authentifizierungsverbesserungen

Sicherheit steht bei der neuen Exchange Server SE-Version ganz oben auf der Prioritätenliste. Microsoft hat zahlreiche Verbesserungen implementiert, die Unternehmen vor modernen Bedrohungen schützen und gleichzeitig die Authentifizierung vereinfachen.

TLS 1.2 und 1.3 als Standard

Exchange Server SE enthält wesentliche Änderungen zur Verbesserung der Sicherheit bei Client- und Serververbindungen. Die Standardkonfiguration für die Verschlüsselung aktiviert TLS 1.2 und TLS 1.3, während sie gleichzeitig die Unterstützung für ältere Algorithmen wie DES, 3DES, RC2, RC4 und MD5 deaktiviert. Außerdem werden elliptische Kurven-Schlüsselaustauschalgorithmen gegenüber nicht-elliptischen Kurvenalgorithmen priorisiert.

Während TLS 1.2 bereits mit Exchange Server 2013 CU19 und Exchange Server 2016 CU8 eingeführt wurde, ist Exchange Server 2019 der erste, der TLS 1.2 standardmäßig unterstützt. Die Unterstützung für TLS 1.3 wurde mit Exchange Server 2019 CU15 auf Windows Server 2022 und Windows Server 2025 eingeführt, allerdings noch nicht für das SMTP-Protokoll.

Im Vergleich zum Handshake-Prozess von TLS 1.2, der zwei Roundtrips zwischen Client und Server benötigt, verwendet TLS 1.3 nur einen Roundtrip, was die Verbindungsherstellung beschleunigt. Dadurch wird nicht nur die Leistung verbessert, sondern auch die Sicherheit erhöht.

Die TLS 1.3-Cipher-Suites unterscheiden sich von denen in TLS 1.2 und sind nicht kompatibel. Wenn Exchange 2019 CU15 oder Exchange Server SE installiert wird, werden zwei zusätzliche Cipher-Suites speziell für TLS 1.3 installiert:

• TLS_AES_256_GCM_SHA384
• TLS_AES_128_GCM_SHA256

Administratoren müssen nach einer Änderung der TLS-Konfiguration unbedingt den Exchange-Server neu starten, damit die Änderungen wirksam werden.

Moderne Authentifizierung mit OAuth 2.0

Ab Exchange Server 2019 CU13 unterstützt Exchange Server OAuth 2.0 (auch bekannt als moderne Authentifizierung) für reine lokale Umgebungen, die Active Directory Federation Services (ADFS) als Sicherheitstokendienst (STS) verwenden[74]. Diese Funktion ist auch in Exchange Server SE integriert.

Die moderne Authentifizierung in Exchange Server sollte nicht mit der hybriden modernen Authentifizierung (HMA) verwechselt werden, die Microsoft Entra ID für die Authentifizierung nutzt. Tatsächlich ist HMA weiterhin die empfohlene Methode für hybride Exchange-Konfigurationen.

Wenn die moderne Authentifizierung für einen Benutzer aktiviert ist, wird dessen Outlook-Client an ADFS umgeleitet. Benutzer können sich dann durch Eingabe ihrer Anmeldeinformationen oder durch mehrstufige Authentifizierung authentifizieren. Sobald ADFS einen Benutzer authentifiziert hat, generiert es Zugriffstoken, die Exchange Server validiert, um dem Client Zugriff auf das Postfach des Benutzers zu gewähren.

Folgende Protokolle werden mit der ADFS-basierten modernen Authentifizierung unterstützt:

• MAPI over HTTP (MAPI/HTTP)
• Exchange Active Sync (EAS)
• Exchange Web Services (EWS)
• Outlook on the Web (OWA) mit Claims-basierter Authentifizierung
• Exchange Admin Center (ECP) mit Claims-basierter Authentifizierung
• Offline Address Book (OAB)

Hingegen werden Outlook Anywhere (RPC/HTTP), IMAP und POP nicht unterstützt.

Erweiterter Windows-Schutz standardmäßig aktiv

Der erweiterte Windows-Schutz (Windows Extended Protection) ist bei der Installation von Exchange Server SE standardmäßig aktiviert. Diese Funktion verbessert die vorhandene Authentifizierung in Windows Server und entschärft Authentifizierungsrelay- oder Man-in-the-Middle-Angriffe (MitM).

Der Schutz wird durch Sicherheitsinformationen implementiert, die über Kanalbindungsinformationen in einem Channel Binding Token (CBT) angegeben werden, die hauptsächlich für TLS-Verbindungen verwendet werden[77]. Dies verhindert, dass Angreifer Authentifizierungsdaten abfangen und für ihre eigenen Verbindungen wiederverwenden können.

Exchange Server verwendet den erweiterten Schutz, um den Zugriff auf Webanwendungen wie Exchange ActiveSync, Outlook on the Web und den AutoDiscover-Dienst zu sichern. Administratoren können mehrere Einstellungen für virtuelle Verzeichnisse konfigurieren, einschließlich Authentifizierungs-, Sicherheits- und Berichterstellungseinstellungen.

Allerdings gibt es wichtige Konfigurationsanforderungen für den erweiterten Schutz:

• Es darf keine SSL-Auslagerung mit Lastenausgleichsmodulen verwendet werden
• SSL-Bridging wird unter bestimmten Bedingungen unterstützt, jedoch müssen dabei dieselben SSL-Zertifikate für Exchange und Lastenausgleichsmodule verwendet werden
• Bei Koexistenz mit älteren Exchange-Versionen müssen öffentliche Ordner zu Exchange Server 2016 oder 2019 migriert werden, bevor der erweiterte Schutz aktiviert wird

Die Implementierung all dieser Sicherheitsverbesserungen in Exchange Server SE unterstreicht Microsofts Bestreben, die Plattform kontinuierlich zu modernisieren und an die neuesten Sicherheitsstandards anzupassen.

Lizenzierung und Hybrid-Szenarien

Die Lizenzierung des Microsoft Exchange Server SE unterscheidet sich deutlich von früheren Versionen und erfordert besondere Aufmerksamkeit bei der Planung. Während das technische Fundament weitgehend bekannt ist, bringt das Abonnementmodell neue Anforderungen mit sich.

Microsoft Exchange Server Lizenzmodelle

Das Lizenzmodell für Exchange Server SE entspricht grundsätzlich dem von Exchange Server 2019. Allerdings gibt es einen entscheidenden Unterschied: Kunden müssen neben dem Kauf der erforderlichen Serverlizenzen und CALs zusätzlich ein aktives Abonnement unterhalten. Hierfür stehen zwei Hauptoptionen zur Verfügung:

• Cloud-Abonnementlizenzen für alle Benutzer und Geräte, die auf Exchange Server SE zugreifen (beispielsweise Microsoft 365 E3- oder E5-Lizenzen)
• Exchange Server SE Serverlizenzen und CALs mit Software Assurance (SA)

Besonders vorteilhaft sind Microsoft 365 E3/E5-Lizenzen, da diese Extended Use Rights enthalten, die eine unbegrenzte Anzahl an Office Server-Lizenzen ohne zusätzliche Kosten bieten. Falls keine Cloud-Abonnementlizenzen erworben werden, müssen die gekauften Serverlizenzen und CALs zwingend über Software Assurance verfügen.

Wie bei früheren Versionen ist Exchange weiterhin in zwei Serverversionen erhältlich: Standard Edition und Enterprise Edition. Der Unterschied liegt primär in der Anzahl der montierbaren Datenbanken – während die Standard Edition auf fünf montierte Datenbanken pro Server beschränkt ist, unterstützt die Enterprise Edition bis zu 100.

Was die kostenlose Hybrid-Lizenz abdeckt

Auch für Exchange SE stellt Microsoft eine kostenlose Lizenz für qualifizierte Hybrid-Szenarien über den Hybrid Configuration Wizard (HCW) bereit. Im Unterschied zu früheren Versionen benötigen Administratoren allerdings entweder Software Assurance für diese Lizenz, um Exchange Server-Updates zu erhalten, oder eine Cloud-Abonnementlizenz, die die Anforderungen erfüllt.

Wichtig zu verstehen ist, dass die Hybrid-Lizenz ausschließlich für Empfängerverwaltungszwecke vorgesehen ist. Werden Postfächer gehostet oder wird ein Edge Transport- oder SMTP-Relay-Server benötigt, ist weiterhin eine vollständige Exchange Server-Lizenz erforderlich. Alternativ können Administratoren auch PowerShell und die Exchange Management Tools nutzen, um ihre Empfänger ohne laufenden Exchange Server zu verwalten.

Die Rechte zur Nutzung der Hybrid-Edition enden mit dem Ablauf oder der Kündigung des Abonnements für die Exchange Online-Dienste. Microsoft behält sich außerdem vor, die für Hybrid-Bereitstellungen empfohlene Exchange Server-Version jederzeit zu ändern.

CALs und SA: Was ist erforderlich?

Client Access Lizenzen (CALs) sind für jeden Benutzer oder jedes Gerät erforderlich, das auf Exchange-Dienste zugreift. Dabei stehen zwei CAL-Editionen zur Verfügung:

• Standard CAL: Bietet die Basisfunktionen
• Enterprise CAL: Enthält zusätzliche Funktionen wie integrierte Archivierung und weitere erweiterte Funktionen

Die Standard CAL wird grundsätzlich für den Zugriff auf einen Exchange Server benötigt und wird entweder nach benannten Benutzern (User CAL) oder nach Geräten (Device CAL) lizenziert. Die CAL-Lizenz ist bereits in verschiedenen Microsoft 365-Lizenzen enthalten, beispielsweise in E3/E5-Abonnements.

Mit Exchange SE wird Software Assurance (SA) zur Pflicht. Dies bedeutet, dass Unternehmen die Server nicht mehr einmalig kaufen und bis zum Supportende nutzen können, sondern diese faktisch "mieten". Die Software Assurance kann für gewerbliche Firmen nur als Enterprise Agreement (ab 500 Benutzer) oder Open Value (ab 5 Benutzer) erworben werden.

Insgesamt stellt Microsoft Exchange Server SE damit auf ein kontinuierliches Lizenzmodell um, das regelmäßige Zahlungen erfordert, dafür aber stets Zugriff auf die neuesten Updates und Funktionen bietet.

Compliance, Archivierung und eDiscovery

Exchange Server SE integriert beeindruckende Compliance-Funktionen, die Unternehmen bei der Einhaltung gesetzlicher Vorschriften und interner Richtlinien unterstützen. Die erweiterten Möglichkeiten für Aufbewahrung, Suche und Datenschutz bieten Administratoren leistungsstarke Werkzeuge für das Informationsmanagement.

In-Place Hold für öffentliche Ordner

Exchange SE integriert öffentliche Ordner vollständig in den In-Place eDiscovery- und Hold-Workflow. Administratoren können nun In-Place eDiscovery verwenden, um öffentliche Ordner in ihrer Organisation zu durchsuchen und diese auf Hold zu setzen. Ähnlich wie bei Postfächern können auch bei öffentlichen Ordnern abfragebasierte und zeitbasierte Holds eingerichtet werden.

Wenn ein In-Place Hold auf öffentliche Ordner angewendet wird, werden gelöschte Elemente nicht in den Purges-Unterordner verschoben, sondern stattdessen in den DiscoveryHolds-Unterordner übertragen und für die festgelegte Haltezeit aufbewahrt. Bei einem unbefristeten Hold werden die Elemente niemals aus dem DiscoveryHolds-Unterordner gelöscht.

Allerdings gibt es derzeit eine wichtige Einschränkung: Es können nur alle öffentlichen Ordner gleichzeitig durchsucht und auf Hold gesetzt werden. Die Möglichkeit, einzelne öffentliche Ordner auszuwählen, wird erst in späteren Versionen verfügbar sein. Außerdem können öffentliche Ordner, die auf In-Place Hold gesetzt wurden, nicht gelöscht werden.

Compliance Search für große Umgebungen

Compliance Search ist ein neues eDiscovery-Suchwerkzeug in Exchange SE mit verbesserten Skalierungs- und Leistungsfähigkeiten. Im Gegensatz zur In-Place eDiscovery, die auf 10.000 Postfächer pro Suche begrenzt ist, gibt es bei Compliance Search keine Begrenzung für die Anzahl der Zielpostfächer in einer einzelnen Suche. Darüber hinaus können beliebig viele Suchen gleichzeitig ausgeführt werden, während bei In-Place eDiscovery maximal zwei gleichzeitige Suchvorgänge möglich sind.

Allerdings zeigt eine Compliance-Suche maximal 500 Quellpostfächer mit Suchergebnissen an. Falls mehr als 500 Postfächer Inhalte enthalten, die der Suchabfrage entsprechen, werden nur die Top-500-Postfächer mit den meisten Suchergebnissen berücksichtigt.

In Exchange SE ist Compliance Search ausschließlich über die Exchange Management Shell verfügbar. Für den Zugriff auf die Compliance Search-Cmdlets muss ein Administrator oder eDiscovery-Manager die Rolle "Mailbox Search" besitzen oder Mitglied der Rollengruppe "Discovery Management" sein.

Neue Nachrichtenflussregeln und DLP-Funktionen

Mit Exchange SE können Unternehmen nun 80 verschiedene Arten sensibler Informationen identifizieren, überwachen und schützen. Die Nachrichtenflussregeln (auch als Transportregeln bekannt) wurden um neue Bedingungen und Aktionen erweitert:

Die neue Bedingung "Any attachment has these properties, including any of these words" ermöglicht es, Nachrichten zu identifizieren, bei denen die angegebene Eigenschaft des angehängten Office-Dokuments bestimmte Wörter enthält. Dies vereinfacht die Integration von Exchange-Nachrichtenflussregeln mit SharePoint, Windows Server File Classification Infrastructure oder Drittanbieter-Klassifizierungssystemen.

Außerdem wurde die Aktion "Notify the recipient with a message" hinzugefügt, mit der eine Nachrichtenflussregel den Empfänger mit einem angegebenen Text benachrichtigen kann. Die Aktion "Generate incident report and send it to" wurde ebenfalls aktualisiert und unterstützt nun die Benachrichtigung mehrerer Empfänger durch Konfiguration einer Gruppenadresse.

Zukunftssicherheit und Empfehlungen für Unternehmen

Microsoft Exchange Server SE markiert zweifellos einen bedeutenden Wendepunkt in der Exchange-Server-Geschichte. Der Wechsel zum Abonnementmodell unter der Modern Lifecycle Policy bringt fundamentale Änderungen mit sich, die Unternehmen nicht ignorieren können. Besonders hervorzuheben ist hierbei das "Evergreen"-Konzept, das kontinuierliche Updates anstelle großer Versionssprünge vorsieht und dadurch sowohl die Sicherheit als auch die Funktionalität stetig verbessert.

Unternehmen sollten daher frühzeitig ihre Migrationsstrategie planen. Exchange 2019-Nutzer profitieren von einem vergleichsweise einfachen In-place-Upgrade, während Exchange 2016-Umgebungen eine vollständige Migration durchführen müssen. Unabhängig davon müssen alle älteren Exchange-Versionen spätestens bis zur Installation von Exchange SE CU2 vollständig entfernt werden.

Die technischen Neuerungen wie Feature Flighting, die verbesserte Suchinfrastruktur und die Metacachedatenbank bieten erhebliche Leistungsvorteile. Zusammen mit den Sicherheitsverbesserungen durch TLS 1.3, moderne Authentifizierung und erweiterten Windows-Schutz stellt Exchange SE eine deutlich robustere Plattform dar.

Allerdings erfordert das neue Lizenzmodell entweder Microsoft 365-Lizenzen mit Extended Use Rights oder Exchange Server SE-Lizenzen mit Software Assurance. Die kostenfreie Hybrid-Lizenz bleibt zwar bestehen, ist jedoch ausschließlich für Empfängerverwaltungszwecke konzipiert.

Letztendlich stellt Exchange Server SE trotz aller Änderungen eine zukunftssichere Investition dar. Microsoft hat eindeutig auf Kundenfeedback reagiert und eine Plattform geschaffen, die sowohl lokale Anforderungen erfüllt als auch nahtlos mit Cloud-Diensten zusammenarbeitet. Unternehmen, die weiterhin auf lokale Exchange-Server angewiesen sind, erhalten damit bis mindestens 2035 eine moderne, sichere und kontinuierlich verbesserte Messaging-Plattform.

Die Zeit zum Handeln ist jetzt. Administratoren sollten daher unverzüglich mit der Planung beginnen, um einen reibungslosen Übergang zu gewährleisten und von den Vorteilen des neuen Exchange Server SE zu profitieren. Schließlich bietet dieser nicht nur verbesserte Leistung und Sicherheit, sondern auch langfristige Unterstützung für kritische Unternehmenskommunikation.