EWS wird abgeschaltet: was ausfällt und was Sie jetzt prüfen sollten
Microsoft schaltet die Exchange Web Services in Exchange Online ab. Was sich am 10. Oktober geändert hat, was ausfallen kann und was Sie jetzt prüfen sollten.
Microsoft hat begonnen, die Exchange Web Services (EWS) in Exchange Online abzuschalten. EWS ist die alte Schnittstelle, über die Mailprogramme und Unternehmenssoftware Postfächer, Kalender und Kontakte in Exchange lesen und schreiben. Am 10. Oktober 2026 haben sich die Regeln für Organisationen geändert, die EWS eingeschaltet gelassen hatten, und bei den übrigen wird es Mandant für Mandant abgeschaltet. Wenn die Mails Ihres Unternehmens in Microsoft 365 liegen, synchronisiert in Ihrem Büro vielleicht schon etwas nicht mehr, und der Fehler fällt nicht unbedingt auf.
Was passiert ist
Im Juli 2018 kündigte Microsoft an, dass EWS in Exchange Online keine neuen Funktionen mehr erhält. 2023 legte es die Abschaltung auf Oktober 2026 fest. Seine Dokumentation nennt heute zwei Termine: Im Oktober 2026 „beginnt EWS, global für alle Organisationen deaktiviert zu werden“, und im April 2027 „ist EWS vollständig deaktiviert“. Die Änderung betrifft nur Exchange Online. Ein Exchange-Server, den ein Unternehmen selbst betreibt, behält EWS.
Die Einzelheiten stehen in einer Mitteilung an Administratoren im Message Center, MC1485116, veröffentlicht am 1. Oktober 2026:
- Eine Organisation, die
EWSEnabledauf true gesetzt hatte, behielt EWS bis zum 10. Oktober. Seit diesem Tag reicht true allein nicht mehr: Die Organisation braucht zusätzlich eine Liste der Anwendungen, die EWS nutzen dürfen,EWSAllowedAppIDs. Eine Anwendung, die auf der Liste fehlt, kann den Zugriff verlieren. - Für berechtigte Organisationen, die EWS eingeschaltet, aber keine Liste hatten, kündigte Microsoft an, am 8. und 9. Oktober eine Liste aus der EWS-Aktivität der vorangegangenen 60 Tage zu erstellen. Microsoft warnt selbst, dass selten genutzte Anwendungen darauf fehlen können.
- Organisationen, die die Einstellung nie angefasst haben, bleiben in der schrittweisen Abschaltung und verlieren EWS, sobald diese sie erreicht. Microsoft erwartet, die Einführung dieser Änderung bis Anfang Juli 2027 abzuschliessen, EWS selbst soll aber im April 2027 vollständig deaktiviert sein.
- Jede Änderung ersetzt die ganze Liste, sie muss also jedes Mal alle Anwendungen nennen. Eine Änderung braucht bis zu 24 Stunden, bis sie greift.
Was nicht mehr funktioniert
Alles, was noch über EWS mit einem Postfach in Microsoft 365 spricht. Die Mitteilung nennt das klassische Outlook für Mac, dessen Microsoft-Office-Anwendungs-ID auf der Liste stehen muss, ausserdem Excel Power Query, Power BI und Hybrid-Umgebungen mit einem Exchange-Server. Outlook für Windows sollte mindestens Build 16.0.20430.20092 haben. Das neue Outlook für Mac ist nicht betroffen.
Apple Mail und Kalender auf dem Mac synchronisieren Microsoft-365-Konten noch über EWS, wie MacRumors Anfang Oktober berichtete, und Apples Leitfaden für die Bereitstellung nennt EWS als Exchange-Protokoll für den Kalender auf dem Mac. Apple schreibt, es arbeite „aktiv mit Microsoft zusammen“, um Mail, Kalender, Kontakte, Notizen und Erinnerungen in einem künftigen Update von macOS 27 auf Microsoft Graph umzustellen. iPhone und iPad nutzen stattdessen Exchange ActiveSync und sind nicht betroffen. Bis dieses Update erscheint, kann eine Organisation EWS für diese Personen eingeschaltet lassen, mit den Apps auf der Liste und längstens bis April 2027, oder ihre Mac-Nutzer auf Outlook umstellen.
Dann gibt es Software, die im Hintergrund läuft. Veeam teilte den Kunden seiner Backup-Produkte für Microsoft 365 mit, dass EWS erreichbar bleiben muss, damit die Backups von Exchange Online weiterlaufen, weil Microsoft Graph noch nicht bietet, was Veeam braucht, und dass die Postfach-Backups ohne Massnahmen fehlschlagen würden. Ein Backup, das leise scheitert, ist schlimmer als eines, das laut scheitert: Man merkt es an dem Tag, an dem man es braucht.
Als Ersatz bietet Microsoft Microsoft Graph an. Graph deckt das meiste ab, was EWS konnte, aber nicht alles. Microsoft führt den allgemeinen Lese- und Schreibzugriff auf öffentliche Ordner und auf Gruppenpostfächer von Microsoft 365 sowie den Zugriff auf Discovery-Postfächer als Funktionen auf, die nicht zu Graph kommen. Für die letzten beiden verweist es auf andere Schnittstellen. Es warnt auch: Steht eine Funktion nicht auf seiner Roadmap, sollte man nicht davon ausgehen, dass es vor dem Ende von EWS einen Ersatz gibt.
Was das für ein Unternehmen oder eine Verwaltung bedeutet
Die Arbeit ist nicht schwer, aber sie landet bei der Person, die Microsoft 365 verwaltet, und das kann in einem kleinen Unternehmen ein externer IT-Partner sein, der diesen Monat auch andere Kunden betreut.
Das Risiko liegt in den seltenen Aufgaben. Eine Liste aus 60 Tagen Aktivität sieht die tägliche Synchronisation und übersieht den Export zum Jahresende, die Archivierung jedes Quartal, das Werkzeug, das jemand zweimal im Jahr öffnet. Diese fallen später aus, in einem Moment, den niemand mit einer Änderung im Oktober in Verbindung bringt.
Die Sache hat auch eine Sicherheitsseite, und die lohnt einen Blick. EWS-Integrationen, die ohne angemeldete Person laufen, nutzen die Anwendungsberechtigung full_access_as_app, mit der eine App nach Microsofts eigenen Worten „die Identität aller Postfächer in der Organisation eines Kunden annehmen“ kann. Eine Integration, die diese Berechtigung noch für EWS nutzt, muss jetzt auf einer Liste stehen. Ein guter Moment, um zu fragen, ob es sie noch braucht und ob ihr Ersatz in Graph mit weniger auskommt.
Wo Elchi Studios steht
Für unser eigenes Mailprodukt stellt sich die Frage so nicht. EMX ist kein Exchange-Server. Outlook, Apple Mail und die Mail-App des Telefons verbinden sich über IMAP und SMTP mit App-Passwörtern, und Exchange ActiveSync bieten wir nicht an. Software sendet und liest Mails über unsere API und Webhooks. Die Nachrichten liegen verschlüsselt in Genf, und Kunden können ihre Postfächer jederzeit über IMAP oder die API exportieren, ohne uns zu fragen. EMX ist in der Beta, und wir haben aufgeschrieben, was das heisst.
Die Lehre, die ich aus EWS ziehe, heisst nicht „weg von Microsoft“. Für die meisten Unternehmen ist Graph der vernünftige nächste Schritt, und die Mails umzuziehen, weil sich eine Schnittstelle ändert, wäre eine grosse Antwort auf eine kleine Frage. Die Lehre betrifft Schnittstellen. IMAP, das Protokoll, mit dem Mail-Apps ein Postfach lesen, ist ein offener Standard, den die IETF als RFC 9051 veröffentlicht hat; kein einzelner Anbieter kann ihn abschalten. Die eigene Schnittstelle eines Anbieters, unsere eingeschlossen, lebt so lange, wie der Anbieter sie behält. Microsoft hat diese hier acht Jahre im Voraus eingefroren und den Monat der Abschaltung drei Jahre im Voraus genannt. Fragen Sie jeden Lieferanten, auch uns, wie viel Vorlauf Sie bekommen, bevor eine Schnittstelle verschwindet, von der Sie abhängen.
Was Sie diese Woche prüfen sollten
- Öffnen Sie den EWS-Nutzungsbericht. Er liegt im Microsoft 365 Admin Center bei den Nutzungsberichten. Er zeigt, welche Anwendungs-IDs EWS noch aufrufen und wie oft.
- Prüfen Sie Ihre Einstellung und Ihre Liste. In Exchange Online PowerShell zeigt
Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Format-List EwsAllowedAppIDsdie Liste. Hat Microsoft sie am 8. oder 9. Oktober erstellt, vergleichen Sie sie mit dem, wovon Sie wissen, dass es bei Ihnen läuft. - Denken Sie in Jahren, nicht in Wochen. Fragen Sie, wer einmal pro Quartal oder einmal im Jahr etwas auf ein Postfach zugreifen lässt: Archivierung, Exporte, Prüfungen. Ergänzen Sie, was auf die Liste gehört, und denken Sie daran, dass jede Änderung die ganze Liste ersetzt.
- Fragen Sie die Hersteller Ihrer Backup-, Archiv- und CRM-Software, ob sie noch EWS nutzen und wann sie auf Graph umstellen. Prüfen Sie dann, ob das Postfach-Backup der letzten Nacht tatsächlich gelaufen ist.
- Schauen Sie sich die Macs an. Wer Apple Mail oder Kalender mit einem Microsoft-365-Konto nutzt, wechselt entweder zu Outlook oder Outlook im Web, oder der Administrator lässt EWS für diese Personen eingeschaltet, mit den Apps auf der Liste, bis Apple die Unterstützung für Graph liefert oder bis April 2027, je nachdem, was früher eintritt.
- Prüfen Sie jede Anwendung mit
full_access_as_app. Entfernen Sie, was niemand braucht. Für den Rest können die Anwendungszugriffsrichtlinien von Microsoft eine App auf die Postfächer beschränken, mit denen sie tatsächlich arbeitet. - Planen Sie auf April 2027 hin. Die Liste verschafft Zeit und sonst nichts. Jede Integration darauf braucht bis dahin einen Umstieg auf Graph oder eine andere Arbeitsweise.
Quellen
- Deprecation of Exchange Web Services in Exchange Online, Microsoft Learn, gelesen am
- MC1485116: Exchange Web Services (EWS) enforcement update for EWSAllowedAppIDs, Microsoft 365 Message Center (mirror by merill.net), gelesen am
- Microsoft Tightens Exchange Online EWS Access on October 10, Windows Report, gelesen am
- Integrate Apple devices with Microsoft Exchange, Apple Platform Deployment, gelesen am
- PSA: Apple Mail on Mac May Stop Syncing Microsoft 365 Accounts, MacRumors, gelesen am
- KB4820: What Microsoft's EWS Retirement Means for Your Veeam Backups, Veeam, gelesen am
- After years of warnings, Microsoft is finally pulling the plug on EWS, Computerworld, gelesen am
- Application Access Policy Support Added to Exchange Web Services in Exchange Online, Microsoft 365 Developer Blog, gelesen am
- Nahendes Ende für Microsofts Exchange Web Services, Inside IT, gelesen am
- RFC 9051: Internet Message Access Protocol (IMAP), Version 4rev2, IETF, gelesen am
- EWS is Being Blocked in Exchange Online: How to Find every App still Using it, LazyAdmin, gelesen am
Geschrieben von Samuel Krauss, Founder. Abgelegt unter email, microsoft-365, exchange, security.
Übersetzt aus dem Englischen. Zum englischen Original