Es gibt Systeme in Unternehmen, über die spricht man selten, solange sie funktionieren. Der Mailserver gehört dazu. E-Mails kommen an, E-Mails gehen raus, Outlook öffnet sich, Kalender funktionieren und Smartphones synchronisieren. Also wirkt alles in Ordnung. Genau hier liegt die Gefahr.
Ein Mailserver ist nicht irgendein Nebensystem. Er ist in vielen Unternehmen das digitale Nervensystem. Kommunikation, Termine, Angebote, Aufträge, Rechnungen, interne Abstimmungen, Kundendialoge, Lieferantenkontakte, Personalthemen und Geschäftsführung laufen früher oder später über E-Mail.
Und trotzdem stehen in vielen Unternehmen noch alte Exchange-Server, die jahrelang zuverlässig gearbeitet haben, heute aber nicht mehr in den aktuellen Sicherheits- und Betriebsrahmen passen. Der Satz „Der läuft doch noch“ reicht hier nicht mehr.
Bei Exchange Server 2016 und Exchange Server 2019 muss man klar sagen: Wer diese Systeme im Jahr 2026 noch betreibt, sollte sehr genau wissen, warum – und wie lange noch.
Ein Mailserver ist kein Drucker im Keller
Viele Unternehmer nehmen den Mailserver erst wahr, wenn etwas nicht funktioniert. Dann ist die Aufregung sofort groß: keine E-Mails, keine Termine, keine Kommunikation, keine Freigaben, keine Angebote, kein Rechnungsversand, keine Abstimmung mit Kunden, kein Zugriff vom Smartphone und kein Zugriff über Outlook Web App.
Dann merkt man sehr schnell: E-Mail ist nicht „nur E-Mail“. E-Mail ist Geschäftsprozess. Deshalb muss ein Exchange-Server wie ein geschäftskritisches System behandelt werden – nicht wie ein Altgerät, das man einfach laufen lässt, solange es noch reagiert.
Ein Mailserver steht an einer besonders sensiblen Stelle. Er ist oft aus dem Internet erreichbar, verarbeitet vertrauliche Kommunikation, enthält historische Daten und hängt an Benutzerkonten, Rechten, Zertifikaten, Domänen, DNS-Einträgen, mobilen Geräten und teilweise an alten Archiv- oder Backup-Strukturen.
Das Problem ist nicht, dass Exchange schlecht war
Exchange war für viele Unternehmen eine starke Plattform. Gemeinsame Kalender, zentrale Postfächer, Verteiler, Archivierung, mobile Synchronisation, Rechte und interne Strukturen waren lange eine solide Grundlage.
Darum geht es nicht. Das Problem ist nicht, dass Exchange 2016 oder Exchange 2019 früher schlechte Produkte waren. Das Problem ist, dass diese Versionen heute aus dem regulären Support heraus sind. Bei einem Mailserver ist das keine Formalität.
Ein nicht mehr unterstützter Mailserver ist kein nostalgisches Relikt. Er ist ein Risiko. Nicht unbedingt, weil morgen früh alles ausfällt. Sondern weil Sicherheitslücken, fehlende Updates, veraltete Abhängigkeiten und unsaubere Betriebszustände bei einem öffentlich erreichbaren System besonders kritisch werden.
„Der Server läuft noch“ ist kein Sicherheitsnachweis
Dass ein Exchange-Server noch E-Mails verarbeitet, beweist nicht, dass er sicher betrieben wird. Ein Auto kann auch ohne gültigen TÜV fahren. Das heißt aber nicht, dass es verantwortbar im Straßenverkehr unterwegs ist.
Solange der Dienst läuft, fühlt sich alles normal an. Aber im Hintergrund können wichtige Fragen offen sein:
- Ist das System vollständig gepatcht?
- Ist die Version noch unterstützt?
- Sind Zertifikate aktuell?
- Sind alte Protokolle deaktiviert?
- Ist Outlook Web App öffentlich erreichbar?
- Ist die Anmeldung ausreichend geschützt?
- Gibt es alte Benutzerkonten?
- Sind Administratorrechte sauber geregelt?
- Wer überwacht Logs und Angriffsversuche?
- Gibt es ein getestetes Backup?
- Wie schnell kann der Mailbetrieb wiederhergestellt werden?
Wenn diese Fragen nicht klar beantwortet werden können, ist der laufende Betrieb kein Beweis für Sicherheit. Dann ist er nur Gewohnheit.
Warum alte Exchange-Server für Angreifer interessant sind
Ein Exchange-Server ist für Angreifer attraktiv. Nicht, weil jedes Unternehmen besonders bekannt ist, sondern weil ein Mailserver viel Wert enthält. E-Mails zeigen Geschäftsbeziehungen. Postfächer enthalten Angebote, Verträge, Rechnungen und vertrauliche Informationen. Kalender zeigen Termine und Abwesenheiten. Adressbücher zeigen Kontakte.
Weiterleitungen können Kommunikation unbemerkt abgreifen. Kompromittierte Postfächer können für Phishing genutzt werden. Ein Serverzugriff kann ein Sprungbrett in weitere Unternehmensbereiche sein. Dazu kommt: Viele Exchange-Server sind aus dem Internet erreichbar, damit Outlook Web App, mobile Geräte oder externe Zugriffe funktionieren.
Ein schlecht gepflegter oder veralteter Exchange-Server ist deshalb nicht nur ein internes IT-Thema. Er ist ein sichtbarer Angriffspunkt. Und sichtbare Angriffspunkte werden gesucht – automatisiert, weltweit und rund um die Uhr.
Risiko entsteht selten durch einen einzelnen Fehler
In der Praxis ist selten ein einzelner Punkt das ganze Problem. Es ist meistens die Summe: ein alter Server, ein veraltetes Betriebssystem, ein abgelaufenes Zertifikat, ein öffentlicher Webzugriff, ein Konto ohne MFA, ein ehemaliger Mitarbeiter, ein nicht entfernter Dienstleisterzugang, ein ungetestetes Backup, eine alte Firewall-Regel und eine veraltete Dokumentation.
So entsteht Risiko. Nicht durch einen großen Fehler, sondern durch viele kleine Altlasten. Deshalb reicht es nicht, nur zu fragen: „Geht E-Mail noch?“ Die bessere Frage lautet: Ist unser Mailbetrieb noch sicher, unterstützt, dokumentiert und wiederherstellbar?
Microsoft 365 ist nicht automatisch die Antwort – aber oft der richtige Weg
Viele Unternehmen stellen sich jetzt die Frage: eigener Exchange-Server oder Microsoft 365? Für viele kleine und mittelständische Unternehmen ist der Wechsel zu Exchange Online beziehungsweise Microsoft 365 heute der sinnvollere Weg.
Nicht, weil Cloud immer besser ist. So einfach ist es nicht. Aber weil der Betrieb eines eigenen Exchange-Servers heute deutlich mehr Verantwortung bedeutet als früher. Ein eigener Exchange-Server braucht Pflege, Updates, Überwachung, Zertifikatsmanagement, Backup, Sicherheitshärtung, Betriebssystempflege, Speicherplanung, Schutz vor Angriffen, saubere Veröffentlichung nach außen, Dokumentation und ein echtes Notfallkonzept.
Viele Mittelständler wollen eigentlich keinen Mailserver betreiben. Sie wollen zuverlässige E-Mails, Kalender, Kontakte, mobile Synchronisation, gemeinsame Postfächer und saubere Kommunikation. Das ist ein Unterschied.
Auch Microsoft 365 muss sauber eingeführt werden
Der Wechsel in die Cloud löst nicht automatisch alle Probleme. Wer Exchange ablöst und einfach alles nach Microsoft 365 schiebt, ohne Struktur, Rechte, Sicherheit und Backup zu prüfen, übernimmt alte Unordnung in eine neue Umgebung.
Eine saubere Migration bedeutet mehr als Postfächer verschieben. Man muss klären:
- Welche Postfächer gibt es?
- Welche davon werden noch gebraucht?
- Welche gemeinsamen Postfächer existieren?
- Welche Verteiler, Gruppen und Berechtigungen sind aktiv?
- Welche Weiterleitungen gibt es?
- Welche öffentlichen Ordner oder Spezialfunktionen werden genutzt?
- Welche mobilen Geräte sind verbunden?
- Welche Archivdaten müssen übernommen werden?
- Welche DNS-Einträge müssen geändert werden?
- Wie wird MFA eingeführt?
- Wie wird das alte System später sauber abgeschaltet?
Das ist Projektarbeit. Keine Schnellaktion. Eine gute Exchange-Migration merkt der Anwender möglichst wenig. Aber genau dafür muss im Hintergrund sauber gearbeitet werden.
Die unsichtbaren Abhängigkeiten sind die gefährlichsten
Bei alten Exchange-Umgebungen gibt es oft Abhängigkeiten, die erst sichtbar werden, wenn man migrieren will. Ein Scanner verschickt seine Mails über den alten Server. Eine Warenwirtschaft nutzt SMTP. Ein Alarmierungssystem sendet Benachrichtigungen. Ein Backup-Programm verschickt Statusmeldungen. Eine Telefonanlage hängt am Mailversand.
Auch Anwendungen, alte Archivsysteme, lokale PST-Dateien, ehemalige Benutzerfreigaben oder fest eingetragene Zertifikate können eine Rolle spielen. Wenn man solche Abhängigkeiten übersieht, funktioniert nach der Migration plötzlich irgendetwas nicht mehr. Deshalb beginnt eine gute Migration mit einer Bestandsaufnahme – nicht mit dem Klick auf „Postfach verschieben“.
Der erste Schritt: wissen, was wirklich vorhanden ist
Viele Unternehmen können nicht auf Anhieb sagen, wie ihre Exchange-Umgebung genau aussieht: welche Version läuft, welcher Patchstand installiert ist, welche Dienste veröffentlicht sind, welche Zertifikate genutzt werden, welche mobilen Geräte verbunden sind, welche Benutzer administrative Rechte haben, welche Anwendungen über den Server senden und wann zuletzt eine Wiederherstellung getestet wurde.
Das ist nicht ungewöhnlich. Viele Umgebungen sind über Jahre gewachsen. Aber genau deshalb braucht es jetzt Klarheit. Wer seine Exchange-Umgebung nicht kennt, kann sie weder sauber absichern noch sauber ablösen.
Postfächer sind oft voller Unternehmensgeschichte
In vielen Unternehmen liegen in E-Mails nicht nur Kommunikation, sondern ganze Arbeitsabläufe: Angebote, Freigaben, Vertragsstände, Kundenabsprachen, Rechnungsinformationen, Projektdetails, Supportverläufe, Personaldokumente, Lieferantendaten und Entscheidungen der Geschäftsführung.
Deshalb darf eine Migration nicht nur technisch gedacht werden. Es geht um Daten, Nachvollziehbarkeit und Zugriff. Was muss übernommen werden? Was kann archiviert werden? Was ist veraltet? Wie werden ehemalige Mitarbeiterpostfächer behandelt? Wie werden Funktionspostfächer sauber zugeordnet?
Sicherheit: der richtige Zeitpunkt für MFA und Rechteprüfung
Eine Exchange-Migration ist eine gute Gelegenheit, alte Gewohnheiten zu bereinigen. Gerade beim Wechsel zu Microsoft 365 sollte Mehr-Faktor-Authentifizierung nicht als späteres Zusatzprojekt behandelt werden. Ein Passwort allein reicht für E-Mail-Zugänge nicht mehr aus.
Ein kompromittiertes Postfach kann enormen Schaden anrichten: E-Mails lesen, Weiterleitungen setzen, Rechnungen manipulieren, Kunden täuschen, interne Kommunikation auswerten oder Phishing über echte Unternehmensadressen versenden.
Deshalb gehört MFA für zentrale Konten, Geschäftsführung, Verwaltung, Buchhaltung und Benutzer mit sensiblen Zugriffen zur Grundausstattung. Gleichzeitig sollten Rechte geprüft werden: Wer hat Zugriff auf welche Postfächer? Wer darf im Namen anderer senden? Welche Gruppen sind veraltet? Welche Administratoren sind wirklich notwendig?
Backup nicht vergessen: Auch Cloud-Mail braucht Wiederherstellung
Viele Unternehmen denken beim Wechsel zu Microsoft 365: Dann ist Backup erledigt. Das ist zu kurz gedacht. Microsoft sorgt für eine starke Plattform. Aber das bedeutet nicht automatisch, dass jedes Unternehmen jede gelöschte, manipulierte oder falsch verwaltete Information in jeder Situation so zurückbekommt, wie es sie braucht.
Gerade E-Mail ist kritisch: gelöschte Postfächer, versehentlich entfernte Nachrichten, manipulierte Inhalte, fehlerhafte Aufbewahrung, kompromittierte Konten, ausgeschiedene Benutzer und Daten, die erst spät vermisst werden.
Deshalb gehört bei einer Exchange-Modernisierung immer auch die Frage dazu: Wie sichern wir Exchange Online, OneDrive, SharePoint und Teams zusätzlich ab?
Der alte Server muss sauber außer Betrieb genommen werden
Ein häufiger Fehler: Die Migration ist abgeschlossen, aber der alte Exchange-Server bleibt irgendwo stehen – „zur Sicherheit“, „falls noch etwas gebraucht wird“ oder „nur vorübergehend“. Aus vorübergehend wird schnell dauerhaft.
Ein alter Server, der nach der Migration nicht sauber abgeschaltet, dokumentiert und aus dem Netz genommen wird, bleibt ein Risiko. Deshalb gehört zur Migration auch die Stilllegung: Datenübernahme, gelöste Abhängigkeiten, geänderte DNS-Einträge, entfernte Firewall-Regeln, aufbewahrte Backups und ein klarer Termin für die endgültige Abschaltung.
On-Premises ist nicht verboten – aber es braucht einen Grund
Es gibt Unternehmen, bei denen ein lokaler Mailserver weiterhin sinnvoll sein kann: spezielle Anforderungen, regulatorische Vorgaben, besondere Integrationen, Hybrid-Szenarien oder technische Abhängigkeiten. Das ist legitim.
Aber dann muss man es professionell betreiben. Nicht „weil es schon immer so war“, sondern weil es einen klaren Grund gibt. Dann braucht es ein aktuelles, unterstütztes System, klare Zuständigkeiten, Sicherheitsupdates, Monitoring, Backup, Härtung, Dokumentation und regelmäßige Prüfung.
Was Geschäftsführer jetzt wissen sollten
Als Geschäftsführer müssen Sie keine Exchange-Datenbank analysieren können. Aber Sie sollten wissen, ob Ihr Mailbetrieb verantwortbar aufgestellt ist:
- Nutzen wir noch Exchange Server 2016 oder 2019?
- Ist unser Mailserver aus dem Internet erreichbar?
- Wird das System noch mit Sicherheitsupdates versorgt?
- Gibt es eine aktuelle Dokumentation?
- Wer hat administrative Rechte?
- Sind Postfächer und Rechte sauber gepflegt?
- Gibt es MFA für externe Zugänge?
- Welche Anwendungen hängen am Mailserver?
- Gibt es ein getestetes Backup?
- Gibt es einen Plan zur Migration oder Ablösung?
- Ist klar, wann der alte Server außer Betrieb genommen wird?
Warum wir bei EDV Systeme Donner solche Themen nüchtern angehen
Wir sehen Exchange-Migrationen nicht als reinen Technikauftrag. Natürlich geht es um Postfächer, DNS, Zertifikate, Clients, Outlook, mobile Geräte und Migrationstools. Aber dahinter liegt ein größeres Thema: Wie zuverlässig ist die Kommunikation Ihres Unternehmens?
E-Mail ist nicht nur ein Dienst. E-Mail ist Arbeitsfähigkeit. Deshalb schauen wir nicht nur darauf, ob Nachrichten übertragen werden. Wir betrachten Struktur, Postfächer, Rechte, Altlasten, Sicherheitsmaßnahmen, Anwendungen, Daten, Migrationsstrategie, Stilllegung und Absicherung der neuen Umgebung.
Mein Fazit
Exchange Server 2016 und 2019 haben vielen Unternehmen lange gute Dienste geleistet. Aber ein alter Mailserver darf im Jahr 2026 nicht einfach aus Gewohnheit weiterlaufen.
E-Mail ist zu wichtig. Die Angriffsfläche ist zu groß. Die Daten sind zu sensibel. Die Abhängigkeiten sind zu tief. Und der Schaden bei einem Vorfall ist zu hoch.
Die entscheidende Frage lautet nicht: „Funktioniert unser Mailserver noch?“ Die entscheidende Frage lautet: Ist unser Mailbetrieb sicher, unterstützt, dokumentiert, wiederherstellbar und zukunftsfähig?
Wenn Sie diese Frage nicht klar beantworten können, sollten wir miteinander sprechen – nicht erst, wenn ein Zertifikat abläuft, der Server Probleme macht oder ein Angriff passiert, sondern jetzt, solange man noch geordnet planen kann.
Exchange-Server prüfen und Mailbetrieb modernisieren
EDV Systeme Donner unterstützt kleine und mittelständische Unternehmen bei Exchange-Analyse, Microsoft-365-Migration, Rechteprüfung, MFA, Backup, Dokumentation, Stilllegung alter Server und laufendem Betrieb.
Häufige Fragen zu Exchange Server 2016 und 2019
Kann ein alter Exchange-Server einfach weiterlaufen, solange E-Mails funktionieren?
Technisch kann ein alter Server weiter E-Mails verarbeiten. Für Unternehmen ist aber entscheidend, ob er unterstützt, gepatcht, dokumentiert, abgesichert und wiederherstellbar ist.
Ist Microsoft 365 automatisch die richtige Lösung?
Für viele kleine und mittelständische Unternehmen ist Exchange Online beziehungsweise Microsoft 365 sinnvoller als ein eigener Mailserver. Trotzdem muss die Migration sauber geplant werden.
Warum ist MFA bei E-Mail so wichtig?
Ein kompromittiertes Postfach kann für Datenabfluss, Rechnungsbetrug, Phishing, Weiterleitungen und interne Auswertung missbraucht werden. MFA reduziert dieses Risiko deutlich.
Muss auch Exchange Online zusätzlich gesichert werden?
Ja, die Frage nach Backup und Wiederherstellung bleibt wichtig. Microsoft betreibt die Plattform, aber Unternehmen müssen ihre Daten, Aufbewahrung und Restore-Fähigkeit sauber betrachten.
Wann ist eine Exchange-Migration abgeschlossen?
Erst wenn Postfächer, Abhängigkeiten, DNS, Zertifikate, Anwendungen, Backup und Stilllegung geklärt sind. Der alte Server sollte nicht dauerhaft „zur Sicherheit“ weiterlaufen.