EWS-Abschaltung 2026: Was mit Microsoft-365-Backups passiert

Es gibt Änderungen in der IT, die knallen sofort, und es gibt solche, die erst Monate später auffallen. Die EWS-Abschaltung in Exchange Online gehört in die zweite Kategorie. Laut Veeam beginnt Microsoft am 1. Oktober 2026 damit, die Exchange Web Services in Exchange Online abzuschalten, und für Mandanten, die diese Schnittstelle nicht ausdrücklich freigeschaltet haben, werden Postfachsicherungen mit Veeam Backup for Microsoft 365 und Veeam Data Cloud for Microsoft 365 dann blockiert. Das Unangenehme daran: Ein Backup, das nicht mehr läuft, meldet sich nicht von selbst bei der Geschäftsführung. Genau deshalb ist das ein Punkt, der in jede laufende IT Beratung gehört, lange bevor die Frist erreicht ist.

Was Microsoft ab Oktober 2026 abschaltet

Exchange Web Services, kurz EWS, ist eine Programmierschnittstelle, über die Anwendungen von außen auf Postfächer in Exchange zugreifen können, also E-Mails, Kalender und Kontakte lesen und schreiben. Die Schnittstelle ist alt, sie stammt noch aus der Zeit, als Exchange überwiegend im eigenen Serverraum stand. Microsoft beginnt am 1. Oktober 2026 mit dem Rückzug dieser Schnittstelle in Exchange Online, Mandant für Mandant. Betroffen sind Mandanten, die EWS nicht ausdrücklich aktiviert haben. Bis April 2027 wird EWS laut Microsoft für alle Mandanten endgültig abgeschaltet. Exchange Server im eigenen Haus ist davon nicht betroffen, dort bleibt EWS unterstützt.

Wichtig ist die Unterscheidung zwischen Abschalten und Sperren. Es geht hier nicht darum, dass eine Software ein Update braucht, sondern darum, dass ein Zugriffsweg standardmäßig zu ist, sofern niemand ihn offen lässt. Wer nichts tut, fällt also automatisch in die gesperrte Gruppe. Das ist der Teil, der in der Praxis übersehen wird, weil sich an der eigenen Umgebung scheinbar nichts ändert.

Warum das ausgerechnet die Microsoft-365-Backups trifft

Eine Sicherungssoftware, die Postfächer in Microsoft 365 sichert, muss irgendwie an die Inhalte dieser Postfächer herankommen. Veeam nutzt dafür unter anderem EWS. Fällt der Zugriffsweg weg und ist die Schnittstelle für den Mandanten nicht freigeschaltet, dann schlagen laut Veeam die Exchange-Online-Postfachsicherungen in Veeam Backup for Microsoft 365 und in Veeam Data Cloud for Microsoft 365 fehl. Wird der Zugriff später wiederhergestellt, braucht der erste Lauf eine vollständige Synchronisierung, und die Zeit dazwischen fehlt in der Sicherung. SharePoint, OneDrive oder Teams sind in der Meldung von Veeam nicht als betroffen genannt, es geht um die Postfächer.

Der eigentliche Schaden entsteht nicht am Tag der Umstellung, sondern später. Ein Backup-Job, der fehlschlägt, produziert eine Zeile in einem Protokoll, und Protokolle liest niemand, solange nichts brennt. Auffallen wird es an dem Tag, an dem jemand eine vor acht Wochen gelöschte E-Mail braucht, oder wenn ein Postfach nach einem kompromittierten Konto zurückgeholt werden soll. Dann fehlen genau die Wochen, in denen die Sicherung still stand.

Was Sie in Ihrem Mandanten konkret prüfen sollten

Veeam beschreibt in seinem Knowledge-Base-Artikel die nötigen Schritte. Kern ist, dass die Einstellung EwsEnabled auf $true gesetzt wird, dass die Anwendungs-IDs der sichernden Software in die Freigabeliste EWSAllowedAppIDs eingetragen werden, und dass zusätzlich die im jeweiligen Veeam-Produkt vorgesehenen Schritte durchgeführt werden, bevor Microsoft die Sperre durchsetzt: Bei Veeam Data Cloud den EWS-Zugriff im Portal aktivieren und die App-Registrierung neu autorisieren, bei Veeam Backup for Microsoft 365 die Berechtigungen für Microsoft Graph in Entra ID vergeben und die angekündigte Produktversion einspielen, die vollständig auf Graph umstellt. Das ist keine große Umbauaktion, es ist eine Konfigurationsänderung. Genau deshalb ist es ärgerlich, wenn sie liegen bleibt.

Eines gehört dazu gesagt: Das Aktivieren von EWS überbrückt nur bis April 2027. Danach ist die Schnittstelle weg, egal was im Mandanten eingestellt ist. Dauerhaft löst das Thema erst der Umstieg der Sicherungssoftware auf Microsoft Graph, und genau darauf sollte man den Hersteller festnageln.

Bevor jemand an den Einstellungen dreht, lohnt sich eine Bestandsaufnahme. Nicht jeder Betrieb weiß aus dem Stand, womit die eigenen Postfächer gesichert werden und wer die Zugangsdaten dafür hält. Diese Punkte klären wir in solchen Fällen zuerst:

• Werden die Microsoft-365-Postfächer überhaupt gesichert, und wenn ja, mit welchem Produkt und in welcher Version.
• Wann ist der letzte Sicherungslauf erfolgreich durchgelaufen, und wer bekommt die Fehlermeldungen, wenn er es nicht tut.
• Ist im Mandanten EwsEnabled gesetzt, oder verlässt sich die Umgebung derzeit auf die Standardeinstellung.
• Welche Anwendungs-IDs müssen in die Liste EWSAllowedAppIDs, damit die Sicherung nach dem Stichtag weiterläuft.
• Gibt es außer der Sicherung weitere Anwendungen, die über EWS auf Postfächer zugreifen, etwa Archivierung, CRM-Anbindungen oder Signaturlösungen.
• Wurde jemals ein Rückspielen eines Postfachs getestet, oder ist das bisher Theorie geblieben.

Warum solche Fristen in die IT Beratung gehören

Eine Ankündigung wie diese betrifft keine einzelne Software, sondern die Frage, wer im Betrieb eigentlich verfolgt, was Hersteller für die kommenden zwölf Monate angekündigt haben. Microsoft, Veeam und andere veröffentlichen solche Fristen früh und mit Vorlauf. Sie landen aber in Herstellerportalen und Knowledge-Base-Artikeln, nicht auf dem Schreibtisch der Geschäftsführung. Wer keinen hat, der das regelmäßig durchsieht, erfährt davon erst, wenn etwas nicht mehr geht.

Das ist der unspektakuläre Teil von IT Beratung: nicht die große Strategie, sondern eine Liste mit Terminen, die man rechtzeitig abarbeitet. Wenn Sie nicht sicher sind, ob Ihre Postfachsicherung nach dem 1. Oktober 2026 noch läuft, dann schauen wir uns Ihre Microsoft-365-Umgebung an und sagen Ihnen, was zu tun ist. Der Aufwand für die Prüfung ist überschaubar, der Aufwand für eine Lücke in der Sicherung ist es nicht.

Backup heißt nicht automatisch Wiederherstellung

Die EWS-Abschaltung ist ein guter Anlass, die Sicherung insgesamt anzusehen, statt nur einen Haken zu setzen. In der Praxis sehen wir häufig Umgebungen, in denen die Jobs sauber grün melden, aber niemand je versucht hat, daraus tatsächlich etwas zurückzuholen. Eine Sicherung, die nie zurückgespielt wurde, ist eine Annahme. Erst der Rückspielversuch macht daraus eine Aussage.

Bei Microsoft 365 kommt dazu, dass viele Betriebe davon ausgehen, Microsoft sichere die Daten ohnehin. Microsoft sorgt für die Verfügbarkeit des Dienstes, das ist etwas anderes als eine eigene, zeitlich zurückreichende Sicherung Ihrer Postfächer. Wer eine Mail aus dem Vorjahr braucht, weil ein Rechtsstreit sie verlangt, oder wer nach einem Verschlüsselungsvorfall einen sauberen Stand benötigt, merkt den Unterschied schnell.

Fazit

Was ab Oktober 2026 passiert, ist keine Katastrophe, sondern eine angekündigte Umstellung mit einem klaren Datum und einer überschaubaren Handlungsanweisung. Microsoft beginnt am 1. Oktober 2026 mit der Abschaltung der Exchange Web Services in Exchange Online, und wer die Schnittstelle nicht freischaltet, dessen Postfachsicherung mit Veeam für Microsoft 365 wird blockiert. Die Arbeit selbst ist eine Konfigurationsänderung samt Freigabeliste und den Schritten im Veeam-Produkt. Teuer wird es nur für den, der die Frist verstreichen lässt und es Monate später an einer einzelnen fehlenden E-Mail merkt. Setzen Sie sich die Prüfung rechtzeitig in den Kalender, dann ist das Thema in einem Vormittag erledigt.