Microsoft schaltet EWS ab: So finden Sie heraus, welche Ihrer Anwendungen betroffen sind

Microsoft stellt die klassische Schnittstelle Exchange Web Services (EWS) in Exchange Online endgültig ein. Viele Unternehmen wissen gar nicht, dass sie EWS überhaupt nutzen – oft läuft die Schnittstelle unbemerkt im Hintergrund, etwa für Backup-Software, CRM-Anbindungen oder E-Mail-Synchronisation. Wird sie ohne Vorbereitung abgeschaltet, drohen ausgefallene Backups, gestoppte Synchronisationen und Störungen in angebundenen Fachanwendungen.

In diesem Beitrag zeigen wir, wie Unternehmen selbst prüfen können, ob und welche Anwendungen in ihrem Microsoft 365-Tenant EWS nutzen – und wie man sich rechtzeitig absichert.

Der Zeitplan von Microsoft

  • Ende August 2026: Letzte Möglichkeit, eine Ausnahmeliste (Allowlist) für benötigte Anwendungen einzurichten
  • 1. Oktober 2026: Ist EWS im Tenant nicht ausdrücklich konfiguriert, schaltet Microsoft die Schnittstelle automatisch für alle Anwendungen ab, die nicht auf der Ausnahmeliste stehen
  • 1. April 2027: Endgültige, vollständige Abschaltung – dann funktioniert EWS unter keinen Umständen mehr, auch nicht mit Ausnahmeliste

Betroffen ist ausschließlich Exchange Online (Microsoft 365); lokale Exchange-Server sind nicht betroffen.

Was kann konkret betroffen sein?

  • Backup-Software für Microsoft 365-Postfächer (z. B. Hornetsecurity 365 Total Backup, Synology Active Backup for Microsoft 365 und ähnliche Produkte)
  • CRM-, ERP- oder Ticketsystem-Anbindungen, die E-Mails automatisch verarbeiten (z. B. Mail2Ticket- oder Mail2Invoice-Postfächer)
  • Ältere Outlook-Add-ins oder selbst entwickelte Skripte/Automatisierungen
  • Kalender- und Kontaktsynchronisation in bestimmten Drittanbieter-Tools

Schritt 1: Prüfen, ob EWS überhaupt genutzt wird

Am schnellsten geht der Check über das Microsoft 365 Admin Center:

  1. Anmelden unter admin.microsoft.com
  2. Im Menü zu Berichte → Nutzung navigieren
  3. Dort den Bereich Exchange → EWS usage öffnen

Der Bericht zeigt auf einen Blick, wie viele Anwendungen aktiv sind und wie hoch das tägliche Aufrufvolumen ist. Die Daten lassen sich als CSV-Datei exportieren und enthalten für jede Anwendung eine eindeutige App-ID sowie die genutzten Funktionen (z. B. SyncFolderItems, ExportItems).

Alternative: Im Message Center des Tenants nach der Meldung „Update active Exchange Web Services Applications“ suchen. Diese Nachricht verschickt Microsoft ausschließlich an Tenants mit tatsächlicher EWS-Nutzung.

Schritt 2: App-IDs den echten Anwendungen zuordnen

Der Bericht liefert zunächst nur kryptische GUIDs wie 8b760f63-3745-425b-b288-dd79a48b91f7. Um herauszufinden, welche Software sich dahinter verbirgt, hilft PowerShell mit dem Microsoft Graph-Modul:

Install-Module Microsoft.Graph -Scope CurrentUser
Connect-MgGraph -Scopes Application.Read.All

Get-MgServicePrincipal -Filter "AppId eq '<App-ID einsetzen>'" | Select-Object DisplayName, AppId, PublisherName

Damit lässt sich in der Regel sofort der Anzeigename der Anwendung ermitteln. Bleibt das Ergebnis leer, kann es sich um eine Microsoft-eigene Anwendung handeln – in diesem Fall lohnt sich ein Blick in bekannte Listen der Microsoft-First-Party-App-IDs. Ein häufiges Beispiel ist die ID d3590ed6-52b3-4102-aeff-aad2292ab01c, die als „Microsoft Office“ praktisch in jedem Tenant auftaucht und in der Regel ignoriert werden kann, da Microsoft diese Anwendung selbst umstellt.

Findet sich auch dort kein Treffer, helfen weitere Wege:

  • Suche im Entra-Portal unter Unternehmensanwendungen nach der jeweiligen App-ID
  • Filterung der Anmeldeprotokolle (Sign-in Logs) nach der App-ID
  • Direkte Rückfrage beim jeweiligen Softwarehersteller

Schritt 3: Anwendungen absichern

Werden noch benötigte EWS-Anwendungen identifiziert, sollte eine Ausnahmeliste eingerichtet werden, bevor EWS für den gesamten Tenant aktiviert wird:

# 1. Benötigte App-IDs in die Ausnahmeliste eintragen
Set-OrganizationConfig -EwsAllowedAppIDs "App-ID-1,App-ID-2,App-ID-3"

# 2. EWS mit Ausnahmeliste aktivieren
Set-OrganizationConfig -EwsEnabled $true

# 3. Kontrolle
Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Format-List EwsEnabled, EwsAllowedAppIDs

Wichtig: Änderungen an der Ausnahmeliste benötigen bis zu 24 Stunden, bis sie im Tenant vollständig wirksam sind.

Die Ausnahmeliste ist ausdrücklich nur eine Übergangslösung. Sie verschafft Zeit bis zum 1. April 2027 – ab diesem Datum schaltet Microsoft EWS endgültig und vollständig ab, auch für Anwendungen auf der Ausnahmeliste. Es gibt dann keine Konfigurationsoption mehr, die den Zugriff wiederherstellt. Wer identifizierte Anwendungen (z. B. Backup-Software) auf der Ausnahmeliste hat, sollte deshalb parallel beim jeweiligen Hersteller nachfragen, ob und wann eine Umstellung auf die Nachfolgeschnittstelle Microsoft Graph erfolgt – die Ausnahmeliste kauft Zeit, ersetzt aber nicht die eigentliche Migration.

Fazit

Die EWS-Abschaltung betrifft weit mehr Unternehmen, als vielen bewusst ist – oft laufen Backup- oder Synchronisationsprozesse jahrelang unauffällig im Hintergrund. Wer jetzt aktiv prüft, welche Anwendungen betroffen sind, vermeidet spätestens zum 1. Oktober 2026 unangenehme Überraschungen wie ausgefallene Backups oder gestoppte Datensynchronisation.

Wichtig bleibt: Selbst wer eine Ausnahmeliste einrichtet, hat damit nur eine Verlängerung bis zum 1. April 2027 erreicht. Die eigentliche Aufgabe – die betroffenen Anwendungen dauerhaft auf Microsoft Graph umzustellen – bleibt bestehen und sollte nicht bis kurz vor diesem Termin aufgeschoben werden.

Sie sind sich unsicher, ob Ihr Unternehmen betroffen ist? Wir prüfen Ihren Microsoft 365-Tenant und richten die nötigen Ausnahmen rechtzeitig ein.

Kostenloses Erstgespräch Weitere Beiträge