Exchange Web Services: Admin-Hilfestellung vor API-Aus

Was geschehen ist – die Kernmeldung

Microsoft hat eine wichtige Ankündigung für IT-Verantwortliche gemacht, die Exchange Online in ihren Unternehmen einsetzen. Der Konzern treibt die geplante Abschaltung der Exchange Web Services (EWS) voran und hat nun eine neue Hilfestellung implementiert, um Administratoren bei der Identifizierung und Verwaltung betroffener Anwendungen zu unterstützen. Ab sofort steht in Exchange Online die neue Konfiguration „EWSAllowedAppIDs“ zur Verfügung. Mit diesem Werkzeug können IT-Teams eine Liste von App-IDs definieren, die weiterhin Zugriff auf die EWS erhalten sollen. Dieser Schritt ist Teil einer umfassenden Strategie, um den Übergang von der in die Jahre gekommenen EWS-Schnittstelle hin zur modernen Microsoft Graph-API zu erleichtern. Die Maßnahme soll das Risiko von unvorhergesehenen Dienstunterbrechungen minimieren, die durch die erzwungene Abschaltung der Schnittstellen entstehen könnten. Microsoft reagiert damit auf den nahenden Termin im Oktober, an dem die erste Phase der Deaktivierung eingeleitet wird. Administratoren sind nun angehalten, ihre Umgebung zu prüfen und die entsprechenden Konfigurationen vorzunehmen, um den reibungslosen Betrieb ihrer geschäftskritischen Softwarelösungen sicherzustellen, während die EWS-API nach fast zwei Jahrzehnten endgültig in den Ruhestand geschickt wird.

Die Einzelheiten der neuen Konfiguration

Die technische Neuerung „EWSAllowedAppIDs“ ist direkt auf der Tenant-Ebene von Exchange Online angesiedelt. Bis zum Stichtag am 1. Oktober gilt weiterhin die bisherige Regelung: Wenn die Option „EWSEnabled“ nicht explizit konfiguriert wurde, ist der gesamte EWS-Datenverkehr zugelassen. Wird „EWSEnabled“ auf „True“ gesetzt, ohne dass eine App-Liste hinterlegt ist, erlaubt dies derzeit noch den Zugriff für alle Anwendungen. Sollten Administratoren hingegen spezifische App-IDs in die Liste aufnehmen, wird der Zugriff auf die EWS-Schnittstelle exklusiv auf diese freigegebenen Anwendungen beschränkt. Die Option „False“ hingegen unterbindet den EWS-Verkehr vollständig. Ab dem 1. Oktober ändert sich das Verhalten jedoch grundlegend: Eine Einstellung von „EWSEnabled=True“ ohne eine spezifische App-Liste blockiert dann den gesamten EWS-Datenverkehr, ebenso wie die Einstellung „False“. Organisationen, die die Kombination aus „EWSEnabled=True“ und der „EWSAllowedAppIDs“-Liste nutzen, können den Zugriff auf die EWS bis zum April 2027 gezielt steuern. Erst nach diesem Datum plant Microsoft eine erneute Änderung des Verhaltens. Die Details hierzu wurden durch die Entwickler im Microsoft 365 Message-Center unter der Kennung MC1447678 veröffentlicht, wobei auch externe Quellen wie merill.net auf diese Änderungen hinweisen.

Hintergrund und bisheriger Verlauf

Die Entscheidung, die Exchange Web Services (EWS) zu beenden, kommt nicht überraschend. Microsoft hat diesen Prozess bereits vor etwa drei Jahren, im Jahr 2023, offiziell angekündigt. Die EWS-API, die über fast zwei Jahrzehnte hinweg ein zentraler Bestandteil der Exchange-Architektur war, soll nun vollständig durch die Microsoft Graph-API ersetzt werden. Diese moderne Schnittstelle wird von Microsoft als gleichwertiger Ersatz betrachtet, da sie nahezu alle Funktionen unterstützt, die zuvor über die EWS abgewickelt wurden. Bereits im Februar dieses Jahres hatte Microsoft eine zusätzliche Anleitung bereitgestellt, die IT-Verantwortliche dabei unterstützen soll, Anwendungen zu erkennen, die noch immer auf die EWS angewiesen sind. Der nun eingeleitete Prozess ist das Ergebnis einer langfristigen Strategie, um die Cloud-Infrastruktur von Microsoft 365 zu modernisieren und die Sicherheit sowie die Skalierbarkeit durch den Einsatz neuerer API-Standards zu erhöhen. Die Ankündigung vom 25. August 2026 dient dabei als wichtige Erinnerung an die IT-Abteilungen, dass die Zeit für die Umstellung der internen und externen Softwarelösungen drängt und die Vorbereitungsphase nun in eine kritische Phase eintritt.

Die Beteiligten und ihre Rollen

Betroffen von dieser Umstellung sind primär IT-Verantwortliche und Administratoren, die Exchange Online in ihren Organisationen verwalten. Sie tragen die Verantwortung dafür, dass Drittanbietersoftware, die auf die EWS angewiesen ist, rechtzeitig identifiziert und auf die Graph-API umgestellt wird. Auf der Seite des Anbieters ist Microsoft die treibende Kraft. Die Entwicklerteams hinter Microsoft 365 und Exchange Online sind für die Implementierung der neuen Konfigurationsmöglichkeiten und die Kommunikation über das Message-Center verantwortlich. Auch wenn keine einzelnen Personen namentlich als Entscheidungsträger hervorgehoben werden, agiert das Unternehmen als zentrale Instanz, die den Zeitplan für die Abschaltung vorgibt. Externe Beobachter und Experten, wie sie etwa auf Plattformen wie merill.net agieren, spielen eine Rolle bei der Dokumentation und Verbreitung der technischen Details, um die Community der IT-Admins bei der Bewältigung dieser komplexen Umstellung zu unterstützen. Die Kommunikation erfolgt dabei über offizielle Kanäle, wobei das Message-Center die primäre Anlaufstelle für technische Änderungen bleibt.

Einordnung der Maßnahmen

Einzuordnen ist das Vorgehen von Microsoft als eine notwendige, wenn auch für viele Unternehmen aufwendige Modernisierungsmaßnahme. Den Berichten zufolge ist die EWS-API ein Relikt aus einer Zeit, in der Cloud-Dienste noch anders strukturiert waren. Die Graph-API bietet aus Sicht des Herstellers eine deutlich robustere und sicherere Plattform. Die Einführung der „EWSAllowedAppIDs“-Konfiguration ist dabei als Sicherheitsnetz zu verstehen. Sie erlaubt es Administratoren, den Übergang kontrolliert zu gestalten, anstatt durch eine harte Abschaltung riskante Ausfälle in der Unternehmenskommunikation zu riskieren. Es ist davon auszugehen, dass Microsoft mit diesem gestuften Vorgehen den Druck auf IT-Abteilungen erhöhen will, ohne dabei die Stabilität der laufenden Systeme zu gefährden. Die Möglichkeit, den Zugriff auf spezifische App-IDs zu beschränken, dient primär der Identifikation von „Schatten-IT“ oder vergessenen Legacy-Anwendungen, die im Hintergrund noch immer auf die alten Schnittstellen zugreifen, ohne dass dies den Administratoren vollständig bewusst ist. Die Maßnahme ist somit ein Werkzeug zur Transparenzgewinnung im eigenen Netzwerk.

Offene Fragen und verbleibende Lücken

Obwohl Microsoft mit der neuen Konfiguration eine Hilfestellung bietet, bleiben einige Fragen unbeantwortet. Der Quelltext macht keine Angaben dazu, wie Unternehmen verfahren sollen, deren Drittanbietersoftware keine Unterstützung für die Graph-API bietet und bei denen ein Update oder ein Wechsel der Softwarelösung bis zum April 2027 nicht möglich ist. Es bleibt zudem unklar, welche spezifischen Fehlermeldungen oder Logs Administratoren erwarten können, wenn eine Anwendung durch die neuen Konfigurationseinstellungen blockiert wird. Auch wird nicht explizit darauf eingegangen, ob es für besonders komplexe Legacy-Systeme Ausnahmeregelungen oder verlängerte Support-Zeiträume geben könnte, falls die Umstellung auf die Graph-API technisch unmöglich sein sollte. Ebenso fehlen Informationen darüber, wie die Identifizierung der Apps in sehr großen, global verteilten Organisationen effizienter gestaltet werden kann, falls die manuelle Konfiguration der App-IDs zu zeitaufwendig ist. Die Dokumentation konzentriert sich primär auf die Konfigurationsschritte selbst, lässt aber die strategischen Herausforderungen bei der Migration von Drittanbietersoftware weitgehend offen.

Wie es weitergeht – Der Zeitplan

Der Zeitplan für die Abschaltung der EWS in Exchange Online ist klar definiert. Am 1. Oktober dieses Jahres beginnt Microsoft mit der ersten Phase der Deaktivierung, bei der der Zugriff auf die EWS-Schnittstellen für nicht autorisierte Anwendungen eingeschränkt wird. Dies ist der erste große Meilenstein nach der Ankündigung von 2023. Ab diesem Zeitpunkt müssen Administratoren sichergestellt haben, dass ihre kritischen Anwendungen entweder auf die Graph-API umgestellt wurden oder explizit in der „EWSAllowedAppIDs“-Liste geführt sind. Der nächste entscheidende Termin ist der 1. April 2027. Zu diesem Datum soll die vollständige EWS-API in allen Diensten endgültig in Rente geschickt werden. Ab diesem Zeitpunkt wird Microsoft das Verhalten der Schnittstellen erneut anpassen, wobei nach derzeitigem Kenntnisstand kein weiterer Zugriff mehr möglich sein wird. IT-Verantwortliche haben somit ein Zeitfenster von etwa eineinhalb Jahren nach der ersten Teilabschaltung, um die vollständige Migration ihrer Systeme auf die moderne Graph-API abzuschließen. Die kommenden Monate werden zeigen, wie reibungslos dieser Übergang in der Praxis verläuft.