EWS-Abschaltung in Exchange Online: Was jetzt zu tun ist

Änderungen wirken spät.

Der Ersatz hat Lücken.

Foto: Ray_Shrewsberry / Pixabay

Seit dem 1. Oktober 2026 läuft die Abschaltung von Exchange Web Services (EWS) in Exchange Online an, und ab April 2027 ist sie vollständig. Wer Skripte, Add-ins oder Fachanwendungen hat, die noch EWS aufrufen, verliert zuerst den Zugriff, wenn die Anwendung nicht auf einer Liste steht. Ich habe die Beiträge des Exchange-Teams und die Learn-Seite gelesen und zeige, was Du jetzt prüfst. Microsoft hat den Beitrag „EWS Deprecation Is Here“ am 1. Oktober 2026 veröffentlicht und zuletzt am 15. Oktober 2026 aktualisiert, mit einer neuen Tabelle zu den nächsten Schritten.

Das Wichtigste in Kürze

• EWS wird schrittweise ab Oktober 2026 abgeschaltet und im April 2027 ganz. Das nennt die offizielle Learn-Seite zum Thema.
• EWSEnabled auf True reicht nicht mehr. Dazu braucht ein Mandant die Liste EWSAllowedAppIDs, sonst ist EWS gesperrt.
• Microsoft hat Listen am 10. und 11. Oktober selbst befüllt. Grundlage waren die letzten 60 Tage Nutzung, eigene Listen blieben unberührt.
• Änderungen an der Liste brauchen bis zu 24 Stunden. Beim Schalter EWSEnabled dauert es höchstens vier.
• Microsoft Graph hat noch Lücken. Generische Ordner-Zugriffe auf öffentliche Ordner bekommt es nie.

So greifen EWSEnabled und die Liste ineinander

Bisher war EWS erlaubt, solange der Schalter EWSEnabled nicht auf False stand. Neu kommt der Parameter EWSAllowedAppIDs hinzu, eine Liste mit den Anwendungs-IDs, die EWS nutzen dürfen. Sie ersetzt nicht die älteren Einstellungen EWSAllowList und EWSBlockList, die nach User-Agent filtern.

Seit Oktober gilt diese Tabelle, wie sie Microsoft beschreibt:

Quelle: Beitrag des Exchange-Teams zur Einführung von EWSAllowedAppIDs. Vor Oktober war True mit leerer Liste noch ein Freibrief.

Mandanten mit EWSEnabled auf Null bekommen sieben Tage vorher eine Warnung im Message Center. Danach befüllt Microsoft die Liste aus der Nutzung der letzten 60 Tage und stellt EWSEnabled auf False. Dabei bleibt der Inhalt Sache des Administrators: Es können Anwendungen fehlen, die nur selten laufen, und solche drinstehen, die Du nicht mehr willst.

Was Microsoft schon eingetragen hat

Für Mandanten mit EWSEnabled auf True und ohne eigene Liste hat Microsoft die Einträge am 10. und 11. Oktober gesetzt. Hattest Du schon eine eigene Liste, blieb sie unverändert und ist massgebend.

Deshalb lohnt sich ein Test, am besten in einem Testmandanten und mit einer Testanwendung. Zuerst liest Du den Stand aus, dann setzt Du die Einträge:

Get-OrganizationConfig | Format-List EWSEnabled
Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Format-List EwsAllowedAppIDs
Set-OrganizationConfig -EwsAllowedAppIDs "11111111-2222-3333-4444-555555555555,aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee"

Der Befehl ersetzt den gesamten Inhalt. Fügst Du eine ID hinzu, übernimm daher zuerst die bisherigen Einträge. Das Team warnt zudem davor, EWSAllowList und EWSAllowedAppIDs zu verwechseln: Das eine filtert nach User-Agent und betrifft auch REST, das andere nach Anwendungs-ID und nur EWS.

Damit sich ein Fehlversuch schnell zurücknehmen lässt, setzt Du EWSEnabled auf Null. Rund eine Stunde später ist EWS ohne Einschränkung zurück, denn bei Null ignoriert Exchange die Liste:

Set-OrganizationConfig -EWSEnabled $null

Clients und Hybrid-Umgebungen

Auch Microsoft-eigene Programme tauchen im EWS-Nutzungsbericht auf und gehören gegebenenfalls auf die Allow-List. So braucht Outlook für Windows mindestens den Build 16.0.20430.20092 vom August 2026. Für Mac gilt: Das neue Programm bleibt unberührt, das klassische benötigt die ID von „Microsoft Office“. Excel mit Power Query hat eine eigene Hinweisseite bei Microsoft, für Power BI steht eine Aussage noch aus.

Zudem gibt es in Hybrid-Umgebungen zwei Fälle. Wer Postfächer lokal hat und Online-Archive dafür nutzt, kann den Weg über Graph noch nicht gehen. Dann bleibt EWSEnabled auf True, und die Hybrid-Anwendung steht auf der Liste. Hat eine lokale Organisation eine Beziehung zu einem anderen Exchange-Online-Mandanten, muss dieser EWSEnabled auf True behalten.

Ausserdem wandert die Freigabe von Frei/Gebucht, MailTips und Kalendern zwischen Mandanten in die Cross-Tenant Access Policy. Der Rollout begann im August. Weltweit war Frei/Gebucht am 23.9. fertig, MailTips am 29.9. und die Kalenderfreigabe am 15.10. Wer noch nicht umgestellt hat, setzt EWSEnabled auf True. Dann laufen diese Abläufe laut Microsoft auch ohne Eintrag weiter, bis EWS am 1. April 2027 endet.

Microsoft Graph als Ersatz: Wo es noch hakt

Viele EWS-Aufrufe haben ein Gegenstück in Microsoft Graph, Microsoft führt dazu eine Zuordnungsliste. Dennoch bleiben Lücken. Für einige nennt die Learn-Seite Ziele im vierten Quartal 2026, etwa Import und Export bei Archiven, öffentlichen Ordnern und Gruppenpostfächern sowie den Zugriff auf In-Place-Archive. Diese Termine können sich noch ändern.

Dazu kommen drei Fähigkeiten, die laut Learn-Seite nie nach Graph kommen: generische Ordner- und Elementzugriffe auf öffentliche Ordner, dasselbe für Gruppenpostfächer und der Zugriff auf alte Discovery-Postfächer. Wer darauf angewiesen ist, braucht eine andere Lösung, etwa Purview eDiscovery.

Was Du jetzt tun solltest

1. Nutzung auslesen: Öffne im Microsoft 365 Admin Center die EWS-Nutzungsberichte und notiere jede Anwendung, die Du behalten willst.
2. Einträge prüfen: Lies EWSEnabled und EWSAllowedAppIDs aus und streiche, was überflüssig ist.
3. Anwendungen migrieren: Plane die Umstellung auf Microsoft Graph. Das Team stellt dafür einen Analysator und Zuordnungen von EWS zu Graph bereit.
4. Cross-Tenant-Sharing prüfen: Führe Get-OrganizationRelationship, Get-SharingPolicy und Get-AvailabilityAddressSpace aus. Sind Beziehungen zu anderen Microsoft-365-Mandanten aktiv, richtest Du die neue Policy ein.
5. PowerShell-Modul aktualisieren: Microsoft setzt ab dem 31. März 2027 strengere Anmeldungen für ExchangeOnlineManagement durch. Du brauchst mindestens Version 3.10.1. Die installierte Version zeigt Get-Module ExchangeOnlineManagement -ListAvailable.
6. Auf Exchange-Server achten: Läuft lokal noch Exchange 2016 oder 2019, lies auch den Artikel zum Ende von Exchange 2016 und 2019.

Fazit

Die Abschaltung trifft vor allem Programme, die niemand mehr auf dem Schirm hat. Wer die Allow-List jetzt selbst pflegt und seine Software auf Graph umstellt, hat bis April 2027 einen ruhigen Weg. Wer abwartet, erlebt die Sperre im laufenden Betrieb.

Quellen: Deprecation of Exchange Web Services in Exchange Online (Microsoft Learn), Introducing EWSAllowedAppIDs, EWS Deprecation Is Here, Take control of your EWSAllowedAppIDs list, Notes from the field: testing EWSAllowedAppIDs safely, Hybrid Rich Coexistence und EWS, Cross-tenant Free/Busy, MailTips and Calendar Sharing, ExchangeOnlineManagement 3.10.1. Foto: Ray_Shrewsberry / Pixabay. Stand: 15. Oktober 2026.

Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion