was du bis zum 31. August entscheiden musst!
Am 1. Oktober 2026 beginnt Microsoft, Exchange Web Services in Exchange Online tenantweise abzuschalten. Betroffen sind alle Tenants, die bis dahin nichts unternommen haben: Der Wert EWSEnabled wird auf $false gesetzt, und ab diesem Moment laufen EWS-Aufrufe ins Leere. Angekündigt ist das im Message-Center-Eintrag MC1227454.
Die eigentliche Frist liegt aber früher. Bis Ende August 2026 kannst du eine Allow List befüllen und EWSEnabled auf $true setzen, ohne dass dein Tenant in den automatischen Abschaltvorgang gerät. Wer diesen Zeitpunkt verstreichen lässt, kann EWS zwar nach dem 1. Oktober per PowerShell reaktivieren, nimmt dabei aber eine kurze Betriebsunterbrechung in Kauf, während die Änderung greift.
Warum die Augustfrist mehr ist als ein Datum
Microsoft führt bis zum Stichtag sogenannte Scream-Tests durch, also kurzzeitige Abschaltungen, mit denen die noch aktiven Abhängigkeiten sichtbar gemacht werden. Setzt du EWSEnabled bereits jetzt aktiv auf $true, nimmt Microsoft deinen Tenant von diesen Tests aus. Das ist der praktische Grund, warum die Frist relevant ist: Sie schützt nicht vor dem Oktober, sie schützt vor unangekündigten Ausfällen davor.
Der zweite Grund ist die Sichtbarkeit. Microsoft verschickt monatliche Message-Center-Posts mit tenantspezifischen EWS-Nutzungszusammenfassungen. Wer diese Posts ignoriert hat, kennt seine Abhängigkeiten nicht, und genau die brechen dann im Oktober.
Was zusätzlich früher zuschlägt
Ab Oktober 2026 blockiert Microsoft EWS-Zugriffe für Benutzer ohne EWS-Lizenzrechte, etwa bestimmte Kiosk- und Frontline-Worker-Lizenzen. Der Termin war ursprünglich für Ende Juni angesetzt und wurde verschoben. Falls du Automatisierungen betreibst, die auf Postfächern solcher Benutzer arbeiten, fallen diese unabhängig von deiner Allow List aus.
Passend dazu: M365 EXO | EWS-Block für F1/F3-Lizenzen ab Oktober 2026, dort steht die Lizenzseite im Detail.
Hybrid bleibt außen vor
On-premises wird EWS nicht abgekündigt. In Hybridumgebungen hängt es davon ab, wo das jeweilige Postfach liegt: On-prem-Postfächer dürfen EWS weiter nutzen, Cloud-Postfächer müssen auf Microsoft Graph. Autodiscover hilft den Anwendungen dabei, den Postfachstandort automatisch zu bestimmen.
Endgültiges Ende
Am 1. April 2027 wird EWS in Exchange Online permanent abgeschaltet. Zu diesem Zeitpunkt verlieren Administratoren auch die Kontrolle über den Parameter EWSEnabled. Ausnahmen sind laut Microsoft nicht vorgesehen.
Schritt 1: Message Center auswerten
Microsoft schickt monatlich tenantspezifische EWS-Nutzungszusammenfassungen. Suche im Message Center nach dem Eintrag zu aktiven Exchange-Web-Services-Anwendungen. Du brauchst dafür die Rolle Globaler Administrator oder Privacy Reader. Der Rahmen dazu steht in MC1227454, die Allow List selbst kam mit MC1447678 dazu.
Diese Liste ist dein Ausgangspunkt, aber sie ist nicht vollständig genug für die Allow List. Sie zeigt dir Aufrufer, nicht deren Besitzer, und sie sagt nichts darüber, ob ein Aufruf aus einer produktiven Anwendung oder aus einem vergessenen Testskript stammt.
Schritt 2: App-Registrierungen mit EWS-Berechtigungen finden
Der Dienst, über den EWS-Berechtigungen vergeben werden, heißt Office 365 Exchange Online und trägt die feste Anwendungs-ID 00000002-0000-0ff1-ce00-000000000000. Über diesen Service Principal findest du alle App-Registrierungen, die überhaupt EWS-Rechte besitzen.
Connect-MgGraph -Scopes "Application.Read.All","AuditLog.Read.All","Directory.Read.All"
$exoAppId = "00000002-0000-0ff1-ce00-000000000000"
$exoSp = Get-MgServicePrincipal -Filter "appId eq '$exoAppId'"
# Anwendungsberechtigungen, die auf Exchange Online zeigen
$assignments = Get-MgServicePrincipalAppRoleAssignedTo -ServicePrincipalId $exoSp.Id -All
$assignments | Select-Object PrincipalDisplayName, PrincipalId, AppRoleId |
Sort-Object PrincipalDisplayNameDie relevanten Rollen sind full_access_as_app für Anwendungsberechtigungen und EWS.AccessAsUser.All für delegierte Zugriffe. Die Unterscheidung ist nicht kosmetisch: Sie entscheidet darüber, welcher Graph-Migrationspfad für die jeweilige Anwendung überhaupt in Frage kommt.
Microsoft stellt für diese Auswertung ein eigenes Skript bereit, das Exchange-App-Usage-Reporting heißt. Es identifiziert App-Registrierungen und Service Principals mit EWS-Berechtigungen und korreliert sie mit der Anmeldeaktivität.
Passend dazu: M365 EntraID | Multi-Tenant Apps: Zugriff einschränken, für Fremd-Apps aus anderen Tenants.
Schritt 3: Nach letzter Anmeldung sortieren
Eine App-Registrierung mit EWS-Rechten ist noch kein Problem. Eine App-Registrierung mit EWS-Rechten, die sich gestern angemeldet hat, ist eins.
$since = (Get-Date).AddDays(-30).ToString("yyyy-MM-ddTHH:mm:ssZ")
foreach ($a in $assignments) {
$signIns = Get-MgAuditLogSignIn -Filter "appId eq '$($a.PrincipalId)' and createdDateTime ge $since" -Top 1
[PSCustomObject]@{
App = $a.PrincipalDisplayName
AppId = $a.PrincipalId
LetzteAnmeldung = if ($signIns) { $signIns.CreatedDateTime } else { "keine in 30 Tagen" }
}
}Apps mit aktueller Aktivität haben Priorität, weil sie beim Block als Erstes produktive Abläufe reißen. Apps ohne Anmeldedaten sind nicht automatisch harmlos. Sie gehören in die Kategorie "muss validiert werden", nicht in die Kategorie "kann weg". Ein Skript, das quartalsweise läuft, taucht in einem Dreißigtagefenster schlicht nicht auf.
Zu jeder aktiven App gehören drei Klärungen: Wer ist der fachliche Besitzer, welche Postfachbereiche berührt die App (Mail, Kalender, Kontakte), und welche Postfächer sind betroffen. Der letzte Punkt ist wichtig, weil Microsoft ab Oktober 2026 EWS für Benutzer ohne EWS-Lizenzrechte blockiert, etwa bei Kiosk- und Frontline-Worker-Lizenzen. Diese Sperre greift unabhängig von deiner Allow List.
Passend dazu: M365 EXO | EWS-Block für F1/F3-Lizenzen ab Oktober 2026, dort steht die Lizenzseite im Detail.
Schritt 4: Ist-Stand im Tenant lesen
Connect-ExchangeOnline
Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy |
Format-List EwsEnabled, EwsAllowedAppIDsDer Parameter RetrieveEwsOperationAccessPolicy ist Pflicht. Microsoft liest die Liste aus Performancegründen nur dann aus, wenn du sie ausdrücklich anforderst. Ohne diesen Schalter bekommst du ein leeres Feld zurück und hältst es fälschlich für eine leere Konfiguration.
Falls der Parameter in deinem Tenant noch nicht setzbar ist: Die Anzeige über Get-OrganizationConfig funktioniert überall, die Schreibfunktion wird gestaffelt ausgerollt.
Schritt 5: Allow List setzen
Set-OrganizationConfig -EwsEnabled $true `
-EwsAllowedAppIDs "11111111-2222-3333-4444-555555555555,aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee"Die Liste ist eine kommagetrennte Aufzählung von Anwendungs-IDs, dokumentiert bei Set-OrganizationConfig. Der entscheidende Punkt: Ein Set ersetzt die bestehende Liste vollständig. Es gibt keine Einzeloperation zum Hinzufügen oder Entfernen. Wer nur eine App ergänzen will, muss die vorhandene Liste vorher auslesen und neu zusammensetzen.
$current = (Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy |
Select-Object -ExpandProperty EwsAllowedAppIDs)
$neu = "99999999-8888-7777-6666-555555555555"
$updated = @($current, $neu) | Where-Object { $_ } | Select-Object -Unique
Set-OrganizationConfig -EwsAllowedAppIDs ($updated -join ",")Vergiss die Microsoft-Erstanbieter-Apps nicht. Office und Power Query für Excel greifen ebenfalls per EWS zu. Wenn sie in deiner Nutzungsauswertung auftauchen, gehören sie in die Liste, sonst blockierst du dir Excel-Abfragen weg, während du glaubst, nur Fremdsoftware auszusperren.
Willst du die Beschränkung nach Anwendungs-ID wieder aufheben, setzt du den Parameter auf $null. Dann gilt wieder EwsEnabled allein.
Fazit
Die Frist Ende August ist kein hartes Abschaltdatum, sondern dein letztes ruhiges Zeitfenster. Wer bis dahin seine Allow List gesetzt hat, arbeitet danach planbar an der Graph-Migration. Wer wartet, migriert unter Störungsdruck und erklärt der Geschäftsführung gleichzeitig, warum das Rechnungsarchiv keine Mails mehr abholt. Die Inventur der App-Registrierungen dauert einen halben Tag. Der Ausfall im Oktober dauert länger.
Sei der Erste und starte die Diskussion mit einem hilfreichen Beitrag.
Kommentar hinterlassen
Dein Beitrag wird vor der Veröffentlichung kurz geprüft — fachlich, respektvoll und auf den Punkt ist hier genau richtig.