ExchangeServer

Centralized Mail Transport (Hybrid)

Overview

Centralized Mail Transport ist eine Option einer Exchange-Hybridbereitstellung. Ist sie aktiv, sendet Exchange Online Mails seiner Postfächer an Empfänger im Internet nicht direkt, sondern per TLS an die lokale Exchange-Organisation. Diese wendet ihre Regeln an und stellt die Mail per MX-Auflösung zu. Mails zwischen zwei Exchange-Online-Postfächern bleiben in der Cloud.

Die Option wirkt auch eingehend: Zeigt der MX auf Microsoft 365, leitet Exchange Online bei aktivem Centralized Mail Transport alle Internet-Mails zuerst an einen lokalen Server. Dieser löst die Empfänger auf, teilt die Nachricht und schickt die Kopie für Cloud-Postfächer zurück an Exchange Online. Ohne die Option verteilt Exchange Online selbst. Lokale Absender stellen Internet-Mails unabhängig von der Einstellung immer per DNS zu.

Microsoft empfiehlt die Option ausdrücklich nicht als Standard, sondern nur für Organisationen mit konkreten Compliance-Anforderungen, bei denen lokale Systeme den gesamten Internet-Mailverkehr verarbeiten müssen, etwa Transportregeln, Virenscan oder Journaling. Der Preis sind mehr Bandbreite und Last auf den lokalen Servern. Eingestellt wird sie im Hybrid Configuration Wizard, standardmäßig ist sie aus.

Abgrenzung: Exchange Mailflow beschreibt den Weg einer Mail allgemein, Exchange Connector die einzelnen SMTP-Verbindungen. Der MX-Record entscheidet über den Eingangsweg aus dem Internet und wird vom HCW nicht gesetzt.

How it works

Technisch beruht Centralized Mail Transport auf den Hybrid-Connectoren, die der HCW anlegt:

  1. Im HCW wählst Du bei der Transportkonfiguration die Option zum Aktivieren des zentralisierten Mailtransports (Enable centralized mail transport).
  2. Am ausgehenden Exchange-Online-Connector vom Typ OnPremises steht dann RouteAllMessagesViaOnPremises auf $true; der Standardwert ist $false, und der Parameter wirkt nur bei Connectoren vom Typ OnPremises.
  3. Am eingehenden Exchange-Online-Connector steht CloudServicesMailEnabled auf $true.
  4. Die Verbindung zwischen den Umgebungen läuft per erzwungenem TLS über Port 25; die Zertifikate müssen von einer vertrauenswürdigen kommerziellen Zertifizierungsstelle stammen und den FQDN des jeweiligen Endpunkts in Subject oder SAN tragen.
  5. Endpunkt auf lokaler Seite ist ein Postfachserver (ab Exchange 2016 CU8) oder ein Edge-Transport-Server. Dazwischen dürfen keine Geräte oder SMTP-Hosts liegen, die Nachrichten verändern, sonst gehen die Hybrid-Informationen in den Nachrichten verloren.

Kontrolle in Exchange Online PowerShell: Get-OutboundConnector | Format-List Name,ConnectorType,RouteAllMessagesViaOnPremises.

Benefits

  • Lokale Transportregeln, Journaling und Filter erfassen auch Mails von Cloud-Postfächern, deshalb bleibt eine bestehende Compliance-Architektur während der Migration gültig.
  • Ausgehende Mails verlassen das Unternehmen über eine definierte lokale Route, was Partnern mit IP-basierten Freigaben einen gleichbleibenden Absenderweg bietet.
  • Mails zwischen den Umgebungen laufen per erzwungenem TLS mit Zertifikatsprüfung und gelten als intern, deshalb wirken Transportregeln und Richtlinien wie in einer einzigen Organisation.
  • Die Option lässt sich nach Abschluss der Umstellung per HCW wieder abschalten, ohne die übrige Hybridkonfiguration anzufassen.

Practical example

Ein Finanzdienstleister mit 400 Postfächern migriert nach Exchange Online, muss aber alle ein- und ausgehenden Mails in einem lokalen Archivsystem erfassen, das per Journaling an Exchange SE angebunden ist. Die IT aktiviert im HCW Centralized Mail Transport, damit auch Mails migrierter Postfächer über die lokalen Server laufen. Kurz nach dem Umstieg landen erwünschte Nachrichten fälschlich in der Quarantäne, weil die Hybrid-Kopfzeilen nicht übertragen werden; die IT legt nach Microsoft-Anleitung eine Remote-Domain für die onmicrosoft.com-Domain des Tenants an und behebt das. Nach Einführung eines Cloud-Archivs schaltet sie die Option wieder ab und entlastet so die Internetleitung.

Things to keep in mind

  • Centralized Mail Transport nur einschalten, wenn eine konkrete Compliance-Vorgabe es verlangt; Microsoft rät wegen Bandbreite und Last davon ab, es als Standard zu nutzen.
  • Die lokale Organisation wird zum Pflichtweg für ausgehende Cloud-Mails, der Versand aus Exchange Online hängt damit von lokalen Servern und Leitung ab; plane Redundanz ein.
  • Gegen doppelt gefilterte und falsch quarantänisierte Nachrichten hilft eine Remote-Domain für die onmicrosoft.com-Domain mit TrustedMailInboundEnabled und TrustedMailOutboundEnabled, damit die Kopfzeilen zwischen den Umgebungen erhalten bleiben.
  • Keine Mail-Gateways oder SMTP-Hosts zwischen Exchange Online und den Hybrid-Endpunkt setzen, die Nachrichten verändern; Firewalls, die Port 25 unverändert durchlassen, sind unterstützt.
  • Den Hybrid-Connector nicht von Hand ändern, sondern die Einstellung per HCW umschalten, sonst überschreibt der nächste Lauf die Änderung.

Licensing & availability

Centralized Mail Transport ist eine kostenlose Option der Exchange-Hybridbereitstellung und erfordert keine eigene Lizenz. Cloud-Postfächer brauchen eine Lizenz mit Exchange Online, ein reiner Hybrid-Verwaltungsserver ohne lokale Postfächer erhält über den HCW eine kostenlose Lizenz. Sollen die Cloud-Schutzfunktionen auch lokale Postfächer abdecken, kann das Built-in security add-on for on-premises mailboxes nötig sein. Stand: Oktober 2026.

Conclusion

Centralized Mail Transport ist ein Werkzeug für Compliance-Sonderfälle, kein Standard. Nutze es gezielt während der Migration und schalte es ab, sobald die Compliance-Funktionen in der Cloud laufen.

Further reading

Related articles