ExchangeServer

Outlook im Web (OWA)

Overview

Outlook im Web (früher Outlook Web App, davor Outlook Web Access) ist der Webclient für Exchange. Er bietet Mail, Kalender, Kontakte und Aufgaben im Browser, ohne dass ein Outlook-Client installiert sein muss.

Auf Exchange Server SE wird Outlook im Web als virtuelles Verzeichnis /owa in IIS auf jedem Mailbox-Server bereitgestellt, zusammen mit dem Exchange Admin Center unter /ecp. Weil dieser Dienst häufig direkt aus dem Internet erreichbar ist, war er in den vergangenen Jahren Einfallstor für mehrere schwere Angriffswellen auf Exchange.

In Exchange Online betreibt Microsoft Outlook im Web als Clouddienst unter outlook.office.com; dieselbe Oberfläche ist die Grundlage des neuen Outlook für Windows. Im Hybridbetrieb leitet die lokale OWA-Anmeldung Anwender mit Cloud-Postfach automatisch zu Exchange Online um.

Abgrenzung: Der Glossareintrag Outlook behandelt die Desktop- und Mobile-Clients, dieser Eintrag den Webzugriff und seine Absicherung.

How it works

Wichtige technische Bausteine:

  1. Der Zugriff läuft per HTTPS auf die interne und externe URL des virtuellen OWA-Verzeichnisses; das Zertifikat muss den veröffentlichten Namen enthalten.
  2. Lokal ist standardmäßig die formularbasierte Authentifizierung aktiv; Alternativen sind Windows-Authentifizierung oder AD FS.
  3. Postfachrichtlinien für Outlook im Web steuern Funktionen wie Anhangszugriff, Designs oder Offline-Modus je Anwender.
  4. Extended Protection bindet die Authentifizierung an die TLS-Verbindung und schützt gegen Relay-Angriffe; seit Exchange 2019 CU14 wird sie bei der Installation standardmäßig aktiviert.
  5. In Exchange Online regeln Conditional Access und app-erzwungene Einschränkungen, ob nicht verwaltete Geräte Anhänge herunterladen dürfen.

Benefits

  • Zugriff auf das Postfach von jedem Gerät mit Browser, ohne Installation und ohne VPN.
  • Praktisch für Mitarbeitende ohne eigenen PC, etwa in Produktion oder Lager.
  • Zentrale Richtlinien begrenzen Downloads auf fremden Geräten und senken das Risiko von Datenabfluss.
  • In Exchange Online immer aktuell, weil Microsoft den Dienst fortlaufend pflegt.

Practical example

Ein Lebensmittelhersteller mit 400 Mitarbeitenden gibt Schichtleitern ohne Firmen-PC Zugriff auf Exchange Online über Outlook im Web. Per Conditional Access ist MFA Pflicht, und auf nicht verwalteten Geräten können Anhänge nur im Browser angezeigt, aber nicht heruntergeladen werden. Den lokalen Exchange-Server, der nur noch der Hybridverwaltung dient, veröffentlicht die IT nicht mehr ins Internet.

Things to keep in mind

  • Outlook im Web auf Exchange Server nicht ungeschützt ins Internet stellen; ein vorgeschalteter Reverse Proxy mit Vorauthentifizierung verkleinert die Angriffsfläche.
  • Sicherheitsupdates für Exchange SE sofort einspielen, weil OWA-Lücken schnell ausgenutzt werden.
  • Extended Protection aktiviert lassen und mit dem HealthChecker prüfen.
  • Das Exchange Admin Center (/ecp) per Client-Access-Regel oder Firewall nur intern erreichbar machen.
  • In Exchange Online MFA per Conditional Access erzwingen und den Anhangszugriff für nicht verwaltete Geräte einschränken.

Licensing & availability

Outlook im Web ist in Exchange Server SE ohne Zusatzlizenz enthalten. In Exchange Online ist es Teil aller Pläne mit Exchange Online. Conditional Access setzt Microsoft Entra ID P1 voraus, enthalten etwa in Microsoft 365 Business Premium, E3 und E5. Stand: Oktober 2026.

Conclusion

Outlook im Web ist praktisch, aber lokal ein exponierter Dienst. Sichere ihn konsequent ab und prüfe, ob er im Internet überhaupt erreichbar sein muss.

Further reading

Related articles