ExchangeServer

Exchange Emergency Mitigation Service (EEMS)

Allgemeine Infos

Der Exchange Emergency Mitigation Service (in der Microsoft-Dokumentation „Exchange Emergency Mitigation (EM) service“) schützt lokale Exchange-Server automatisch vor Lücken, die bereits aktiv ausgenutzt werden. Er holt dafür Mitigationen aus dem Office Config Service (OCS) von Microsoft. Eine Mitigation ist eine Übergangslösung bis zum Security Update, sie ersetzt das SU nicht.

EEMS kam mit dem CU vom September 2021 für Exchange 2016 und 2019 und ist in Exchange Server SE enthalten. Das Setup installiert ihn automatisch auf jedem Server mit Postfachrolle, Edge-Transport-Server erhalten ihn nicht. Die Microsoft-Liste (Stand Juli 2026) nennt neben dem Heartbeat PING1 zwei Mitigationen: M1 für CVE-2022-41040 und M2 für CVE-2026-42897, eine im Mai 2026 aktiv ausgenutzte Lücke in Outlook im Web, über die präparierte Mails Skriptcode im Browser ausführen. Ab dem Juni-2026-SU wendet EEMS M2 nicht mehr an, weil das Update die Lücke behebt.

Server mit einem Exchange-Build älter als März 2023 können keine neuen Mitigationen mehr abrufen. Abgrenzung: Extended Protection härtet die Authentifizierung dauerhaft, der Exchange HealthChecker zeigt unter anderem den EEMS-Status an, und das Exchange On-premises Mitigation Tool (EOMT) ist die manuelle Alternative für Server ohne Internetzugang.

Funktionsweise & Details

Der Ablauf einer Mitigation:

  1. Microsoft veröffentlicht bei einer akuten Bedrohung eine Mitigation als signierte XML-Datei im OCS.
  2. Der Windows-Dienst MSExchangeMitigation fragt den OCS stündlich über officeclient.microsoft.com auf Port 443 ab.
  3. Er lädt die XML-Datei und validiert die Signatur (Aussteller, Extended Key Usage, Zertifikatskette); dafür braucht er Zugriff auf die CRL-Endpunkte und auf ctldl.windowsupdate.com über Port 80.
  4. Nach erfolgreicher Validierung wendet er die Mitigation an: eine IIS-URL-Rewrite-Regel, das Abschalten eines Exchange-Dienstes oder das Abschalten eines IIS-Anwendungspools. Voraussetzung ist das IIS URL Rewrite Module.
  5. Ergebnisse protokolliert er im Anwendungsprotokoll (Quelle MSExchange Mitigation Service, Ereignisse 1005 und 1006 für Erfolg, 1008 für Fehler) und unter V15\Logging\MitigationService.

Status: Get-ExchangeServer | Format-List Name,MitigationsApplied oder das Skript Get-Mitigations.ps1 aus V15\Scripts. Steuerung: Set-OrganizationConfig -MitigationsEnabled und Set-ExchangeServer -MitigationsEnabled beziehungsweise -MitigationsBlocked. Hinter einem Proxy setzt Du Set-ExchangeServer -InternetWebProxy und netsh winhttp set proxy, Test-MitigationServiceConnectivity.ps1 testet die Verbindung.

Vorteile & Nutzen

  • Schutz innerhalb weniger Stunden nach Veröffentlichung einer Mitigation, auch wenn das SU erst später erscheint oder noch im Test ist.
  • Kein manueller Eingriff nötig: Die Mitigation landet auf allen Postfachservern mit Internetzugang, auch nachts und am Wochenende.
  • Signierte Mitigationen mit Zertifikatsvalidierung verhindern, dass manipulierte Konfigurationen eingespielt werden.
  • Ereignisprotokoll, Logdateien und Admin-Audit-Log machen nachvollziehbar, wann welche Mitigation aktiv wurde, was bei Sicherheitsvorfällen als Nachweis dient.

Praxisbeispiel

Ein Ingenieurdienstleister mit 90 Postfächern betreibt einen Exchange-SE-Server mit OWA-Zugriff aus dem Internet. Als Microsoft im Mai 2026 die Lücke CVE-2026-42897 meldet, hat EEMS die Mitigation M2 bereits per URL-Rewrite-Regel gesetzt, was die IT im Ereignisprotokoll und mit Get-Mitigations.ps1 nachvollzieht. Anwender bemerken nur, dass Inline-Bilder in der OWA-Lesevorschau fehlen. Nach dem Einspielen des SU entfernt die IT die Regel nach Microsoft-Anleitung aus der web.config und trägt M2 in MitigationsBlocked ein, damit EEMS sie nicht erneut setzt.

Worauf sollte man achten?

  • EEMS aktiviert lassen; Microsoft empfiehlt, einen abgeschalteten Dienst wieder einzuschalten, weil er die schnellste Absicherung vor dem Update ist.
  • officeclient.microsoft.com von der SSL-Inspection der Firewall ausnehmen, sonst scheitert die Signaturvalidierung.
  • Mitigationen sind Übergangslösungen: Nach dem SU nicht mehr benötigte Mitigationen manuell entfernen und Nebenwirkungen im Blick behalten, bei M2 etwa fehlende Inline-Bilder, gestörter Kalenderdruck und Probleme mit OWA light.
  • MitigationsApplied nie manuell ändern, der Dienst führt darüber Buch; MitigationsBlocked verhindert nur das erneute Anwenden und entfernt nichts.
  • Server ohne Internetzugang erhalten keine Mitigationen; plane für sie das EOMT oder eine eigene Notfallroutine ein.

Lizenz & Verfügbarkeit

EEMS ist ohne Zusatzkosten Bestandteil von Exchange 2016 und 2019 ab dem CU vom September 2021 sowie von Exchange Server SE. Für Exchange 2016 und 2019, deren Support im Oktober 2025 endete, liefert Microsoft Security Updates nur noch an Kunden im separat zu erwerbenden ESU-Programm. Stand: Oktober 2026.

Fazit

EEMS ist das Sicherheitsnetz zwischen dem Bekanntwerden einer Lücke und dem Update. Lass den Dienst aktiv, sorge für die nötige Internetverbindung und ersetze Mitigationen zügig durch das reguläre SU.

Weiterführende Links

Verwandte Artikel