ExchangeServer

Exchange-Zertifikatsverwaltung

Allgemeine Infos

Exchange Server braucht Zertifikate an mehreren Stellen: für HTTPS-Zugriffe von Outlook, Outlook im Web, ActiveSync, Autodiscover und EWS (Dienst IIS), für verschlüsselte SMTP-Verbindungen (Dienst SMTP), optional für IMAP und POP sowie im Hybridbetrieb für den Mailflow mit Exchange Online. Dazu kommt das selbstsignierte Microsoft-Exchange-Server-Auth-Zertifikat, das Exchange für OAuth zwischen Servern und mit Microsoft 365 nutzt.

Ein abgelaufenes oder falsch zugewiesenes Zertifikat ist eine der häufigsten Ursachen für Outlook-Warnungen, abgebrochene Hybridfunktionen und TLS-Fehler im Mailflow. Bei der Installation erzeugt Exchange ein selbstsigniertes Zertifikat, das für externe Clients nicht vertrauenswürdig ist und durch ein Zertifikat einer öffentlichen Zertifizierungsstelle ersetzt werden sollte.

Abgrenzung: Allgemeine Grundlagen zu SSL/TLS-Zertifikaten und zu einer eigenen PKI mit Active Directory Certificate Services behandeln eigene Glossareinträge. Hier geht es um die Exchange-spezifische Zuweisung und Pflege.

Funktionsweise & Details

Der Lebenszyklus eines Exchange-Zertifikats in fünf Schritten:

  1. Zertifikatsanforderung (CSR) im Exchange Admin Center oder mit New-ExchangeCertificate erstellen; Namen als Subject Alternative Names aufnehmen, etwa mail.firma.de und autodiscover.firma.de, alternativ ein Wildcard-Zertifikat.
  2. Anforderung bei einer öffentlichen Zertifizierungsstelle einreichen und die Antwort mit Import-ExchangeCertificate auf dem Server abschließen.
  3. Zertifikat mit Enable-ExchangeCertificate den Diensten IIS und SMTP zuweisen; bei mehreren Servern auf jedem Server importieren.
  4. Im Hybridbetrieb Connectoren in Exchange Online und lokal über den HCW auf das neue Zertifikat aktualisieren.
  5. Das Auth-Zertifikat separat überwachen und bei Bedarf mit dem Microsoft-Skript MonitorExchangeAuthCertificate.ps1 erneuern.

Vorteile & Nutzen

  • Verschlüsselte Verbindungen schützen Anmeldedaten und Mailinhalte zwischen Clients und Servern sowie zwischen Mailservern.
  • Ein öffentliches SAN-Zertifikat vermeidet Zertifikatswarnungen bei Outlook und mobilen Geräten.
  • Automatisierte Erneuerung, etwa mit ACME-Skripten, senkt das Risiko eines Ausfalls durch Ablauf.
  • Der Exchange HealthChecker meldet bald ablaufende Zertifikate und fehlerhafte Zuweisungen frühzeitig.

Praxisbeispiel

Ein Großhändler stellt fest, dass sein Exchange-Zertifikat in zwei Wochen abläuft. Die IT erstellt eine neue Anforderung mit den Namen mail und autodiscover, lässt sie bei der Zertifizierungsstelle signieren, importiert das Zertifikat auf beiden Servern der DAG und weist es IIS und SMTP zu. Danach führt sie den HCW erneut aus, damit die Hybrid-Connectoren das neue Zertifikat nutzen, und prüft mit dem HealthChecker alle Server.

Worauf sollte man achten?

  • Ablaufdaten überwachen, etwa per Monitoring oder HealthChecker; öffentliche Zertifikate haben immer kürzere Laufzeiten.
  • Beim Zuweisen für SMTP nicht vorschnell das Standard-SMTP-Zertifikat überschreiben lassen, sonst bricht die interne TLS-Kommunikation.
  • Das Auth-Zertifikat gehört nicht zur normalen Erneuerung, es läuft separat ab und wird auch von der dedizierten Exchange-Hybrid-App genutzt.
  • Interne und externe URLs der virtuellen Verzeichnisse müssen zu den Namen im Zertifikat passen.
  • Private Schlüssel nur geschützt exportieren und die PFX-Datei nach dem Import löschen.

Lizenz & Verfügbarkeit

Für die Zertifikatsverwaltung selbst fallen in Exchange Server keine Lizenzkosten an. Zertifikate öffentlicher Zertifizierungsstellen sind je nach Anbieter kostenpflichtig oder kostenlos (ACME-Anbieter wie Let's Encrypt). Stand: Oktober 2026.

Fazit

Zertifikate sind ein typischer Ausfallgrund bei Exchange. Plane Erneuerungen im Voraus, prüfe nach jeder Änderung die Zuweisung und vergiss das Auth-Zertifikat nicht.

Weiterführende Links

Verwandte Artikel