ExchangeServer

Microsoft Hybrid Agent

Allgemeine Infos

Der Microsoft Hybrid Agent ist die Grundlage der Modern-Hybrid-Topologie. Er beruht auf derselben Technik wie der Microsoft Entra Application Proxy und baut nur ausgehende HTTPS-Verbindungen zu Microsoft 365 auf. Exchange Online erreicht über diesen Tunnel den lokalen Exchange-Server, ohne dass EWS und Autodiscover öffentlich veröffentlicht werden müssen.

Über den Agent laufen Free/Busy-Anfragen aus Exchange Online an lokale Postfächer und Postfachmigrationen per MRS in beide Richtungen. Free/Busy in die Gegenrichtung (lokal nach Cloud) läuft nicht über den Agent, dafür brauchen alle Mailbox-Server ausgehenden HTTPS-Zugang zu Microsoft 365. Der Mailflow per SMTP gehört nicht zum Agent und braucht weiterhin ein öffentliches Zertifikat und eine normale Mailflow-Konfiguration.

Grenzen laut Microsoft: Hybrid Modern Authentication, Message Tracking und postfachübergreifende Suche über Umgebungen hinweg funktionieren nur mit Classic Hybrid. In GCC, GCC High und Gallatin ist Modern Hybrid nicht unterstützt. Stand Oktober 2026 dokumentiert Microsoft den Agent ohne Abkündigungshinweis.

Funktionsweise & Details

Installation und Betrieb:

  1. Der Hybrid Configuration Wizard bietet bei der Topologiewahl Modern Hybrid an und installiert den Agent auf dem lokalen Rechner.
  2. Unterstützte Betriebssysteme laut Microsoft: Windows Server 2012 R2, 2016, 2019 und 2022; dazu .NET Framework 4.7.2 oder neuer und aktiviertes TLS 1.2.
  3. Der Agent braucht ausgehend HTTPS (Ports 443 und 80) ins Internet und HTTPS zum ausgewählten Exchange-Server; für den HCW zusätzlich die Ports 5985 und 5986 zum Client-Access-Server.
  4. Der HCW registriert einen Exchange-Server als Ziel; fällt dieser dauerhaft aus, muss der HCW erneut laufen.
  5. Für Ausfallsicherheit installierst Du weitere Agents; ein Proxy wird über die Konfiguration des Agent-Dienstes hinterlegt.

Vorteile & Nutzen

  • Keine eingehenden Firewall-Regeln und keine öffentlich erreichbaren EWS- und Autodiscover-Endpunkte für die Hybridfunktionen.
  • Weniger Zertifikats- und DNS-Anpassungen, deshalb ist Hybrid auch in restriktiven Netzen schnell eingerichtet.
  • Free/Busy aus der Cloud und Postfachmigration laufen über den Tunnel, was einen Cloud-Umzug ohne Reverse Proxy erlaubt.
  • Mehrere Agents lassen sich parallel betreiben und erhöhen die Verfügbarkeit.

Praxisbeispiel

Ein kommunaler Zweckverband darf laut Sicherheitskonzept keine eingehenden Verbindungen zum Exchange-Server zulassen. Die IT wählt im HCW Modern Hybrid, installiert zwei Hybrid Agents auf separaten Servern und migriert die 120 Postfächer ohne Änderung an der Firewall. Weil Message Tracking über beide Umgebungen hinweg nicht über den Agent läuft, nutzt sie für Zustellfragen das lokale Log und die Nachrichtenablaufverfolgung in Exchange Online getrennt.

Worauf sollte man achten?

  • Vor der Wahl prüfen, ob Du Hybrid Modern Authentication brauchst; dafür ist Classic Hybrid nötig.
  • Alle Mailbox-Server brauchen ausgehendes HTTPS zu Microsoft 365, sonst funktioniert Free/Busy von lokal in die Cloud nicht.
  • Proxy und TLS 1.2 vorab testen, die meisten Installationsfehler entstehen dort.
  • Mindestens zwei Agents installieren, damit Migrationen bei einem Ausfall weiterlaufen.
  • Den Agent-Server mit Windows Server 2022 planen, weil Microsoft Windows Server 2025 Stand Oktober 2026 nicht als unterstütztes Betriebssystem für den Agent aufführt.

Lizenz & Verfügbarkeit

Der Hybrid Agent ist kostenlos und Teil der Exchange-Hybridwerkzeuge. Postfächer in Exchange Online benötigen Lizenzen mit Exchange Online, der Agent-Server eine Windows-Server-Lizenz. Stand: Oktober 2026.

Fazit

Der Hybrid Agent ist die richtige Wahl, wenn eingehende Verbindungen tabu sind und Hybrid vor allem der Migration dient. Für dauerhaften Hybridbetrieb mit Hybrid Modern Authentication bleibt Classic Hybrid der Standard.

Weiterführende Links

Verwandte Artikel