Exchange Admin API: Microsoft setzt Umstellungsfrist auf 30. November
Veröffentlicht am: 06.11.2026 um 21:33 Uhr | Redaktion boerse-global.de
Microsoft hat tiefgreifende Änderungen an den Berechtigungen für die Exchange Online Admin API v2.0 angekündigt. Im Rahmen dieser Aktualisierung werden zwei bisherige Berechtigungen vollständig abgelöst: Die delegierte Berechtigung Exchange.ManageV2 weicht künftig der neuen Kennung Exchange.AdminAPI.Manage. Für reine Anwendungsberechtigungen wird Exchange.ManageAsAppV2 durch Exchange.AdminAPI.ManageAsApp ersetzt.
Seit dem 1. November 2026 stehen die neuen Berechtigungen für die Exchange Online Admin API v2.0 weltweit zur Verfügung. Für IT-Abteilungen und Administratoren drängt nun die Zeit: Microsoft hat als Frist für die Umstellung den 30. November 2026 festgesetzt. Anwendungen und Skripte, die bis zu diesem Stichtag nicht migriert wurden, verlieren ihren Zugriff auf die Programmierschnittstelle.
Zeitplan für die weltweite Deaktivierung
Die Abschaltung der Altberechtigungen erfolgt gestaffelt. Unmittelbar nach Ablauf der Übergangsfrist beginnt Microsoft am 1. Dezember 2026 weltweit mit der Deprecation der bisherigen Berechtigungen. Für Kunden in speziellen Regierungsumgebungen – namentlich GCC, GCC High und DoD – startet dieser Abschaltungsprozess etwas später am 1. Januar 2027.
Das Unternehmen informierte Administratoren über diese Anpassungen im Microsoft 365 Message Center unter der Kennung MC1540345. Um Dienstunterbrechungen vorzubeugen, hat der Konzern zudem einen separaten Migrationsleitfaden publiziert. Administratoren sind aufgerufen, die Vorgaben zeitnah zu prüfen, damit eine korrekte Berechtigungskonfiguration ohne Systemausfälle gewährleistet bleibt.
Wer sich mit der Absicherung von Infrastrukturen befasst, muss auch die gesetzlichen Anforderungen an die IT-Sicherheit im Blick behalten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken: Kostenlosen Report anfordern
Notwendige Maßnahmen für IT-Administratoren
Um den reibungslosen Weiterbetrieb sicherzustellen, müssen IT-Verantwortliche mehrere Schritte durchführen. Zunächst gilt es, alle im Unternehmen genutzten Anwendungen zu identifizieren, die derzeit noch auf die alten Berechtigungen zugreifen.
Anschließend müssen die neuen Ersatzberechtigungen in den jeweiligen Entra-App-Registrierungen hinterlegt werden. Im nächsten Schritt ist ein Administrator-Consent (Admin-Consent) für diese Rechte zu erteilen.
Neben der Aktualisierung in Microsoft Entra müssen auch die rollenbasierten Zugriffskontrollen (RBAC) in Exchange Online überprüft werden. Anschließend sollten Administratoren bestehende Workflows, Applikationen und Skripte anpassen und umfassend testen. Sofern Software von Drittanbietern im Einsatz ist, empfiehlt Microsoft, direkt mit den jeweiligen Entwicklern oder Anbietern Kontakt aufzunehmen, um deren Update-Pläne abzustimmen.
IT-Sicherheit lässt sich oft auch ohne massiven Ressourceneinsatz deutlich verbessern, wenn man die richtigen Hebel kennt. Das Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit ohne teure Investitionen stärken
Zusammenspiel mit rollenbasierter Zugriffskontrolle
Microsoft weist in diesem Kontext ausdrücklich darauf hin, dass die neue Programmierschnittstelle das rollenbasierte Zugriffskontrollsystem von Exchange Online nicht ersetzt.
Beide Sicherheitsmechanismen greifen weiterhin ineinander. Das bedeutet für Administratoren, dass selbst bei Vorliegen eines gültigen OAuth-Tokens weiterhin ein HTTP-Fehler 403 Forbidden auftreten kann, falls die zugrunde liegenden Exchange Online RBAC-Rollen für den jeweiligen Benutzer oder die Anwendung nicht passend konfiguriert sind. Eine isolierte Umstellung im Entra-Portal reicht daher nicht zwingend aus, um Zugriffsfehler abzuwenden.
