Exchange Web Services: Microsoft sperrt EWS ab Oktober 2026
Veröffentlicht am: 25.08.2026 um 17:04 Uhr | Redaktion boerse-global.de
Microsoft hat mit der Einführung der Funktion EWSAllowedAppIDs eine neue Möglichkeit zur Verwaltung des Zugriffs auf Exchange Web Services (EWS) in Exchange Online bereitgestellt. Wie das Unternehmen mitteilte, ist dieses Feature bereits seit Ende Juli 2026 verfügbar.
Die Maßnahme ist Teil einer langfristigen Strategie zur Ablösung der EWS-Schnittstelle und soll Administratoren dabei unterstützen, den Übergang zu moderneren Protokollen kontrolliert zu gestalten.
Neuerung in der Zugriffssteuerung seit Juli
Die Einführung von EWSAllowedAppIDs erlaubt es IT-Verantwortlichen, den Zugriff auf EWS auf Basis spezifischer Anwendungs-IDs zu reglementieren. Damit reagiert der Softwarekonzern auf die Notwendigkeit, den Datenverkehr innerhalb von Exchange Online präziser zu steuern, während die veraltete Schnittstelle schrittweise außer Betrieb genommen wird.
Da die Funktion bereits seit einigen Wochen zur Verfügung steht, können Mandanten ihre Konfigurationen schon vor den nächsten einschneidenden Fristen anpassen.
Diese neue Form der Berechtigungsverwaltung dient als Vorbereitung auf tiefgreifende Änderungen in der Infrastruktur von Exchange Online. Microsoft zielt darauf ab, die Sicherheit und Effizienz der API-Nutzung zu erhöhen, indem der allgemeine Zugriff eingeschränkt und stattdessen auf explizite Freigabelisten gesetzt wird.
Zeitplan für das EWS-Retirement
Der Prozess zur endgültigen Einstellung von EWS in Exchange Online folgt einem strikten Zeitplan. Den Planungen zufolge beginnt die offizielle Retirement-Phase am 1. Oktober 2026. Ab diesem Zeitpunkt greifen erste restriktive Maßnahmen für den API-Datenverkehr. Administratoren haben dann noch ein Zeitfenster von sechs Monaten, um ihre Systeme vollständig zu migrieren oder die notwendigen Ausnahmen zu definieren.
Die vollständige Entfernung der EWS-Schnittstelle aus Exchange Online ist für den 1. April 2027 vorgesehen. Nach diesem Datum wird das Protokoll nicht mehr unterstützt, was eine frühzeitige Auseinandersetzung mit alternativen Schnittstellen wie Microsoft Graph unumgänglich macht.
Wer sich mit der Absicherung geschäftskritischer IT-Infrastrukturen befasst, findet in diesem kostenlosen E-Book wertvolle Informationen über aktuelle Bedrohungen und kostengünstige Schutzmaßnahmen. Cyber Security Awareness Trends jetzt kostenlos herunterladen
Technische Auswirkungen ab Oktober 2026
Besondere Aufmerksamkeit erfordert eine Änderung der Standardlogik, die für Oktober 2026 angekündigt wurde. Bisher reichte die Einstellung „EWSEnabled=True“ oft aus, um den Datenverkehr über die Schnittstelle grundsätzlich zu erlauben. Ab Anfang Oktober 2026 wird diese Einstellung jedoch ohne eine zusätzlich konfigurierte Allow-List wirkungslos bleiben.
In der Folge wird sämtlicher EWS-Datenverkehr blockiert, sofern keine explizite Erlaubnis über die neuen App-ID-Listen vorliegt. Eine Ausnahme bildet hierbei lediglich der sogenannte Cross-Tenant-Traffic, also der Datenverkehr zwischen verschiedenen Mandanten, der von dieser spezifischen Blockade zunächst ausgenommen bleibt.
Für interne Anwendungen oder Drittanbieter-Tools, die auf EWS angewiesen sind, bedeutet dies jedoch ein potenzielles Funktionsrisiko, falls die Konfiguration nicht rechtzeitig angepasst wird.
Handlungsbedarf für Administratoren
Aufgrund der bevorstehenden Änderungen sind Administratoren angehalten, eine umfassende Inventarisierung der EWS-Nutzung innerhalb ihrer Mandanten durchzuführen. Es gilt festzustellen, welche Anwendungen und Dienste gegenwärtig noch auf die EWS-API zugreifen und ob diese bereits modernere Standards unterstützen.
Neben technischen Umstellungen müssen Unternehmen auch neue gesetzliche Anforderungen im Blick behalten, um Sicherheitslücken proaktiv zu schließen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen IT-Verantwortliche jetzt kennen müssen. Gratis-Report zu Cyberrisiken und Gesetzen sichern
Um den Betrieb geschäftskritischer Anwendungen über das Datum im Oktober 2026 hinaus sicherzustellen, muss eine entsprechende Allow-List konfiguriert werden. Nur durch die Hinterlegung der rechtmäßigen Anwendungs-IDs in den EWSAllowedAppIDs kann der Zugriff in der Übergangsphase bis zum endgültigen Retirement im Frühjahr 2027 aufrechterhalten werden.
Experten weisen darauf hin, dass die Identifizierung aller genutzten App-IDs in komplexen Umgebungen Zeit in Auftrag nehmen kann und daher zeitnah eingeleitet werden sollte.
