Exchange Hybrid: SOA-Transfer – Postfach-Attribute endlich in der Cloud verwalten

Wer Exchange Hybrid betreibt und alle Postfächer längst in Exchange Online hat, kennt das Dilemma: Für die Verwaltung der Exchange-Attribute von synchronisierten Benutzern braucht es weiterhin einen lokalen Exchange Server – den berüchtigten Last Exchange Server (LES). Attribute wie E-Mail-Adressen oder CustomAttributes werden on-prem gepflegt und per Entra Connect in die Cloud synchronisiert. Microsoft bietet nun einen Ausweg: Mit dem Source of Authority (SOA) Transfer wandert die Verwaltungshoheit für Exchange-Attribute in die Cloud – pro Postfach oder gleich für den ganzen Tenant. Schauen wir genauer hin.

Was der SOA-Transfer macht

Der SOA-Transfer trennt die Zuständigkeiten sauber auf: Die Identitätsattribute (Name, UPN, Abteilung, Telefonnummern usw.) bleiben im lokalen Active Directory und werden weiterhin synchronisiert. Die Exchange-Attribute (E-Mail-Adressen, CustomAttributes, HiddenFromAddressListsEnabled, Weiterleitungen usw.) hingegen werden nach dem Transfer direkt in Exchange Online verwaltet – per EXO PowerShell, Exchange Admin Center oder Microsoft 365 Admin Center.

Gesteuert wird das über eine neue Postfach-Eigenschaft: IsExchangeCloudManaged. Steht sie auf true, ignoriert Exchange Online die Exchange-Attribute aus der on-prem-Synchronisation und erlaubt die direkte Bearbeitung in der Cloud.

Exchange Online EWS Retirement: Die wichtigste Frist endet bereits im August 2026

Exchange Web Services (EWS) begleitet uns seit Exchange 2007. Unzählige Backup-Lösungen, Migrationstools, Archivierungssysteme und selbst geschriebene Skripte nutzen die Schnittstelle bis heute. Damit ist bald Schluss: Ab dem 1. Oktober 2026 beginnt Microsoft, EWS in Exchange Online schrittweise zu deaktivieren. Am 1. April 2027 wird die Schnittstelle endgültig und unwiderruflich abgeschaltet. Wer jetzt nicht handelt, riskiert ab Oktober einen Betriebsunterbruch. Die wichtigste Deadline liegt dabei nicht im Oktober, sondern bereits Ende August 2026.

Warum Microsoft EWS abschaltet

Bereits 2018 kündigte Microsoft an, dass EWS keine neuen Funktionen mehr erhält. 2023 folgte die Ankündigung der Abschaltung in Exchange Online. Der Sicherheitsvorfall Midnight Blizzard im Januar 2024, bei dem Angreifer unter anderem EWS missbrauchten, hat die Dringlichkeit nochmals erhöht. Seither entfernt Microsoft EWS-Abhängigkeiten auch aus den eigenen Produkten wie Outlook, Teams und Dynamics 365. Der Nachfolger ist die Microsoft Graph API mit moderner Authentifizierung und granularen Berechtigungen.

Wichtig: Betroffen ist nur Exchange Online. An EWS in Exchange Server (on-premises) ändert sich nichts.

Zero-Hour Auto Purge (ZAP): Der stille Helfer in Exchange Online

Eine Phishing-Mail passiert morgens um 8 Uhr den Filter, weil der Link dahinter noch harmlos ist. Um 11 Uhr schalten die Angreifer die Zielseite scharf, und die Mail liegt längst im Postfach. Genau für dieses Szenario gibt es in Exchange Online eine Funktion, die kaum jemand auf dem Radar hat: Zero-Hour Auto Purge (ZAP). Sie räumt bereits zugestellte Nachrichten nachträglich weg, ist in jeder Cloud-Mailbox enthalten und braucht keine Zusatzlizenz. Trotzdem wird sie oft unabsichtlich ausgehebelt. Schauen wir genauer hin.

Was ZAP macht

Klassische Filterung entscheidet einmal, im Moment der Zustellung. ZAP arbeitet danach weiter: Der Dienst gleicht bereits zugestellte Nachrichten laufend mit den aktualisierten Spam-, Phishing- und Malware-Erkennungen ab. Wird eine Mail nachträglich als bösartig eingestuft, verschiebt ZAP sie automatisch in den Junk-Ordner oder in die Quarantäne. Das Zeitfenster umfasst die letzten 48 Stunden nach der Zustellung, und auch der Ordner «Gelöschte Elemente» wird berücksichtigt. Die Benutzer merken davon nichts; es gibt keine Benachrichtigung. ZAP gehört zu den Bordmitteln von Exchange Online Protection, also zur Stufe 1 der drei Schutzstufen, die ich im letzten Beitrag beschrieben habe.

Die vier Varianten im Überblick

Microsoft 365 Preisänderung per 1. Juli 2026: Defender for Office 365 Plan 1 neu in E3 enthalten

Seit dem 1. Juli 2026 gelten neue Listenpreise für Microsoft 365. Die Erhöhungen sind bitter: je nach Plan von 5 Prozent (Microsoft 365 E5) bis zu 43 Prozent bei den Frontline-Plänen, angekündigt bereits am 4. Dezember 2025. Spannender als die Prozente ist aber, was Microsoft im Gegenzug in die Suiten packt. Für die E-Mail-Sicherheit sticht eine Änderung heraus: Defender for Office 365 Plan 1 ist neu ohne Aufpreis in Microsoft 365 E3 und Office 365 E3 enthalten. Grund genug, die Preisänderung und die drei Schutzstufen für Exchange Online genauer anzuschauen.

Die neuen Listenpreise per 1. Juli 2026

Microsoft hat bisher nur die USD-Listenpreise offiziell publiziert (pro Benutzer und Monat, Annual Commitment). Bestandskunden bleiben bis zu ihrer nächsten Verlängerung auf den bisherigen Preisen.

Plan	Alt	Neu	Änderung
Microsoft 365 Business Basic	$6.00	$7.00	+16%
Microsoft 365 Business Standard	$12.50	$14.00	+12%
Microsoft 365 Business Premium	$22.00	$22.00	unverändert
Office 365 E3	$23.00	$26.00	+13%
Office 365 E5	$38.00	$41.00	+8%
Microsoft 365 E3	$36.00	$39.00	+8%
Microsoft 365 E5	$57.00	$60.00	+5%
Microsoft 365 F1 / F3	$2.25 / $8.00	$3.00 / $10.00	+33% / +25%

Bemerkenswert: Die «ohne Teams»-Varianten steigen prozentual stärker (Microsoft 365 E3 ohne Teams +11%, E5 ohne Teams +6%). Das betrifft auch Schweizer Kunden, da Microsoft die Teams-Entbündelung hier ebenfalls anbietet; auf microsoft.com heissen diese Pläne «EWR (ohne Teams)».

Das Packaging-Update: Diese Funktionen kommen dazu

Microsoft begründet die Erhöhung mit einer Wertsteigerung der Suiten. Der Rollout der neuen Funktionen läuft seit Juni 2026 und soll bis am 1. August 2026 abgeschlossen sein; Tenants erhalten 30 Tage vorher eine Ankündigung im Message Center. Für E-Mail-Administratoren relevant: