Microsoft hat ein neues Update für Exchange Server SE veröffentlicht. Es handelt sich dabei nicht um ein Sicherheitsupdate, sondern um ein Funktionsupdate:
Das Mai-2026-Hotfix-Update enthält Funktionen, die den Umstieg der Exchange Server Hybrid Rich Coexistence von Exchange Web Services (EWS) auf REST-basierte Microsoft Graph API-Aufrufe ermöglichen.
Hintergrund
Vor ungefähr einem Jahr hat Microsoft die Sicherheitsänderungen für Exchange Hybrid Deployments angekündigt. Betroffen sind alle Hybrid-Umgebungen, in denen noch Postfächer on-Prem gehostet werden und die „Rich Coexistence“ Features (Frei/Gebucht, MailTips, Profilbilder) zwischen on-Prem und Exchange Online genutzt werden.
Die Umstellung erfolgt in zwei Stufen. Stufe 1 ist seit Oktober 2025 abgeschlossen: Wer Postfächer on-Prem hostet, muss inzwischen die dedizierte Exchange Hybrid App eingerichtet haben, sonst funktioniert Rich Coexistence nicht mehr. Stufe 2 startet jetzt: EWS-Aufrufe werden durch REST-basierte Microsoft Graph API-Aufrufe ersetzt.
EWS in Exchange Online ist abgekündigt (Exchange Online EWS, Your Time is Almost Up). Damit die Rich Coexistence Features weiterhin funktionieren, muss jeder mit Exchange Hybrid — auch wer Stufe 1 schon erledigt hat — das Update für Exchange Server SE installieren und die Berechtigungen der dedizierten Hybrid App auf das granulare Graph API-Modell umstellen.
Deadlines
Die Termine sind eng:
- Oktober 2026: EWS wird in Exchange Online standardmäßig deaktiviert (lässt sich noch aktivieren)
- April 2027: EWS wird in Exchange Online endgültig abgeschaltet
Spätestens bis April 2027 muss die Umstellung abgeschlossen sein, sonst funktioniert die Rich Coexistence nicht mehr.
Exchange Server 2016 / 2019
Für Exchange Server 2016 und 2019 wird es dieses Update nicht geben, daher wird bald keine Exchange Rich Coexistence mehr möglich sein. Die Migration zu Exchange Online / Office 365 könnte dann schwieriger werden. Bis April 2027 müssen die Exchange 2016 / Exchange 2019 Server dann spätestens auf Exchange SE aktualisiert werden (Der Support ist ja bereits ausgelaufen):
Kurze Frage in die Runde, gibt`s hier noch wen der ein Exchange an meheren Tenants laufen hat?
Das ConfigureExchangeHybridApplication.ps1 Skript ist nicht für Multitenant-Betrieb ausgelegt.
Das Skript dürchläuft nicht die Konfig für alle registrierten Tenants?
Hat irgendwer ein Tip für mich?
Ich hatte noch keine Zeit, mir das aktuelle Skript anzuschauen. Ich kann dir aber sagen, was es damals war. Das hatte ich übrigens im Juli 2025 auch an die Feedback-Adresse von dem Skript geschickt, aber nie eine Antwort erhalten.
.\ConfigureExchangeHybridApplication.ps1 -ConfigureAuthServer -ConfigureTargetSharingEpr -EnableExchangeHybridApplicationOverride -CustomAppId „“ -TenantId „“ -RemoteRoutingDomain „.mail.onmicrosoft.com“
We have a multi-tenant hybrid organization. I could run the script successfully for the first tenant, but the second tenant gave the error „We couldn’t find any domain which is configured as Remote Routing Domain and can’t continue“ (script line 5384).
I could track the error back to line 5.360: $targetDeliveryDomains = Get-RemoteDomain | Where-Object {$_.TargetDeliveryDomain -eq $true
I could solve the error by setting TargetDeliveryDomain:$true for the remotedomain for the second tenant. But that set the property for the remotedomain of the first tenant to false.
The problem is, that ONLY ONE remotedomain can have the property TargetDeliveryDomain set to true! So the check will not work for environments with multiple tenants. One has to manual pass on the property from one domain to the next, to be able to run the script for a given remotedomain/tenant.
@Norbert: DANKE!
JETZT steht es (oder JETZT sehe ich es) auch im Exchange Team Blog:
„Note that if you ran the script in the past, you need to re-run it again after installing the new update to activate new functionality.“
Updates to this post:
5/8/2026: Clarified that the script needs to be re-run to enable new functionality (Step 2 above) even if it was ran in the past already.
Wobei ich mich frage:
Wenn man das Script jetzt ohnehin noch mal laufen lassen muss, warum sollte man es dann eigentlich vor geraumer Zeit schon so dringend laufen lassen?!
Grüße,
was passiert bei reinen On Prem Installationen?
Muss noch mehr gemacht werden nach der HU Installation?
Vielen Dank
Reine On-Prem Installationen (also keinerlei Hybridstellung mit M365) brauchen das Update theoretisch nicht mal installieren, da es keine Sicherheitsfixes enthält, sondern nur die Umstellung auf die neue API.
Beim nächsten regulären Update werden die Änderungen des HU zudem mit enthalten sein.
thx
Wie sieht es mit der angekündigten neuen Lizensierung aus – ändert sich hierbei im Funktionsupdate schon etwas oder funktionieren die 2019er Exchange Keys noch?
ne, alles beim alten
Neue Keys sollte es ursprünglich mit Erscheinen von SE geben, wurde aber der „Migrationsszenarien“ zuliebe verschoben. Aktuell habe ich CU2 im Hinterkopf:
https://techcommunity.microsoft.com/blog/exchange/exchange-server-subscription-edition-se-is-now-available/4424924
„Future Exchange SE CUs will also modernize installation prerequisites, start requiring Exchange SE server keys, and bring new features.“
Es geht aber auf jeden Fall um CU und nicht wie hier im Thema um HU.
Keine Probleme nach Update. Schaut alles gut aus
Hallo zusammen!
Ich stolpere über
„muss jeder mit Exchange Hybrid — auch wer Stufe 1 schon erledigt hat — das Update für Exchange Server SE installieren
>>und die Berechtigungen der dedizierten Hybrid App auf das granulare Graph API-Modell umstellen.<<"
Was ist denn mit dem markierten Satzteil gemeint?
Oder ist das doppelt gemoppelt und meint lediglich die Aktionen aus Stufe 1?
Danke!
Ich „vermute“ (mir ist das auch etwas sehr schwammig bei MS), dass das ursprüngliche Ausführen des Skripts (ConfigureExchangeHybridApplication.ps1) https://learn.microsoft.com/en-us/Exchange/hybrid-deployment/deploy-dedicated-hybrid-app ausreicht, weil es sowohl die EWS Api als auch die Graph Api Permissions setzt. Deswegen gibts dort nämlich den Hinweis:
„To remove specific API permissions from the dedicated Exchange hybrid application in Entra ID, use the RemoveApiPermissions parameter. This command can be executed on a non-Exchange server. Supported values for the RemoveApiPermissions parameter are EWS and Graph. The EWS value removes the full_access_as_app permission, while the Graph value removes the Graph API permissions.“
und auch in der FAQ:
❓ We have concerns with the dedicated Exchange hybrid app script assigning too many EWS permissions to the new dedicated application.
Starting with the May 2026 Hotfix Update, Exchange Server can use Graph API for majority of the hybrid features. There are still some features that require EWS permissions, because they aren’t yet supported with Graph API yet. If you rely on any of those features, you need to keep the EWS permissions assigned to the dedicated Exchange hybrid app until all features are supported with Graph API. If you don’t use any of those features, you can remove the EWS permissions and use less permissive Graph API permissions for the dedicated Exchange hybrid app. More information can be found in the Configure Graph API permissions section of this documentation.
HTH
Norbert
Ich ergänze mich mal, weil Jan mir das grad noch verlinkt hat:
https://www.mcseboard.de/topic/232554-mai-2026-hu-f%C3%BCr-exchange-se-verf%C3%BCgbar/#comment-1480526
Enable the feature after using HCW
If you used the Hybrid Configuration wizard (HCW) to configure the dedicated Exchange Hybrid application, you must run the New-SettingOverride cmdlet to enable the feature for your on-premises Exchange Server organization. Execute the following command from an elevated Exchange Management Shell (EMS):
New-SettingOverride -Name „EnableExchangeHybrid3PAppFeature“ -Component „Global“ -Section „ExchangeOnpremAsThirdPartyAppId“ -Parameters @(„Enabled=true“) -Reason „Enable dedicated Exchange hybrid app feature“
Get-ExchangeDiagnosticInfo -Process Microsoft.Exchange.Directory.TopologyService -Component VariantConfiguration -Argument Refresh
Und noch eine Ergänzung. Einfach das Skript nochmal mit -FullyConfigureExchangeHybridApplication ausführen.
Do you want to configure Graph API permissions in addition to EWS permissions?
Do you want the script to add the missing permissions and request admin consent?
[Y] Yes [N] No: y
Do you want to grant the following Graph permission to all accounts in your tenant?
– MailTips.ReadBasic.All (Application)
– Calendars.Read (Application)
– ProfilePhoto.Read.All (Application)
– MailboxSettings.Read (Application)
This action will update any existing admin consent records for this application.
[Y] Yes [N] No: y
Performing operation: CreateSettingOverride
WARNUNG: The following Setting Override(s) already exist:
[Setting Override] Name: ‚EnableExchangeHybrid3PAppFeature‘ Feature enabled? ‚true‘
The script will now attempt to create the missing Setting Override. If you want to remove the existing one(s) instead, run:
WARNUNG: Get-SettingOverride | Where-Object {$_.ComponentName -eq „Global“ -and $_.SectionName -eq
„ExchangeOnpremAsThirdPartyAppId“} | Remove-SettingOverride -Confirm:$false
Also alles automatisch mit ein paar Rückfragen. :)