Sie wollen Ihre Postfächer von einem Hosted Exchange zu Microsoft 365 umziehen, und Ihr bisheriger Anbieter stellt sich quer. Einen Administratorzugang zum Exchange gibt es nicht, eine direkte Migration bietet er auch nicht an. Genau diese Situation hatten wir gerade bei einem Umzug von knapp 50 Postfächern. Am Ende hat alles funktioniert, aber an einigen Stellen deutlich mehr Arbeit gekostet als geplant. Hier sind unsere Erfahrungen, damit Sie besser vorbereitet sind.

Warum oft nur IMAP bleibt

Bei einem Hosted Exchange teilen sich viele Kunden einen Exchange-Server beim Anbieter. Sie bekommen Postfächer, aber keine Administratorrechte auf dem Server. Für den Umzug von Exchange zu Microsoft 365 sieht Microsoft eigentlich die Cutover-, Express- oder Hybrid-Migration vor. Damit ziehen E-Mails, Kalender und Kontakte in einem Rutsch um. Diese Verfahren setzen aber Zugriff als Administrator auf den Quell-Exchange voraus. Ohne diesen Zugang bleibt in der Regel nur die Migration per IMAP, dem Standardprotokoll zum Abrufen von E-Mails.

Die IMAP-Migration ist im Exchange Admin Center von Microsoft 365 eingebaut und kostet nichts extra. Sie hat aber klare Grenzen, die Microsoft selbst dokumentiert:

Es werden nur E-Mails aus dem Posteingang und den Mailordnern übertragen. Kontakte, Kalender und Aufgaben bleiben zurück.
Pro Postfach lassen sich höchstens 500.000 Elemente übertragen, die neuesten zuerst.
Einzelne Mails dürfen höchstens 35 MB groß sein.
Die Postfächer in Microsoft 365 müssen vorher angelegt und lizenziert sein.
Nach dem ersten Durchlauf gleicht Microsoft die Postfächer etwa einmal am Tag ab.

Kalender und Kontakte müssen Sie also auf anderem Weg mitnehmen, zum Beispiel per Export aus Outlook in eine PST-Datei und Import in das neue Postfach. Planen Sie das pro Benutzer ein.

Die Passwörter: der mühsamste Teil

Für jedes Postfach braucht die Migration Benutzername und Passwort des alten Kontos. Microsoft erwartet dafür eine CSV-Datei mit den Spalten EmailAddress, UserName und Password. Bei Exchange gibt es zwar ein Format, mit dem ein Administratorkonto auf alle Postfächer zugreift, nämlich Domäne/Admin-Benutzer/Benutzer. Das setzt aber voraus, dass der Anbieter ein solches Konto mit Vollzugriff einrichtet. Darauf würden wir uns nicht verlassen.

Bleibt also der Weg über die Passwörter der Benutzer. In der Praxis kennt sie kaum jemand. Outlook und Smartphone haben sie vor Jahren gespeichert, und seitdem hat niemand sie mehr eingegeben. Die Passwörter müssen deshalb zurückgesetzt werden. Microsoft weist darauf hin, dass Benutzer ohne das neue Passwort ihr altes Postfach dann nicht mehr erreichen. Konkret heißt das: Sobald Sie ein Passwort zurücksetzen, fragen Outlook und das Diensthandy nach dem neuen Kennwort.

Bei knapp 50 Postfächern ist das ein eigenes kleines Projekt. Bewährt hat sich bei uns:

Passwörter abteilungsweise und zu einem festen Termin zurücksetzen, nicht alle auf einmal.
Den Benutzern vorher sagen, dass Outlook und Handy kurz nach einem neuen Passwort fragen.
Die CSV-Datei mit allen Passwörtern nur verschlüsselt ablegen und nach der Migration löschen. Sie enthält Zugangsdaten zu sämtlichen Postfächern.
Prüfen, ob der Anbieter die Zahl gleichzeitiger IMAP-Verbindungen begrenzt. Microsoft empfiehlt, solche Grenzen für die Migration anzuheben.

Outlook-Regeln: Export ja, Funktion nur teilweise

Viele Benutzer haben über die Jahre Dutzende Regeln angelegt, die Mails sortieren oder weiterleiten. Diese Regeln wandern bei einer IMAP-Migration nicht mit. Das klassische Outlook für Windows kann Regeln aber exportieren: unter Datei, Regeln und Benachrichtigungen verwalten, Optionen, Regeln exportieren. Es entsteht eine Datei mit der Endung .rwz, die Sie im neuen Postfach wieder importieren. Laut Microsoft gibt es diese Funktion nur im klassischen Outlook.

Unsere Erfahrung: Der Import klappt, aber viele Regeln funktionieren danach nicht richtig. Regeln, die Mails in einen bestimmten Ordner verschieben, zeigen auf falsche oder nicht vorhandene Ordner, obwohl der Ordner im neuen Postfach gleich heißt. Ähnlich ist es bei Bedingungen mit Personen, etwa „von Person X“. Offenbar ordnet Outlook die Ordner und Kontakte beim Import nicht über ihren Namen neu zu. Eine genaue Erklärung dazu haben wir bei Microsoft nicht gefunden. Auch der Softwarehersteller CodeTwo weist aber darauf hin, dass Zielordner nach dem Import neu ausgewählt werden müssen.

Am Ende mussten die meisten Regeln neu angelegt oder zumindest einzeln nachbearbeitet werden. Unser Rat: Lassen Sie jeden Benutzer vor dem Umzug seine wichtigen Regeln notieren oder abfotografieren. Und nutzen Sie die Gelegenheit zum Aufräumen. Viele alte Regeln braucht ohnehin niemand mehr.

Geräte und Programme, die selbst Mails verschicken

Der Punkt, der am leichtesten übersehen wird: In fast jeder Firma verschicken Geräte und Programme automatisch E-Mails. Der Scanner schickt Dokumente als Anhang, die Warenwirtschaft verschickt Rechnungen, die Praxissoftware Terminerinnerungen. Dazu kommen NAS, USV, Backup-Software, Firewall und das Kontaktformular der Website. All diese Systeme sind auf den SMTP-Server des alten Anbieters eingestellt. Wird dort das Konto gelöscht, verstummen sie, oft ohne dass es jemand merkt.

Erstellen Sie deshalb vor dem Umzug eine Liste aller Systeme, die Mails senden. Notieren Sie pro System den Absender, den Server, den Port, die Verschlüsselung und das verwendete Konto. Gehen Sie dafür alle Geräte und Programme durch und fragen Sie in den Abteilungen nach. In unserem Projekt kam dabei eine ganze Reihe solcher Systeme zusammen.

Warum ältere Geräte an Microsoft 365 scheitern

Microsoft bietet für solche Geräte drei Wege an, und jeder hat Bedingungen:

SMTP AUTH: Das Gerät meldet sich mit einem lizenzierten Postfach an, über Port 587 mit TLS 1.2 oder 1.3. TLS ist die Verschlüsselung der Verbindung. Bei Microsoft-365-Umgebungen, die nach Januar 2020 angelegt wurden, ist SMTP AUTH standardmäßig aus. Die Anmeldung mit einfachem Benutzernamen und Passwort will Microsoft Ende Dezember 2026 für bestehende Umgebungen standardmäßig abschalten. Administratoren können sie dann zwar wieder einschalten, aber ein endgültiges Abschaltdatum soll im zweiten Halbjahr 2027 folgen.
SMTP-Relay über einen Connector: Microsoft 365 erkennt Ihr Gerät an Ihrer festen öffentlichen IP-Adresse oder an einem Zertifikat. Auch hier verlangt Microsoft TLS 1.2 oder 1.3 und Port 25. Eine IP-Adresse muss fest sein und darf nicht mit anderen Organisationen geteilt werden.
Direct Send: Zustellung ohne Anmeldung, aber nur an Empfänger in Ihrer eigenen Microsoft-365-Umgebung. Externe Empfänger erreichen Sie so nicht. Microsoft arbeitet zudem an einer Option, Direct Send standardmäßig abzuschalten.

Ältere Scanner oder Programme beherrschen oft weder TLS 1.2 noch eine moderne Anmeldung. Ein Hinweis von Microsoft hilft bei der Einschätzung: Bietet ein Gerät nur Port 465 an, unterstützt es die nötigen TLS-Versionen für SMTP AUTH nicht.

Die Lösung: ein eigenes Mail-Relay mit Postfix

Microsoft selbst empfiehlt für solche Fälle einen eigenen Mailserver im Firmennetz, der die Mails annimmt und weiterreicht. Den SMTP-Dienst aus dem Windows Server sollten Sie dafür nicht nehmen. Laut Microsoft ist Windows Server 2022 die letzte Version mit dieser Funktion, und für die Weiterleitung an Microsoft 365 wird er nicht unterstützt.

Wir haben stattdessen ein Relay mit Postfix aufgebaut, einem bewährten Mailserver für Linux. Die alten Geräte liefern ihre Mails dort ab, so wie sie es von ihrem bisherigen Mailserver gewohnt sind. Postfix nimmt nur Mails von festgelegten internen Adressen an und reicht sie verschlüsselt an Microsoft 365 weiter. Dort erkennt ein Connector das Relay an der festen IP-Adresse der Firma oder an einem Zertifikat. Nehmen Sie außerdem die IP-Adresse in den SPF-Eintrag Ihrer Domain auf. Sonst landen die Mails beim Empfänger womöglich im Spam.

So ein Relay braucht wenig Ressourcen, aber Pflege und Updates wie jeder andere Server. Wenn Sie dafür Unterstützung suchen, finden Sie auf unserer Seite zu Linux-Lösungen mehr dazu.

Checkliste für Ihren Umzug

Beim Anbieter klären, ob ein Administratorzugang oder ein Exchange-Export möglich ist. Erst wenn nicht, auf IMAP setzen.
Alle Postfächer, Verteiler und freigegebenen Postfächer erfassen und in Microsoft 365 anlegen.
Alle Systeme auflisten, die automatisch Mails senden, und für jedes den neuen Versandweg festlegen.
Kalender und Kontakte pro Benutzer sichern.
Outlook-Regeln dokumentieren lassen.
Passwörter in Etappen zurücksetzen und die Benutzer vorher informieren.
Die Gültigkeitsdauer (TTL) des MX-Eintrags vorher auf eine Stunde oder weniger senken, damit die Umstellung schnell greift.
Nach der Umstellung des MX-Eintrags laut Microsoft mindestens 72 Stunden warten, bevor Sie die Synchronisation beenden.

Muss es Microsoft 365 sein?

Nicht jede Firma braucht für E-Mail gleich Microsoft 365. Wenn es Ihnen vor allem um zuverlässige Postfächer mit Spamschutz und täglicher Sicherung geht, kann auch unser Mailhosting passen. Gerade Pflegedienste und Arztpraxen sollten diese Frage beim Datenschutz bewusst stellen.

Sie planen einen Umzug Ihrer Postfächer und wollen die Stolpersteine vorher kennen? Sprechen Sie uns an, wir teilen gern unsere Erfahrungen aus dem letzten Projekt.

Hosted Exchange zu Microsoft 365 Umzug