Zugriff über EWS mit einem Admin-Konto
Für die Migration verbinden wir uns mit den Exchange Web Services (EWS) Ihres Servers, also dem Endpunkt, den auch Outlook Anywhere und viele Drittanwendungen verwenden. Dafür benötigen wir ein Dienstkonto mit der Rolle ApplicationImpersonation (bzw. entsprechenden Impersonation-Rechten), mit dem sich alle Postfächer öffnen lassen, ohne dass Nutzer ihre Passwörter herausgeben. Der EWS-Endpunkt muss von unseren Servern aus erreichbar sein: entweder über die bestehende externe Veröffentlichung (meist dieselbe Adresse wie Outlook im Web) oder, falls EWS nicht nach außen veröffentlicht ist, über eine Freigabe für unsere festen IP-Adressen oder einen VPN-Zugang. Das klären wir vor dem Angebot, damit es am Starttag keine Überraschung gibt.
Die Zugangsdaten des Dienstkontos liegen verschlüsselt in unserem Schlüsseltresor und werden nach Abschluss gelöscht; das Konto können Sie anschließend deaktivieren. Auf Clients wird nichts installiert, am Exchange selbst werden keine Daten verändert.
Unterstützt werden Exchange Server 2016, 2019 und die Subscription Edition. Für die Firewall-Freigabe des EWS-Endpunkts erhalten Sie von uns eine feste Quell-IP-Adresse, von der aus unsere Migrationsserver zugreifen.
Mehr als Mail: Kalender, Kontakte und öffentliche Ordner
Im Festpreis enthalten ist die Übertragung aller E-Mails mit vollständiger Ordnerstruktur in die Exchange-Online-Postfächer der Nutzer. Anders als bei IMAP-Quellen sind in Exchange auch Kalender (inklusive Serienterminen) und Kontakte im Postfach gespeichert; diese übernehmen wir auf Anfrage, der Aufwand wird nach der Discovery kalkuliert und im Angebot ausgewiesen. Dasselbe gilt für öffentliche Ordner, die in Exchange Online entweder als moderne öffentliche Ordner, als freigegebene Postfächer oder als SharePoint-Bibliotheken ein neues Zuhause bekommen; welche Variante sinnvoll ist, hängt von Nutzung und Größe ab.
Nicht automatisch übertragen werden Postfach-Berechtigungen und Stellvertretungen, „Senden als“-Rechte, Posteingangsregeln, Kategorien und der Lesestatus; migrierte Mails erscheinen in Exchange Online als ungelesen. Serientermin-Ausnahmen und sekundäre Kalender in Microsoft 365 benötigen eine manuelle Nachkontrolle. Alle diese Punkte stehen im Discovery-Bericht vor und im Abschlussbericht nach der Migration, sodass Sie wissen, was in Phase 6 nachzuarbeiten ist. Auch Verteilergruppen und freigegebene Postfächer erfassen wir in der Discovery und legen sie im Ziel entsprechend an.
Cutover statt Hybrid: der schlanke Weg
Microsoft bietet für Exchange-Migrationen die Hybridbereitstellung an, die beide Umgebungen über Wochen verbindet. Für die meisten kleinen und mittleren Umgebungen ist das mehr Infrastruktur, als nötig ist. Unser Vorgehen ist ein geplanter Cutover: Die Nutzer existieren im Tenant (bei Bedarf synchronisiert aus Ihrem Active Directory oder direkt in Entra ID angelegt), die Postfächer werden im Hintergrund aus dem Exchange Server befüllt, während alle weiter mit dem alten Server arbeiten, und zum Stichtag wird die Zustellung umgeschaltet. Der Delta-Sync holt nach, was bis dahin noch auf dem alten Exchange eingegangen ist.
Zwei Dinge sind bei Exchange im Haus besonders: Die Geschwindigkeit hängt von Ihrer Internetanbindung und der Leistung des Servers ab, nicht von einem Hoster-Limit; wir takten die Parallelität entsprechend. Und die Outlook-Profile müssen nach dem Cutover auf das neue Postfach zeigen. Da Microsoft 365 Autodiscover nutzt, genügt in der Regel ein Neustart von Outlook mit anschließender Anmeldung; wo Profile fest verdrahtet sind, hilft eine kurze Anleitung oder Ihre interne IT.
DNS und Autodiscover beim Stichtag
Vor der Migration wird Ihre Domain in Microsoft 365 hinzugefügt und per TXT-Eintrag bestätigt; die MX-Einträge bleiben bis zum Stichtag auf Ihrem Exchange bzw. dem vorgeschalteten Spamfilter oder Gateway. Am Stichtag ändern Sie in der DNS-Verwaltung Ihrer Domain den MX auf ihredomain-de.mail.protection.outlook.com, passen SPF auf include:spf.protection.outlook.com an und aktivieren DKIM und DMARC. Entscheidend ist bei Exchange der Autodiscover-Eintrag: Bisher zeigt er auf Ihren Server, damit Outlook das Postfach dort findet. Er muss als CNAME auf autodiscover.outlook.com umgestellt werden, und zwar auch im internen DNS Ihres Netzwerks, sonst finden Clients im Büro weiterhin den alten Server. Vorhandene SRV-Einträge für Autodiscover sind zu entfernen.
Nutzen Sie ein Mail-Gateway oder einen Spamfilter vor dem Exchange, der weiterhin verwendet werden soll, bleibt der MX dort; dann ändert sich nur das Weiterleitungsziel des Gateways auf Exchange Online. Wir senken die TTL der betroffenen Einträge im Vorfeld, kontrollieren nach der Umstellung die Sichtbarkeit und starten dann den Delta-Sync. Der allgemeine Ablauf ist im Ratgeber MX-Umstellung ohne Ausfall beschrieben.
Ablauf und Festpreis für On-Premises-Quellen
Der Umzug folgt den sechs Phasen unter /ablauf, beginnend mit dem Erstgespräch und der Einrichtung des EWS-Zugangs, gefolgt von der automatischen Discovery (Postfächer, Größen, Ordner, Kalender, Kontakte, Gruppen, öffentliche Ordner), dem Festpreis-Angebot, einer Testmigration mit einzelnen echten Postfächern, der Hintergrundübertragung, dem Cutover mit Delta-Sync und der Validierung je Postfach und Ordner mit Abschlussbericht.
Für On-Premises-Quellen beträgt die Projektpauschale 300 € statt 200 €, weil Zugang, Firewall und Autodiscover mehr Einrichtung erfordern. E-Mails kosten 29 € je Postfach; 25 Exchange-Postfächer mit E-Mails ergeben 1.025 € netto, 50 Postfächer mit 10 % Rabatt 1.605 € netto. Kalender, Kontakte und öffentliche Ordner werden nach Aufwand angeboten und im Angebot separat ausgewiesen. Microsoft-365-Lizenzen sind nicht enthalten. Eine erste Indikation liefert der Preisrechner mit Quelle Exchange; Details zur Leistung auf der Seite Exchange-Migration.
Alten Exchange abschalten: erst nach dem Abschlussbericht
Schalten Sie den Exchange Server nicht am Cutover-Tag ab. Bis zum Abschlussbericht brauchen wir Lesezugriff für Delta-Sync und Validierung, und Ihre Nutzer können bei Rückfragen noch hineinschauen. Nach der Freigabe empfiehlt sich eine Übergangszeit, in der der Server läuft, aber keine Mail mehr empfängt. Erst dann folgen das Außerbetriebnehmen, ein letztes Backup und das Entfernen der Exchange-Organisation aus dem Active Directory, soweit Sie kein Hybrid-Szenario für die Attributverwaltung behalten möchten. Diese Schritte liegen bei Ihrer internen IT oder Ihrem Systemhaus; wir dokumentieren im Abschlussbericht, was übertragen wurde und was manuell nachzuziehen war.
Quellen & weiterführende Dokumentation
- Microsoft Learn: Entscheiden für einen Migrationspfad in Exchange Online — Übernahme-, gestaffelte und Hybridmigration als Microsofts eigene Wege
- Microsoft Learn: Erste Schritte mit Webdiensten in Exchange — Exchange Web Services (EWS), über die Postfächer ausgelesen werden
- Microsoft Learn: AutoErmittlungsdienst in Exchange Server — Rolle von Autodiscover beim Verbinden der Outlook-Clients
- Microsoft Lifecycle: Exchange Server 2016 — Supportende von Exchange Server 2016
- Microsoft Lifecycle: Exchange Server 2019 — Supportende von Exchange Server 2019
