Stand: 30. September 2026
Exchange Server Subscription Edition ist für viele Unternehmen die aktuelle On-Premises-Basis für Messaging. Im September 2026 hat Microsoft erneut ein Sicherheitsupdate veröffentlicht, das mehrere Schwachstellen behebt. Für Administratoren ist dabei nicht nur die Installation wichtig. Ebenso entscheidend sind Vorprüfung, Health Check, Hybrid-Abhängigkeiten und ein klarer Plan für bekannte Probleme.
Microsoft nennt für das Security Update vom 8. September 2026 mehrere CVEs. Gleichzeitig dokumentiert der Hersteller bekannte Nebenwirkungen, darunter Probleme mit veröffentlichten Kalendern, Free/Busy in bestimmten Hybrid-Szenarien und einen ContentEngine-Deadlock. Das ist ein gutes Beispiel dafür, warum Exchange-Patching nicht als einfacher Installationsjob behandelt werden sollte.
Warum Exchange-Patches besonders sensibel sind
Exchange sitzt an einer kritischen Schnittstelle zwischen Identität, E-Mail, Kalendern, Mobilgeräten, externen Absendern und häufig auch Microsoft 365. Schon kleine Fehler können sich auf Outlook, OWA, Hybrid-Free/Busy, SMTP-Flows oder Anwendungen auswirken, die Postfächer automatisiert verwenden.
Wer Exchange weiterhin On-Premises betreibt, sollte deshalb Security Updates mit demselben Stellenwert behandeln wie Firewall- oder Identity-Änderungen. Im GORTNET-Beitrag On-Premises & Exchange Server: Warum Sicherheit heute kritisch ist werden die grundlegenden Betriebsrisiken beschrieben.
Vor dem Update: Zustand dokumentieren
Vor jedem Security Update sollte der aktuelle Zustand des Servers dokumentiert werden. Dazu gehören Exchange-Build, Windows-Build, installierte Security Updates, Datenbankstatus, DAG-Zustand, Zertifikate, Queue-Länge, Mailflow, Hybrid-Konfiguration und freier Speicherplatz.
Ein funktionierendes Backup ist selbstverständlich, aber bei Exchange reicht die Aussage „Backup erfolgreich“ nicht aus. Entscheidend ist, ob die Wiederherstellung technisch geprüft wurde und ob die Organisation weiß, welche Recovery-Reihenfolge im Ernstfall gilt.
Exchange Health Checker als Pflichtschritt
Microsoft verweist ausdrücklich auf den Exchange Server Health Checker. Das Tool erkennt typische Fehlkonfigurationen, veraltete Builds, TLS-Probleme, fehlende Security Settings und weitere bekannte Risiken. Sinnvoll ist ein Lauf vor dem Update und ein zweiter direkt danach. So lässt sich unterscheiden, ob eine Warnung bereits vorher existierte oder durch das Update entstanden ist.
Bekannte Probleme im September 2026
Veröffentlichte Kalender
Microsoft dokumentiert, dass veröffentlichte ICS-Kalender unter bestimmten Bedingungen mit HTTP 500 reagieren können. Unternehmen, die Kalender öffentlich oder an externe Systeme verteilen, sollten diesen Pfad nach dem Update gezielt testen.
Hybrid Free/Busy
In bestimmten Exchange-Hybrid-Konfigurationen kann die Verfügbarkeitsabfrage für delegierte Postfächer fehlschlagen, wenn die Umgebung ausschließlich den Graph-basierten Pfad verwendet. Besonders Organisationen mit komplexen Delegationen sollten deshalb nicht nur normalen Mailflow, sondern auch Kalenderfunktionen testen.
ContentEngine-Deadlock
Microsoft nennt außerdem einen möglichen Deadlock im ContentEngine-Kontext. Solche Themen zeigen, warum Monitoring nach dem Patch nicht nur auf den Dienststatus beschränkt sein darf. CPU, Arbeitsspeicher, Eventlogs, Transport Queues und Anwenderfunktionen gehören gemeinsam in den Post-Update-Check.
Ein sinnvoller Patch-Ablauf
1. Change vorbereiten: Wartungsfenster, Verantwortliche, Rollback und Kommunikationsweg definieren.
2. Health Check ausführen: Warnungen dokumentieren und kritische Punkte vor dem Update bereinigen.
3. Backup und Recovery prüfen: Sicherstellen, dass nicht nur Daten, sondern auch Konfiguration und Zertifikate wiederherstellbar sind.
4. Update installieren: Herstellerreihenfolge und erhöhte Rechte beachten.
5. Neustart durchführen: Auch wenn die Installation selbst abgeschlossen erscheint, muss der finale Systemzustand geprüft werden.
6. Funktionstests: OWA, Outlook, SMTP, interne und externe E-Mail, Kalender, Free/Busy, Autodiscover, Hybrid und Anwendungen testen.
7. Health Checker erneut ausführen: Ergebnis mit dem Pre-Check vergleichen.
Warum Authentifizierung ebenfalls geprüft werden sollte
Exchange hängt eng an Active Directory und Kerberos. Änderungen an Security Baselines, NTLM, TLS oder LDAP können deshalb indirekt Auswirkungen haben. Wer parallel seine Windows-Authentifizierung härtet, sollte Exchange in End-to-End-Tests einbeziehen.
Dazu passen die GORTNET-Artikel NTLM: Warum das alte Authentifizierungsprotokoll zum Sicherheitsrisiko wird und Token Theft 2026.
Fazit
Das Exchange-SE-Sicherheitsupdate vom September 2026 sollte zeitnah eingespielt werden, aber nicht blind. Ein professioneller Ablauf kombiniert Herstellerhinweise, Health Checker, Backup, gezielte Funktionsprüfungen und Monitoring. Gerade bei hybriden Umgebungen ist das Ziel nicht nur ein erfolgreicher Installer, sondern ein nachweisbar funktionierender Mail- und Kalenderbetrieb nach dem Patch.
Weiterführende Quellen
Microsoft Support: Exchange Server SE Security Update September 2026
Titelbild: Tyler / Unsplash
Autor: Salman Dolatpanah Gortlar