Exchange Server Migration zu Microsoft 365: Was Sie vor dem Start wissen müssen

Eine Migration von einem lokalen Exchange Server nach Microsoft 365 wird häufig als Datentransport verstanden: Postfächer kopieren, MX-Eintrag umstellen, fertig. In der Praxis entstehen die Probleme an anderer Stelle — bei Absendersystemen, die niemand auf der Liste hatte, bei Zertifikaten, die während der Umstellung ablaufen, und bei Berechtigungen, die nach dem Umzug nicht mehr greifen.

Dieser Beitrag beschreibt das Vorgehen, das wir in Projekten anwenden: fünf Phasen, jede mit einem klaren Abschluss, bevor die nächste beginnt.

1. Bestandsaufnahme: was migriert wird und was mitversendet

Am Anfang steht eine vollständige Liste dessen, was migriert werden soll. Die offensichtlichen Objekte sind schnell erfasst — Benutzerpostfächer, Shared Mailboxes, Ressourcenpostfächer, Verteilergruppen, öffentliche Ordner und Archive. Aufwendiger ist die zweite Liste: alle Systeme, die über Ihre Domain Mails versenden, ohne dass jemand aktiv daran denkt.

• Multifunktionsgeräte, die gescannte Dokumente per Mail verschicken
• ERP- und Warenwirtschaftssysteme mit Rechnungs- und Lieferscheinversand
• Shop- und Buchungssysteme mit Bestätigungsmails
• Monitoring, Backup und Ticketsysteme mit Statusmeldungen
• Newsletter- und Marketingdienste

Diese Liste entscheidet später über die Zustellbarkeit. Jedes vergessene System versendet nach dem Cutover aus Sicht der Empfänger unauthentifiziert — und landet im Spam oder wird abgewiesen.

Technische Kennzahlen, die Sie vorher brauchen

Anzahl und Größe der Postfächer inklusive Archive bestimmen die Dauer der Synchronisation. Die Exchange-Version und der Patchstand entscheiden, ob eine Hybridstellung überhaupt unterstützt wird. Und die vorhandenen Lizenzen bestimmen, welche Funktionen nach der Migration verfügbar sind — ein Postfach über 50 GB braucht einen Plan, der das abdeckt.

2. Migrationsverfahren wählen

Microsoft unterscheidet mehrere Verfahren, und die Wahl hat mehr Einfluss auf das Projekt als jede andere Entscheidung. Die Übersicht dazu steht in der Microsoft-Dokumentation zur Postfachmigration.

• Cutover: alle Postfächer auf einmal. Praktikabel bis etwa 150 Postfächer und wenn ein Wochenende Umstellung akzeptabel ist.
• Stufenweise (staged): Migration in Gruppen über mehrere Wochen. Erfordert eine funktionierende Koexistenz zwischen alter und neuer Umgebung.
• Hybrid: dauerhafte oder temporäre Verbindung zwischen lokalem Exchange und Exchange Online. Aufwendiger einzurichten, aber die einzige saubere Lösung bei vielen Postfächern oder wenn lokal etwas bleiben muss.
• IMAP: letzte Option, wenn die Quelle kein Exchange ist. Überträgt nur Mails — keine Kalender, keine Kontakte, keine Berechtigungen.

Die häufigste Fehlentscheidung ist ein Cutover bei zu vielen Postfächern. Wenn die Synchronisation nicht bis Sonntagabend durchläuft, beginnt die Arbeitswoche mit unvollständigen Postfächern.

3. Domains, DNS und Zustellbarkeit vorbereiten

Die Domain wird in Microsoft 365 verifiziert und die Einträge werden vorbereitet — aber noch nicht scharf gestellt. Entscheidend sind SPF, DKIM und DMARC; die Grundlagen dazu erklärt Microsoft in der Dokumentation zur E-Mail-Authentifizierung.

SPF vollständig machen

In den SPF-Eintrag gehört jedes System aus Ihrer zweiten Liste. Zwei Grenzen sind dabei zu beachten: maximal zehn DNS-Lookups pro Auswertung, und genau ein SPF-Eintrag pro Domain. Wer zwei Einträge hinterlegt, macht das Ergebnis für Empfänger undefiniert.

DKIM aktivieren

DKIM signiert ausgehende Mails. In Microsoft 365 muss die Signatur pro eigener Domain aktiviert werden — der Standardschlüssel der onmicrosoft.com-Domain reicht nicht aus.

DMARC beobachtend starten

DMARC wird zunächst mit p=none und einer Berichtsadresse eingerichtet. So sehen Sie zwei bis vier Wochen lang, welche Systeme versenden, ohne dass etwas blockiert wird. Erst danach wird auf quarantine und später reject verschärft.

TTL senken

Einige Tage vor dem Cutover wird die TTL der MX-Einträge auf einen niedrigen Wert gesetzt, damit die Umstellung schnell greift und ein Rücksprung möglich bleibt.

4. Mailflow und Koexistenz

Bei stufenweisem Vorgehen laufen alte und neue Umgebung parallel. Der Mailfluss muss dann in beide Richtungen funktionieren: von außen nach innen, von innen nach außen und zwischen migrierten und noch nicht migrierten Benutzern.

• Send- und Receive-Connectoren getrennt prüfen, nicht nur eine Richtung testen
• Nachrichtengrößen auf beiden Seiten identisch setzen, sonst scheitern Anhänge nur in einer Richtung
• Interne Relay-Konfigurationen von Scannern und ERP auf Microsoft 365 umstellen oder bewusst weiterlaufen lassen
• Frei/Gebucht-Informationen über eine Organisationsbeziehung freigeben, sonst sind Kalender über die Grenze hinweg leer

5. Cutover und Nachlauf

Der eigentliche Umschaltpunkt ist kurz: MX-Eintrag umstellen, letzte Deltasynchronisation, Clients neu verbinden. Was danach kommt, dauert länger und wird regelmäßig unterschätzt.

• Outlook-Profile neu verbinden, Autodiscover prüfen
• Delegierungen, Stellvertretungen und Vollzugriffe nachziehen
• Serverseitige Regeln und Signaturen kontrollieren
• Mobile Geräte neu einrichten
• Verteilergruppen und Aliase gegen die Ausgangsliste abgleichen

Planen Sie für den ersten Werktag nach dem Cutover eine erreichbare Ansprechperson ein. Die meisten Meldungen betreffen keine Fehler, sondern veränderte Abläufe.

Zwei Wochen später

Nach ein bis zwei Wochen lohnt sich ein zweiter Blick auf die DMARC-Berichte und die Quarantäne. Erst dann zeigt sich, ob wirklich alle Absendersysteme erfasst wurden. Gleichzeitig wird entschieden, ob der lokale Exchange Server abgeschaltet werden kann oder für die Verwaltung von Attributen weiterläuft.

Die fünf häufigsten Fehler

• Unvollständige Absenderliste. Rechnungen aus dem ERP landen wochenlang im Spam, bis jemand nachfragt.
• DMARC zu früh auf reject. Legitime eigene Systeme werden blockiert, bevor die Berichte ausgewertet sind.
• Falsche Migrationsgruppen. Benutzer werden migriert, während ihre Shared Mailboxes noch lokal liegen.
• Archive vergessen. Aufbewahrungspflichtige Daten bleiben auf einem Server, der abgeschaltet werden soll.
• Kein Rückweg. Ohne niedrige TTL und dokumentierten Ausgangszustand ist ein Rücksprung nicht möglich.

Wie lange dauert eine Migration?

Für ein Unternehmen mit 50 Postfächern und ohne Sonderfälle: zwei bis vier Wochen Vorbereitung, ein Wochenende Cutover, ein bis zwei Wochen Nachlauf. Bei hybriden Szenarien, öffentlichen Ordnern, Aufbewahrungsfristen oder mehreren Domains verschiebt sich vor allem die Vorbereitung.

Die reine Datenübertragung ist selten der Engpass. Der Engpass sind Entscheidungen, die vorher niemand getroffen hat.