Exchange Hybrid und Postfach-Migration nach Microsoft 365

Warum dieses Thema in jedem KMU frueher oder spaeter auf dem Tisch landet

Praktisch jede Schweizer Firma mit eigenem Exchange-Server steht irgendwann vor der gleichen Entscheidung: Postfaecher nach Microsoft 365 verschieben. Der Ausloeser ist selten Begeisterung fuer die Cloud, sondern meistens ein Ablaufdatum. Exchange 2016 und Exchange 2019 sind seit Oktober 2025 ausser Support (mit einer optionalen sechsmonatigen ESU-Bruecke), und der Nachfolger Exchange Server Subscription Edition (Exchange SE) ist explizit als Hybrid- und Uebergangsplattform gedacht, nicht als dauerhafter Ersatz fuer On-Premises-Mailboxen. Wer heute noch lokale Postfaecher betreibt, braucht trotzdem fast immer weiterhin einen lokalen Exchange-Server - und sei es nur, um Benutzer, Verteilerlisten und E-Mail-Attribute im Active Directory zu verwalten, solange Entra Connect synchronisiert.

Dieser Artikel geht davon aus, dass du bereits weisst, was Exchange Online grundsaetzlich ist (siehe Exchange Online Grundlagen) und Entra Connect im Griff hast (siehe Entra Connect Sync im Detail). Wir steigen direkt in die Migrationsmechanik ein: welche Migrationsart wann sinnvoll ist, wie der Hybrid Configuration Wizard tickt, wie MRS Proxy und Migrationsbatches technisch funktionieren, und wo in der Praxis die Fallstricke liegen - speziell im Kontext eines Schweizer KMU mit 30 bis 500 Postfaechern.

Die drei Migrationswege im Vergleich

Bevor du den Hybrid Configuration Wizard ueberhaupt startest, entscheidest du dich fuer einen Migrationsweg. Es gibt drei etablierte Muster:

Fuer die meisten Schweizer KMU mit 50-300 Mitarbeitenden, aktivem Active Directory und dem Anspruch, waehrend der Migration produktiv weiterzuarbeiten, ist die Hybrid-Migration der richtige Weg - auch wenn sie initial mehr Konfigurationsaufwand bedeutet. Der Grund: Cutover erzwingt einen harten Stichtag mit Risiko fuer Mail-Verlust bei grossen Postfaechern, und Staged Migration wird von Microsoft nur noch fuer sehr alte Exchange-Versionen empfohlen.

Voraussetzungen, die oft unterschaetzt werden

Bevor der Hybrid Configuration Wizard ueberhaupt startet, muessen folgende Punkte stehen:

• Domaenenverifizierung: Die primaere SMTP-Domain (z. B. firma.ch) muss in Microsoft 365 als verifizierte benutzerdefinierte Domain hinterlegt sein (TXT-Record im DNS).
• Entra Connect (Azure AD Connect): Muss laufen und Benutzer, Kontakte und Gruppen synchronisieren, bevor Postfaecher migriert werden - sonst entstehen doppelte oder verwaiste Objekte in Exchange Online.
• Zertifikat: Ein von einer oeffentlichen CA signiertes SSL-Zertifikat auf dem on-prem Exchange-Server (Subject Alternative Names fuer mail.firma.ch, autodiscover.firma.ch), keine selbstsignierten Zertifikate. Details siehe SSL/TLS-Zertifikate.
• Firewall/Netzwerk: Port 443 eingehend von Exchange Online IP-Bereichen zur Exchange-Server-Publishing-URL (meist ueber Reverse Proxy oder direkt published).
• Exchange-Version: Mindestens Exchange 2013 CU-Level fuer Hybrid; Exchange 2010 und aelter werden nicht mehr unterstuetzt.
• Exchange Online PowerShell / Hybrid Agent: Alternative zur klassischen Firewall-Oeffnung ist der Hybrid Agent (App-basiert, kein Inbound-Port noetig) - relevant, wenn die Firewall-Policy im Unternehmen keine Inbound-Regeln fuer Exchange zulaesst.

Der Hybrid Configuration Wizard (HCW) im Detail

Der HCW ist kein reines Exchange-Admin-Center-Tool mehr, sondern eine separate, staendig aktualisierte Anwendung, die Microsoft ausserhalb des Exchange-Server-Binaries pflegt und aus dem Internet laedt. Das bedeutet: Der HCW selbst muss nicht per Exchange-Cumulative-Update aktualisiert werden, sondern zieht sich Logik direkt von Microsoft.

Ablauf in der Praxis:

1. HCW herunterladen und starten auf einem Exchange-Server oder einer Verwaltungsstation mit Exchange-Management-Tools.
2. Anmeldung mit einem Exchange-Organization-Management-Konto on-prem und einem Global-Admin- (oder delegierten Hybrid-Admin-)Konto in Microsoft 365.
3. Konfigurationsmodus waehlen: “Full Hybrid” (klassisch, mit Federation Trust und vollstaendiger Free/Busy-Koexistenz) oder “Minimal Hybrid” (schlanker, migrationsfokussiert).
4. Exchange-Server auswaehlen, die als Hybrid-Endpunkte dienen (typischerweise die Mailbox-Server mit Client-Access-Rolle).
5. Konnektivitaetsmethode: klassisch ueber Firewall-Publishing des EWS/Autodiscover-Endpunkts oder ueber den Hybrid Agent (keine Inbound-Firewall-Regel noetig, laeuft als Windows-Dienst und baut ausgehende Verbindungen zu Azure auf).
6. Der Wizard erzeugt/aktualisiert automatisch:
   • Organization Relationship (Free/Busy-Foederation)
   • Send Connector on-prem -> Exchange Online (ueber *.mail.protection.outlook.com)
   • Send Connector Exchange Online -> on-prem (Outbound Connector Richtung on-prem Smart Host)
   • Migration Endpoint (siehe unten)
   • OAuth-Konfiguration zwischen den Organisationen (bei modernen Hybrid-Versionen statt klassischem Federation Trust)

Nach dem HCW-Lauf kannst du den Status jederzeit pruefen:

# Auf dem on-prem Exchange-Server, Exchange Management Shell
Get-HybridConfiguration | Format-List

# Test der Hybrid-Konnektivitaet (Free/Busy, Mail-Flow, OAuth)
Test-OrganizationRelationship -Identity "Contoso Federation" -UserIdentity max.muster@firma.ch

# Federation-/OAuth-Status pruefen
Get-IntraOrganizationConnector | Format-List
Get-OrganizationRelationship | Format-Table Name, DomainNames, FreeBusyAccessEnabled

MRS Proxy: Das technische Rueckgrat jeder Remote-Move-Migration

MRS steht fuer Mailbox Replication Service - der Dienst, der schon seit Exchange 2010 fuer Postfach-Verschiebungen innerhalb einer Exchange-Organisation zustaendig ist. Fuer Hybrid-Migrationen (auch “Remote Move Migration” genannt) braucht Exchange Online einen Weg, mit diesem Dienst auf dem on-prem Server zu sprechen - dafuer gibt es den MRS Proxy Endpoint.

Technisch laeuft das ueber die EWS-Virtual-Directory (Exchange Web Services) auf dem Exchange-Server. Der MRS Proxy ist standardmaessig deaktiviert und muss explizit aktiviert werden:

# Status pruefen (alle Mailbox-Server)
Get-WebServicesVirtualDirectory | Select-Object Server, Name, MRSProxyEnabled

# MRS Proxy auf allen Mailbox-Servern aktivieren
Get-WebServicesVirtualDirectory | Set-WebServicesVirtualDirectory -MRSProxyEnabled $true

# IIS anschliessend neu starten (oder App-Pool recyceln), Aenderung wird sonst nicht wirksam
iisreset /noforce

Der eigentliche Datentransfer laeuft dann so ab: Exchange Online initiiert die Migration, ruft aber MRS Proxy on-prem via HTTPS (Port 443) auf der EWS-URL auf. Der MRS Proxy leitet intern an den lokalen MRS-Dienst weiter, der das Postfach liest und in komprimierter, verschluesselter Form an Exchange Online streamt. Wichtig: Der Datenfluss geht technisch “pull” von Exchange Online aus - das heisst, Exchange Online muss den on-prem-Endpunkt erreichen koennen, nicht umgekehrt.

# Migrationsendpunkt testen, BEVOR ein Batch gestartet wird
Test-MigrationServerAvailability -ExchangeRemoteMove -RemoteServer mail.firma.ch `
    -Credentials (Get-Credential)

Migrationsendpunkt und Migrationsbatches erstellen

Ein Migrationsendpunkt (Migration Endpoint) speichert die Verbindungsinformationen zum on-prem Exchange (URL, Zugangsdaten, maximale Anzahl paralleler Verbindungen). Ein Migrationsbatch buendelt dann eine Gruppe von Postfaechern, die zusammen migriert werden.

# 1. Verbindung zu Exchange Online PowerShell (Modul ExchangeOnlineManagement)
Connect-ExchangeOnline -UserPrincipalName admin@firma.onmicrosoft.com

# 2. Migrationsendpunkt fuer Remote Move (Hybrid) erstellen
$cred = Get-Credential   # on-prem Service-Account mit Impersonation-Rechten
New-MigrationEndpoint -ExchangeRemoteMove `
    -Name "OnPremHybridEndpoint" `
    -RemoteServer "mail.firma.ch" `
    -Credentials $cred `
    -MaxConcurrentMigrations 20

# 3. Migrationsbatch fuer eine erste Pilotgruppe erstellen (CSV mit E-Mail-Adressen)
New-MigrationBatch -Name "Batch01-Pilot-IT" `
    -SourceEndpoint "OnPremHybridEndpoint" `
    -CSVData ([System.IO.File]::ReadAllBytes("C:\Migration\batch01.csv")) `
    -TargetDeliveryDomain "firma.mail.onmicrosoft.com" `
    -NotificationEmails it-support@firma.ch

# 4. Batch manuell starten (ohne -AutoStart bei der Erstellung)
Start-MigrationBatch -Identity "Batch01-Pilot-IT"

# 5. Fortschritt ueberwachen
Get-MigrationBatch -Identity "Batch01-Pilot-IT" | Format-List Status, TotalCount, FinishedCount

# 6. Einzelne User-Details bei Problemen
Get-MigrationUserStatistics -Identity max.muster@firma.ch | Format-List

Die CSV-Datei fuer den Batch braucht minimal eine Spalte EmailAddress:

EmailAddress
max.muster@firma.ch
anna.beispiel@firma.ch
support@firma.ch

Free/Busy-Koexistenz: Wie Kalenderabfragen ueber die Grenze funktionieren

Waehrend der Koexistenzphase liegen Postfaecher gleichzeitig on-prem und in Exchange Online. Damit ein Nutzer in Exchange Online die Frei/Gebucht-Zeit eines Kollegen sehen kann, der noch on-prem liegt (und umgekehrt), richtet der HCW eine Organization Relationship (klassisch) bzw. eine entsprechende OAuth-basierte Cross-Premises-Konfiguration ein.

Der Ablauf einer Free/Busy-Abfrage funktioniert vereinfacht so:

1. User A (Exchange Online) oeffnet in Outlook den Kalender von User B (noch on-prem).
2. Exchange Online erkennt anhand der Domain/des Routings, dass B extern (on-prem) liegt.
3. Ueber die Organization Relationship / OAuth wird eine Autodiscover-Abfrage gegen die on-prem-Autodiscover-URL ausgeloest.
4. Der on-prem Exchange-Server liefert die Availability-Informationen ueber den EWS-Endpunkt zurueck.
5. Outlook zeigt die Frei/Gebucht-Balken an - fuer den Anwender unsichtbar, ob das Postfach on-prem oder in der Cloud liegt.

Klassische Fehlerquellen bei Free/Busy:

• Autodiscover liefert falsche URLs: Wenn interne und externe Autodiscover-URLs (SCP vs. DNS) unterschiedlich konfiguriert sind, schlaegt die Anfrage fehl. Pruefe mit Test-OrganizationRelationship.
• Firewall blockiert EWS ausgehend/eingehend: Free/Busy braucht denselben Port-443-Zugriff wie MRS Proxy.
• Fehlerhafte Berechtigungen auf der Organization Relationship: FreeBusyAccessEnabled muss $true sein, FreeBusyAccessLevel typischerweise LimitedDetails oder AvailabilityOnly.

# Free/Busy end-to-end testen (Ausgabe zeigt genauen Fehlschlagpunkt)
Test-OrganizationRelationship -Identity "On-Premises to Exchange Online - <GUID>" `
    -UserIdentity max.muster@firma.ch | Format-List

Autodiscover-Umstellung: Der entscheidende letzte Schritt

Waehrend der Hybrid-Phase bleibt Autodiscover fuer die eigene Domain (autodiscover.firma.ch) auf den on-prem Exchange-Server ausgerichtet - unabhaengig davon, ob ein einzelnes Postfach schon migriert ist. Der on-prem Server erkennt anhand der TargetAddress (die auf *.mail.onmicrosoft.com zeigt), dass ein Postfach in der Cloud liegt, und leitet den Outlook-Client per Autodiscover-Redirect entsprechend weiter. Das ist der Kern der nahtlosen Koexistenz: Anwender aendern nichts an ihrem Outlook-Profil, wenn ihr Postfach migriert wird - Outlook merkt selbststaendig, wohin es sich verbinden muss.

Erst wenn alle Postfaecher migriert sind und keine on-prem-Abhaengigkeit mehr besteht, aenderst du den oeffentlichen DNS-Eintrag:

autodiscover.firma.ch   CNAME   autodiscover.outlook.com

Analog dazu der MX-Record, der ganz am Schluss umgestellt wird - meist an einem ruhigen Tag (z. B. Freitagabend), nachdem der letzte Batch verifiziert abgeschlossen ist:

firma.ch   MX   10   firma-ch.mail.protection.outlook.com

Entscheidungsablauf fuer die Praxis

Ein pragmatischer Ablauf fuer ein KMU-Projekt mit 80-150 Postfaechern:

1. Analyse: Exchange-Version, Postfachgroessen, Public Folders, Verteilerlisten, Drittsysteme mit SMTP-Relay-Abhaengigkeit (z. B. ERP-Systeme, Scan-to-Mail von Multifunktionsdruckern) erfassen.
2. Lizenzierung klaeren: Passende M365-Lizenzen pro Postfach (siehe M365 Lizenzen) und Exchange-Hybrid-Lizenzschluessel (kostenlos, ueber Volume Licensing Service Center beziehbar, unabhaengig von Benutzerlizenzen).
3. Entra Connect produktiv aufsetzen, erster Sync-Zyklus abschliessen, Synchronisation validieren.
4. HCW ausfuehren (Minimal oder Full Hybrid je nach geplanter Koexistenzdauer).
5. MRS Proxy aktivieren und mit Test-MigrationServerAvailability verifizieren.
6. Pilotbatch (IT-Team, 3-5 Postfaecher) migrieren, eine Woche beobachten.
7. Produktivbatches in Gruppen von 20-30 Postfaechern nach Abteilung, ausserhalb der Kernarbeitszeit starten.
8. Verifikation je Batch: Mail-Empfang, Kalenderfreigaben, mobile Geraete (ActiveSync-Reprofilierung meist automatisch), Verteilerlisten-Mitgliedschaft.
9. MX- und Autodiscover-Umstellung nach vollstaendigem Abschluss aller Batches.
10. Hybrid-Abbau oder -Erhalt: Bei “Minimal Hybrid” kann der on-prem Server nach einer Uebergangsfrist stillgelegt werden, sofern keine lokale AD-Verwaltungspflicht mehr besteht (reine Cloud-Objekte via Entra ID moeglich, sobald Exchange Hybrid nicht mehr als Management-Punkt gebraucht wird). Bei “Full Hybrid” bleibt der Server dauerhaft als Management-Server bestehen.

Sicherheits- und Compliance-Aspekte im Schweizer Kontext

• Datenstandort: Microsoft 365 Schweiz-Rechenzentren (Swiss Data Boundary) koennen fuer Exchange Online-Daten explizit gewaehlt werden - relevant fuer Kunden mit Datenschutzanforderungen nach revDSG. Pruefe das vor Projektstart im Admin Center unter “Datenresidenz”.
• Transport-Verschluesselung: TLS zwischen on-prem und Exchange Online wird durch den HCW automatisch erzwungen; pruefe zusaetzlich, ob interne Relaypartner (Drucker, ERP) noch unverschluesselt senden.
• Audit-Log: Aktiviere Unified Audit Log fruehzeitig, damit Migrationsvorgaenge (insbesondere Postfachzugriffe waehrend der Migration) nachvollziehbar bleiben - siehe Purview Compliance.
• Backup-Luecke waehrend der Migration: Stelle sicher, dass sowohl das on-prem-Backup als auch eine Cloud-Backup-Loesung nahtlos ineinander uebergehen, damit kein Zeitfenster ohne Wiederherstellbarkeit entsteht (siehe M365 Backup-Strategie).

Troubleshooting-Kurzreferenz

Weiterlernen

• Assistent für die Hybridkonfiguration – Microsoft Learn
• Enable the MRS Proxy endpoint in Exchange Server – Microsoft Learn
• Decide on a migration path in Exchange Online – Microsoft Learn
• Verwenden von Minimal Hybrid zum schnellen Migrieren – Microsoft Learn
• Troubleshoot free/busy issues in Exchange hybrid – Microsoft Learn
• Exchange Server Subscription Edition (SE) is now available – Microsoft Tech Community

Videos

YouTube

YouTube