Microsoft beendet Exchange Web Services in Exchange Online. Für Unternehmen, die Thunderbird gegen Microsoft 365 betreiben, ist das keine Randnotiz, sondern ein Termin mit Ansage. Wer jetzt prüft, hat komfortabel Zeit. Wer es liegen lässt, merkt es an dem Tag, an dem die Postfächer nicht mehr synchronisieren.
Die Fristen
| Datum | Was passiert |
|---|---|
| 1. Oktober 2026 | EWS ist in Exchange Online standardmäßig deaktiviert. Tenants, die nichts konfiguriert haben, verlieren den Zugriff. |
| bis dahin | Über eine Allow-List lässt sich EWS für ausgewählte Anwendungen befristet weiter erlauben. |
| 1. April 2027 | EWS wird in Exchange Online endgültig abgeschaltet. Keine Ausnahmen, keine Allow-List. |
Wichtig für die Einordnung: Betroffen ist ausschließlich Exchange Online. Ein lokal betriebener Exchange Server behält EWS.
Warum Thunderbird das betrifft
Lange Zeit sprach Thunderbird mit Exchange nur über IMAP oder über Zusatzsoftware. Mit Version 145 kam die native Exchange-Anbindung dazu, und die setzt auf EWS auf. Genau dieser Weg fällt in Exchange Online weg.
Damit gibt es zwei Gruppen von Unternehmen, und sie sind unterschiedlich stark betroffen:
- Thunderbird per IMAP und SMTP an Microsoft 365: nicht betroffen. Vorausgesetzt, die moderne Authentifizierung ist aktiv und es hängen keine Altkonten mit Basic Authentication daran.
- Thunderbird mit nativer Exchange-Anbindung oder über eine EWS-Erweiterung: betroffen. Hier muss der Zugangsweg vor Oktober 2026 gewechselt werden.
Nicht nur Thunderbird ist gemeint. Ältere Apple-Mail-Versionen, Android-Mailapps und vor allem Backup-, Archivierungs- und Migrationswerkzeuge sprechen häufig EWS. Der Blick sollte also über den Mailclient hinausgehen.
Was jetzt zu tun ist
1. Bestand aufnehmen. Welche Anwendungen greifen überhaupt per EWS auf den Tenant zu? Das betrifft neben Clients auch Werkzeuge, an die im Alltag niemand denkt: Archivlösungen, Signaturverwaltung, CRM-Anbindungen, Monitoring.
2. Die Allow-List als Frist verstehen, nicht als Lösung. Sie verschafft Luft bis April 2027, mehr nicht. Wer sie einträgt, sollte im selben Zug den Umstieg planen.
3. Den Zugangsweg festlegen. Für Thunderbird gegen Microsoft 365 ist IMAP und SMTP mit moderner Authentifizierung heute der belastbare Weg. Er ist unabhängig von der EWS-Frist und funktioniert unverändert weiter. Die Anbindung über Microsoft Graph ist der strategische Weg von Microsoft, in Thunderbird aber noch im Aufbau.
Ein Nebeneffekt, den viele unterschätzen: Der Wechsel von EWS auf IMAP verändert, wie Ordner, Kalender und serverseitige Regeln zur Verfügung stehen. Das ist eher eine organisatorische als eine technische Frage, aber sie gehört vor den Stichtag und nicht danach geklärt.
Was sich dadurch nicht ändert
Und jetzt der Teil, der in der Diskussion regelmäßig untergeht. Zugriffsprotokolle kommen und gehen. Basic Authentication wurde abgeschaltet, EWS folgt jetzt, Graph ist der nächste Stand der Dinge. Wer seine E-Mail-Sicherheit an den Client oder an dessen Zugriffsweg bindet, baut sie bei jeder dieser Umstellungen neu.
Genau deshalb gehört Verschlüsselung, Signatur und Filterung nicht in das Mailprogramm, sondern in den Mailfluss. Ein Mailgateway sitzt vor dem Postfach und verarbeitet Nachrichten, bevor sie beim Empfänger ankommen oder das Haus verlassen. Ob der Anwender dabei Thunderbird, Outlook, Apple Mail oder ein Webmail benutzt, und ob dieser Client per IMAP, EWS oder Graph spricht, spielt für die Schutzwirkung keine Rolle.
Praktisch heißt das: Ein Haus, das im Herbst 2026 seine Thunderbird-Konten von EWS auf IMAP umstellt, muss an seiner Verschlüsselung nichts anfassen. Regeln, Zertifikate und Nachweise liegen zentral und überstehen den Protokollwechsel unbemerkt. Wie das im Detail aussieht, beschreibt unser Beitrag zur automatisierten E-Mail-Verschlüsselung.
Der pragmatische Fahrplan
Für ein mittelständisches Haus mit Thunderbird auf Microsoft 365 reicht in aller Regel diese Reihenfolge:
- EWS-Nutzung im Tenant erheben, Clients und Werkzeuge getrennt betrachten.
- Thunderbird-Konten auf IMAP und SMTP mit moderner Authentifizierung prüfen und wo nötig umstellen.
- Für Werkzeuge ohne Alternative die Allow-List setzen und den Ersatz bis April 2027 einplanen.
- Sicherstellen, dass Verschlüsselung, Signatur und Filterung nicht am Client hängen. Was serverseitig läuft, ist von der Umstellung nicht betroffen.
Der vierte Punkt ist der einzige, der sich nicht nachholen lässt, wenn der Stichtag da ist. Die anderen drei sind Fleißarbeit.
Fazit
Der 1. Oktober 2026 ist ein Termin für die Zugriffsschicht, nicht für die Sicherheitsschicht. Thunderbird bleibt mit Microsoft 365 nutzbar, der Weg dorthin heißt künftig IMAP oder Graph statt EWS. Unternehmen, die ihre E-Mail-Sicherheit bereits vor das Postfach gelegt haben, wechseln das Protokoll und sind fertig. Alle anderen sollten die Gelegenheit nutzen, beides zu trennen.
Wie Conbool SecureMail in einer Microsoft-365-Umgebung eingebunden wird, zeigt unsere Seite zu SecureMail für Microsoft 365. Was das konkret für Thunderbird-Arbeitsplätze bedeutet, steht auf der Lösungsseite E-Mail-Verschlüsselung für Thunderbird. Bei Fragen zum eigenen Aufbau hilft ein kurzer Blick von außen. Wir sind über die Kontaktseite erreichbar.
