Exchange Server einde support: migreren naar SE of 365

In de meterkast van een bedrijf dat we vorig jaar overnamen stond een server met Exchange 2016. Draait prima, zei de vorige beheerder, en dat klopte ook. Alleen kreeg die server al maanden geen enkele beveiligingsupdate meer, en stond poort 443 open naar internet omdat de directie op Outlook Web wilde kunnen.

Exchange Server 2016 en Exchange Server 2019 zijn allebei op 14 oktober 2025 uit ondersteuning gegaan. Microsoft levert sindsdien geen beveiligingsupdates, geen bugfixes, geen technische ondersteuning en zelfs geen tijdzone-updates meer.

Wat einde support voor Exchange Server betekent

Het vervelende aan deze datum is dat er niets gebeurt. De server blijft mail afleveren, gebruikers merken niets, en daardoor zakt het onderwerp weg tot iemand er per ongeluk over struikelt.

Ondertussen is een van internet bereikbare mailserver zonder patches precies het soort systeem waar aanvallers gericht op scannen. De grote Exchange-incidenten van de afgelopen jaren begonnen allemaal op dezelfde manier: een lek werd bekend, en binnen enkele dagen werd het hele internet afgezocht naar servers die de update nog niet hadden. Bij een versie die geen updates meer krijgt is er geen update om te installeren.

Daar komt de praktische kant bij. Je cyberverzekeraar stelt bij een claim de vraag of je software nog ondersteund werd. Werk je voor opdrachtgevers die onder de Cyberbeveiligingswet vallen, dan komt diezelfde vraag via hun leveranciersbeoordeling bij jou terecht. Een niet-ondersteunde mailserver is dan geen technische restpost meer maar een commercieel probleem.

Exchange Online of Exchange Server SE: hoe je kiest

Er zijn twee routes, en voor de meeste MKB-bedrijven is de keuze snel gemaakt.

Een harde reden om lokaal te blijven is er soms wel. Denk aan een opdrachtgever die contractueel eist dat gegevens op eigen apparatuur staan, aan een applicatie die lokaal via SMTP of MAPI moet kunnen praten, of aan een locatie zonder betrouwbare internetverbinding. "We hebben het altijd zo gedaan" is geen reden, want je ruilt dan een bekende situatie in voor een die je zelf moet blijven patchen.

Ga je toch voor Exchange Server SE, dan is het goed om te weten dat die draait op Windows Server 2019, 2022 of 2025 en .NET Framework 4.8 of 4.8.1 nodig heeft. Microsoft raadt een installatie op Server Core aan. En let op de licentiekant: SE valt onder een abonnementsmodel, geen eeuwigdurende licentie zoals bij 2016 en 2019. Vraag je licentiepartner wat dat voor jouw aantal gebruikers betekent voordat je begint.

Upgradepaden vanaf Exchange 2016 en 2019

De deadline waar je makkelijk overheen kijkt

Dat pad voor Exchange 2016, waarbij je een SE-server naast je bestaande omgeving zet, is er niet voor altijd. Microsoft heeft aangegeven dat het installatieprogramma van een volgende cumulatieve update van Exchange SE gaat blokkeren dat je hem naast een versie zet die niet meer ondersteund wordt. Een datum daarvoor is niet aangekondigd.

Wat dat praktisch betekent: zolang die update er niet is, kun je nog rustig gefaseerd migreren. Daarna wordt het een stuk ingewikkelder en duurder, want dan zit je met een tussenstap. Reken er niet op dat je hier volgend jaar nog aan begint.

De hybride server die je vergeet uit te zetten

Er is een groep bedrijven die denkt hier klaar mee te zijn en dat niet is. Je bent jaren geleden naar Microsoft 365 gegaan, alle postvakken staan in de cloud, en er staat nog precies één Exchange-server op kantoor. Die is er alleen nog om gebruikers in Active Directory te kunnen beheren. Die server telt gewoon mee, en die krijgt ook geen updates meer.

Daar is inmiddels een uitweg voor. Microsoft levert een aparte set Exchange Server Management Tools waarmee je lokale ontvangers via PowerShell beheert zonder draaiende Exchange-server. Dat mag als dit allemaal klopt:

• Alle postvakken en openbare mappen staan in Exchange Online.
• Je beheert ontvangers via Active Directory met Entra Connect of cloud sync.
• Je hebt het lokale Exchange-beheercentrum en Exchange RBAC niet nodig.
• Beheer via alleen PowerShell is voor jullie werkbaar.
• Je hebt geen auditlog van beheeracties op de Exchange-server nodig.
• Er staat nog maar één lokale Exchange-server, en die is er uitsluitend voor beheer.

En dan het punt waar het het vaakst misgaat: die laatste server verwijder je niet via de gewone deinstallatie. Je zet hem uit en ruimt daarna Active Directory op met het script CleanupActiveDirectoryEMT.ps1 dat bij de tools zit. Een uninstall haalt juist de gegevens uit Active Directory weg die de beheertools nodig hebben.

Waar je verder rekening mee houdt: zodra die server uit staat werkt Exchange RBAC niet meer, en kunnen alleen Domain Admins en leden van de groep Recipient Management EMT nog ontvangers beheren. Tot je het opschoonscript hebt gedraaid, duren New- en Set-opdrachten ongeveer veertig seconden per stuk. De beheertools zelf vragen minimaal Exchange 2019 CU12 en kunnen op elke computer in het domein worden geïnstalleerd. Je werkt daarna met cmdlets als Set-RemoteMailbox, New-MailUser, Get-MailContact en Set-EmailAddressPolicy. Lokale ontvangers rechtstreeks in Entra ID of Exchange Online aanpassen kan niet.

Het opschoonscript kun je niet terugdraaien. Maak dus eerst een systeemstatusback-up van een domeincontroller en test het in een omgeving die je kunt missen.

Wat je deze maand kunt doen

1. Zoek uit wat er precies draait. Op de Exchange-server zelf:

Get-ExchangeServer | Format-List Name, Edition, AdminDisplayVersion

2. Controleer of die server van buiten bereikbaar is. Is dat zo, dan is dat je eerste probleem en niet je migratie. Zet OWA en ActiveSync achter een beperking of zet ze uit tot je gemigreerd bent.
3. Bepaal of je nog een echte reden hebt om lokaal te blijven. Schrijf die reden op. Lukt dat niet in één zin, dan is hij er niet.
4. Tel de postvakken, de openbare mappen en de hoeveelheid data. Dat bepaalt de doorlooptijd, meer dan de technische complexiteit.
5. Plan de migratie in een periode waarin er verder niets verandert. Niet tegelijk met een verhuizing, een nieuw boekhoudpakket of de jaarafsluiting.

Wat mensen na de overstap nog wel eens vergeten: mail in Exchange Online zit niet automatisch in een back-up die je zelf kunt terugzetten. Waarom dat uitmaakt en wat je ervoor regelt, staat in heb je een back-up van Microsoft 365 nodig. Staat er naast Exchange nog meer op die server, kijk dan ook naar het einde van de support van Windows Server 2016, want die twee komen vaak in dezelfde meterkast voor.

Wil je dat we meekijken wat er bij jou draait en wat de kortste route is, dat valt onder cloud en serverbeheer. Neem contact op of bel 010 89 008 89.