Das Detail, über das man stolpert

Die Allow-List ändert am selben Tag ihre Bedeutung. Bis Oktober ist eine leere Liste durchlässig. Ab Oktober ist sie eine Sperre.

Quelle: Exchange Team Blog, Introducing EWSAllowedAppIDs, 19.06.2026, zuletzt aktualisiert am 01.09.2026.

Quellen

Exchange Team Blog: Exchange Online EWS, Your Time is Almost Up, 05.02.2026, zuletzt aktualisiert am 01.09.2026
Exchange Team Blog: Introducing EWSAllowedAppIDs, 19.06.2026
Microsoft Learn: Deprecation of Exchange Web Services in Exchange Online
Microsoft 365 Message Center, MC1227454 und MC1447678

1. Application ID ermitteln

Öffnen Sie den EWS-Nutzungsbericht im Microsoft 365 Admin Center und lesen Sie die Application ID ab, die ISEC7 MAIL in Ihrem Tenant verwendet. Der Bericht zeigt außerdem jede andere Anwendung, die noch über EWS auf Ihre Postfächer zugreift. Das ist der nützlichere Teil dieser Übung.

2. Die vorhandene Allow-List lesen

Microsoft füllt die AppID-Allow-List seit September 2026 für Organisationen, die keine eigene angelegt haben, anhand der bisherigen Nutzung vor. Die Liste ist also nicht zwingend leer, und was darin steht, ist nicht zwingend das, was Sie wollen. Lesen ist hier kein optionaler Schritt.

Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Format-List EwsAllowedAppIDs

Der Schalter RetrieveEwsOperationAccessPolicy ist nicht optional. Ohne ihn kommt die Eigenschaft leer zurück, und ein leeres Feld sieht genauso aus wie ein Tenant, in dem nichts konfiguriert ist. Es ist eine Leerstelle und keine Fehlermeldung, und genau deshalb gehört es hier hin.

3. Die Liste vollständig zurückschreiben, mit ISEC7 MAIL darin

Das Setzen der Eigenschaft schreibt den kompletten Wert. Es gibt kein Hinzufügen und kein Entfernen einzelner Einträge, jede ID, die Sie weglassen, ist gelöscht. Das Muster von Microsoft lautet lesen, ergänzen, zurückschreiben:

$current = (Get-OrganizationConfig -RetrieveEwsOperationAccessPolicy | Select-Object -ExpandProperty EwsAllowedAppIDs)
$newAppId = "ISEC7-MAIL-APP-ID-AUS-SCHRITT-1"
$updated = @($current, $newAppId)
Set-OrganizationConfig -EwsAllowedAppIDs ($updated -join ",")

Microsoft schreibt, dass auch die eigenen Anwendungen von Microsoft auf die Liste gehören, darunter Office und Power Query für Excel. Die erscheinen nicht in einer Abfrage über die eigenen App-Registrierungen. Das ist der wahrscheinlichste Weg zu einer Liste, die vollständig aussieht und es nicht ist. Nehmen Sie sie aus dem Nutzungsbericht.

4. EWS für die Organisation aktivieren

Set-OrganizationConfig -EwsEnabled $true

Wo wir im Kalender stehen

Das von Microsoft empfohlene Fenster, die Allow-List vor der Umstellung zu konfigurieren, ist Ende August 2026 geschlossen. Tenants, die zu diesem Zeitpunkt keine Liste hatten, bekommen eine, die Microsoft aus der beobachteten Nutzung vorbefüllt. Wer das im September liest, ist nicht früh dran, und in seinem Tenant stehen möglicherweise schon Einträge, die niemand im Haus ausgewählt hat.

Drei Dinge zum Zeitpunkt

Änderungen an der Allow-List brauchen bis zu 24 Stunden, weil die Server ihren Cache einmal am Tag erneuern. Ein EwsEnabled von true, das beim Rollout schon gesetzt ist, wird von Microsoft respektiert. Und die Einstellung selbst wird noch ausgerollt: Lesen können den Parameter alle Tenants, schreiben noch nicht. Schlägt das Schreiben fehl, ist der Rollout noch nicht angekommen, dann lohnt ein zweiter Versuch mehr als ein Ticket.

Kurzfassung: Der 30. September ist der falsche Tag dafür. Prüfen Sie das Ergebnis danach auf einem Gerät, denn ein Änderungsverfahren in regulierten Umgebungen dauert länger als eine PowerShell-Sitzung.

Die zweite Möglichkeit, und warum sie bei uns nicht zuerst steht

Microsoft nennt einen zweiten Weg, EWS über den Oktober hinaus zu behalten: EwsEnabled in der Exchange Online PowerShell zurück auf null setzen. Das stellt den unbeschränkten Zugriff wieder her und ignoriert die Allow-List bis zur endgültigen Abschaltung. Der Weg funktioniert, und für ein Haus, das seine Bestandsaufnahme nicht rechtzeitig fertig bekommt, ist er ein legitimer Notausgang. Wir stellen ihn nicht an die erste Stelle. Er gibt EWS an jede Anwendung im Tenant zurück, an die bekannten und an die unbekannten, und er endet am selben Tag wie alles andere.

Ein weiteres Argument, jetzt zu handeln statt zu warten: Microsoft hat angekündigt, EWS vor dem Stichtag zeitweise abschalten zu können, um verborgene Abhängigkeiten sichtbar zu machen. Tenants mit EwsEnabled auf true sind davon ausgenommen.