Dieser Artikel ist für den Exchange im eigenen Serverschrank: Exchange Server 2016 oder 2019, Active Directory daneben, Outlook auf den Arbeitsplätzen. Liegen Deine Postfächer in Microsoft 365, bist Du bei Migration von Microsoft 365 zu Mailcow richtig — dort geht es um OAuth und Drosselung, hier um IMAP-Dienste, Firewalls und Autodiscover-Reste.
Zur Lage in drei Sätzen: Der reguläre Support für Exchange 2016 und 2019 endete am 14.10.2025, die kostenpflichtigen Extended Security Updates enden am 31.10.2026, eine dritte Periode schließt Microsoft aus. Den Nachfolger Exchange Server SE gibt es nur noch mit Abo-Lizenzen. Das BSI zählte am 28.10.2025 über 30.000 deutsche Exchange-Server mit abgekündigten Versionen und offenem OWA und nennt den Weiterbetrieb fahrlässig. Welche Wege Du hast, steht in Exchange 2016/2019: Support-Ende — Deine Optionen im Vergleich. Hier geht es um einen davon: ein eigener Mailserver auf Mailcow-Basis — bei uns als Mailhosting oder bald als eigene Mailcow-Instanz.
0. Vorbereitung: Inventar, IMAP, Client-Check
Inventar aus der Exchange Management Shell
Ohne Liste wird jeder Umzug zur Schnitzeljagd. Die Exchange Management Shell liefert sie:
| Was | Cmdlet | Wird in Mailcow zu |
|---|---|---|
| Akzeptierte Domains | Get-AcceptedDomain | je Domain ein Eintrag (Mailhosting: ein Paket je Domain) |
| Postfächer mit Größe | Get-Mailbox, dann Get-MailboxStatistics | Postfach mit Quota; passt es nicht in die Tarif-Quota, siehe Abschnitt 6 |
| Verteiler | Get-DistributionGroup | Alias mit mehreren Zielen |
| Aliase und Weiterleitungen | Get-Mailbox mit EmailAddresses und ForwardingAddress | Aliase bzw. Sieve-Weiterleitung |
| Shared Mailboxes, Raumpostfächer | Get-Mailbox -RecipientTypeDetails SharedMailbox,RoomMailbox | normales Postfach bzw. geteilter Kalender |
| Öffentliche Ordner | Get-PublicFolder -Recurse | gibt es nicht — Inhalte landen in einem Archiv-Postfach |
| Geräte, die über Exchange relayen | Receive-Connector-Protokolle, Scanner, ERP, Monitoring | je Gerät ein Postfach mit App-Passwort |
Der letzte Punkt ist der typische Montagmorgen-Fall nach dem Umzug: Der Scanner scannt nicht mehr, weil Mailcow auf Port 587 nur authentifizierten Versand annimmt — siehe App-Passwörter.
IMAP am Exchange einschalten
Exchange bringt IMAP mit, ab Werk ist der Dienst aus. In der Exchange Management Shell:
Set-Service MSExchangeIMAP4 -StartupType Automatic
Set-Service MSExchangeIMAP4BE -StartupType Automatic
Start-Service MSExchangeIMAP4
Start-Service MSExchangeIMAP4BE
Set-ImapSettings -ExternalConnectionSettings "mail.firma.de:993:SSL" -X509CertificateName mail.firma.deDanach beide Dienste neu starten, das Zertifikat für IMAP freigeben (Enable-ExchangeCertificate -Services IMAP) und Port 993 an der Firewall von außen öffnen — unser Server muss den Exchange erreichen, nicht nur Dein LAN. Test: Thunderbird von außerhalb gegen Port 993. Klappt das, klappt auch der Sync Job.
Client-Check — vor dem Umzug, nicht danach
Mailcow spricht IMAP, SMTP, CalDAV und CardDAV. Kein MAPI, also kein Desktop-Outlook im Exchange-Modus. ActiveSync läuft mit Outlook 2019 und neuer, Microsoft 365 und dem neuen Outlook nicht mehr, und SOGo stellt ActiveSync 2026 ein. Outlook unter Windows läuft per IMAP/SMTP, Kalender und Kontakte über das Plugin CalDav Synchronizer. Vollständig laufen Webmail (SOGo), Apple Mail auf iPhone, iPad und Mac, Android, Thunderbird und eM Client.
Was es nicht gibt: Shared Mailboxes im Exchange-Sinn, Raumbuchung, serverseitige Outlook-Regeln wie bei Exchange — Sieve-Filter gibt es. Hängt Dein Team an einem dieser Punkte, ist jetzt der Moment, das zu klären. Übersicht: Welcher Mailclient passt?
1. Mailcow vorbereiten
Domains. Beim Mailhosting richten wir Deine Domain mit der Bestellung ein — ein Tarif, eine Domain (mehrere Domains: siehe Fragen unten).
Postfächer. Gleiche lokale Teile wie am Exchange, Quota nach Inventar plus Luft — Anleitung in Postfächer anlegen.
Aliase und Verteiler. Ein Exchange-Verteiler wird ein Alias mit mehreren Zielen; „öffentlicher Verteiler” nur aktivieren, wenn Externe an die Adresse schreiben dürfen. Eine Shared Mailbox wird ein normales Postfach mit eigenem Passwort, dessen Ordner Du in SOGo freigibst. Weiterleitungen nach außen werden Aliase auf externe Adressen. Alles in Aliase und Catchall.
Geräte. Scanner, ERP, Monitoring: je ein Postfach (scanner@) mit App-Passwort und den Werten aus der Server-Daten-Referenz.
2. Erst-Sync per Sync Job
Im Postfach-Backend unter E-Mail → Konfiguration, Reiter Sync Jobs — dasselbe IMAP-Migrations-Tool wie in den anderen Migrationsartikeln, unter der Haube imapsync. Je Postfach ein Job:
| Feld | Wert |
|---|---|
| Host | FQDN Deines Exchange, z. B. mail.firma.de |
| Port, Verschlüsselung | 993, SSL |
| Benutzername | UPN (vorname@firma.de); manche Setups wollen FIRMA\vorname |
| Passwort | das AD-Kennwort des Nutzers |
| Intervall | Standard lassen; aktiv bis zum Umschalttag |
| Maximales Alter | 0, sonst fehlen alte Jahrgänge |
| Nachrichten auf Quelle löschen | aus |
Der Job kopiert nur, was fehlt — er darf beliebig oft laufen. Zum Kennwort zwei Wege: Der Admin setzt für die Umzugsphase Kennwörter, die die Nutzer danach ändern — oder Du schaltest im Postfach die Berechtigung „Sync Jobs” frei, und jeder trägt seinen Job selbst ein. Ab einer Handvoll Leute nehmen wir den zweiten.
Was mitkommt: alle Mails mit Originaldatum, die Ordnerstruktur, gelesen/ungelesen, beantwortet, markiert. Was nicht mitkommt: Outlook-Kategorien, Nachverfolgung mit Fälligkeit, Notizen, Aufgaben, Regeln und Abwesenheitsnotizen — das sind MAPI-Eigenschaften, keine IMAP-Flags. Richtwerte zur Dauer stehen im Microsoft-365-Artikel; alte Exchange-Hardware ist eher langsamer.
3. Kalender und Kontakte
Kalender: in Outlook die Kalenderansicht öffnen, dann je Kalender Datei → Kalender speichern (Format iCalendar, .ics). Vorher unter „Weitere Optionen” den Datumsbereich auf „Gesamter Kalender” und die Details auf „Vollständige Details” stellen — sonst exportiert Outlook nur Frei/Gebucht. Import in SOGo: SOGo Kalender. Freigaben kommen nicht mit; geteilte Kalender gibst Du in SOGo neu frei. Ein Raumpostfach wird ein geteilter Kalender, den eine Person pflegt.
Kontakte: aus Outlook als vCard (.vcf) exportieren, in SOGo importieren — SOGo nimmt vCard, kein CSV. Schritte in SOGo Kontakte. Die globale Adressliste ersetzt ein geteiltes Adressbuch in SOGo, das alle abonnieren.
4. DNS in der richtigen Reihenfolge
Die konkreten Werte bekommst Du von uns mit der Einrichtung. Die Reihenfolge ist Deine Sache:
| Schritt | Eintrag | Wann |
|---|---|---|
| 1 | TTL von MX, SPF und Autodiscover auf 300 Sekunden | mindestens einen Tag vor dem Wechsel |
| 2 | SPF mit beiden Sendern: Exchange-IP und unser include | vor dem Wechsel |
| 3 | DKIM-Selector aus Mailcow | vor dem Wechsel |
| 4 | DMARC — falls neu, erst p=none; nach dem Umzug p=quarantine | vor dem Wechsel |
| 5 | MX auf unseren Server | Umschalttag, abends |
| 6 | autoconfig und autodiscover als CNAME auf unseren Server; den SRV-Eintrag _autodiscover._tcp, der auf den Exchange zeigt, entfernen | Umschalttag |
| 7 | Exchange-IP aus dem SPF | nach dem Abschalten |
Schritte 2 bis 4 vor dem MX-Wechsel haben einen Grund: Du sendest damit schon aus Mailcow und siehst in den Headern einer Testmail spf=pass, dkim=pass, dmarc=pass, bevor eine Kundenmail den neuen Weg nimmt — wie Du das prüfst, steht in Mail-Reputation aufbauen.
5. Rest-Sync und Umschalttag
- Abends MX umstellen. Die TTL war gesenkt, nach wenigen Minuten landet neue Post bei Mailcow.
- Sync Jobs laufen lassen. Nachzügler aus alten DNS-Caches kommen noch am Exchange an; die Jobs holen sie nach.
- Clients umstellen. Outlook: neues Profil als IMAP-Konto plus CalDav Synchronizer — Anleitung. iPhone und iPad per Konfigurationsprofil: Apple Mail iOS. Android: K-9 / Thunderbird Mobile. Desktop ohne Outlook: Thunderbird.
- Exchange zwei Wochen als Lesekopie. Dienste laufen, Port 25 und OWA (443) an der Firewall von außen zu, 993 bleibt für die Sync Jobs offen, niemand arbeitet mehr darauf — wer etwas vermisst, findet es dort.
- Abschalten. Zuerst die Sync Jobs löschen — sonst laufen sie ins Leere und füllen Dein Log. Dann Dienste stoppen, Server aus, letztes Backup aufheben. Die saubere Deinstallation aus dem Active Directory ist ein eigenes Projekt, kein Nebensatz.
6. Typische Stolperfallen
IMAP aus oder Port 993 zu. Der typische Grund für „Verbindung fehlgeschlagen” im ersten Sync Job. Von außen testen, nicht aus dem LAN.
Postfächer größer als die Tarif-Quota. Quota des Tarifs prüfen, alte Jahrgänge als PST auslagern oder in ein Archiv-Postfach legen, Sync über Nacht laufen lassen.
Umlaute in Ordnernamen. „Geschäftspost” kommt aus Exchange in IMAP-UTF-7 und sieht nach dem Sync merkwürdig aus. Vor dem Sync ohne Umlaute benennen oder danach in Mailcow umbenennen — Details im IMAP-Migrationsartikel.
Verteiler als SOGo-Liste statt als Alias. Eine Liste im SOGo-Adressbuch ist ein Eintrag für Dich — Externe können sie nicht anschreiben. Alles, was von außen erreichbar sein soll, ist ein Alias.
Reputation der neuen Sende-IP. Deine Domain hat Historie, die IP ist für die Empfänger neu. Keine Rundmail in der ersten Woche; Warm-up nach Mail-Reputation aufbauen.
Outlook-Profile umbiegen. Ein domänengebundenes Outlook findet den alten Exchange über den SCP-Eintrag im Active Directory, solange der Server läuft. Deshalb neues Profil statt Konto-Umbau; die Mails liegen auf dem Server, die alte OST-Datei braucht niemand.
Autodiscover-Reste und doppelte SPF-Einträge. Zwei TXT-Einträge mit v=spf1 sind ein Fehler, keine doppelte Sicherheit. Und ein vergessener SRV-Eintrag schickt Clients noch Monate später zum alten Server.
7. Was wir übernehmen können
Du willst das nicht selbst machen? Dann schreib uns ein Ticket mit Inventar und Postfachzahl. Wir legen Sync Jobs und Aliase an, bauen den DNS-Plan, begleiten den Umschalttag und prüfen danach SPF, DKIM, DMARC und Zustellung. Auch PST-Importe machen wir begleitet. Abgerechnet wird nach Aufwand, den wir vorab kalkulieren — so steht es auch auf der Mailhosting-Seite.
Häufige Fragen
Kann ich die Postfächer per PST statt per IMAP umziehen? Ja. PST in Outlook öffnen, das neue IMAP-Konto daneben, Ordner rüberziehen. Für zwei Postfächer in Ordnung; bei vielen nimmst Du Sync Jobs — oder wir machen es begleitet.
Wir nutzen auch Teams, SharePoint und Office — ersetzt Mailcow das? Nein. Mailcow ersetzt Exchange, nicht Microsoft 365. Mit Nextcloud Server kommst Du weiter: Euro-Office im Browser auf bewährter OnlyOffice-Engine mit hoher MS-Office-Kompatibilität, Talk für Chat und Video (mit dem Talk HPB für bis zu 50 gleichzeitige Talk-Nutzer), Kalender, Kontakte, Whiteboard. Nicht ersetzt: Word, Excel und PowerPoint als Desktop-Programme, Teams-Telefonie und Teams-Apps, SharePoint-Workflows, Power Automate, Intune und Entra-ID-Funktionen.
Wie lange darf der alte Exchange noch laufen? Als Lesekopie zwei Wochen, dann aus. Ohne gekaufte ESU läuft er seit Oktober 2025 ungepatcht, mit ESU ist nach dem 31.10.2026 Schluss — ein ungepatchter Exchange mit offenem OWA ist genau das, was das BSI fahrlässig nennt.
Wir haben drei Domains — geht das? Beim Mailhosting ist es ein Paket je Domain. Mehrere Domains auf einem Server gibt es als Mailserver — eigene Mailcow-Instanz mit eigener Sende-IP; den Umzug dorthin machen wir als Festpreis-Paket nach Postfachzahl, bis einschließlich 31.01.2027 kostenfrei.
Erste Anmeldung als Domain-Admin in der Mailcow-GUI
Nach der Bestellung Deines Mailserver-Tarifs bekommst Du Zugang zur Mailcow-GUI. Hier ein Überblick, was Du als Domain-Admin siehst und wo Du was findest.
Postfächer anlegen, bearbeiten und Quotas setzen
So legst Du als Domain-Admin neue Mailadressen an, vergibst Speicher-Quotas, änderst Passwörter und löscht Postfächer wieder.
Aliase und Catchall einrichten
Mehrere Mailadressen auf ein Postfach umleiten — info@, kontakt@, presse@ alles in eine Mailbox. Plus Catchall für alle Tippfehler-Adressen.
App-Passwörter für Mailclients erstellen
Wenn Du 2FA aktiv hast, brauchen Outlook, Apple Mail und Co. ein App-Passwort statt des Haupt-Passworts. So legst Du sie an, widerrufst sie und vermeidest Passwort-Chaos.