Exchange Online: Microsoft ändert API-Berechtigungen – Administratoren müssen handeln

Microsoft nimmt erneut Änderungen an Exchange Online vor. Diesmal geht es um die Berechtigungen für Anwendungen, die über die Exchange Online Admin API v2.0 auf Verwaltungsfunktionen zugreifen. Unternehmen müssen bestimmte Zugriffsrechte bis Ende November 2026 umstellen, damit automatisierte Abläufe auch danach zuverlässig funktionieren.

Für normale Outlook-Nutzer ändert sich dadurch nichts. IT-Administratoren sollten allerdings genauer hinschauen, denn Anwendungen und Skripte, die noch die bisherigen Berechtigungen verwenden, könnten ab Dezember Probleme bekommen.

Microsoft hat dazu unter der Mitteilungsnummer MC1540345 entsprechende Hinweise zur Umstellung veröffentlicht.

Was ändert sich bei Exchange Online?

Im Mittelpunkt steht die Exchange Online Admin API v2.0. Über diese Schnittstelle können Anwendungen und externe Dienste bestimmte Verwaltungsaufgaben automatisiert ausführen.

Dazu gehören beispielsweise das Auslesen von Organisationseinstellungen, die Verwaltung unterstützter Postfachberechtigungen oder andere administrative Vorgänge.

Statt solche Aufgaben jedes Mal manuell durchzuführen, können Unternehmen dafür eigene Anwendungen oder Skripte einsetzen.

Microsoft überarbeitet nun das Berechtigungsmodell dieser Schnittstelle. Zwei bisher verwendete API-Berechtigungen werden durch neue, speziell für die Exchange Online Admin API vorgesehene Berechtigungen ersetzt.

Die eigentliche Schnittstelle bleibt dabei erhalten. Auch die API-Version, die Endpunktadressen und die unterstützten Funktionen ändern sich durch diese Umstellung nicht.

Diese beiden Berechtigungen werden ersetzt

Konkret betrifft die Änderung zwei Zugriffsarten.

Die erste Berechtigung wird für den sogenannten delegierten Zugriff verwendet. Dabei handelt eine Anwendung im Namen eines angemeldeten Benutzers.

Die zweite Berechtigung betrifft Anwendungen, die eigenständig auf Exchange Online zugreifen, beispielsweise automatisierte Verwaltungsdienste ohne interaktive Benutzeranmeldung.

Microsoft möchte mit der Trennung die Zugriffsrechte eindeutiger gestalten und die Administration von Exchange Online weiter modernisieren.

Aus technischer Sicht ist die Änderung nachvollziehbar. Für Administratoren bedeutet sie allerdings zusätzlichen Aufwand, denn vorhandene Anwendungen müssen gegebenenfalls angepasst werden.

Microsoft setzt eine klare Frist bis Ende November

Besonders wichtig ist der Zeitplan. Microsoft räumt Unternehmen für die Umstellung nur ein vergleichsweise kurzes Zeitfenster ein.

Für reguläre Microsoft-365-Umgebungen gelten folgende Termine:

• 1. November 2026: Die neuen API-Berechtigungen stehen weltweit zur Verfügung.

• 30. November 2026: Bis zu diesem Datum soll die Migration abgeschlossen sein.

• 1. Dezember 2026: Die bisherigen Berechtigungen werden abgekündigt.

Für die US-Regierungsumgebungen GCC, GCC High und DoD gibt es eine abweichende Übergangsfrist. Hier beginnt die Einführung ebenfalls im November, während die bisherigen Berechtigungen erst zum 1. Januar 2027 abgekündigt werden.

Unternehmen sollten die Umstellung deshalb nicht auf die lange Bank schieben.

Wer Anwendungen betreibt, die ausschließlich auf die alten Berechtigungen setzen, riskiert nach deren Abschaltung einen Ausfall des API-Zugriffs.

Welche Unternehmen sind betroffen?

Die gute Nachricht: Nicht jede Organisation mit Exchange Online muss jetzt aktiv werden.

Handlungsbedarf besteht nur dann, wenn Anwendungen die betroffenen Berechtigungen tatsächlich verwenden.

Das kann beispielsweise bei selbst entwickelten Verwaltungstools, automatisierten Hintergrunddiensten oder bestimmten Lösungen von Drittanbietern der Fall sein.

Wer ausschließlich die üblichen Funktionen von Outlook oder dem Exchange Admin Center verwendet, muss aufgrund dieser Änderung nicht automatisch etwas anpassen.

Trotzdem würde ich Administratoren empfehlen, die vorhandenen App-Registrierungen in Microsoft Entra ID zu überprüfen. Gerade in größeren Umgebungen laufen manche Automatisierungen seit Jahren, ohne dass ihre Berechtigungen regelmäßig kontrolliert werden.

Und genau solche Anwendungen fallen häufig erst dann auf, wenn plötzlich etwas nicht mehr funktioniert.

So sollten Administratoren bei der Umstellung vorgehen

Microsoft empfiehlt eine schrittweise Migration, um mögliche Unterbrechungen zu vermeiden.

Zunächst sollten Administratoren feststellen, welche Anwendungen noch Exchange.ManageV2 oder Exchange.ManageAsAppV2 verwenden.

Anschließend lassen sich die neuen Berechtigungen in den jeweiligen App-Registrierungen innerhalb von Microsoft Entra ID ergänzen.

Dabei sind mehrere Punkte wichtig:

1. Betroffene Anwendungen identifizieren: Prüfen, welche Anwendungen die bisherigen API-Berechtigungen verwenden.

2. Neue Berechtigungen hinzufügen: Die passenden Nachfolger in den App-Registrierungen konfigurieren.

3. Administratorzustimmung erteilen: Die erforderlichen Zugriffsrechte ausdrücklich genehmigen.

4. Exchange-Rollen kontrollieren: Sicherstellen, dass Anwendungen und Benutzer über die notwendigen Verwaltungsrechte verfügen.

5. Funktionen testen: Vorhandene Automatisierungen mit den neuen Berechtigungen überprüfen.

6. Alte Berechtigungen entfernen: Erst nach erfolgreichen Tests die bisherigen Rechte löschen.

Zusätzlich sollten Konfigurationen und Skripte kontrolliert werden, in denen die alten Berechtigungsnamen ausdrücklich hinterlegt sind.

Bei Anwendungen von Drittanbietern empfiehlt Microsoft, den jeweiligen Hersteller zu kontaktieren und zu klären, ob eine Aktualisierung erforderlich ist.

Achtung: Neue API-Rechte allein reichen nicht aus

Ein wichtiger Punkt bei der Umstellung ist die rollenbasierte Zugriffskontrolle, kurz RBAC.

Microsoft unterscheidet weiterhin zwischen den grundsätzlichen API-Berechtigungen und den tatsächlichen Verwaltungsrechten innerhalb von Exchange Online.

Vereinfacht gesagt: Eine Anwendung kann zwar berechtigt sein, sich gegenüber der Schnittstelle auszuweisen und ein gültiges Zugriffstoken zu erhalten. Das bedeutet aber noch nicht, dass sie automatisch jede Verwaltungsaufgabe ausführen darf.

Welche Aktionen tatsächlich erlaubt sind, legen die zugewiesenen Exchange-Rollen und deren Geltungsbereiche fest.

Fehlen diese Rechte, kann die API beispielsweise mit dem HTTP-Fehler 403 Forbidden antworten.

Deshalb sollten Administratoren bei der Migration nicht nur die Berechtigungen in Entra ID austauschen, sondern auch die vorhandenen Rollenzuweisungen prüfen.

Gerade bei automatisierten Prozessen ist das wichtig, weil Fehler möglicherweise erst bei bestimmten Verwaltungsaktionen auftreten.

Was steckt hinter der Änderung?

Microsoft arbeitet seit einiger Zeit daran, ältere Exchange-Technologien durch modernere Verwaltungs- und Programmierschnittstellen zu ersetzen.

Die Exchange Online Admin API spielt dabei unter anderem im Zusammenhang mit der Ablösung bisheriger Exchange Web Services eine Rolle.

Mit den neuen Berechtigungen trennt Microsoft die Zugriffsrechte für die Admin API klarer von anderen Exchange-Berechtigungen.

Das kann langfristig für mehr Übersicht bei der Verwaltung von Anwendungen sorgen.

Für bestehende Installationen ist es allerdings zunächst eine weitere Änderung, die Administratoren berücksichtigen müssen.

Fazit: Sinnvolle Anpassung, aber wenig Zeit für die Migration

Die neuen Berechtigungen für die Exchange Online Admin API v2.0 sind technisch keine grundlegende Neuerfindung. Microsoft verändert weder die Schnittstelle selbst noch deren unterstützte Verwaltungsfunktionen.

Trotzdem sollte man die Umstellung nicht unterschätzen.

Besonders in Unternehmen mit vielen Automatisierungen und externen Verwaltungslösungen kann es aufwendig werden, sämtliche betroffenen Anwendungen rechtzeitig zu identifizieren und zu testen.

Ich halte die klarere Trennung der Berechtigungen grundsätzlich für sinnvoll. Allerdings ist die Übergangszeit von nur einem Monat ziemlich knapp bemessen, insbesondere für größere IT-Umgebungen mit komplexen Freigabeprozessen.

Administratoren sollten deshalb möglichst früh prüfen, ob ihre Anwendungen betroffen sind, und die Migration noch vor dem 30. November abschließen.

Denn Berechtigungsprobleme sind meist deutlich angenehmer zu beheben, solange die vorhandenen Automatisierungen noch funktionieren.

Quellen

Microsoft 365 Message Center – MC1540345
Action required: Update permissions for Exchange Online Admin API
https://admin.microsoft.com/#/MessageCenter/:/messages/MC1540345

Microsoft Learn – Authentication and authorization for the Exchange Online Admin API
https://learn.microsoft.com/en-us/exchange/reference/admin-api-authentication

Neowin, Sayan Sen, 6. November 2026
Microsoft shares transition guidance for Exchange Online Admin app permissions update
https://www.neowin.net/news/microsoft-shares-transition-guidance-for-exchange-online-admin-app-permissions-update/