Exchange Server 2016 en 2019 een jaar uit support: tijd voor SE

Op 14 oktober 2025 verloren Exchange Server 2016 en Exchange Server 2019 hun ondersteuning. Een jaar later is de situatie voor organisaties die nog op deze versies draaien niet rustiger geworden, maar urgenter. Microsoft verlengde het tijdelijke programma met betaalde beveiligingsupdates (ESU) tweemaal, maar stelt nu onomwonden dat er na oktober 2026 geen enkele update meer volgt. Tegelijk weert Exchange Online sinds september mail van verouderde on-premises servers in hybride omgevingen.

Voor IT-beheerders en inkopers is de overstap naar Exchange Server Subscription Edition (SE) of Exchange Online daarmee geen planningsvraag meer, maar een beheersmaatregel. In dit artikel zetten we op een rij wat er het afgelopen jaar is veranderd, wat SE anders maakt op het gebied van licenties en updates, en welke stappen u nu concreet kunt zetten.

Wat er aan de hand is: de laatste ESU-updates verschijnen deze maand

Toen Microsoft in mei 2024 de einddatum bevestigde, was de boodschap helder: geen verlenging, geen Extended Security Updates. In juli 2025 kwam het bedrijf daar deels op terug met een eenmalig ESU-programma van zes maanden, tot 14 april 2026, voor klanten die hun migratie al gestart hadden. Volgens The Register liet Microsoft daarbij weten dat deze periode niet verlengd zou worden. In april 2026 volgde toch een tweede periode ("Period 2"), die loopt tot en met oktober 2026. In het bijbehorende bericht gaf het Exchange-team aan liever helemaal geen ESU te verkopen en klanten gewoon te zien migreren, zo meldt The Register.

In juli 2026 maakte Microsoft een einde aan de speculatie: er komt geen derde periode. Na oktober 2026 verschijnen er geen updates meer voor Exchange 2016 en 2019, ook niet voor organisaties die nu een Period 2-licentie hebben, aldus BleepingComputer. De oktober-updates van deze maand zijn dus met zekerheid de laatste die deze versies ooit krijgen.

Dat die updates nog steeds nodig zijn, bleek het afgelopen jaar herhaaldelijk. In mei 2026 werd een actief misbruikt zero-day-lek in Outlook on the web (CVE-2026-42897) gemeld, dat Exchange 2016, 2019 en SE trof en pas in juni definitief werd gedicht. Begin september telde Shadowserver bijna 22.000 publiek bereikbare Exchange-servers die nog niet gepatcht waren tegen CVE-2026-62911, een lek waarmee een aanvaller alle mailboxen kan overnemen. Het NCSC adviseerde daarbij expliciet om servers zonder ESU alleen intern bereikbaar te maken en waar mogelijk te vervangen, schrijft BleepingComputer. Wie geen ESU heeft, heeft deze fixes nooit ontvangen.

Achtergrond: van Exchange 2019 end of support naar Subscription Edition

De einddatum van 14 oktober 2025 gold voor beide versies tegelijk. Exchange 2016 zat al sinds oktober 2020 in extended support, Exchange 2019 sinds januari 2024. De Exchange 2019 end of support viel samen met die van Windows 10 en Office 2016/2019, waardoor veel beheerafdelingen in dezelfde periode meerdere migraties moesten uitvoeren.

Microsoft bracht Exchange Server SE op 1 juli 2025 uit, ruim drie maanden voor de einddatum. De RTM-versie is qua code identiek aan Exchange 2019 CU15: alleen de naam, het buildnummer en de licentieovereenkomst verschillen, meldt The Register. Dat was een bewuste keuze. Doordat er geen nieuwe installatievereisten of functies in zaten, kon de overstap vanaf Exchange 2019 CU14 of CU15 als in-place upgrade verlopen, vergelijkbaar met het installeren van een cumulatieve update. Nieuwe functies, zoals Kerberos voor server-naar-server-authenticatie en een nieuwe Admin API, werden doorgeschoven naar CU1.

Wat Exchange Server SE anders maakt: licenties en updatediscipline

Technisch is SE een voortzetting van Exchange 2019. Zakelijk verandert er meer. De belangrijkste punten op een rij:

• Licentievorm. Het licentiemodel volgt dat van SharePoint Server Subscription Edition: u heeft abonnementslicenties nodig, of licenties met actieve Software Assurance, voor zowel de server als de gebruikers- of apparaat-CAL's, aldus The Register. Een eenmalig gekochte licentie zonder SA volstaat niet meer. Stopt u met betalen, dan valt u terug op de oude, niet-ondersteunde versie.
• Prijspeil. Bij de release kondigde Microsoft volgens The Register een verhoging van 10 procent aan voor losse on-premises serverproducten (Exchange, SharePoint en Skype for Business Server); de clouddiensten bleven buiten schot.
• Modern Lifecycle Policy. Er is geen vaste einddatum meer, op voorwaarde dat uw installatie actueel blijft. Microsoft spreekt van een evergreen-product zonder nieuwe jaarversies, meldt BleepingComputer. Dat klinkt comfortabel, maar het betekent ook dat "nog even wachten met die CU" niet meer vrijblijvend is: wie te ver achterloopt, valt buiten support.
• Updatecadans. Microsoft plant twee CU's per jaar plus beveiligingsupdates wanneer nodig. Toekomstige CU's zullen de installatievereisten moderniseren, SE-productsleutels vereisen en de coëxistentie met Exchange 2016 en 2019 in dezelfde organisatie blokkeren.

Een kanttekening bij die cadans: CU1 is er nog steeds niet. Oorspronkelijk gepland voor eind 2025, daarna voor de eerste en vervolgens de tweede helft van 2026, en in augustus liet het Exchange-team weten geen datum te kunnen geven. De reden is volgens Microsoft dat AI-gestuurde kwetsbaarheidsanalyse zoveel beveiligingswerk oplevert dat er geen rustige maand is om een CU uit te brengen, schrijft The Register. Voor u betekent dit dat SE RTM momenteel de enige ondersteunde on-premises build is, en dat u niet op CU1 hoeft te wachten om over te stappen.

Hybride omgevingen: Exchange Online weert verouderde servers

Veel Nederlandse organisaties draaien hybride: een deel van de mailboxen in Exchange Online, een on-premises server voor beheer, applicaties of specifieke mailboxen. Juist daar heeft Microsoft de teugels aangetrokken. Sinds de tweede week van september 2026 accepteert Exchange Online via inbound connectors van het type OnPremises alleen nog Exchange 2016- en 2019-servers met minimaal het publieke updateniveau van oktober 2025. Servers die daaronder zitten, krijgen te maken met throttling en uiteindelijk blokkering van mailverkeer, meldt heise.

Dat is een overgangsregel. Bij de volgende verhoging van de minimumversie, die Microsoft binnen enkele maanden verwacht, bestaat er geen publieke update meer waarmee Exchange 2016 of 2019 aan de eis kan voldoen. Alleen ESU-deelnemers of organisaties die naar SE zijn gemigreerd, halen dan nog het vereiste patchniveau. En omdat ESU zelf in oktober 2026 stopt, blijft daarna feitelijk alleen SE over als on-premises component van een hybride omgeving.

Wat dit betekent voor uw organisatie

De juiste route hangt af van uw uitgangspositie. Vier veelvoorkomende situaties:

U draait Exchange 2019 CU14 of CU15 on-premises

Dit is de eenvoudigste uitgangspositie. De in-place upgrade naar SE RTM verloopt als een CU-installatie en brengt geen nieuwe hardware- of OS-eisen mee. Het grootste werk zit in de licenties: controleer of uw server- en CAL-licenties actieve Software Assurance hebben of regel abonnementslicenties. Plan de upgrade in een onderhoudsvenster en test vooraf in een acceptatieomgeving.

U draait nog Exchange 2016 (of ouder)

Een in-place upgrade is niet mogelijk. U heeft een klassieke legacy-migratie nodig: nieuwe SE-servers naast de bestaande organisatie, mailboxen en connectors verhuizen, en de oude servers afbouwen. Dat vraagt meestal om nieuwe serverhardware en een actuele Windows Server-versie. Exchange 2013 of ouder moet eerst volledig verwijderd zijn. Reken op een project van weken tot maanden, afhankelijk van het aantal mailboxen en gekoppelde applicaties.

U werkt hybride met Exchange Online

Inventariseer welke on-premises servers via een OnPremises-connector mail afleveren bij Exchange Online en op welk buildnummer ze staan. Zet die servers als eerste over naar SE; zij raken anders direct uw mailflow. Overweeg tegelijk of de resterende on-premises mailboxen echt nog lokaal moeten staan.

U wilt of moet on-premises blijven

Voor organisaties met eisen rond datasoevereiniteit, zoals delen van de overheid, zorg of industrie, blijft SE de enige ondersteunde weg om e-mail in eigen beheer te houden. Dat is precies waarom Microsoft het product uitbrengt. De tegenprestatie is dat u de updatediscipline van een abonnementsproduct accepteert: halfjaarlijkse CU's en maandelijkse beveiligingsupdates zijn geen optie meer, maar een voorwaarde voor support.

Wat u nu kunt doen

1. Inventariseer. Breng alle Exchange-servers in kaart: versie, CU-niveau, rol, en of ze publiek bereikbaar zijn. Vergeet servers die alleen als beheertool dienen niet; ook die hebben updates nodig.
2. Regel de licenties. Controleer uw volumelicentieovereenkomst op actieve Software Assurance voor Exchange Server en CAL's. Ontbreekt die, dan heeft u Exchange Server SE-licenties op abonnementsbasis nodig voordat u kunt upgraden.
3. Kies het platform. Exchange 2019 CU15, en dus SE RTM, ondersteunt volgens heise Windows Server 2019, 2022 en 2025. Houd er bij nieuwe installaties rekening mee dat Windows Server 2022 deze maand de mainstream support verlaat; voor een server die jaren mee moet, is Windows Server 2025 het logische fundament.
4. Dimensioneer de hardware. Bij een legacy-migratie vanaf Exchange 2016 heeft u nieuwe servers nodig die naast de oude omgeving draaien. Bekijk ons aanbod servers voor rack- en towermodellen die geschikt zijn voor Exchange-workloads.
5. Test updates vóór uitrol. De oktober-updates van Windows Server veroorzaken op sommige Exchange-servers problemen met OWA-aanmelding en mailflow; Microsoft adviseert de update niet te verwijderen maar een registerwijziging toe te passen, meldt BleepingComputer. Dit onderstreept waarom een testomgeving onder het Modern Lifecycle-model onmisbaar is.
6. Hard de omgeving af. CISA en de NSA publiceerden in oktober 2025 gezamenlijke richtlijnen voor het hardenen van Exchange-servers. Zorg dat de Exchange Emergency Mitigation Service actief is; die leverde in mei 2026 automatische mitigaties voordat een patch beschikbaar was.
7. Ruim op. Bouw Exchange 2016- en 2019-servers na de migratie volledig af. Latere SE-CU's weigeren te installeren zolang oudere versies in de organisatie aanwezig zijn.

Veelgestelde vragen over Exchange Server SE