Microsoft verschafft Exchange-Admins Aufschub – aber kein Freifahrtschein

Microsoft schiebt -Credential nach hinten

Microsoft gibt Exchange-Admins zunaechst etwas Luft: Die Abschaffung des -Credential-Parameters in Exchange Online PowerShell wird nicht so schnell vollzogen wie zuerst angekuendigt. Laut Microsoft ist der Schritt auf neue Modulversionen ab Juli 2026 verschoben. Das ist fuer viele Teams relevant, weil genau an diesem alten Verbindungsweg noch unbeaufsichtigte Skripte, Scheduled Tasks und kleinere Admin-Automationen haengen.

Die wichtigere Einordnung ist aber: Microsoft hat das Ziel nicht geaendert, sondern nur den Zeitdruck reduziert. Wer heute noch auf -Credential setzt, gewinnt vor allem Planungszeit. Er gewinnt keine neue Dauerloesung. Gerade in gewachsenen Microsoft-365-Umgebungen ist das der Unterschied zwischen kurzer Erleichterung und spaeterem Betriebsstress.

Fuer Unternehmen heisst das praktisch: Nicht zuerst fragen, ob das Skript heute noch laeuft, sondern wo der eigene Exchange-Betrieb noch von einem Login-Muster abhaengt, das Microsoft sichtbar auslaufen lassen will. Genau an diesem Punkt werden viele vermeintlich kleine Aenderungen spaeter teuer, weil Betrieb nicht mit Architektur verwechseln so wichtig ist: Was im Alltag still funktioniert, ist nicht automatisch zukunftssicher.

Welche Exchange-Online-Aufrufe betroffen sind

Betroffen ist nicht irgendein abstrakter Auth-Pfad, sondern der Admin-Alltag rund um das Exchange Online PowerShell Module. Microsoft dokumentiert Connect-ExchangeOnline weiter als zentralen Verbindungsbefehl fuer Exchange Online. Fuer den Compliance- und Purview-nahen Bereich verweist Microsoft auf Connect-IPPSSession fuer Security & Compliance PowerShell.

Relevant wird die Meldung immer dort, wo Teams Verbindungen nicht interaktiv, sondern automatisiert aufbauen. Typische Beispiele sind:

• Skripte, die nachts Postfach- oder Berechtigungspruefungen fahren
• Scheduled Tasks auf Admin-Hosts oder Jump Servern
• MSP-Automationen fuer mehrere Tenants
• Hilfsskripte, die historisch mit hinterlegten Zugangsdaten gewachsen sind

Wenn in solchen Faellen noch -Credential verwendet wird, ist die technische Schuld jetzt nicht verschwunden. Sie wurde nur mit einem neuen Datum versehen. Das macht die Lage fuer den Betrieb sogar etwas tückischer: Viele Teams sehen zunaechst keinen akuten Bruch und verschieben die Inventur weiter nach hinten.

Genau deshalb lohnt sich jetzt eine saubere Abgrenzung: Es geht hier nicht pauschal um alle Microsoft-Adminwege, sondern sehr konkret um Exchange Online PowerShell und die angrenzende Security-&-Compliance-Verbindung. Wer diesen Scope frueh sauber kartiert, spart sich spaeter hektische Einzelfallreparaturen.

Was Admins jetzt pruefen sollten

Der beste Nutzen aus dem Aufschub entsteht nicht durch Abwarten, sondern durch Inventarisieren. Ein pragmatischer Start sieht so aus:

1. Alle Exchange-Skripte auf Verbindungsaufbau pruefen. Suchen Sie gezielt nach Connect-ExchangeOnline, Connect-IPPSSession und -Credential.
2. Unbeaufsichtigte Jobs getrennt erfassen. Alles, was nachts, per Scheduler oder mandantenuebergreifend laeuft, hat hoehere Prioritaet als interaktive Admin-Sessions.
3. Pro Skript den kuenftigen Zielpfad festlegen. App-only, Zertifikat oder Managed Identity sollte bewusst entschieden werden statt Skript fuer Skript aus dem Bauch heraus.
4. Modulstaende dokumentieren. Der Aufschub haengt an neuen Modulversionen. Wer den eigenen Updatepfad nicht kennt, plant blind.
5. Ausweichideen kritisch sehen. Aeltere Modulversionen laenger festzuhalten kann kurzfristig helfen, loest aber weder Governance noch die spaetere Umstellung.

Gerade fuer MSPs und groessere IT-Teams ist das keine reine Technikfrage. Es ist auch eine Frage von Verantwortlichkeit, Standardisierung und unklaren Zustaendigkeiten: Wer darf Apps registrieren, Zertifikate verwalten, Berechtigungen freigeben und Alt-Skripte abschalten? Wenn diese Punkte offen bleiben, wird aus einem ueberschaubaren Migrationsprojekt schnell ein politischer Dauerfall.

Hilfreich ist deshalb ein einfaches Raster: Was laeuft noch mit Personen-Credentials, was laeuft schon mit Dienstidentitaet, und was hat bisher ueberhaupt keinen sauber dokumentierten Owner? Genau diese drei Gruppen zeigen meist schneller als jede Architekturfolie, wo der echte Handlungsdruck sitzt.

Wie Teams die Umstellung sauber vorbereiten

Die falsche Reaktion auf Microsofts Aufschub waere: Thema vertagen, bis spaeter wirklich etwas bricht. Die bessere Reaktion ist: Jetzt die ruhige Phase nutzen, um aus einem stillen Legacy-Muster einen planbaren Wechsel zu machen.

Das heisst nicht, dass jedes Team morgen alles umbauen muss. Es heisst aber, dass -Credential ab jetzt wie ein auslaufender Betriebsbestand behandelt werden sollte. Neue Automationen sollten nicht mehr darauf aufbauen. Bestehende Skripte sollten einen Zielpfad bekommen. Und besonders kritische Jobs sollten frueh getestet werden, bevor spaetere Modulupdates den Druck diktieren.

Unterm Strich schenkt Microsoft Zeit, aber kein neues Vertrauen in den alten Weg. Wer die Fristverlaengerung nur als Beruhigung liest, wird spaeter unter Update-Druck migrieren. Wer sie als seltenes Zeitfenster versteht, kann Exchange-Automation kontrolliert in moderne Authentifizierung ueberfuehren.