MSXFAQ MeetNow aktiv: Komm doch einfach dazu.

EWS Einstellung im M365 Admin Center

Seit 1.Okt 2026 blockiert Microsoft den Zugriff per EWS auf Exchange Online, wenn Sie nicht als Administrator eine entsprechende Ausnahme konfiguriert haben. Die Konfiguration war lange nur über die Exchange Online PowerShell steuerbar. Aber auch im Microsoft 365 Admin Center gibt es mittlerweile die Einstellung, die aber aus meiner Sicht eher verwirrend und unglücklich ist.

Kurzfassung

Als ganz kurze Übersicht noch mal folgende Aussagen. Die Langform finden Sie z.B. auf Exchange Online EWS Abschaltung 2026:

  • EWS in Exchange Online "End of Live" und wird im April 2027 abgeschaltet.
    Es wurde seit vielen Jahren immer wieder wiederholt und auch hinausgezögert, weil abhängig Dienste noch nicht umgestellt waren und Microsoft für einige Funktionen, z.B. Backup/Restore, die Alternativen per Microsoft Graph noch nicht bereitgestellt hatte. Aber nun scheint der Termin fest zu stehen.
  • Seit Anfang 2026 hat Microsoft als Weckruf EWS in den Tenants schon tageweise abgeschaltet
    Vielleicht erklärt sich so für den ein oder anderen Administrator das ein oder andere Problem in der Vergangenheit, welches alleine wieder verschwunden ist.
  • Seit Oktober 2026 hat Microsoft die Konfiguration "Default = OFF" aktiviert
    Damit ist EWS nicht mehr erreichbar, es sei denn der Administrator hat die Konfiguration angepasst
  • Administratoren können EWS temporär wieder für einzelne AppIDs reaktivieren
    Sie müssen dazu aber explizit auch die AppIDs freischalten. Ein "Alle EWS für alles zu" geht nicht.
  • Konfiguration per Exchange Online PowerShell
    Die komplette Konfiguration ist über die Exchange PowerShell erreichbar.
  • Es kann passieren dass EWS nicht funktioniert
    Das passiert dann, wenn Sie nicht bis zum 1. Okt die Einstellung "EWSEnabled=$True" vorgenommen haben. Dann schaltet Microsoft EWS ab ohne die AppIDs der letzten Nutzung zu übertragen.
  • Die Anleitung im Blog-Post von Microsoft ist verwirrend
    Denn als Lösung soll man EWS über das Admin Center erst einschalten (Block = OFF) und danach wieder abschalten (Block = ON). Durch das Einschalten der Blockade wird aber die AllowList aktiv.

Wenn Sie nun ganz verwirrt sind, dann lesen Sie einfach weiter.

Message Center Post

Zuerst müssen wir mal schauen, ob ihr Tenant schon betroffen ist. Dazu sollten Sie im Message Center nach zwei Meldungen suchen:

Microsoft 365 Message Center
https://admin.cloud.microsoft/#/MessageCenter/:/messages/

Die erste Meldung zeigt ihnen an, wann die Umschaltung erfolgen soll:

"Action may be required: EWS will be disabled in your tenant in 7 days”

Wenn die Umschaltung dann tatsächlich erfolgt ist, steht in ihrem Message Center die Meldung:

“EWS has been disabled in your tenant”

Bei mir waren auch am 21. Okt 2026 noch keine entsprechenden Meldungen aktiv. Das bedeutet aber nicht, dass es nicht passiert und Microsoft hat am 21. Oktober 2026 eigens einen neuen Artikel dazu veröffentlicht:

Dort wird ein Fall beschrieben, den es eigentlich gar nicht geben sollte, wenn Microsoft alles Richtig macht. Im Message Center steht nämlich auch:


Quelle: MC1485116 Microsoft Exchange Online: Exchange Web Services (EWS) enforcement update for EWSAllowedAppIDs
https://admin.cloud.microsoft/#/MessageCenter/:/messages/MC1485116

Aber auch hier ist genaues Lesen wichtig, Es gibt nämlich eine zeitliche Lücke zwischen dem Inventarlauf am 2. Oktober und dem Setzen der AppIDs und der Durchsetzung.

M365 Admin Center

Mittlerweile hat es die EWS-Einstellung seinen Weg auch ins Microsoft 365 Admin Center gefunden und Sie können die ein oder andere Einstellung ändern oder zumindest einsehen.

Ich finde es interessant, dass Microsoft dies in das Microsoft 365 Admin Center integriert hat, wo die Einstellung doch kaum zu finden ist. Wer geht schon täglich in die Org-Settings unter Security und editiert den "Baseline Security Mode". Ich hätte diese Einstellung, die im April 2027 schon wieder wegfallen dürfte, eher im Exchange Admin Center erwartet.

Gehen Sie dazu auf folgende URL:

https://admin.cloud.microsoft/#/baselinesecuritymode

Und filtern Sie z.B. auf die Workload "Exchange"

In meinem Dev-Tenant ist hier "Meets Standard" hinterlegt und wen ich den Eintrag anklicke, sehe ich folgende Einstellungen.

Ich kann hier die Checkbox sogar einschalten und ausschalten und die Änderung speichern.

Laut Microsoft kann es bis zu einer Stunde dauern, dass die Einstellung wirkt. Die Kontrolle der Einstellung mit "Get-OrganizationConfig" geht quasi sofort. Das bedeutet aber nicht, dass alle Exchange Online Server der Welt die neue Einstellung schon in ihrem Cache haben.

Nur wenn ich auch explizit AppIDs ausgeschlossen habe, dann sehe ich hier den Link "Exclude specific Apps" um die Ausnahmen anzuzeigen und kann einzelne Apps hier sogar löschen aber nicht erweitern!

 

Meine Einstellung interpretiere ich so, dass ich tenantweit EWS "geblockt" habe aber für zwei Apps eine Ausnahme mache.

Wenn Sie die Checkbox entfernen, dann ist die bis vor der Umstellung noch möglich aber wird mit einer Warnung gekennzeichnet.

Im Hintergrund passiert dann einfach nur ein HTTP-Post

Wenn Sie die Checkbox wieder setzen, ändert sich in der Payloat einfach das "RevertSetting :False" im Exchange Admin Audit Log finden wir dann die entsprechende PowerShell


https://admin.cloud.microsoft/exchange#/troubleshoot/collectlog

Einen ähnlichen Bericht können Sie auch in PurView (https://purview.microsoft.com) generieren lassen.

Das Problem der Checkbox und EWSEnabled

Wenn Sie den Blog Artikel von Microsoft genau lesen, dann sind sie vermutlich mehr verwirrt als schauer.

Da schlägt Microsoft wirklich vor, dass man die Checkbox erst einmal deaktiviert, speichert und dann wieder reaktiviert. Auf der GUI ändert sich nicht aber im Unterbau eben doch. Die Einstellung liest einmal den Wert "EWSEnabled" ein um ihn anzuzeigen und setzt ihn zugleich. Das klingt Unstimmig aber lässt sich erklären, wen Sie das dazugehörige Feld "EWSEnabled" in der Exchange Online PowerShell betrachten. Es ist eigentlich ein "Boolean", der den Wert "$true" oder "$false" annehmen kann aber es gibt noch einen dritten Status, das der Wert nämlich nicht gesetzt ist.

 

 

Über das Admin Center können Sie aktuell nur zwischen "$null" und "$True" umschalten aber nicht auf $False!

Ein Administrator kann bewusste EWS einschalten, abschalten oder auch wieder auf "Microsoft Default" setzen. In der PowerShell sieht das dann wie folgt aus:

Ich kann den Wert in der ersten Zeile abfragen aber es wird nichts angezeigt. Ich kann den Wert aber gegen die drei verschiedenen Möglichkeiten vergleichen und nur ein Wert passt. Im Microsoft 365 Admin Portal gibt es aber nur eine Checkbox die eben "An" oder "Aus" ist und das sind nur zwei Zustände.

Bei allen Tenants ist der initiale Wert von "EWSEnabled" ein "$none". Wenn Sie nach dem Blog-Artikel nun die Checkbox einmal abschalten, speichern und wieder einschalten und speichern, dann ist der Wert auf "$false" gewechselt. Schauen wir uns den Prozess und die Auswirkung einmal an.

Tenant ist noch nicht umgestellt

Mein Tenant ist noch nicht umgestellt und ich habe per PowerShell den Wert von "EWSEnabled" gesetzt

EWSEnabled Anzeige in EAC Beschreibung

$None

Der Default erlaubt EWS-Zugriff noch von jeder Applikation

$True

Ich habe zwar EWS aktiviert aber nun kommt die Liste der erlaubten AppIDs zur Anwendung. Insofern ist es schon ein "Block" mit der Ausnahme einiger AppIDs

$False

Ich dem Fall habe ich aktiv eingestellt, dass ich kein EWS mehr erlauben will. Das ist übrigens die Zielkonfiguration, wenn Microsoft ihren Tenant umstellt.

Wenn Sie also nicht überrascht werden wollen, wann Microsoft ihren Tenant von "$none" auf "$false" umstellt, dann können Sie per Exchange Online PowerShell heute schon die AppIDs selbst eintragen und den EWSEnabled=$True stellen

Tenant wurde schon umgestellt

Interessanter ist es, wenn Microsoft ihren Tenant umgestellt hat und Sie erst dann merken, dass EWS nicht wie erwartet funktionieren. Die Einstellung "$none" gibt es nicht mehr und Microsoft hat für alle Tenants, die schon "EWSEnabled=$True" hatten, die AppIDs kopiert und alles sollte weiter lauten. Wer jedoch noch "EWSEnabled=$None" hatte, für den sollte Microsoft zwar die AppIDs kopiert haben, aber "EWSEnabled=$False" gesetzt haben.

Ich hatte am 21. Okt noch keinen umgestellten Tenant und kann daher nicht sicher sein, dass die Bilder so passen.

EWSEnabled Anzeige in EAC Beschreibung

$None

Diese Einstellung ist nicht mehr möglich. Microsoft setzt den Wert auf $False

$True

Wenn Sie vorher schon ein "EWSEnabled=$true" hatte, dann hat Microsoft die AppIDs kopiert und EWS funktioniert nur noch für die angegebenen Apps.

$False

In ihrem Tenant ist EWS pauschal deaktiviert und auch eine AppID-Liste hilft erst einmal nicht

Und nun wird auch klar, was der Blog Artikel beschreibt. Im Microsoft Admin Center sehen Sie erst einmal nicht, ob der Wert auf "$true" oder "$False" steht. Aber indem Sie die Checkbox erst einmal "raus" machen, wird der Wert von $false auf $false gesetzt und die Checkbox in der GUI geleert, so dass beim nächsten Ändern und speichern dann ein "$true" drin landet und die AppID-Liste wirksam wird.

Sie können sich zwar darauf verlassen, aber ich würde lieber selbst aktiv werden und EWS mit einer Liste der AppIDs aktiv setzen.

Set-OrganizationConfig `
   -EwsEnabled $true `
   -EwsAllowedAppIDs "Appid1,AppId2"

Hinweis: Änderungen der AppIDs können bis zu 24h dauern

GUI vs PowerShell

Hier noch mal ein paar Bilder, die ich im Microsoft Admin Center und parallel in der PowerShell am 21. Oktober 2026 erstellt habe, ehe mein Tenant umgestellt wurde.

  GUI  Powershell Ergebnis
1     

In dem Tenant habe ich noch nie etwas konfiguriert. Der Wert für "EWSEnabled" steht auf "$null" aber dennoch meldet mit das Security Center den EWS-Status mit "gefährdet".

Allerdings ist mittlerweile durch Microsoft EWS abgeschaltet.
2     

In diesem Tenant hatte ich aktiv EWS "reaktiviert" und die beiden Apps manuell addiert. Der Status ist "Meets standard" und ich kann EWS mit den beiden Apps nutzen.
3     

Ich kann sogar AppIDs pflegen und die Einstellung auf "$null" oder "$False" stellen
4  

Wenn ich per PowerShell "EwsEnabled=$False" einstelle, dann zeigt die GUU wieder ein "Meets Standard" an aber keine AppIDs. Das ist auch logisch, da mit $false EWS generell abgeschaltet ist.

Die Einstellung von "Block" wechselt aktuell nicht zwischen "$true" und "$false", sondern zwischen "$true" und "$null". Die Checkbox in "Block" ist nicht identisch mit "EWSEnabled:$False". Über die PowerShell kann ich aber auch andere Einstellungen einstellen.

Zwischenstand

Sie können die Ansicht im Microsoft 365 Admin Center sehr elegant nutzen, um ohne Exchange Online PowerShell den aktuellen Status der EWS-Konfiguration anzuschauen und ggfls. konfigurierte Ausnahmen für Apps zu sehen. Sie können aktuell (21. Okt 2026) sogar die Einstellung noch zwischen "block" und "Unblock" ändern aber eine fehlende Checkbox könnte in einigen Tagen bedeutet, dass EWS durch die neuen Defaults geblockt ist. Die App-Ausnahmen greifen aber nur, wenn EWS geblockt ist.

Schade, dass Microsoft nicht einen "Tristate" als Checkbox und eine Pflege der AppIDs hier erlaubt. Auf der anderen Seite sollte PowerShell auch keine Hürde sein, denn der Administrator muss erst mal fehlerfrei die AppIDs finden.

Weitere Links