MSXFAQ MeetNow aktiv: Komm doch einfach dazu.

Minimum Hybrid - Was geht nicht?

Für eine Migration und Koexistenz von Exchange OnPremises und Exchange Online wird in der Regel der "Hybrid Mode" eingerichtet. Hierbei gibt es einmal die Wahl zwischen "Minimum" und "Full" und weiterhin zwischen "Modern" und "Classic". Details finden Sie auf HCW Features&Topologien. Hier geht es um die Besonderheiten von "Minimum Hybrid".

DirSync und Hybrid

Ehe ich auf die Konfiguration von Exchange Hybrid eingehe, müssen Sie immer daran denken, dass jede Hybrid Bereitstellung einen funktionierenden Verzeichnisabgleich benötigt. Es gilt die allgemeine Aussage:

Meine Empfänger sind deine Empfänger

Das bedeutet, dass sie einen Verzeichnisabgleich mit Entra ID Connect Sync oder Entra ID Cloud Sync für alle Objekte aktivieren müssen, die in Exchange als Empfänger genutzt werden. Bei der Einrichtung von ADSync müssen sich auch darauf achten, dass Sie die Optionen bei "Exchange Hybrid" aktivieren.

Ich habe schon häufiger gesehen, dass Firmen Exchange Hybrid mit HCW einrichten und die Checkboxen nicht gesetzt sind. Das fällte nicht unbedingt sofort auf, denn der Entra ID Verzeichnisabgleich repliziert dennoch immer einige Felder wie "Mail", " ProxyAddresses", etc. die auch für Exchange relevant sind. Aber es fehlen einige Felder, die z.B. SendAs und Delegate-Berechtigungen mitbringen.

Änderungen durch Minimum Hybrid

Die Konfiguration von "Minimum Hybrid" ist eine sehr eingeschränkte Möglichkeit, in möglichst kurzer Zeit alle Benutzer von einer Plattform auf die anderen Plattform zu verschieben. Es werden im Grund nur ein paar Domain-Einstellungen vorgenommen und der Migration Endpunkt angelegt. Alle anderen Zusatzfunktionen wie Free/Busy und einige andere fehlen. Darauf gehe ich aber erst später einmal ein. Zuerst die Änderungen:

  • OnPemises: RemoteDomain mit "targetdeliverydomain"
    Der HCW addiert im lokalen Exchange Server die "<tenantname>mail.onmicrosoft.com"-Domain als "Remote-Domain", damit der lokale Exchange Server z.B. passende Einstellungen für Weiterleitungen, OOF-Meldungen etc. nutzt. Wichtig ist der Parameter "TargetDeliveryDomain", ohne den die Migration zu Exchange Online nicht weiß, welche Domain zur Weiterleitung der Mails in die Cloud genutzt wird.
  • Accepted Domain
    Die <tenantname>mail.onmicrosoft.com-Domain muss natürlich auch im lokalen Exchange Server als neue SMTP-Domain addiert werden, damit ggfls. Mails an diese zusätzliche Domain angenommen und zugestellt werden können.
  • Recipient Policies
    Damit Postfächer in der Cloud unter ihrer <tenantname>mail.onmicrosoft.com erreichbar sind, müssen Sie diese Adresse in den "ProxyAddresses" stehen. Daher addiert der HCW diese Domain in die Empfängerrichtlinien und stößt deren Anwendung an.
    Wichtig: Für Empfänger, auf welche nicht die "Default Recipient Policy" angemeldet wird, müssen Sie selbst dafür sorgen, diese <tenantname>mail.onmicrosoft.com-Domain zu addieren.
  • Migration Endpoint und MRSProxy
    Nach all denn Vorarbeiten aktiviert der HCW auf den lokalen Servern den "MRXPROXY" im EWS-Virtual Directory und addiert in Exchange Online die entsprechende Verweis auf ihre lokale Server als Migration Endpoint.
  • Hybrid Configuration Object
    Zum Schluss wird die komplette Konfiguration sowohl in einem LDAP-Objekt im lokalen Active Directory als auch in Exchange Online hinterlegt, damit die Eingaben beim nächsten Start des HCW wieder vorgeschlagen werden.

Dies ist also eine "Teilmenge" der Einstellungen, die ein Modern/Full-Hybrid vornehmen

Was HCW alles nicht einrichtet

Es ist sicher nicht schwer zu erkennen, welche Funktionen bei "Minimum Hybrid" nicht konfiguriert werden:

  • Free/Busy und Dedicated Hybrid App
    Der HCW erspart ihnen die komplette Einrichtung der seit Oktober 2025 erforderlichen "Dedicated Hybrid App", mit welcher sich der lokale Exchange Server dann an Exchange Online anmeldet, um z.B. die Frei/Belegt-Zeiten eines Cloud-Postfachs abzurufen. Damit entfällt auch lokal die Einrichtung eines OAUTH-Zertifikats und einer OrganizationRelationShip
  • Free/Busy und EWS, AuthServer etc
    Auch in Gegenrichtung wird ihr lokaler Server nicht angepasst, damit er EWS-Anfragen von Exchange Online mit OAUTH-Anmeldung beantwortet. Sie müssen daher nicht ihre Exchange Dienste von der Microsoft Cloud erreichbar machen. Nur für die Migration per MRS/MRSProxy müssen Sie eine URL in der Form "https://<ihr.exchange.server>/EWS/mrsproxy.dll" von den Microsoft Exchange Online IP-Adressen ohne Preauthentifizierung bekannt geben, denn Exchange Online meldet sich per NTLM mit einem Dienstkonto am lokalen Server an, um die Postfachinhalte zu verschieben.
  • Keine SMTP-Connectoren
    Minimum Hybrid verzichtet auf die Konfiguration von SMTP-Connectoren. Das funktioniert in vielen Fällen sogar ganz ordentlich, da der lokale Server dann die Mails an den Exchange Online Tenant über die Domain "<tenantname>.mail.onmicrosoft.com" klassische über den MX-Record routet. Wenn ein Postfach aus Exchange Online die Mails zum lokalen Server routen möchte, dann bedient er sich dem MX-Record für die Maildomäne, welcher ja immer noch auf den lokalen Service verweist. Die dürfen den MX-Record ihrer SMTP-Domänen erst am Ende der Migration zu Exchange Online umstellen, wenn alle Empfänger schon in der Cloud sind. Das ist schon mal die erste Einschränkung von Minimum Hybrid.
    Nun gibt es aber natürlich Spamfilter und wenn Sie das Routing über MX-Records sehe, dann kann es sehr wohl passieren, dass Absender einer Welt mit der gleichen Domain eine Mail an Postfächer in der jeweils anderen Welt senden. Spamfilter würden dies als "Phishing" oder "Identity Theft" erkennen und blocken. Ihre Spamfilter müssten also entweder auf dem Auge blind sein oder entsprechend konfiguriert werden. Selbst wenn die Mails durch den Spamfilter kommen, sind sie aus Sicht des empfangenden Systems nur "anonym", d.h. sie werden nicht gegen die GAL aufgelöst, Weiterleitungen sind beschränkt und vieles mehr. Erst wenn Sie die SMTP-Konfigurationen entsprechend erweitern, d.h. "Inbound/Outbound Org Connector" in ExchangeOnline und passende Send-Connectoren und "TLSDomainCapabilities" auf den OnPremises-Servern samt Zertifikat einrichten, bekommen die Mails einen entsprechenden Vertrauenslevel.

Hinweis: Diese Connectoren können Sie per HCW aber auch genausogut manuell einrichten.

Ich empfehle immer die korrekte und optimierte Konfiguration des SMTP-Routings zwischen Exchange OnPremises und Exchange Online, um eine zuverlässige Zustellung in allen Fällen zu erreichen.

  • KeineOrgrelationShip
    Die fehlende Beziehung zwischen den Firmen für z.B. dazu, dass ein Mitarbeiter mit Cloud-Postfach sich am OnPremises-Server anmelden möchte aber nur eine Fehlermeldung anstatt einem Hinweis auf die neue OWA-Adresse erhält. Sie können aber auch dies manuell anlegen.
  • ACLableSyncedObjectEnabled:$true
    Im "Minimum Hybrid Mode" wird in der lokalen Exchange Organisation der Wert ACLableSyncedObjectEnabled:$true nicht gesetzt, was direkten Einfluss auf die Nutzung von zusätzlichen Postfächern hat. Auch das kann aber manuell gesetzt und bei bereits migrierten Objekten korrigiert werden. Siehe auch Hybrid Delegate und RemoteMailbox Provisioning.

Es gibt noch die ein oder andere weitere Einstellung, die der HCW - Hybrid Configuration Wizard bei "Minimum Hybrid" nicht vornimmt. Microsoft entwickelt den HCW - Hybrid Configuration Wizard auch kontinuierlich weiter. So könnte es durchaus sein, dass MinHybrid im Juni 2026 sich von einem zukünftigen MinHybrid unterscheidet. Vor einigen Jahren kam ja mit Modern Hybrid eine neue Variante dazu.

Einschätzung

Die Wahl von "Minimum Hybrid" erspart ihnen als Administrator oder Consultant die teils aufwändige Konfiguration von Free/Busy mit Erreichbarkeit von EWS, Dedicated Hybrid App, Autodiscover samt Firewallregeln, Loadbalancern, Web Application Firewalls. Auch der Einsatz des "Modern Hybrid Agent" ist nicht in allen Umgebungen einfach möglich, insbesondere wenn Server eigentlich nicht "surfen" dürfen. Zudem ersparen Sie sich das SMTP-Routing mit Zertifikaten, Firewall-Freischaltungen, Umgehung von SSL-Inspection oder Offloading.

Die Nachteile sind nun aber auch bekannt. Die Koexistenz ist eigentlich nicht vorhanden. Sie sollten daher ihre Anwender oder Kunden auf die vielen Dinge einstimmen, die in der Übergangszeit einfach nicht funktionieren werden.

Minimum Hybrid ist aus meiner Sicht eine Lösung, um in sehr kurzer Zeit alle Benutzer mittels Remote Move Request zu Exchange Online umzuziehen und direkt auch das Mailrouting umzustellen. Wenn alle aktiven Anwender auf der gleichen Plattform gehostet sind, gibt es keine "Koexistenzproblem" hinsichtlich Mailrouting oder Free/Busy. Sobald alle Empfänger in Exchange aktiv sind, wird der Autodiscover und MX-Eintrag geschwenkt und das lokale System sollte dann lastfrei sein.
Das ist ein idealer Wege zur schnelle Migration von Exchange 2016/2019 auf Exchange Online, wenn Exchange SE keine Option ist.

Wenn diese Koexistenz aber aufgrund unerwarteter Bedingungen plötzlich doch länger dauert, dann kann es schnell passieren, dass Sie doch noch mal die umfangreicheren Hybrid-Einstellungen vornehmen müssen. Machen Sie es einfach an der Erwartungshaltung des Kunden bzw. ihre Arbeitgebers fest, ob sie den Mehraufwand für "Full Hybrid" gleich am Anfang gehen wollen oder es bei MinHybrid belassen.

Übrigens: Alle Migrationen von anderen Quellen wie Notes, GroupWise, IMAP4 etc. sind zu MinHybrid sehr ähnlich.

Weitere Links