Erst ermitteln, dann migrieren – damit am Montag nach dem Cutover nicht der Scanner im Lager schweigt.
Erfahrung im Team
betreute Kund:innen, laufend im Bestand
bis zur Antwort auf Ihre Anfrage
der Preis steht vor dem ersten Postfach fest
Selten an den Postfächern. Fast immer an dem, was vorher niemand ermittelt hat.
Drucker, Scanner, ERP, Warenwirtschaft, Monitoring, USV und Zutrittskontrolle versenden per SMTP über den lokalen Exchange. Wird er abgeschaltet, schweigen sie – bemerkt oft erst Tage später.
Endpunkt von außen nicht erreichbar, Zertifikat abgelaufen, SSL-Inspection oder Geo-Blocking kappt die Verbindung. Die Migration startet – und bleibt bei 0 % stehen.
Zwei, drei Einstellungen, dann sollen die Daten rüber. Im Zweifel ist der Tenant schneller kompromittiert, als die Daten kopiert sind – die Hintertür steht offen und wartet nur auf den Inhalt.
In der Übergangsphase sieht die Assistenz den Kalender der Geschäftsführung nicht mehr, Raumbuchungen laufen ins Leere – besonders, wenn Vertretungen getrennt umziehen.
Über Jahre gewachsene Vollzugriffe, Senden-als-Rechte ausgeschiedener Mitarbeitender, Verteiler ohne Besitzer – alles landet ungeprüft im neuen Tenant und lässt sich danach kaum noch sauber zurückbauen.
Big Bang ohne Pilot, DNS-TTL nicht vorab gesenkt, Outlook-Profile nicht eingeplant. Am Montag klingelt der Support im Minutentakt.
Ergebnis ist eine Abhängigkeitsliste mit Verantwortlichen – die Grundlage für Konzept, Zeitplan und Preis.
| Bereich | Was ermittelt wird | Warum es zählt |
|---|---|---|
| SMTP-Absender | Geräte, Anwendungen, Skripte, Receive-Connectoren, IP-Adressen | Sonst stehen Drucker, Scanner und ERP-Versand nach der Abschaltung still |
| Mailfluss und DNS | MX, Autodiscover, SPF, DKIM, DMARC, Send-Connectoren, Smarthosts, Signatur- und Archivlösungen im Mailweg | Falsche Reihenfolge – Mails landen im Spam oder gehen verloren |
| Postfächer und Daten | Größen, Archive, PST-Dateien, öffentliche Ordner, freigegebene Postfächer, Ressourcen | Bestimmt Dauer, Lizenzbedarf und Zuschnitt der Wellen |
| Berechtigungen | Vollzugriff, Senden als, Senden im Auftrag, Kalenderdelegierungen, Ordnerrechte | Grundlage für Migrationsgruppen und das neue Rollenkonzept |
| Verbindung und Sicherheit | Firewall-Regeln, Zertifikate, Bandbreite, Proxy und SSL-Inspection, Exchange-Version und Patchstand | Entscheidet, ob Hybrid technisch überhaupt möglich ist |
| Funktionen des Quellsystems | Fax, SMS, Workflows, Sonderordner und Archive – besonders bei Open-Xchange, Tobit und anderen Exoten | Nicht alles ist migrierbar – vorher klären, was übernommen, ersetzt oder archiviert wird |
| Zustand des Tenants | App-Kennwörter, App-Registrierungen und Einwilligungen, Admin-Konten, MFA, Conditional Access – im Ziel- und bei Tenant-to-Tenant auch im Quell-Tenant | Über App-Kennwörter und Apps mit Graph-Berechtigung fließen Daten unbemerkt im großen Stil ab |
| Anwendungen | Fachanwendungen mit Postfachzugriff, Kalender-Schnittstellen, Scan-to-Mail, mobile Geräte | Alte Schnittstellen funktionieren gegen Exchange Online nicht mehr |
| Identitäten und Lizenzen | AD-Struktur, UPN-Suffixe, Identitätssynchronisation, Lizenzbedarf | Ohne saubere Identität keine saubere Anmeldung nach dem Cutover |
Genau damit beginnt jede Migration bei uns.
Eine Migration ist die seltene Gelegenheit, gewachsene Strukturen zu ordnen, ohne den laufenden Betrieb zu stören. Deshalb übernehmen wir nicht einfach alles 1:1, sondern erstellen vorher ein Berechtigungs- und Rollenkonzept: Wer braucht Zugriff worauf, welche Rolle trägt welche Rechte, wer erhält welche Admin-Rolle. Altlasten bleiben im alten System.
Die Ausnahme: Ist das Zeitfenster schon zu knapp – Vertragsende im Rechenzentrum, auslaufender Support, Carve-out mit Stichtag –, migrieren wir zuerst 1:1, dokumentieren den Ist-Zustand und planen die Bereinigung als festen zweiten Schritt. Nicht ideal, aber besser als ein Konzept, das am Stichtag halb fertig ist.
Von „nur E-Mail“ bis zum vollständigen Arbeitsplatz in Microsoft 365 – mit vollständiger Datenübernahme und klarem Zielzustand.
Cutover oder Hybrid – passend zu Größe, Risiko und Zeitfenster. Inklusive SMTP-Zielbild für Geräte und Anwendungen.
Fusion, Carve-out, Rebranding oder Wechsel des Tenants. Identitäten, Domains, Postfächer, OneDrive, Teams und SharePoint nach Scope.
Mail, Kalender, Kontakte und Drive – mit Struktur für OneDrive, SharePoint und Teams statt einer 1:1-Ablage.
Nicht jede Funktion hat ein Gegenstück in Microsoft 365. Fax, SMS, Workflows und Sonderordner klären wir vorher: übernehmen, ersetzen oder archivieren.
Neue Struktur nach Abteilungen und Besitzern – nicht Laufwerk G: in die Cloud kopiert.
Übernehmen, in freigegebene Postfächer oder Teams überführen oder sauber archivieren – je nach Nutzung und Aufbewahrungspflicht.
Welcher Weg passt, entscheidet sich an Größe, Zeitfenster und Ausgangslage – nicht an Vorlieben.
Exchange Server → Exchange Online: Cutover oder Hybrid
| Kriterium | Cutover | Hybrid |
|---|---|---|
| Passt zu | kleineren Umgebungen mit klarem Stichtag | größeren Umgebungen, Umzug in Wellen |
| Übergangsphase | keine – alle ziehen gemeinsam um | Wochen bis Monate, alt und neu parallel |
| Frei/Gebucht alt ↔ neu | nicht nötig | ja, setzt aktuellen Exchange Server voraus |
| Outlook-Profile | meist neu einrichten | werden umgeleitet, kein Neuaufbau |
| Voraussetzungen | Erreichbarkeit, Admin-Zugang, Migrationswerkzeug | aktueller Exchange Server, Identitätssynchronisation, öffentliches Zertifikat, Firewall-Freigaben |
| Risiko | ein Stichtag – Pilot ist Pflicht | je Welle steuerbar, Rollback je Welle |
| Nach dem Umzug | Exchange abschalten | abschalten, reine Verwaltung oder SMTP-Relay – vorher entschieden |
Exchange Server 2016 und 2019 sind seit dem 14.10.2025 ohne Support. Für Frei/Gebucht in der Übergangsphase verlangt Microsoft inzwischen Exchange Server Subscription Edition und eine eigene Hybrid-Anwendung in Entra ID.
Tenant-to-Tenant: Microsoft-Bordmittel oder Migrationswerkzeug
| Kriterium | Microsoft-Bordmittel | Migrationswerkzeugunser Standard |
|---|---|---|
| Lizenz | Zusatzlizenz je Benutzer, einmalig | Lizenz je Benutzer beim Werkzeuganbieter |
| Datenarten | persönliche Postfächer und OneDrive | Postfächer, freigegebene Postfächer, OneDrive, SharePoint, Teams – je nach Werkzeug |
| Geteilte Inhalte | Teams und SharePoint nicht enthalten | enthalten |
| Steuerung | PowerShell, wenig Filter | Filter nach Zeitraum und Ordner, Delta-Läufe, Bericht je Benutzer |
| Vorbereitung | Vertrauensstellung zwischen Tenants, Objektabgleich | App-Registrierung je Tenant |
| Sinnvoll bei | großen Umgebungen mit Enterprise-Vertrag | den meisten Szenarien im Mittelstand |
Die Microsoft-Lizenz für Tenant-to-Tenant-Umzüge ist in keinem Plan enthalten: Sie wird je Benutzer zusätzlich gekauft und war lange nur über Enterprise-Verträge erhältlich. Wir setzen deshalb meist etablierte Migrationswerkzeuge ein – das ist in der Regel wirtschaftlicher und gibt mehr Kontrolle.
Ein neuer Tenant ist kein sicherer Tenant. Wo Daten im großen Stil ankommen, wird auch im großen Stil abgegriffen – deshalb sichern wir ihn ab, bevor migriert wird.
Vor der ersten Welle prüfen wir den Tenant mit dem M365 Security Check: App-Kennwörter aus, App-Registrierungen und Einwilligungen eingeschränkt, MFA und Conditional Access aktiv.
Getrennte Admin-Konten, Rollen nach dem neuen Rollenkonzept, Notfallzugang dokumentiert.
SPF, DKIM und DMARC sind sauber gesetzt, bevor der MX umgestellt wird.
Audit-Protokollierung ist aktiv, die externe Sicherung der Microsoft-365-Daten eingeplant.
Microsoft schaltet Basic Authentication für SMTP AUTH Ende Dezember 2026 in bestehenden Tenants standardmäßig ab. Geräte und Anwendungen senden deshalb über Connector, OAuth oder Relay.
Exchange Web Services wird in Exchange Online seit Oktober 2026 schrittweise abgeschaltet. Anwendungen und Werkzeuge müssen Microsoft Graph sprechen.
Sechs Schritte – und das Altsystem wird erst abgeschaltet, wenn alles läuft.
Kostenlos: Ziele, Scope, Zeitfenster und Randbedingungen.
SMTP-Absender, Abhängigkeiten, Berechtigungen und Datenmengen erfassen.
Zielbild, Rollenkonzept, Migrationsweg, Wellenplan und Rollback – zum Festpreis, je nach Umfang aus der Discovery.
Tenant absichern, Firewall, Zertifikate, DNS-TTL, Throttling – dann Pilot mit IT und Key-Usern je Fachabteilung.
Je Fachabteilung: Vorabsynchronisation, Delta-Lauf im Cutover-Fenster, Abnahme per Checkliste.
Stabilisierung, Abschaltung des Altsystems nach Freigabe, Dokumentation und auf Wunsch Übergabe in den Betrieb.
Aus unseren Projekten – und das, was wir dagegen tun.
Wer sich gegenseitig vertritt, zieht gemeinsam um: Geschäftsführung und Assistenz, Teamleitung und Stellvertretung, Abteilung und ihr freigegebenes Postfach.
Vorabsynchronisation Tage vor dem Cutover, nur der Delta-Lauf im Wartungsfenster. Die Throttling Policy des lokalen Migrationskontos gezielt anpassen – und danach zurücksetzen.
Freigabe für den Migrationsendpunkt, ausgehende Verbindungen zu den Microsoft-Endpunkten, SSL-Inspection für Microsoft-365-Ziele ausnehmen, öffentliches und gültiges Zertifikat.
TTL rechtzeitig senken, Autodiscover vor der MX-Umstellung prüfen, den MX erst nach dem letzten Delta-Lauf umstellen.
Neue Profile bedeuten neuen Cache – am Montag um acht laden alle gleichzeitig. Bandbreite und Cache-Zeitraum einplanen, mobile Geräte mit Anleitung neu einrichten.
Bei Hybrid über die Organisationsbeziehung. Bei Werkzeug-Migrationen ohne Hybrid gibt es keine echte Koexistenz – dann Gruppen größer schneiden und die Übergangszeit kurz halten.
Connector mit fester IP, OAuth oder lokales Relay – je Gerät festgelegt und mit echten Geräten getestet, nicht mit einem Testmail-Skript.
Abschaltung erst nach Freigabe. Archiv, Journal und Aufbewahrungspflichten werden vorher geklärt.
Eine über Jahre gewachsene Umgebung: rund 200 Server, auf denen jeder Administrator eigene Werkzeuge und Speziallösungen hinterlassen hatte. Der Vorstand entschied, die IT vollständig abzugeben. Am Ende blieben zwei Server – alles andere läuft über Microsoft 365, Azure und SaaS-Dienste.
Rund 198 Server sind weggefallen. Der größte Hebel lag nicht im Sparen an einzelnen Servern, sondern darin, eine gewachsene Struktur grundlegend neu zu ordnen – ohne die Mitarbeitenden dabei zurückzulassen.
Mit UBESAFE sind wir mit unserer IT über alle Plattformen neu durchgestartet – von der Netzwerkinfrastruktur über Microsoft 365 bis zur Telefonanlage. Besonders wichtig war uns dabei, die Kolleginnen und Kollegen auf dem Weg mitzunehmen: In einem gemeinsam mit dem Betriebsrat abgestimmten Schulungskonzept haben wir ein regelmäßiges Weiterbildungsprogramm etabliert. Darüber hinaus gefällt uns: Wenn ein Problem entsteht, wird es pragmatisch, direkt und konkret gelöst – so muss eine gute Zusammenarbeit aussehen.
Maximilian Schmitt
Geschäftsführer, Arbeit und Leben e. V.
Ein Ausschnitt der Kund:innen, die wir laufend betreuen.
Erst die Discovery, dann der Preis – so wissen Sie vor dem Start, woran Sie sind.
Für den in der Discovery festgelegten Umfang: Postfächer, Datenarten, Wellen und Hypercare. Werkzeuglizenzen weisen wir separat aus.
Für schwer kalkulierbare Themen und Sonderfälle. Tagessatz ab 1.080 €, der Umfang wird vorab grob geschätzt.
Change-Register, Risikobetrachtung je Change, Test- und Abnahmeprotokolle, Cutover- und Rollback-Plan – auditfähig für ISO 27001 und TISAX®. Keine Rechtsberatung.
Alle Preise netto zzgl. MwSt.
Die Postfächer sind selten das Problem. Das Problem ist der Scanner im Lager, den niemand auf der Liste hatte, und die Assistenz, die am Montag den Kalender ihrer Geschäftsführung nicht mehr sieht. Deshalb stecken wir die ersten Tage in die Discovery – nicht in die Migration.
Und: Nutzen Sie den Umzug. Ein neuer Tenant mit sauberem Rollenkonzept kostet im Projekt kaum mehr als die 1:1-Kopie, erspart aber Jahre an Nacharbeit – spätestens beim nächsten Audit oder wenn Copilot sichtbar macht, wer was alles lesen darf.
Alexander Brütsch
Geschäftsführer, UBESAFE GmbH
Dann prüfen wir zuerst, was im Zeitfenster realistisch ist – und sagen es Ihnen ehrlich.
Eine Microsoft-365-Migration ist der strukturierte Umzug von E-Mail, Kalendern, Dateien, Identitäten und Zusammenarbeit in die Microsoft-Cloud – aus einem lokalen Exchange Server, aus einem anderen Tenant, aus Google Workspace oder aus Open-Xchange.
Für Exchange Server stehen zwei Wege zur Wahl. Beim Cutover ziehen alle Postfächer zu einem Stichtag um – geeignet für kleinere Umgebungen. Bei einer Hybrid-Migration laufen lokaler Exchange und Exchange Online eine Zeit lang parallel, Frei/Gebucht funktioniert übergreifend, und die Postfächer ziehen in Wellen um. Das setzt einen aktuellen Exchange Server, eine saubere Identitätssynchronisation und passende Firewall-Freigaben voraus.
Bei Tenant-to-Tenant-Migrationen bietet Microsoft eigene Bordmittel, die eine zusätzliche Lizenz je Benutzer erfordern und nicht alle Datenarten abdecken. Im Mittelstand sind spezialisierte Migrationswerkzeuge meist wirtschaftlicher und bieten mehr Steuerung über Filter, Delta-Läufe und Berichte.
Die häufigsten Fehler entstehen vor der eigentlichen Migration: nicht erfasste SMTP-Absender wie Drucker, Scanner und Fachanwendungen, unterschätztes Throttling, fehlende Firewall-Freigaben, getrennt migrierte Stellvertretungen und 1:1 übernommene Altberechtigungen. Bei Open-Xchange, Tobit und anderen Exoten ist außerdem nicht jede Funktion migrierbar. Und ein frisch eingerichteter Tenant ohne Absicherung ist ein Risiko: Über App-Kennwörter und Apps mit Graph-Berechtigung können Daten unbemerkt abfließen. Eine Discovery vor dem ersten Postfach, ein Tenant-Check, ein Rollenkonzept, Migrationsgruppen je Fachabteilung und ein Pilot vermeiden diese Probleme. Nach dem Go-live übernehmen wir auf Wunsch den Microsoft 365 Managed Service.
UBESAFE ist verankert in der Metropolregion Hannover Braunschweig Göttingen Wolfsburg, bundesweit tätig – und für die Standorte unserer Kund:innen weltweit.
Von wenigen Tagen für kleine Umgebungen bis zu mehreren Monaten bei Hybrid mit vielen Wellen. Entscheidend sind Datenmenge, Abhängigkeiten und das Zeitfenster – das steht nach der Discovery fest.
Keins von beiden pauschal. Cutover ist schneller und günstiger, aber ein Stichtag für alle. Hybrid erlaubt Wellen mit Rollback, braucht aber einen aktuellen Exchange Server und mehr Vorbereitung.
Weil sie per SMTP über den lokalen Exchange versendet haben. Wir erfassen alle Absender in der Discovery und legen je Gerät den Weg fest: Connector, OAuth oder Relay.
Microsoft schaltet Basic Authentication für SMTP AUTH Ende Dezember 2026 in bestehenden Tenants standardmäßig ab. Geräte, die nur Benutzername und Kennwort können, brauchen einen anderen Weg.
Für die Microsoft-Bordmittel ja – eine Zusatzlizenz je Benutzer. Mit Migrationswerkzeugen fällt stattdessen eine Werkzeuglizenz an. Wir rechnen beides für Ihr Szenario durch.
Bei Hybrid ja. Bei Werkzeug-Migrationen ohne Hybrid nur eingeschränkt – deshalb ziehen Stellvertretungen gemeinsam um und die Übergangszeit bleibt kurz.
Weil Rechte je nach Quellsystem und Weg unterschiedlich übertragen werden. Wir prüfen sie in der Discovery, testen im Pilot und nehmen über Checklisten ab.
Bei Hybrid meist nicht, bei Cutover und Tenant-to-Tenant häufig schon. Wir planen das früh und liefern kurze Anleitungen.
Vorabsynchronisation, Pilot, klares Cutover-Fenster, Rollback-Plan und Hypercare. Am Stichtag läuft nur noch der Delta-Lauf.
Nur wenn das Zeitfenster nichts anderes zulässt. Normalerweise erstellen wir vorher ein Rollen- und Berechtigungskonzept – Altlasten bleiben zurück.
Übernehmen, in freigegebene Postfächer oder Teams überführen oder archivieren – je nach Nutzung und Aufbewahrungspflicht.
Erst nach Freigabe – wenn alle SMTP-Absender umgestellt, Archive geklärt und Hybrid-Abhängigkeiten aufgelöst sind.
Weil ein neuer Tenant mit zwei, drei Einstellungen oft schneller kompromittiert ist, als die Daten kopiert sind. App-Kennwörter und Apps mit Graph-Berechtigung sind typische Wege, über die Daten unbemerkt abfließen – das muss vor der Migration geschlossen sein.
Mail, Kalender und Kontakte meist ja. Sonderfunktionen wie Fax, SMS, Workflows oder eigene Ordnertypen haben nicht immer ein Gegenstück in Microsoft 365. Das klären wir in der Discovery – übernehmen, ersetzen oder archivieren.
Ja, Microsoft begrenzt den Durchsatz. Deshalb synchronisieren wir Tage vorher und kalkulieren den Durchsatz realistisch statt mit LAN-Geschwindigkeit.
Meist ja. Vor Ort planen wir nur ein, wenn es fachlich sinnvoll ist – etwa beim Geräte-Rollout oder einem kritischen Cutover.
Auf Wunsch ja: Change-Register, Risikobetrachtung, Test- und Abnahmeprotokolle, Cutover- und Rollback-Plan – passend für ISO 27001 und TISAX®.
Nach der Discovery meist zum Festpreis, je nach festgelegtem Umfang – sonst nach Aufwand ab 135 €/Std. Werkzeuglizenzen weisen wir separat aus.
Die Migration ist ein Projekt. Was danach kommt, ist laufender Betrieb.
Nach der Migration übernehmen wir den Betrieb – Ihr Tenant bleibt dauerhaft im Soll-Zustand.
Daten vor und nach dem Umzug extern sichern – Microsoft bietet nur einen einfachen Papierkorb.
Endgeräte auf den neuen Stand bringen und danach gepatcht und abgesichert betreiben.
Vertiefung zur Migration: Kosten, Methode und Tenant-to-Tenant.
Geschäftsführer, CISO
Geschäftsführer
Mit Sternchen markierte Felder sind Pflichtfelder. Mit dem Absenden des Formulares akzeptieren Sie die Datenschutzerklärung. Mit dem Absenden des Formulars willige ich ein, dass meine übermittelten Informationen gespeichert werden, damit meine Anfrage beantwortet werden kann.
