Microsoft hat am 10. November 2026 das Security Update SU12 für Exchange Server Subscription Edition (SE) veröffentlicht. Die wichtigere Nachricht für viele Administratoren: Die Windows-Server-Updates vom November sollen die Stabilitätsprobleme beheben, die seit dem Oktober-Patchday OWA, Mailflow und DAGs lahmgelegt haben.
Das Wichtigste in Kürze
- Exchange Server SE RTM erhält SU12 (KB5133453).
- Die Windows-Server-Updates vom November 2026 korrigieren laut Microsoft die Exchange-Probleme aus dem Oktober.
- Der Registry-Workaround
EpmapSavedContextCapist danach nicht mehr nötig, darf aber bestehen bleiben. - Die Reihenfolge von Exchange- und Windows-Update spielt laut Microsoft keine Rolle.
- Exchange Server 2016 und 2019 erhalten keine Sicherheitsupdates mehr.
Exchange Security Update November 2026: Was ist neu?
| Komponente | Update |
|---|---|
| Exchange Server | Subscription Edition (SE) RTM |
| Security Update | SU12 (Nov26SU) |
| KB-Nummer | KB5133453 |
| Version laut Download Center | 15.02.2562.057 |
| Veröffentlichung | 10. November 2026 |
Das Update schließt Sicherheitslücken, die von externen Sicherheitsforschern gemeldet oder von Microsoft intern gefunden wurden. Die zugehörigen CVE-Details stehen im Microsoft Security Update Guide.
Security Updates für Exchange sind kumulativ: Wer SU11 aus dem Oktober (KB5128895) übersprungen hat, installiert direkt SU12.
Wichtig: Für Exchange Server 2016 und 2019 gibt es keine neuen Sicherheitsupdates mehr. Das Extended-Security-Update-Programm (ESU, Period 2) ist im Oktober 2026 ausgelaufen, die letzten Updates erschienen am 13. Oktober 2026.
Rückblick: Exchange-Ausfälle nach den Oktober-Updates
Kurz nach dem Patch Tuesday am 13. Oktober 2026 meldeten Administratoren instabile Exchange-Server. Microsoft bestätigte die Probleme am 16. Oktober 2026 in einem eigenen Beitrag im Exchange-Team-Blog.
Tückisch war der zeitliche Verlauf: Die Fehler traten nicht direkt nach der Installation auf, sondern erst im laufenden Betrieb, in vielen Berichten etwa einen Tag später. Ein scheinbar erfolgreich gepatchter Server wurde so nach und nach instabil.
Die Symptome im Überblick
1. Outlook Web App (OWA) nicht erreichbar
Benutzer konnten sich nicht mehr anmelden. Typisch war diese Fehlermeldung, begleitet von Ereignis-ID 1006 im Anwendungsprotokoll:
MapiExceptionMdbOffline: Unable to make connection to the server. (hr=0x80004005, ec=1142)2. Wachsende Warteschlangen
Die Transportwarteschlangen liefen im Tagesverlauf voll. E-Mails wurden stark verzögert zugestellt, in einigen Umgebungen kam der Mailflow fast vollständig zum Erliegen.
3. Probleme in Database Availability Groups (DAG)
DAG-Mitglieder erreichten das erforderliche Quorum nicht mehr. Damit war auch die Hochverfügbarkeit der Datenbanken gefährdet.
4. Neustarts halfen nur vorübergehend
Ein Neustart stellte die Funktion zunächst wieder her, die Probleme kehrten aber zurück. Wie schnell, hing von der Auslastung des Servers ab. Manche Server waren laut Microsoft gar nicht betroffen.
Ursache: Windows Server, nicht das Exchange Security Update
Microsoft stellte klar, dass das Exchange Security Update vom Oktober 2026 nicht der Auslöser war. Verantwortlich waren die Windows-Server-Sicherheitsupdates desselben Monats. Das Exchange-Update musste für den Fehler nicht einmal installiert sein.
| Betriebssystem | Auslösendes Oktober-Update |
|---|---|
| Windows Server 2025 | KB5126646 |
| Windows Server 2022 | KB5126655 |
| Windows Server 2019 | KB5126651 |
| Windows Server 2016 | KB5126868 |
Betroffen sein konnten Exchange Server 2016, Exchange Server 2019 und Exchange Server SE, also jede Exchange-Version auf einem der genannten Betriebssysteme.
Technischer Hintergrund: RPC Endpoint Mapper
Die Oktober-Updates führten eine neue Standardgrenze für den Speicher ein, den der RPC Endpoint Mapper für Endpoint-Lookup-Aufrufe verwenden darf. Standardmäßig sind seitdem nur noch 512 gleichzeitige Endpoint-Lookup-Aufrufe möglich.
Für Exchange-Server unter Last reicht dieser Wert nicht aus. Ist die Grenze erreicht, scheitert die RPC-Kommunikation, auf die Exchange für Datenbankzugriffe, Transport und DAG-Kommunikation angewiesen ist.
Microsoft hat den Zusammenhang in den Windows-Release-Health-Informationen und in den Known Issues der betroffenen Updates dokumentiert.
Der bisherige Workaround: Registry-Anpassung
Als Übergangslösung veröffentlichte Microsoft im Oktober einen Registry-Wert, der die Grenze von 512 auf 65.536 anhebt. Der Befehl wird in einer administrativen Eingabeaufforderung auf jedem betroffenen Exchange-Server ausgeführt:
reg add "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCap /t REG_DWORD /d 65536 /fAnschließend muss der gesamte Server neu gestartet werden. Ein Neustart der Exchange-Dienste genügt nicht.
Ob der Wert gesetzt ist, lässt sich so prüfen:
reg query "HKLM\SOFTWARE\Microsoft\Rpc" /v EpmapSavedContextCapNach Angaben von Microsoft ließ sich das Problem in allen betreuten Kundenfällen mit diesem Wert beheben. Ausdrücklich abgeraten hat Microsoft davon, die Oktober-Updates zu deinstallieren, weil sie umfangreiche Sicherheitskorrekturen enthalten.
November 2026: Microsoft liefert die reguläre Korrektur
Mit dem Patchday am 10. November 2026 gibt es Entwarnung. Microsoft bestätigt im Exchange-Team-Blog, dass die Windows-Server-Updates vom November 2026 die Exchange-Stabilitätsprobleme aus dem Oktober beheben.
Für Administratoren heißt das:
- November-Windows-Updates installieren: Sie enthalten die Korrektur für die im Oktober eingeführte Grenze.
- Workaround nicht mehr erforderlich: Nach der Installation ist der Registry-Wert für dieses Problem nicht mehr nötig.
- Registry-Wert darf bleiben: Ein bereits gesetztes
EpmapSavedContextCapmuss nicht entfernt werden. - Reihenfolge egal: Laut Microsoft spielt es keine Rolle, ob zuerst das Exchange Security Update oder das Windows-Server-Update vom November installiert wird.
Unsere Empfehlung: Updates zeitnah, aber kontrolliert einspielen
Der Oktober hat gezeigt, dass ein fehlerfrei durchgelaufenes Setup noch keinen stabilen Betrieb garantiert. Wir empfehlen deshalb dieses Vorgehen:
1. Umgebung vorab prüfen
Patchstand und Systemzustand mit dem Exchange Server Health Checker kontrollieren. Zusätzlich Datenbankstatus, Warteschlangen, DAG-Replikation und Sicherungen prüfen.
2. Windows- und Exchange-Updates gemeinsam einplanen
Beide November-Updates gehören in dasselbe Wartungsfenster. Das gilt besonders für Server, die noch mit dem Registry-Workaround laufen.
3. DAG-Mitglieder nacheinander aktualisieren
Nie alle DAG-Mitglieder gleichzeitig patchen. Server einzeln in den Wartungsmodus versetzen, aktualisieren und danach Datenbankkopien und Replikationsstatus prüfen.
4. Nach dem Update gezielt überwachen
- Outlook Web App und Exchange Admin Center
- Transportdienste und Warteschlangen
- Datenbankverfügbarkeit und DAG-Replikation
- Windows-Ereignisprotokolle (insbesondere Ereignis-ID 1006)
- Interner und externer Mailflow
- Hybrid-Verbindungen zu Exchange Online
Weil die Oktober-Fehler verzögert auftraten, sollte die Überwachung mindestens 48 Stunden über das Wartungsfenster hinaus laufen.
Exchange 2016 und 2019: endgültig ohne Sicherheitsupdates
Mit dem Ende von ESU Period 2 sind Exchange Server 2016 und 2019 aus dem Update-Zyklus ausgeschieden. Updates erscheinen nur noch für Exchange Server SE.
Microsoft prüft die alten Versionen außerdem nicht mehr auf neue Schwachstellen. Künftige CVE-Meldungen führen sie daher nicht mehr auf. Fehlt Exchange 2016 oder 2019 in einer CVE-Meldung, heißt das also nicht, dass die Version sicher ist.
Unternehmen sollten verbliebene Installationen auf Exchange Server SE oder Exchange Online migrieren. Das gilt auch für Hybrid-Umgebungen: Lokale Exchange-Server und Systeme mit den Exchange-Verwaltungstools brauchen weiterhin Sicherheitsupdates, selbst wenn sie nur noch zur Empfängerverwaltung dienen.
Häufige Fragen (FAQ)
Muss ich den Registry-Wert EpmapSavedContextCap wieder entfernen?
Nein. Laut Microsoft darf der Wert nach der Installation der November-Windows-Updates bestehen bleiben, er ist für dieses Problem aber nicht mehr erforderlich.
In welcher Reihenfolge installiere ich die November-Updates?
Die Reihenfolge von Exchange Security Update und Windows-Server-Update spielt laut Microsoft keine Rolle.
War das Exchange Security Update vom Oktober fehlerhaft?
Nein. Auslöser waren die Windows-Server-Updates vom 13. Oktober 2026. Die Probleme traten auch ohne installiertes Exchange-Update auf.
Gibt es noch Updates für Exchange 2016 und 2019?
Nein. Die letzten ESU-Updates erschienen am 13. Oktober 2026. Seit November 2026 wird nur noch Exchange Server SE versorgt.
Fazit
Das November-Update ist mehr als ein gewöhnlicher Patchday: Es schließt neue Sicherheitslücken in Exchange Server SE und beendet zusammen mit den Windows-Server-Updates die Störungen aus dem Oktober. Der Vorfall zeigt, wie stark Exchange vom darunterliegenden Betriebssystem abhängt.
Unsere Einschätzung: November-Updates zeitnah und kontrolliert einspielen, Exchange- und Windows-Updates künftig gemeinsam bewerten und die Systeme nach jedem Patchday länger beobachten.