Exchange Server naar Microsoft 365 migreren: keuzes, risico’s en uitfasering

Een lokale Exchange-server blijft technisch draaien nadat de ondersteuning is gestopt. Dat maakt hem nog niet veilig of verantwoord. Microsoft beëindigde op 14 oktober 2025 de ondersteuning voor Exchange Server 2016 en 2019. Deze versies ontvangen geen reguliere beveiligingsupdates, bugfixes, tijdzone-updates of technische ondersteuning meer. In 2026 is niets doen daarom geen neutrale keuze: iedere maand zonder besluit vergroot de beveiligings-, continuïteits- en auditlast.

Voor veel mkb-organisaties is migratie naar Exchange Online in Microsoft 365 de meest logische route. Je verplaatst dan niet alleen mailboxen. Ook identiteit, DNS, scanners, bedrijfsapplicaties, gedeelde postvakken, archieven, bewaarbeleid en beheerprocessen moeten mee. Bovendien moet je vooraf beslissen wat er na de laatste mailbox met Active Directory en de laatste Exchange-server gebeurt.

Deze gids helpt directie, office management en IT-verantwoordelijken om die overstap als bedrijfsproject te sturen. Je krijgt een actueel keuzemodel, een kosten- en risicoanalyse, een praktisch migratiedraaiboek en concrete oplevercriteria. Wil je eerst weten waar je omgeving staat? Laat Microsoft 365, identiteit en mailbeveiliging controleren met de gratis IT-scan.

Waarom uitstel sinds oktober 2025 extra risico geeft

Exchange Server 2016 en 2019 bereikten tegelijk het einde van ondersteuning. Microsoft noemt Exchange Server Subscription Edition, meestal afgekort tot Exchange Server SE, als ondersteunde lokale opvolger. Voor organisaties die mail volledig naar de cloud kunnen brengen, adviseert Microsoft migratie naar Microsoft 365 als de eenvoudigste route om de oude Exchange-omgeving af te bouwen.

Een niet-ondersteunde server veroorzaakt vier soorten risico:

1. Beveiliging: nieuw ontdekte kwetsbaarheden worden niet meer regulier voor die productversie opgelost.
2. Continuïteit: een storing kan afhankelijk worden van maatwerk, oude kennis of niet-ondersteunde combinaties.
3. Compliance: je moet tegenover klanten, verzekeraars of auditors uitleggen waarom een kritiek mailsysteem buiten support draait.
4. Kosten: noodonderhoud, dubbele infrastructuur en uitgestelde projecten stapelen zich op zonder dat de bedrijfswaarde stijgt.

Maak daarom een formeel besluit met eigenaar en einddatum. De uitkomst kan cloudmigratie, een tijdelijke overstap naar Exchange Server SE of een aantoonbaar noodzakelijke lokale architectuur zijn. “Later bekijken” is geen beheersmaatregel.

Kies eerst het doelbeeld

De belangrijkste keuze is niet welke migratieknop je gebruikt, maar hoe e-mail en identiteit na afloop worden beheerd. Vier doelbeelden komen vaak voor.

Doelbeeld	Past meestal wanneer	Blijvende beheerlast
Volledig cloud	alle mailboxen, beheer en identiteit kunnen naar Microsoft 365	Microsoft 365, identiteit, beveiliging en back-up beheren
Cloudmail met gesynchroniseerde lokale identiteit	Active Directory blijft nodig voor werkplekken of applicaties	directorysynchronisatie en Exchange-attributen blijven aandacht vragen
Tijdelijk hybride	mailboxen gaan in batches over en beide omgevingen moeten samenwerken	certificaten, connectors, mailflow en twee omgevingen beheren
Exchange Server SE lokaal	regelgeving of technische eisen verhinderen cloudmail	servers, updates, beschikbaarheid, back-up en security volledig lokaal beheren

Leg bij het doelbeeld ook vast wie na de migratie verantwoordelijk is voor accounts, groepen, mailadressen, bewaarbeleid, incidenten en herstel. Een technisch geslaagde migratie zonder nieuw beheerproces levert na enkele maanden opnieuw achterstallig onderhoud op.

Kies de migratieroute op basis van de bron

Microsoft beschrijft cutover, staged en hybride migratie als de voornaamste routes vanuit Exchange Server. De juiste route hangt af van Exchange-versie, aantal mailboxen, beschikbare tijd, mailboxgrootte, identiteit en gewenste co-existentie.

Keuzehulp voor de route: De migratieroute volgt uit omvang, bronversie en gewenste co-existentie; kies niet automatisch de technisch uitgebreidste route.

Cutovermigratie verplaatst alle mailboxen in een kort tijdvenster. Microsoft ondersteunt technisch maximaal 2.000 mailboxen, maar noemt ongeveer 150 of minder als realistischer grens vanwege duur en prestaties. Voor een kleine, eenvoudige omgeving kan dit passend zijn. Het veranderingsrisico is wel geconcentreerd in één weekend of enkele dagen.

Staged migratie is bedoeld voor oudere Exchange-versies en verplaatst gebruikers in groepen. Deze route vraagt directorysynchronisatie. Controleer altijd of de bronversie en het gekozen pad nog worden ondersteund. Een oud projectplan is geen actuele productdocumentatie.

Express of minimal hybrid kan kleinere omgevingen helpen om mailboxen met hybride techniek over te zetten zonder een langdurige volledige hybride bedrijfsvoering te ontwerpen.

Volledig hybride geeft de rijkste co-existentie. Gebruikers kunnen tijdens de overgang onder meer beschikbaarheidsinformatie tussen lokaal en cloud blijven gebruiken, en mailboxen kunnen in batches verhuizen zonder een nieuw Outlook-profiel. Die soepelere gebruikerservaring komt met extra complexiteit voor certificaten, OAuth, connectors, DNS, monitoring en beheer.

IMAP-migratie kopieert alleen e-mail. Agenda’s, contacten, taken, regels en veel Exchange-specifieke eigenschappen gaan niet automatisch mee. Gebruik IMAP daarom alleen als de bron of situatie dit noodzakelijk maakt en maak het functieverlies expliciet.

Laat de migratieroute schriftelijk onderbouwen. Noteer alternatieven, aannames, afhankelijkheden en stopcriteria. Zo voorkom je dat “hybride is professioneler” of “cutover is goedkoper” de plaats inneemt van een echte risicoafweging.

Inventariseer meer dan mailboxen

Een export met gebruikersnamen en mailboxgroottes is niet voldoende. Bouw één inventaris waarin techniek, eigenaar en bedrijfsimpact samenkomen.

Onderdeel	Wat je vastlegt	Waarom het telt
Gebruikersmailbox	eigenaar, grootte, archief, licentie, laatste activiteit	bepaalt batch, duur en licentie
Gedeeld postvak	eigenaar, leden, Volledige toegang, Verzenden als	voorkomt verdwenen procesmail
Groep en contact	type, leden, externe afzenders, eigenaar	voorkomt gemiste berichten en ongewenste openstelling
Openbare map	inhoud, eigenaar, gebruik, vervangingskeuze	kan de uitfasering blokkeren
Applicatie of apparaat	afzender, authenticatie, volume, leverancier	voorkomt stille SMTP-uitval
Domein en DNS	beheerder, records, TTL, wijzigingsproces	nodig voor gecontroleerde mailflow
Compliance	retentie, archief, hold, audit en herstel	voorkomt gegevensverlies en auditgaten
Identiteit	lokale bron, synchronisatie, aanmeldnaam, uitzonderingen	bepaalt beheer na de migratie

Gebruik berichttracering en logboeken om onbekende afzenders te vinden. Vraag daarnaast Finance, HR, verkoop en operations welke systemen facturen, loonstroken, meldingen of formulieren versturen. Een printer die één keer per kwartaal een scan mailt, verschijnt mogelijk niet in een korte technische meting maar kan wel een belangrijk proces ondersteunen.

Controleer ook de gezondheid van Active Directory, Entra-synchronisatie, dubbele proxyadressen, certificaten, opslag, databases, back-ups en internetpublicatie. Herstel structurele fouten vóór de pilot. Migratie kopieert techniek, zij lost onduidelijk eigenaarschap niet op.

Ontwerp identiteit en toegang vóór de eerste batch

Bepaal welke omgeving de bron van waarheid voor gebruikers blijft. Als lokale Active Directory blijft synchroniseren naar Microsoft Entra ID, kunnen bepaalde eigenschappen niet zomaar in de cloud worden aangepast. Exchange-attributen zoals mailadressen hebben dan een ondersteunde beheerroute nodig.

Zet vóór de eerste mailbox minimaal dit klaar:

• consistente aanmeldnamen en primaire e-mailadressen;
• gecontroleerde directorysynchronisatie zonder structurele fouten;
• passende Exchange Online- of Microsoft 365-licenties;
• MFA voor medewerkers en beheerders;
• getest Conditional Access-beleid;
• minimaal benodigde beheerrollen;
• noodaccounts en een vastgelegde herstelprocedure;
• logging en bewaring die aansluiten op het risicoprofiel.

Voer toegangsbeleid gefaseerd in. Een ongeteste Conditional Access-regel kan tijdens het omzetmoment alle medewerkers blokkeren. MFA instellen voor Microsoft 365 en drie basisregels voor Conditional Access geven een veilige basis voor dit onderdeel.

Breng mailflow, DNS en domeinbeveiliging onder controle

Maak per DNS-record duidelijk wat de huidige waarde is, wat de doelwaarde wordt, wie wijzigt, wie controleert en wanneer je terugvalt. Denk aan MX, Autodiscover, SPF, DKIM en DMARC. Controleer interne én externe DNS. Domeingebonden Outlook-clients kunnen intern een andere route volgen dan apparaten buiten kantoor.

Verlaag een TTL alleen volgens een vooraf afgesproken plan. Een lage TTL is geen garantie dat iedere resolver direct ververst. Test vanaf meerdere netwerken en controleer niet alleen naamoplossing, maar ook daadwerkelijke aflevering en berichttracering.

Verscherp DMARC gefaseerd. Zet een domein niet direct op een streng afwijsbeleid wanneer scanners, marketingplatforms of leveranciers nog niet volledig in beeld zijn. Inventariseer legitieme afzenders, richt SPF en DKIM correct in, beoordeel rapportages en verhoog daarna de handhaving. De gids SPF, DKIM en DMARC instellen beschrijft dat proces uitgebreider.

Voer een representatieve pilot uit

Een pilot met alleen de IT-beheerder bewijst te weinig. Kies gebruikers met verschillende werkpatronen:

• een medewerker met een grote mailbox en online archief;
• een mobiele gebruiker;
• een assistent met gedeelde agenda’s en gemachtigd verzenden;
• een eigenaar van meerdere gedeelde postvakken;
• een gebruiker van een bedrijfskritische CRM- of ERP-koppeling;
• een medewerker op een externe locatie of thuiswerkverbinding.

Test interne en externe e-mail, agenda-uitnodigingen, gedelegeerde rechten, Outlook, webtoegang, mobiele toegang, groepen, quarantaine, archief, zoeken, retentie, printers en applicatiemail. Laat de pilot minimaal een volledige werkdag draaien en registreer ieder resultaat. “Geen klachten ontvangen” is geen acceptatietest.

Stel vooraf stopcriteria vast. Pauzeer bijvoorbeeld wanneer externe mail niet aantoonbaar aankomt, gemachtigd verzenden voor een kritisch postvak faalt of een applicatie geen berichten meer kan afleveren. Een stopbesluit tijdens het weekend is veel eenvoudiger als de grens vooraf is goedgekeurd.

Plan batches rond bedrijfsprocessen

Groepeer niet alleen alfabetisch of per afdeling. Houd rekening met samenwerking, gedeelde postvakken, agenda-afhankelijkheden en kritieke processen. Een directielid en assistent horen vaak in dezelfde batch. Hetzelfde geldt voor een verkoopteam met een gezamenlijke mailbox en CRM-koppeling.

Leg per batch vast:

• deelnemers en zakelijk eigenaar;
• start-, synchronisatie- en finalisatiemoment;
• verwachte datavolumes en uitzonderingen;
• wijzigingsstop voor mailboxrechten en groepen;
• communicatie voor, tijdens en na de overgang;
• acceptatiechecks en bewijs;
• supportbezetting en escalatie;
• stop- en herstelcriteria.

Een terugvalplan betekent niet dat alle cloudwijzigingen met één knop kunnen worden teruggedraaid. Beschrijf wat je doet als mailflow faalt, een batch blijft hangen of medewerkers niet kunnen aanmelden. Soms is herstellen in de nieuwe situatie veiliger dan terugschakelen.

Vergeet applicaties, scanners en relay niet

Veel organisaties gebruiken Exchange on-premises als SMTP-relay voor multifunctionals, websites, monitoring of oude applicaties. Na de mailboxmigratie kan die functie nog steeds de laatste server nodig maken. Behandel iedere verzendende bron daarom als apart migratieobject.

Leg per bron vast:

• technisch en zakelijk eigenaar;
• afzenderadres en bestemmingen;
• huidige authenticatiemethode;
• verwacht volume en maximale berichtgrootte;
• IP-adres en netwerkroute;
• logging en foutmelding;
• gekozen doeloplossing;
• testdatum en bewijs.

Kies een door Microsoft ondersteunde verzendmethode die past bij het scenario. Vermijd een brede anonieme relay als snelle oplossing. Controleer na de test niet alleen de melding “verzonden”, maar ook ontvangst, berichttracering, afzenderauthenticatie en spamclassificatie.

De laatste Exchange-server: drie verschillende uitkomsten

Na de laatste mailbox ontstaat vaak de lastigste vraag: kan de lokale Exchange-server uit? Sinds 2026 zijn er meer ondersteunde routes, maar ze zijn niet onderling uitwisselbaar.

1. Exchange Server SE behouden

Als lokale Exchange-functies, recipient management of regelgeving on-premises beheer nodig maken, hoort de resterende omgeving naar Exchange Server SE. Behandel dit als een productiesysteem met patching, monitoring, back-up, certificaatbeheer en lifecycle-eigenaarschap. Exchange 2016 of 2019 laten staan is geen ondersteund eindbeeld.

2. Alleen Exchange Management Tools gebruiken

Wanneer alle mailboxen en openbare mappen in Exchange Online staan, directorysynchronisatie blijft bestaan en de lokale server alleen nog recipient management verzorgt, kunnen Exchange Management Tools een optie zijn. Microsoft beschrijft hiervoor een specifiek pad. De laatste server wordt in dat model uitgeschakeld, niet normaal verwijderd. Beheerders werken met PowerShell en bepaalde audit- of beheerfuncties veranderen.

Voer de Microsoft-procedure exact uit. De server zomaar verwijderen of de verkeerde Active Directory-objecten opschonen kan recipient management beschadigen.

3. Source of Authority naar de cloud overdragen

Microsoft documenteert inmiddels cloudbeheer van Exchange-attributen en overdracht van Object Source of Authority, SOA. Na een correct uitgevoerde overdracht kan de lokale Exchange-server in geschikte scenario’s volledig worden verwijderd. De mogelijkheden verschillen per objecttype. Mailboxen, groepen en mailcontacten hebben niet automatisch hetzelfde pad.

Dit is geen vinkje dat je aan het einde van een migratieweekend improviserend omzet. Inventariseer objecttypen, synchronisatie, writeback en lokale applicaties die attributen lezen. Voer een pilot uit, controleer beheer en terugschrijfacties, en volg daarna de actuele Microsoft-procedure voor de laatste server.

Zet de oude omgeving gecontroleerd uit

Controle vóór uitfasering: De oude omgeving gaat pas uit nadat mailboxen, mailflow, applicaties en beheerprocessen in de cloud zijn geaccepteerd en de afhankelijkheden aantoonbaar zijn verwijderd.

Controleer vóór uitfasering ten minste:

• er zijn geen bedoelde lokale gebruikers- of openbare-mapgegevens meer;
• inkomende en uitgaande mailflow loopt via het doelontwerp;
• interne en externe Autodiscover zijn getest;
• SMTP-relay en applicatieafhankelijkheden zijn gemigreerd of bewust behouden;
• hybride connectors, organisatie-relaties en migratie-endpoints hebben een besluit;
• recipient management werkt volgens het gekozen eindmodel;
• beheerders kunnen gebruikers, adressen, groepen en contacten aantoonbaar beheren;
• monitoring, back-up en incidentprocedures zijn bijgewerkt;
• de opdrachtgever heeft het eindbeeld geaccepteerd.

Wissen of formatteren is geen vervanging voor een ondersteunde decommissionprocedure. Microsoft maakt ook onderscheid tussen uitschakelen voor Management Tools en verwijderen na overdracht van Source of Authority. Kies de procedure die bij het doelbeeld hoort.

Bereken de businesscase over drie jaar

Vergelijk niet alleen de prijs van Microsoft 365-licenties met de huidige serverlicentie. Neem voor de lokale situatie mee:

• serverhardware, virtualisatie, opslag en datacenterkosten;
• Exchange Server- en Windows Server-licenties;
• back-up, hersteltests en externe opslag;
• patching, monitoring en certificaatbeheer;
• beheeruren en schaarse specialistische kennis;
• beveiligingsonderzoek en noodonderhoud;
• vervanging of upgrade naar Exchange Server SE;
• risico op uitval en vertraagde bedrijfsprocessen.

Neem voor Microsoft 365 mee:

• gebruikerslicenties en eventuele compliance- of beveiligingsuitbreidingen;
• migratieproject en tijdelijke dubbele omgeving;
• onafhankelijke back-up wanneer hersteldoelen dat vragen;
• beheer van identiteit, Conditional Access, mailbeveiliging en retentie;
• training, support en adoptie;
• blijvende internetafhankelijkheid.

Zet kosten, risico en gewenste flexibiliteit naast elkaar. Cloudmail verwijdert lokaal serveronderhoud, maar niet de verantwoordelijkheid voor beveiliging, herstel, beleid en support.

Maak een bewijsdossier voor oplevering

Bewaar niet alleen technische logbestanden. Maak een compact dossier dat een directeur, auditor of opvolgende beheerder kan begrijpen:

1. goedgekeurd doelbeeld en migratieroute;
2. inventaris met eigenaars en uitzonderingen;
3. pilotresultaten en opgeloste bevindingen;
4. batchrapporten en acceptaties;
5. DNS- en mailflowcontrole;
6. overzicht van applicatie- en printertests;
7. identity- en recipient-managementbesluit;
8. gekozen procedure voor de laatste Exchange-server;
9. actuele beheer-, back-up- en incidentafspraken;
10. formele overdracht en open restpunten.

Dit dossier ondersteunt ISO- en NIS2-governance omdat besluiten, risico’s en controles aantoonbaar zijn. Het helpt ook praktisch: bij een incident hoeft niemand te reconstrueren waarom een connector, relay of synchronisatie nog bestaat.

Wanneer is de migratie echt klaar?

Gebruik een zakelijke definitie van gereed. De migratie is pas afgerond wanneer:

• alle bedoelde mailboxen, archieven en openbare mappen zijn geaccepteerd;
• gedeelde postvakken, groepen, agenda’s en machtigingen werken;
• alle kritieke applicaties en apparaten gecontroleerd verzenden;
• MFA, Conditional Access en beheerrollen zijn getest;
• SPF, DKIM en DMARC volgens plan zijn ingericht;
• recipient management ook na uitfasering aantoonbaar werkt;
• de laatste server een ondersteund eindbeeld heeft;
• monitoring, back-up, incidentrespons en support operationeel zijn;
• documentatie en eigenaarschap zijn overgedragen;
• open risico’s expliciet zijn geaccepteerd.

Veelgemaakte fouten

Alleen mailboxen tellen. De echte uitval zit vaak in groepen, rechten, relay, openbare mappen en applicaties.

Hybride zonder einddatum starten. Een tijdelijke tussenfase wordt dan een permanente, slecht beheerde dubbele omgeving.

DNS zonder eigenaar wijzigen. Een onbekende registrar of extern beheerde zone kan het hele omzetmoment blokkeren.

Beveiligingsbeleid tegelijk met de migratie activeren. Niet-geteste MFA- of Conditional Access-regels maken oorzaak en herstel onnodig ingewikkeld.

De laatste server direct verwijderen. Directorysynchronisatie, Exchange-attributen of lokale diensten kunnen hem nog nodig hebben. Management Tools, Exchange Server SE en SOA-overdracht zijn verschillende eindmodellen.

Back-up gelijkstellen aan beschikbaarheid. Exchange Online biedt retentie- en herstelmogelijkheden, maar die zijn niet automatisch een onafhankelijke back-up die bij ieder hersteldoel past. Lees wat Microsoft 365 bewaart en wat je aanvullend moet regelen.

Veelgestelde vragen

Moeten we na oktober 2025 onmiddellijk van Exchange 2016 of 2019 af?

Plan en start zo snel mogelijk een ondersteunde route. De servers blijven mogelijk functioneren, maar Microsoft levert geen reguliere beveiligingsupdates, bugfixes of technische ondersteuning meer. Behandel de situatie als formeel risico met eigenaar en einddatum.

Is Exchange Server SE verplicht voordat we naar Microsoft 365 migreren?

Niet altijd. Microsoft beschrijft migratie vanuit Exchange 2016 en 2019 naar Microsoft 365. De precieze route hangt af van bronversie, patchniveau en architectuur. Wanneer een lokale Exchange-server na de migratie nodig blijft, hoort die wel in een ondersteund eindbeeld, doorgaans Exchange Server SE.

Kunnen medewerkers tijdens de migratie doorwerken?

Bij veel routes blijft de bronmailbox tijdens de eerste synchronisatie beschikbaar. Rond de definitieve overgang kunnen opnieuw aanmelden of korte verstoringen optreden. Test dit in de pilot en communiceer het werkelijke venster per batch.

Kan de laatste Exchange-server weg terwijl Active Directory blijft?

Dat kan in geschikte scenario’s via overdracht van Exchange-attributen of Object Source of Authority naar de cloud. Een alternatief is alleen Management Tools gebruiken, waarbij de laatste server wordt uitgeschakeld maar niet op dezelfde manier verwijderd. Laat het object- en synchronisatiemodel vooraf toetsen.

Is een cutover alleen voor zeer kleine organisaties?

Microsoft ondersteunt technisch een groter aantal mailboxen, maar noemt ongeveer 150 of minder als realistischer vanwege migratieduur en prestaties. Complexiteit, mailboxvolume en bedrijfsimpact zijn minstens zo belangrijk als het aantal gebruikers.

Is Microsoft 365 onze back-up?

Microsoft 365 biedt ingebouwde beschikbaarheids-, retentie- en herstelmogelijkheden. Bepaal apart of deze aan je hersteltermijnen, onafhankelijkheid en compliance-eisen voldoen. Leg vast welk verlies van tijd en data de organisatie kan accepteren.

Wat is het grootste praktische risico?

Onzichtbare afhankelijkheden. Een vergeten scanner, ERP-koppeling, groep, openbare map of DNS-beheerder veroorzaakt vaker bedrijfsuitval dan het kopiëren van een normale mailbox. Investeer daarom eerst in inventarisatie en eigenaarschap.

Gebruikte Microsoft-bronnen

De supportstatus, migratieroutes en uitfaseringsopties zijn op 21 oktober 2026 gecontroleerd tegen deze officiële Microsoft Learn-pagina’s. De links bevatten geen trackingparameters:

• Exchange Server 2019 and 2016 end of support roadmap
• Decide on a migration path in Exchange Online
• How and when to decommission on-premises Exchange servers
• Decommission the last Exchange Server after transferring SOA to cloud
• Manage recipients using Exchange Management Tools
• Exchange Server supportability matrix

Microsoft wijzigt procedures en productondersteuning. Controleer deze documentatie opnieuw vlak vóór iedere wijziging aan hybride configuratie, Source of Authority of de laatste Exchange-server.