Windows-Updates im Oktober legen Exchange-Server lahm

Wer Exchange noch im eigenen Haus betreibt, hat seit dieser Woche ein Problem. Nach den Windows-Server-Updates vom Oktober-Patchday fallen Exchange-Server aus: Outlook im Web ist nicht mehr erreichbar, eingehende und ausgehende Mails stauen sich. Microsoft hat die Warnung am 15. Oktober im Exchange-Team-Blog ergänzt, heise berichtete am 16. Oktober. Eine bestätigte Ursache gibt es bis heute nicht.

Was passiert

Die Exchange-Datenbanken verlieren die Verbindung, im Protokoll erscheint die Meldung MapiExceptionMdbOffline (ec=1142), dazu das Ereignis 1006. Das Tückische: Die Störung tritt laut windows-faq.de oft erst 24 bis 30 Stunden nach der Installation auf. Wer am Dienstagabend gepatcht und am Mittwoch alles grün gesehen hat, kann sich also nicht in Sicherheit wiegen.

Als Auslöser gelten die Windows-Server-Updates, nicht das Exchange-Sicherheitsupdate KB5128895. Laut heise tritt der Fehler auch auf Servern auf, auf denen das Exchange-Update gar nicht installiert ist. Im Verdacht stehen:

• KB5126646 für Windows ServerHostingDer Speicherplatz auf einem Server, auf dem Ihre Website läuft.Im Glossar ansehen → 2025
• KB5126655 für Windows Server 2022
• KB5126651 für Windows Server 2019
• KB5126868 für Windows Server 2016

Gemeldet wurden die Ausfälle laut windows-faq.de vor allem bei Exchange Server SE auf Windows Server 2019, 2022 und 2025. Microsoft untersucht laut heise den Zusammenhang mit den Windows-Updates.

Neustart hilft, aber nur für eine Weile

Ein Neustart des ganzen Servers stellt den Betrieb wieder her. Nach ungefähr der gleichen Zeit kommt der Fehler aber zurück. Der Exchange-Experte Frank Carius beschreibt auf msxfaq.de, dass ein Neustart nur der Exchange-Dienste nicht reicht.

In der Admin-Community kursiert inzwischen eine Registry-Einstellung als vorläufige Abhilfe: der Wert EpmapSavedContextCap (REG_DWORD, 65536) unter HKLM\SOFTWARE\Microsoft\Rpc, danach ein Neustart. windows-faq.de führt ihn auf eine Ergänzung im Exchange-Team-Blog vom 16. Oktober zurück, Carius nennt ihn einen vorläufigen Workaround und vermutet die Ursache im RPC-Dienst von Windows, ausdrücklich als Arbeitshypothese. Eine endgültige Korrektur von Microsoft steht in jedem Fall noch aus.

Deutlich ist die Empfehlung, die Updates nicht einfach wieder zu entfernen. Sie enthalten wichtige Sicherheitskorrekturen, der Oktober-Patchday war mit über 1.400 geschlossenen Lücken ohnehin ein Rekord-Patchday. windows-faq.de schreibt dazu:

Eine pauschale Deinstallation der aktuellen Sicherheitsupdates ist derzeit nicht empfehlenswert.

Zusätzlicher Druck: Für Exchange 2016 und 2019 ist der Oktober 2026 der letzte Monat mit Updates aus der zweiten Phase der erweiterten Sicherheitsupdates.

Was das für Ihr Unternehmen heißt

• Betroffene Server prüfen: Suchen Sie im Anwendungsprotokoll nach Ereignis 1006 und MapiExceptionMdbOffline und beobachten Sie die Mail-Warteschlangen genau, auch noch zwei Tage nach dem Patch.
• Neustarts einplanen: Bis zur Lösung hält ein geplanter Neustart den Betrieb am Laufen. In einer DAG die Server nacheinander neu starten, nicht alle gleichzeitig.
• Registry-Eingriffe dokumentieren: Wer den kursierenden Workaround setzt, sollte das festhalten, um ihn nach Microsofts endgültiger Korrektur wieder zurücknehmen zu können.
• Nicht pauschal zurückrollen: Ein Entfernen der Sicherheitsupdates öffnet bekannte Lücken. Wenn überhaupt, dann nach Abwägung und am besten mit dem Microsoft-Support.
• Patchen gestaffelt: Updates erst auf einem Testsystem oder einem Teil der Server einspielen und ein bis zwei Tage beobachten, bevor alle folgen.
• Strategie überdenken: Für Exchange 2016 und 2019 laufen die Sicherheitsupdates aus. Spätestens jetzt lohnt die Frage, ob der Umstieg auf Exchange SE oder in die Cloud ansteht.

Fazit

Dass ein Sicherheitsupdate den Mailserver lahmlegt, ist für jede IT ein Albtraum, zumal der Fehler zeitversetzt kommt. Die richtige Reaktion ist Beobachten, gezielt Neustarten und Abwarten der Korrektur, nicht das Zurückdrehen der Updates. Ebenso wichtig ist ein Patchprozess, der solche Überraschungen abfängt, wie es auch beim Zertifikatswechsel in Windows Update gefragt ist. Wenn Sie Ihren Mailserver oder Ihr Patchmanagement auf solide Füße stellen möchten, sprechen Sie mich gern an.