Exchange Hybrid: Microsoft-365-Postfach für einen bestehenden AD-Benutzer erstellen

Ein neuer Mitarbeiter ist im lokalen Active Directory bereits angelegt. Die Postfächer liegen in Microsoft 365, die Exchange-Empfänger werden aber weiterhin lokal verwaltet. Wie bekommt der neue Benutzer jetzt sein Cloud-Postfach?

In dieser Anleitung aktivierst Du eine Remote-Mailbox, synchronisierst die Exchange-Attribute nach Microsoft 365 und weist anschließend die passende Lizenz zu. Dabei prüfst Du die lokalen und die cloudseitigen Objekte getrennt, damit die Ergebnisse eindeutig bleiben.

Der Ablauf: AD-Benutzer anlegen → Remote-Mailbox lokal aktivieren → synchronisieren und prüfen → Exchange-Online-Lizenz zuweisen → Postfach testen.

Alle Namen, Adressen und Domains sind Musterdaten. Am Artikelende findest Du einen PowerShell-Befehlsbaukasten mit Deinen eigenen Parametern. Sämtliche PowerShell-Befehle stehen jeweils in einer einzelnen Zeile und lassen sich ohne Fortsetzungszeichen kopieren.

Ausgangslage und Voraussetzungen

Diese Anleitung behandelt einen neuen Benutzer mit bestehendem AD-Konto, dessen reguläres Benutzerpostfach direkt in Exchange Online bereitgestellt werden soll. Sie beschreibt keine Migration eines vorhandenen lokalen Postfachs.

Vorausgesetzt werden:

• Eine funktionsfähige Exchange-Hybrid-Umgebung mit lokal verwalteten Exchange-Empfängerattributen.
• Ein vorhandener AD-Benutzer in einer synchronisierten Organisationseinheit.
• Funktionierende Synchronisierung mit Microsoft Entra Connect Sync.
• Zugriff auf die lokale Exchange Management Shell und passende Exchange-Berechtigungen.
• Berechtigungen für Exchange Online und die Lizenzzuweisung.
• Eine geeignete Lizenz mit Exchange-Online-Dienstplan.

Microsoft unterstützt inzwischen auch die Cloud-Verwaltung von Exchange-Attributen. Wenn die Umgebung auf dieses Verwaltungsmodell umgestellt wurde, muss der dort festgelegte Provisionierungsprozess verwendet werden. Der folgende Ablauf setzt die klassische lokale Verwaltung voraus. [6]

Welche PowerShell gehört wohin?

Verwende für lokale und cloudseitige Exchange-Abfragen getrennte Sitzungen. So bleibt bei gleichnamigen Cmdlets wie Get-Recipient oder Get-Mailbox klar, welche Organisation Du gerade abfragst.

Unsere Musterdaten

Ersetze diese Werte durch die Daten Deiner Umgebung. UPN und primäre E-Mail-Adresse müssen nicht identisch sein. Für die lokale Identifizierung verwenden wir deshalb den AD-Anmeldenamen.

1. Benutzer und Lizenzierung vorab prüfen

Wenn Du den Benutzer durch Kopieren eines vorhandenen AD-Kontos erstellt hast, kontrolliere insbesondere:

• Vorname, Nachname, Anzeigename und Anmeldenamen.
• Die Ziel-OU und deren Synchronisierungsumfang.
• Übernommene Gruppenmitgliedschaften und deren tatsächliche Berechtigung für den neuen Mitarbeiter.
• Gruppenbasierte Lizenzzuweisung: Eine kopierte Gruppe könnte bereits automatisch einen Exchange-Online-Dienstplan aktivieren.

Die Kopierfunktion ersetzt keine Prüfung von Postfachdelegierungen, Anwendungsrollen oder Berechtigungen außerhalb des AD.

Besteht schon ein Exchange-Empfänger?

Ausführen in der lokalen Exchange Management Shell:

Get-Recipient -Identity "m.mustermann" | Format-List Name,RecipientType,RecipientTypeDetails,PrimarySmtpAddress

Bei einem noch nicht mailaktivierten AD-Benutzer kann die Meldung erscheinen, dass kein entsprechender Exchange-Empfänger gefunden wurde. Das ist für diesen Ausgangszustand plausibel; es beweist allerdings noch nicht, dass Exchange das AD-Konto unter der angegebenen Identität finden kann.

Falls bereits UserMailbox, RemoteUserMailbox oder MailUser erscheint, prüfe zuerst den bestehenden Zustand. Führe den Anlagebefehl nicht einfach erneut aus.

2. Hybrid-Routing-Domain ermitteln

Lies die Routingadresse eines bekannten, funktionierenden Remote-Postfachs aus:

Ausführen in der lokalen Exchange Management Shell:

Get-RemoteMailbox -Identity "referenz.benutzer" | Format-List PrimarySmtpAddress,RemoteRoutingAddress

Beispiel einer Routingadresse:

RemoteRoutingAddress : SMTP:referenz.benutzer@contoso.mail.onmicrosoft.com

Hier lautet die gesuchte Domain contoso.mail.onmicrosoft.com.

Übernimm die tatsächlich konfigurierte Hybrid-Routing-Domain. Leite sie nicht aus der öffentlichen Firmendomain ab und verwechsle contoso.onmicrosoft.com nicht mit contoso.mail.onmicrosoft.com.

3. Remote-Mailbox aktivieren

Ausführen in der lokalen Exchange Management Shell:

Enable-RemoteMailbox -Identity "m.mustermann" -Alias "m.mustermann" -PrimarySmtpAddress "m.mustermann@contoso.com" -RemoteRoutingAddress "m.mustermann@contoso.mail.onmicrosoft.com"

Enable-RemoteMailbox aktiviert den bestehenden AD-Benutzer als Remote-Empfänger und setzt die Attribute für die Bereitstellung des zugehörigen Cloud-Postfachs. Der Vorgang ist nicht sofort in Exchange Online abgeschlossen. [1]

Muss vorher nach Microsoft 365 synchronisiert werden?

Nein. Der lokale Exchange muss das AD-Konto finden können; eine vorherige Cloud-Synchronisierung ist für diesen Schritt nicht erforderlich. Ist das Konto bereits nach Entra ID synchronisiert worden, werden die jetzt gesetzten Attribute mit einem weiteren Synchronisierungszyklus übertragen.

Bei mehreren Domaincontrollern kann zunächst lokale AD-Replikation erforderlich sein. AD-Replikation und Synchronisierung nach Microsoft 365 sind unterschiedliche Vorgänge.

Warum nicht einfach die Lizenz zuweisen?

Bei klassischer Hybrid-Verwaltung soll auch lokal das passende Exchange-Empfängerobjekt vorhanden sein. Reine Cloud-Provisionierung über eine Lizenz ersetzt diese lokale Vorbereitung nicht. Das Microsoft Exchange Team beschreibt diese Verwaltungsproblematik und den Einsatz von Enable-RemoteMailbox für bestehende Benutzer. [2]

4. Lokales Ergebnis kontrollieren

Ausführen in der lokalen Exchange Management Shell:

Get-RemoteMailbox -Identity "m.mustermann" | Format-List DisplayName,RecipientTypeDetails,PrimarySmtpAddress,RemoteRoutingAddress,EmailAddresses

Illustrative Ausgabe:

DisplayName          : Max Mustermann
RecipientTypeDetails : RemoteUserMailbox
PrimarySmtpAddress   : m.mustermann@contoso.com
RemoteRoutingAddress : SMTP:m.mustermann@contoso.mail.onmicrosoft.com

Die Ausgabe bestätigt das lokale Verwaltungsobjekt. Sie bestätigt noch nicht die erfolgreiche Verarbeitung in der Cloud.

Ein zusätzlicher Gegencheck ist:

Get-Mailbox -Identity "m.mustermann"

In der lokalen Sitzung soll für diesen neuen Cloud-Benutzer kein lokales Benutzerpostfach gefunden werden. Eine entsprechende Nicht-gefunden-Meldung ist hier erwartbar. Ein Verbindungs-, Berechtigungs- oder Identitätsfehler ist dagegen kein belastbarer Nachweis.

5. Nach Microsoft 365 synchronisieren

Ausführen auf dem aktiven Entra-Connect-Sync-Server:

Import-Module ADSync

Anschließend einen Delta-Zyklus anstoßen:

Start-ADSyncSyncCycle -PolicyType Delta

Das Cmdlet startet den Zyklus. Eine erfolgreiche Startrückmeldung bedeutet noch nicht, dass alle Änderungen bereits in Exchange Online verarbeitet wurden. [3]

Öffne den Synchronization Service Manager und kontrolliere unter Operations die relevanten Import-, Synchronisierungs- und Exportläufe. Prüfe bei Fehlern auch das betroffene Objekt und den Synchronisierungsumfang. Ein allgemein erfolgreicher Lauf allein belegt nicht, dass ein Benutzer außerhalb des Sync-Scopes übertragen wurde.

Danach kann zusätzliche Verarbeitungszeit in Microsoft 365 nötig sein.

Die gezeigten ADSync-Befehle gelten für Entra Connect Sync. Bei Entra Cloud Sync verwendest Du dessen Verwaltungs- und Diagnosemöglichkeiten.

6. Empfänger in Exchange Online prüfen

Öffne eine separate PowerShell auf einem Administrationsrechner. Für die Cloud-Verbindung benötigst Du das Modul ExchangeOnlineManagement. Microsoft dokumentiert Verbindung und Verwaltung in der Exchange-Online-PowerShell-Dokumentation. [5]

Falls das Modul noch fehlt:

Install-Module ExchangeOnlineManagement -Scope CurrentUser

Verbinde Dich mit einem berechtigten Administratorkonto im richtigen Tenant:

Connect-ExchangeOnline

Prüfe den Empfänger in dieser Cloud-Sitzung:

Get-Recipient -Identity "m.mustermann@contoso.com" | Format-List DisplayName,RecipientType,RecipientTypeDetails,PrimarySmtpAddress,ExternalEmailAddress,EmailAddresses,IsDirSynced

Ergebnisse richtig einordnen

Vor der Lizenzierung muss nicht zwingend MailUser erscheinen. Warte auch nicht zwingend auf UserMailbox, bevor Du lizenzierst. Entscheidend sind das richtige Benutzerobjekt, die lokale Vorbereitung und die erfolgreiche Synchronisierung. Die tatsächliche Cloud-Bereitstellung kann sich zeitlich unterscheiden.

Bei einer vorhandenen Cloud-UserMailbox kann ExternalEmailAddress leer sein. Das allein ist kein Fehler. Die Hybrid-Routingadresse kontrollierst Du am lokalen Remote-Mailbox-Objekt.

7. Lizenz zuweisen

Nach erfolgreicher Vorbereitung und Synchronisierung weist Du dem bestehenden synchronisierten Benutzer die passende Lizenz zu:

1. Öffne das Microsoft 365 Admin Center.
2. Gehe zu Benutzer → Aktive Benutzer.
3. Öffne m.mustermann@contoso.com.
4. Wähle Lizenzen und Apps.
5. Weise die vorgesehene Lizenz zu, beispielsweise eine geeignete Variante von Microsoft 365 Business Basic oder Business Standard.
6. Kontrolliere, dass der benötigte Exchange-Online-Dienstplan aktiviert ist.
7. Speichere die Änderung und kontrolliere mögliche Lizenzierungsfehler.

Bei gruppenbasierter Lizenzierung erfolgt die Zuweisung über die dafür vorgesehene Gruppe. Prüfe den tatsächlichen Zuweisungsstatus und mögliche Konflikte mit direkten Zuweisungen.

Existiert bereits das passende Cloud-Postfach, erzeugt die Lizenzzuweisung am selben Benutzer nicht einfach ein zweites Cloud-Postfach. Ein sichtbares Postfach ohne Lizenz ersetzt umgekehrt keine erforderliche Lizenzierung.

8. Cloud-Postfach und Funktion prüfen

Ausführen in der verbundenen Exchange-Online-PowerShell:

Get-EXOMailbox -Identity "m.mustermann@contoso.com" -Properties ExchangeGuid | Format-List DisplayName,PrimarySmtpAddress,RecipientTypeDetails,ExchangeGuid

Für das reguläre Benutzerpostfach erwartest Du RecipientTypeDetails : UserMailbox und die gewünschte primäre Adresse.

Illustrative Ausgabe:

DisplayName          : Max Mustermann
PrimarySmtpAddress   : m.mustermann@contoso.com
RecipientTypeDetails : UserMailbox
ExchangeGuid         : 11111111-2222-3333-4444-555555555555

Prüfe anschließend:

• Ist der Exchange-Online-Dienstplan erfolgreich zugewiesen?
• Lässt sich das Postfach in Outlook im Web öffnen?
• Funktionieren Versand und Empfang mit einem externen Testkonto?
• Funktioniert interne Zustellung, insbesondere falls lokale Exchange-Empfänger verbleiben?
• Stimmen Anzeigename, Absenderadresse und benötigte zusätzliche Adressen?

Falls die Bereitstellung noch läuft, prüfe den Status später erneut. Wiederholtes Ausführen von Enable-RemoteMailbox beschleunigt die Cloud-Verarbeitung nicht.

Beende die Cloud-Sitzung nach Abschluss:

Disconnect-ExchangeOnline -Confirm:$false

Was bedeutet eine Doppelpostfach-Situation?

Die folgende Kombination ist der gewünschte Hybrid-Zustand:

Eine problematische Doppelpostfach-Situation liegt dagegen vor, wenn derselbe Benutzer ein echtes lokales Postfach und zusätzlich ein Exchange-Online-Postfach besitzt. Microsoft beschreibt dafür Zustellprobleme: Nachrichten können abhängig vom Standort des Absenders in unterschiedlichen Postfächern landen. [4]

Vorzeitige Cloud-Lizenzierung kann insbesondere bei einem bereits vorhandenen lokalen Postfach zu dieser Situation beitragen. Bei einem neuen AD-Benutzer ohne lokales Postfach bedeutet sie nicht automatisch zwei Postfächer; problematisch kann aber das fehlende lokale Exchange-Verwaltungsobjekt sein. [2][4]

Wichtig ist deshalb die kontrollierte Reihenfolge. Erstelle für diesen Ablauf kein lokales Postfach mit Enable-Mailbox.

Typische Probleme

Der Benutzer wird lokal nicht gefunden

Kontrolliere den tatsächlichen sAMAccountName, AD-Replikation und den Exchange-Verwaltungsbereich. Die gewünschte E-Mail-Adresse ist vor der Mailaktivierung nicht zwangsläufig schon eine gültige Exchange-Identität.

Der Benutzer besitzt bereits einen Exchange-Empfängertyp

Prüfe den Typ und seine Herkunft. Ein vorhandener MailUser, eine RemoteUserMailbox oder ein lokales Postfach erfordert eine zustandsabhängige Behandlung. Diese Anleitung ist kein Reparaturverfahren für solche Ausgangslagen.

Lokal stimmt alles, in der Cloud fehlt der Empfänger

Prüfe OU-Filter, Synchronisierungsfehler, Exportfehler und Adresskonflikte. Vergewissere Dich außerdem, dass Du mit dem richtigen Microsoft-365-Tenant verbunden bist. Zwischen Export und Exchange-Verarbeitung kann Zeit vergehen.

In der Cloud erscheint schon vor der manuellen Lizenzierung UserMailbox

Das ist allein kein Fehlernachweis. Prüfe den lokalen Remote-Empfänger, die synchronisierte Identität und den tatsächlichen Lizenzstatus einschließlich automatischer Zuweisungen. Weise eine noch fehlende erforderliche Lizenz anschließend dem bestehenden Benutzer zu.

Tatsächlich existieren ein lokales und ein Cloud-Postfach

Behandle das als eigenen Wiederherstellungsfall. Entferne weder Postfach noch Lizenz oder Exchange-Attribute auf Verdacht. Sichere zunächst den Zustand und kläre, welches Postfach Daten enthält und welches erhalten bleiben soll. Microsoft beschreibt dafür gesonderte Wiederherstellungswege. [4]

PowerShell zeigt >>

>> ist das Fortsetzungszeichen für eine unvollständige Eingabe, beispielsweise bei offenen Anführungszeichen oder einem Backtick zur Zeilenfortsetzung. Brich eine versehentlich unvollständige Eingabe mit Strg+C ab und kopiere nur den vollständigen Befehl aus dem jeweiligen Codeblock, ohne Prompt oder Markdown-Markierungen.

Abschlusskontrolle

• Das richtige AD-Konto befindet sich im Sync-Scope.
• Gruppenmitgliedschaften und automatische Lizenzierung wurden geprüft.
• Lokal erscheint RemoteUserMailbox mit den richtigen Adressen.
• Für den Benutzer besteht kein zusätzliches echtes lokales Postfach.
• Die Exchange-Attribute wurden erfolgreich synchronisiert.
• Der richtige synchronisierte Cloud-Empfänger ist sichtbar.
• Die passende Lizenz und der Exchange-Online-Dienstplan sind zugewiesen.
• Exchange Online zeigt das gewünschte UserMailbox-Postfach.
• Anmeldung und Mailfluss wurden getestet.

Microsoft-Quellen

1. Enable-RemoteMailbox – Microsoft Learn – Aktivierung eines vorhandenen AD-Benutzers und anschließende Cloud-Provisionierung.
2. On provisioning mailboxes in Exchange Online when in Hybrid – Microsoft Exchange Team – Provisionierung und lokale Empfängerverwaltung in Hybrid-Umgebungen.
3. Microsoft Entra Connect: ADSync PowerShell Reference – Referenz für den Synchronisierungsstart.
4. How to recover when a mailbox exists in both Exchange Online and on-premises – Microsoft Learn – Doppelpostfach-Situation und Wiederherstellung.
5. Exchange Online PowerShell – Microsoft Learn – Verbindung und cloudseitige Verwaltung.
6. Cloud-based management of Exchange attributes for Remote Mailboxes in hybrid environments – Microsoft Learn – Abgrenzung zum neueren Cloud-Verwaltungsmodell.

Stand: 20. Oktober 2026.