EN

Start / Acmefyer / Exchange-Zertifikat

AcmefyerAgentenbasierter Zertifikatsmanager

Exchange-Zertifikat automatisch erneuern und einspielen.

Outlook, OWA, ActiveSync und Autodiscover hängen am Zertifikat des Exchange-Servers, und jeder Tausch ist Handarbeit in der Exchange-Verwaltungsshell. Acmefyer holt das Zertifikat per ACME, zum Beispiel kostenlos von Let’s Encrypt, und ein Agent auf dem Exchange-Server spielt es selbst ein. Für Exchange Server SE und 2019.

Acmefyer ansehen Dokumentation
01Von HandWas bei jedem Tausch zu tun ist

So erneuern Sie das Exchange-Zertifikat von Hand.

Ein neues Zertifikat als PFX-Datei kommt in vier Schritten in Exchange, in der Exchange-Verwaltungsshell auf jedem Exchange-Server:

# 1. Zertifikat importieren
Import-ExchangeCertificate -FileData ([System.IO.File]::ReadAllBytes('C:\certs\mail.pfx')) -Password (Read-Host -AsSecureString)
# 2. Für IIS, IMAP und POP aktivieren
Enable-ExchangeCertificate -Thumbprint <Fingerabdruck> -Services IIS,IMAP,POP
# 3. IMAP und POP auf den Namen im Zertifikat stellen
Set-ImapSettings -X509CertificateName mail.example.com
Set-PopSettings -X509CertificateName mail.example.com
# 4. IMAP und POP neu starten
Restart-Service MSExchangeIMAP4,MSExchangeIMAP4BE,MSExchangePOP3,MSExchangePOP3BE
SMTP
Gehört meist nicht dazu: Der Transport wählt sein Zertifikat nach dem Servernamen (etwa ex01.firma.local), den ein öffentliches Zertifikat nicht abdeckt.
Altes Zertifikat
Bleibt besser im Speicher, solange die Exchange-Back-End-Site (Port 444) es nutzt.
Schlüssel
Exchange Server SE nimmt ECC-Zertifikate nur mit einer eigenen Einstellung (Override). Ein RSA-Schlüssel ist der sichere Weg.
DAG
Jeder Server der DAG braucht das Zertifikat, am besten nicht alle gleichzeitig.
Wie oft
Seit März 2026 gelten öffentliche Zertifikate höchstens 200 Tage, ab 2029 nur noch 47 Tage. Dann steht der Tausch etwa jeden Monat an, auf jedem Exchange-Server.
02Mit AcmefyerWas der Agent übernimmt

Der Agent auf dem Exchange-Server erledigt jeden Schritt selbst.

Der Acmefyer-Server holt das Zertifikat bei der Zertifizierungsstelle, etwa für mail.example.com und autodiscover.example.com, und erneuert es 30 Tage vor Ablauf. Der Acmefyer-Agent läuft als Dienst auf dem Exchange-Server, holt das neue Zertifikat dort ab und spielt es lokal ein.

Dafür braucht der Exchange-Server keinen offenen Port und keinen Internetzugang, und auf dem Acmefyer-Server liegen keine Administrator-Kennwörter. Die Verbindung geht nur vom Agenten zum Server.

Importieren
Das neue Zertifikat in Exchange importieren. Ein schon importiertes wird nur wieder aktiviert.
Aktivieren
Für die gewählten Dienste, vorgegeben IIS, IMAP und POP. SMTP nur, wenn Sie es ausdrücklich wählen.
IMAP, POP
Den Zertifikatsnamen (X509CertificateName) auf einen Namen stellen, den das neue Zertifikat abdeckt, und beide Dienste neu starten.
Prüfen
Danach prüft der Agent, ob Port 443 das neue Zertifikat ausliefert. Wenn nicht, aktiviert er für IIS wieder das vorige.
DAG
Ein Deployment je Exchange-Server mit dessen Agent. Acmefyer rollt nie auf allen zugleich aus, sondern mit mindestens einer Stunde Abstand zwischen zwei Servern.
Erkennung
Der Agent erkennt Exchange auf seinem Server und schlägt das passende Deployment vor.
03EinrichtenEinmal einrichten, danach läuft es von selbst
  1. 01

    Domain anlegen

    mail.example.com und autodiscover.example.com, mit RSA-Schlüssel und Prüfung per HTTP-01 oder DNS-01.

  2. 02

    Agent installieren

    Das Setup-Paket auf dem Exchange-Server starten. Der Agent richtet sich als Dienst ein.

  3. 03

    Deployment anlegen

    Der Agent hat Exchange erkannt. Ein Klick legt das Deployment an.

  4. 04

    Fertig

    Acmefyer erneuert das Zertifikat ab jetzt rechtzeitig und meldet jedes Ergebnis.

04FragenHäufige Fragen zum Exchange-Zertifikat

Welche Exchange-Versionen unterstützt Acmefyer?

Exchange Server SE und Exchange Server 2019. Der Agent läuft dafür auf jedem Exchange-Server.

Kann ich ein Let’s-Encrypt-Zertifikat für Exchange verwenden?

Ja. Outlook, OWA, ActiveSync und Autodiscover vertrauen Let’s Encrypt wie jeder anderen öffentlichen Zertifizierungsstelle. Voraussetzung: Alle Namen im Zertifikat sind öffentliche Namen wie mail.example.com. Interne Namen wie ex01.firma.local stellt keine öffentliche Zertifizierungsstelle aus.

Muss SMTP das neue Zertifikat bekommen?

Meist nicht. Der Exchange-Transport wählt sein Zertifikat nach dem Servernamen, den ein öffentliches Zertifikat nicht abdeckt. Acmefyer aktiviert deshalb IIS, IMAP und POP und SMTP nur, wenn Sie es ausdrücklich wählen, etwa wenn ein Connector den öffentlichen Namen verwendet.

Was passiert, wenn der Tausch schiefgeht?

Der Agent prüft nach dem Tausch, ob Port 443 das neue Zertifikat ausliefert. Wenn nicht, aktiviert er für IIS wieder das vorige Zertifikat, und Acmefyer meldet den Fehler. Ein fehlgeschlagenes Ziel versucht Acmefyer nach 5 Minuten erneut, dann in wachsenden Abständen.

Funktioniert das in einer DAG?

Ja. Sie legen für jeden Exchange-Server ein Deployment mit dessen Agent an. Acmefyer verteilt das Zertifikat dann Server für Server, mit mindestens einer Stunde Abstand, damit nie alle Server zugleich umgestellt werden.

Brauche ich ein Wildcard-Zertifikat für Exchange?

Nein. Ein Zertifikat mit den Namen mail.example.com und autodiscover.example.com reicht. Ein Wildcard-Zertifikat geht auch; für IMAP und POP stellt der Agent dann einen Namen ohne Platzhalter ein.