Microsoft begründet den Schritt damit, dass die betroffenen Protokollversionen seit Längerem branchenweit als veraltet gelten und nicht mehr als sicher angesehen werden. „Wir planen, die Unterstützung für veraltete TLS-Versionen (TLS 1.0 und TLS 1.1) für POP3- und IMAP4-Verbindungen zu Exchange Online vollständig einzustellen", erklärte das Unternehmen. Die Ankündigung erfolgte laut Microsoft am Montag.

Bereits vor einigen Jahren begann der Konzern, diese Versionen zu blockieren, gestattete aber weiterhin eine Nutzung nach ausdrücklicher Zustimmung. Mit der nun angekündigten Abkündigung entfällt diese Unterstützung restlos.

Bevor die Abschaltung im Juli beginnt, rät Microsoft betroffenen Exchange-Online-Kunden, die E-Mails per POP oder IMAP abrufen, sicherzustellen, dass ihre Clients und Anwendungen TLS 1.2 oder höher unterstützen und keine veralteten Endpunkte zur Verbindung mit dem Dienst nutzen. Auch eigene oder eingebettete Anwendungen — etwa Geräte oder ältere Dienste — sollten auf Versionen aktualisiert werden, die moderne TLS-Versionen unterstützen, um Probleme zu vermeiden.

„Wenn Sie nicht sicher sind, ob Sie veraltete Versionen nutzen, prüfen Sie die Konfiguration Ihrer POP- und IMAP-Clients", so Microsoft. Im Zweifelsfall könne der Anbieter der jeweiligen Anwendung oder des Geräts in der Regel die TLS-Unterstützung bestätigen und Hinweise zur Aktualisierung geben.

Der Schritt fügt sich in eine breitere Entwicklung ein, den Internetverkehr mit modernen Kommunikationsprotokollen gegen das Mitlesen im Netzwerk abzusichern. In einer abgestimmten Ankündigung im Oktober 2018 hatten Microsoft, Apple, Google und Mozilla erklärt, die unsicheren Protokolle TLS 1.0 und TLS 1.1 in der ersten Hälfte des Jahres 2020 auszumustern. Microsoft setzte dies um und aktivierte TLS 1.3 standardmäßig ab den im August 2020 veröffentlichten Windows-10-Insider-Builds.

Die US-amerikanische National Security Agency (NSA) stellt zudem Leitlinien bereit, mit denen sich veraltete TLS-Protokollversionen und -Konfigurationen erkennen und durch moderne, sichere Alternativen ersetzen lassen, um Angriffsflächen zu verringern und unbefugten Datenzugriff zu verhindern.