Supportende Oktober 2026

Am 13. Oktober 2026 laufen mehrere Support-Zeiträume gleichzeitig aus – und am 31. Oktober endet zusätzlich das letzte Exchange-ESU-Programm. Wer erst im September anfängt zu planen, plant nicht mehr, sondern reagiert. Hier ist der Fahrplan mit Bestandsaufnahme-Skript.

Warum dieser Oktober anders ist

Support-Enden sind Routine. Ungewöhnlich ist diesmal die Gleichzeitigkeit: In vielen mittelständischen Umgebungen trifft die Welle nicht ein System, sondern drei bis vier auf einmal – den Mailserver, einen Teil der Clients, die Altserver aus dem ESU-Programm und den Mainstream-Support der aktuellen Server-Generation. Wer jedes dieser Themen einzeln in ein Ticket schreibt, bekommt im Herbst vier parallele Projekte statt einem geordneten Vorgehen.

Dazu kommt ein Punkt, den viele unterschätzen: Für NIS-2-pflichtige Einrichtungen ist der Betrieb von Systemen ohne Sicherheitsupdates kein reines Betriebsrisiko mehr, sondern ein Nachweisproblem gegenüber dem BSI. Ein Exchange 2019 ohne ESU im November 2026 ist im Audit schwer zu erklären.

Die Termine im Überblick

System	Datum	Was genau endet
Exchange Server 2016 / 2019	Ende Okt. 2026	Ende der ESU-Periode 2 (Mai bis Oktober 2026). Microsoft hat ausdrücklich klargestellt: eine dritte Periode wird es nicht geben. Regulärer Support ist bereits seit Oktober 2025 beendet.
Windows Server 2012 / 2012 R2	13.10.2026	Endgültiges Ende des ESU-Programms. Danach keine Sicherheitsupdates mehr – auf keinem Weg, auch nicht kostenpflichtig.
Windows 11 24H2	13.10.2026	Servicing-Ende für Home und Pro. Enterprise und Education laufen noch bis 12.10.2027 – ein Unterschied, der in gemischten Flotten regelmäßig übersehen wird.
Windows 10 LTSB 2016	13.10.2026	Ende der Updates. Betrifft typischerweise Maschinensteuerungen, Kassensysteme und medizinische Geräte – also genau die Systeme, die niemand anfassen will.
Windows Server 2022	Okt. 2026	Nur Mainstream-Support. Sicherheitsupdates laufen im Extended-Zeitraum weiter. Kein Notfall – aber der Zeitpunkt, ab dem es keine neuen Funktionen und keine kostenlosen Support-Fälle mehr gibt.
Windows Server 2016	12.01.2027	Reguläres Support-Ende. Steht nicht im Oktober, gehört aber in dieselbe Planungsrunde – oft ist es derselbe Domain Controller.

Exchange: das eigentliche Problemkind

Bei Exchange ist die Lage am unangenehmsten, weil hier gleich drei Dinge zusammenkommen. Erstens: Der reguläre Support ist bereits seit Oktober 2025 vorbei – wer heute noch 2016 oder 2019 betreibt, ist entweder im ESU-Programm oder läuft schon jetzt ungeschützt. Zweitens: Die ESU-Periode 2 ist keine automatische Verlängerung. Teilnehmer der ersten Periode mussten einen neuen Vertrag über ihr Microsoft-Account-Team abschließen, Voraussetzung ist ein Enterprise Agreement. Für einen typischen Mittelständler mit 60 Postfächern ist dieser Weg praktisch nicht gangbar – der ist entweder längst migriert oder seit Oktober 2025 ungepatcht unterwegs.

Drittens: ESU deckt nur Critical und Important ab, und Microsoft garantiert nicht einmal, dass in einem gegebenen Monat überhaupt Updates erscheinen. Im April 2026 gab es für keine einzige Exchange-Version ein Sicherheitsupdate. Supportfälle lassen sich unter ESU auch nicht öffnen, solange sie sich nicht direkt auf ein ESU-Update beziehen.

Bestandsaufnahme: Was habt ihr überhaupt?

Bevor irgendetwas geplant wird, braucht es Zahlen. Das folgende Skript liest aus dem Active Directory alle Computerkonten, ordnet sie den Support-Terminen zu und schreibt eine CSV mit Ampelbewertung. Es benötigt nur das ActiveDirectory-Modul und Lesezugriff – es verändert nichts.

<#
    Get-IswSupportEndInventory.ps1
    Inventarisiert AD-Computerkonten und bewertet sie gegen die
    Support-Endtermine Oktober 2026 / Januar 2027.
    Nur lesend. Ausgabe: CSV + Konsolenzusammenfassung.
#>

[CmdletBinding()]
param(
    [string] $SearchBase,
    [string] $ReportPath = "$env:USERPROFILE\Desktop\SupportEnde_$(Get-Date -f yyyyMMdd).csv",
    [int]    $InactiveDays = 90
)

Import-Module ActiveDirectory -ErrorAction Stop

$adParams = @{
    Filter     = 'Enabled -eq $true'
    Properties = 'OperatingSystem','OperatingSystemVersion','LastLogonDate','DNSHostName','Description'
}
if ($SearchBase) { $adParams['SearchBase'] = $SearchBase }

$cutoff  = (Get-Date).AddDays(-$InactiveDays)
$results = New-Object System.Collections.Generic.List[object]

foreach ($c in Get-ADComputer @adParams) {

    $os = if ($c.OperatingSystem) { $c.OperatingSystem } else { '(unbekannt)' }

    switch -Regex ($os) {
        'Server 2008'            { $status='ABGELAUFEN'; $ende='Jan 2020 (ESU Jan 2023)'; $ampel='ROT';  break }
        'Server 2012'            { $status='ESU-ENDE';   $ende='13.10.2026';              $ampel='ROT';  break }
        'Server 2016'            { $status='ENDE NAH';   $ende='12.01.2027';              $ampel='GELB'; break }
        'Server 2019'            { $status='OK';         $ende='09.01.2029';              $ampel='GRUEN';break }
        'Server 2022'            { $status='MAINSTREAM'; $ende='Okt 2026 / Ext. 2031';    $ampel='GELB'; break }
        'Server 2025'            { $status='OK';         $ende='2034';                    $ampel='GRUEN';break }
        'Windows 10'             { $status='PRUEFEN';    $ende='LTSB 2016: 13.10.2026';   $ampel='GELB'; break }
        'Windows 11'             { $status='PRUEFEN';    $ende='24H2 Home/Pro: 13.10.2026'; $ampel='GELB'; break }
        default                  { $status='UNBEKANNT';  $ende='-';                       $ampel='GRAU' }
    }

    # Build-Nummer liefert bei Win11 die Version (26100 = 24H2)
    $build = ($c.OperatingSystemVersion -split '\(|\)')[1]
    if ($build -eq '26100' -and $os -match 'Windows 11') {
        $status = 'VERSION 24H2'
        $ende   = '13.10.2026 (Home/Pro)'
        $ampel  = 'ROT'
    }

    $inaktiv = ($c.LastLogonDate -eq $null -or $c.LastLogonDate -lt $cutoff)

    $results.Add([pscustomobject]@{
        Name           = $c.Name
        DNSHostName    = $c.DNSHostName
        Betriebssystem = $os
        Build          = $build
        Status         = $status
        SupportEnde    = $ende
        Ampel          = $ampel
        LetzterLogon   = $c.LastLogonDate
        Inaktiv        = $inaktiv
        Beschreibung   = $c.Description
    })
}

$results | Sort-Object Ampel, Betriebssystem |
    Export-Csv -Path $ReportPath -NoTypeInformation -Encoding UTF8 -Delimiter ';'

Write-Host ''
Write-Host '=== Zusammenfassung ===' -ForegroundColor Cyan
$results | Group-Object Ampel | Sort-Object Name | ForEach-Object {
    $farbe = switch ($_.Name) { 'ROT' {'Red'} 'GELB' {'Yellow'} 'GRUEN' {'Green'} default {'Gray'} }
    Write-Host ("{0,-6} : {1,4} Systeme" -f $_.Name, $_.Count) -ForegroundColor $farbe
}
Write-Host ''
Write-Host "Bericht: $ReportPath" -ForegroundColor Cyan

Hinweis: Das AD-Attribut operatingSystem wird nur beim Domain-Join und bei Betriebssystem-Upgrades aktualisiert. Für die Feinunterscheidung Home/Pro/Enterprise bei Windows 11 24H2 braucht ihr eine Abfrage der Edition am Client – etwa über Get-ComputerInfo oder das Inventar eurer RMM-Lösung.

Exchange-Version sauber ermitteln

Die Exchange-Version aus der Systemsteuerung abzulesen reicht nicht – entscheidend ist der Cumulative-Update-Stand, denn das ESU-Programm setzt Exchange 2016 CU23 beziehungsweise Exchange 2019 CU14/CU15 voraus. Direkt in der Exchange Management Shell:

Get-ExchangeServer | Select-Object Name, Edition, ServerRole, AdminDisplayVersion |
    Format-Table -AutoSize

# Exakter Build inkl. CU/SU-Stand pro Server
Get-ExchangeServer | ForEach-Object {
    $v = Get-Command Exsetup.exe -ErrorAction SilentlyContinue
    [pscustomobject]@{
        Server = $_.Name
        Build  = (Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\ExchangeServer\v15\Setup").MsiProductMajor
        Voll   = $_.AdminDisplayVersion.ToString()
    }
}

Der Fahrplan bis Oktober

Juli / August	Bestandsaufnahme abschließen. Pro betroffenem System eine Entscheidung dokumentieren: migrieren, ersetzen, isolieren oder bewusst als Restrisiko akzeptieren. Die vierte Option ist legitim – aber nur schriftlich und mit kompensierenden Maßnahmen.
August	Exchange zuerst. Migrationen dauern länger, als jede Planung vorsieht, und der Mailserver ist das System mit der geringsten Toleranz für Ausfall.
September	Clients: Windows 11 24H2 Home/Pro auf 25H2 oder 26H1 heben. Feature-Update-Ringe jetzt konfigurieren, nicht im Oktober.
Oktober	Was bis dahin nicht migriert ist, kommt in die Isolation: eigenes VLAN, kein Internet-Egress, restriktive Firewall, verstärktes Monitoring. Und ein Ticket mit Enddatum.

Was ich in der Praxis sehe

Der häufigste Fehler ist nicht Nachlässigkeit, sondern eine falsche Reihenfolge: Es wird mit dem angefangen, was am einfachsten geht – die Clients – und der Exchange bleibt liegen, weil er »noch läuft«. Im Oktober läuft er dann immer noch, nur ohne Updates, und die Migration wird unter Zeitdruck durchgezogen. Das geht selten gut.

Der zweite Klassiker: Die Windows-11-24H2-Unterscheidung zwischen Pro und Enterprise wird übersehen. In gemischten Flotten fällt dann im November die Hälfte der Geräte aus dem Update-Zyklus, während die andere Hälfte noch ein Jahr Luft hat – und niemand weiß auf Anhieb, welche.

Drei Monate sind genug Zeit. Aber nur, wenn man jetzt anfängt.