Lifecycle
Sechs Wochen bis zum 14. Oktober 2026: die Abarbeitungsliste
Serverbetriebssysteme, Exchange-ESU, Office und ein Windows-11-Servicing-Ende fallen auf denselben Tag. Kein Erklärstück – eine Liste zum Abhaken, mit Inventarskript.
29. August 2026 · Lesezeit ca. 8 Minuten · IT-Service Walter
LifecycleWindows ServerExchangeMigration
Der 14. Oktober 2026 ist der dichteste Stichtag dieses Jahres. Wer erst im Oktober anfängt zu prüfen, hat keine Zeit mehr für eine Migration – wohl aber noch für die Entscheidung, wie er mit dem entstehenden Risiko umgeht. Deshalb hier die reine Abarbeitungsliste, sechs Wochen vorher.
Fünf Stichtage an einem Tag heißt nicht fünfmal derselbe Aufwand. Es heißt: fünf verschiedene Projekte, die alle jetzt eine Entscheidung brauchen.
Was genau an diesem Tag passiert
| Produkt | Was endet | Konsequenz | Dringlichkeit |
|---|---|---|---|
| Windows Server 2012 / 2012 R2 | Drittes und letztes ESU-Jahr | Danach gibt es keine Sicherheitsupdates mehr – auch nicht gegen Bezahlung. | KRITISCH |
| Exchange Server 2016 / 2019 | ESU-Periode 2 | Nach zwei Verlängerungen ist endgültig Schluss. Ein Exchange ohne Sicherheitsupdates am Perimeter ist nicht verantwortbar. | KRITISCH |
| Windows Server 2022 | Mainstream-Support | Wechsel in den Extended Support: weiterhin kostenlose Sicherheitsupdates, aber keine neuen Funktionen mehr. Kein Notfall, aber ein Planungssignal. | PLANUNG |
| Windows 11 24H2 Home und Pro | Servicing-Zeitraum | Enterprise- und Education-Editionen laufen länger. Prüfen Sie, welche Edition Ihre Geräte tatsächlich tragen – das ist selten einheitlich. | HOCH |
| Office 2021 (inkl. LTSC) | Support | Kein ESU-Programm verfügbar. Danach dauerhaft ungepatchte Office-Anwendungen. | HOCH |
Die beiden roten Zeilen sind keine Verhandlungssache
Ein Windows Server 2012 R2 und ein Exchange 2016 ohne Sicherheitsupdates sind ab dem 15. Oktober dauerhaft offene Systeme. Beide sind zusätzlich ein Problem für Ihre Cyberversicherung: Der Betrieb nach öffentlich bekanntem Supportende gilt als bewusst eingegangenes, vermeidbares Risiko und kann sich im Schadensfall auf die Regulierung auswirken.
Schritt 1: Bestand ermitteln – nicht schätzen
Die folgende Abfrage liest alle aktiven Serverkonten aus dem AD, ordnet ihnen den passenden Stichtag zu, berechnet die verbleibenden Tage und vergibt eine Ampel. Der Filter auf die letzten 45 Tage Anmeldung sortiert Karteileichen aus – die gehören in ein eigenes Aufräumprojekt, nicht in diese Liste.
PowerShell – Serverbestand mit Stichtagen und Ampel
# ISW - Stichtagsliste: Was faellt am 14.10.2026 aus dem Support?
[Console]::OutputEncoding = [System.Text.Encoding]::UTF8
Import-Module ActiveDirectory
$regeln = @(
@{ Muster='*Server 2012 R2*'; Stichtag='2026-10-13'; Hinweis='ESU Jahr 3 endet - danach keine Updates mehr' }
@{ Muster='*Server 2012*'; Stichtag='2026-10-13'; Hinweis='ESU Jahr 3 endet - danach keine Updates mehr' }
@{ Muster='*Server 2016*'; Stichtag='2027-01-12'; Hinweis='Extended Support endet' }
@{ Muster='*Server 2019*'; Stichtag='2029-01-09'; Hinweis='Extended Support endet' }
@{ Muster='*Server 2022*'; Stichtag='2026-10-14'; Hinweis='Wechsel in Extended Support - nur noch Sicherheitsupdates' }
@{ Muster='*Server 2025*'; Stichtag='2029-10-09'; Hinweis='Mainstream laeuft' }
)
$heute = Get-Date
Get-ADComputer -Filter 'Enabled -eq $true' -Properties OperatingSystem,
OperatingSystemVersion, LastLogonDate, DNSHostName |
Where-Object { $_.OperatingSystem -like '*Server*' -and
$_.LastLogonDate -gt $heute.AddDays(-45) } |
ForEach-Object {
$os = $_.OperatingSystem
$r = $regeln | Where-Object { $os -like $_.Muster } | Select-Object -First 1
$tage = if ($r) { [int](([datetime]$r.Stichtag) - $heute).TotalDays } else { $null }
[pscustomobject]@{
Server = $_.Name
OS = $os
Build = $_.OperatingSystemVersion
Stichtag = if ($r) { $r.Stichtag } else { 'unbekannt - manuell pruefen' }
TageRest = $tage
Ampel = if ($null -eq $tage) { 'GRAU' }
elseif ($tage -lt 0) { 'ROT' }
elseif ($tage -lt 120) { 'GELB' }
else { 'GRUEN' }
Hinweis = if ($r) { $r.Hinweis } else { '' }
LetzteAnm = $_.LastLogonDate
}
} | Sort-Object TageRest | Format-Table -AutoSizeFür die Clientseite genügt eine Gruppierung nach Betriebssystem und Version. Entscheidend ist hier die Edition, denn Home und Pro fallen am 14. Oktober aus dem Servicing, Enterprise und Education nicht:
PowerShell – Clientbestand nach Betriebssystem gruppieren
# Clients: Windows 11 24H2 Home/Pro laeuft am 14.10.2026 aus dem Servicing
Get-ADComputer -Filter 'Enabled -eq $true' `
-Properties OperatingSystem, OperatingSystemVersion, LastLogonDate |
Where-Object { $_.OperatingSystem -like '*Windows 1*' -and
$_.OperatingSystem -notlike '*Server*' -and
$_.LastLogonDate -gt (Get-Date).AddDays(-45) } |
Group-Object OperatingSystem, OperatingSystemVersion |
Select-Object @{n='Betriebssystem';e={$_.Name}}, Count |
Sort-Object Count -DescendingZur Aussagekraft der AD-Attribute
OperatingSystem und OperatingSystemVersion werden vom Client selbst geschrieben und können veralten – besonders bei Geräten, die selten im internen Netz sind. Nutzen Sie die Liste als Einstieg und gleichen Sie sie mit Ihrem Inventarwerkzeug oder Intune ab, bevor Sie daraus eine Budgetzahl machen.
Schritt 2: Für jede rote Zeile eine Entscheidung treffen
Sechs Wochen reichen für keine große Migration. Sie reichen für eine dokumentierte Entscheidung – und genau die brauchen Sie, gegenüber der Geschäftsleitung wie gegenüber dem Versicherer.
| Option | Wann sinnvoll | Was jetzt zu tun ist |
|---|---|---|
| Migration bis zum Stichtag | Wenn Zielsystem und Anwendung bereits bereitstehen | Termin festnageln, Rückfallebene definieren, Anwender informieren |
| Migration kurz nach dem Stichtag | Wenn das Projekt läuft, aber nicht rechtzeitig fertig wird | Übergangszeitraum kompensieren: Netzsegmentierung, Zugriffsbeschränkung, verschärfte Überwachung – schriftlich |
| Isolieren und weiterbetreiben | Branchenanwendung ohne Nachfolger, Ersatz erst in Arbeit | System aus dem Internet nehmen, Zugriff auf benannte Konten begrenzen, Risiko formal von der Geschäftsleitung akzeptieren lassen |
| Außerbetriebnahme | System wird nur noch für Altdaten gebraucht | Daten exportieren, Zugriffsbedarf klären, Server abschalten statt weiterlaufen lassen |
Die Sechs-Wochen-Liste
- Inventar ausführen und ausdrucken – die Ampelliste ist das Arbeitsdokument.
- Jede rote Zeile einer der vier Optionen zuordnen, mit Namen und Datum.
- Exchange gesondert betrachten: Perimeter-System mit höchster Priorität.
- Windows-11-Editionen prüfen – Home-Geräte im Firmennetz sind ohnehin ein eigenes Thema.
- Office-2021-Installationen zählen; ohne ESU-Option ist die Entscheidung hier binär.
- Server-2016-Systeme bereits jetzt erfassen – deren Stichtag ist der 12. Januar 2027 und damit die nächste Welle.
- Ergebnis als einseitige Übersicht an die Geschäftsleitung, mit Risiko und Kosten je Option.
Passendes Werkzeug
ISW AD Optimization Reporter & ISW CVE Vulnerability Scanner
Bestand und Risiko in einem Bericht. Der Optimization Reporter bewertet den Zustand Ihrer Domäne inklusive veralteter Betriebssysteme nach Schweregrad, der CVE Vulnerability Scanner ordnet den betroffenen Systemen die offenen Schwachstellen zu. Beide liefern den Bericht als HTML oder PDF – auf Wunsch automatisch per Mail.
Fazit
Der 14. Oktober bringt keine Überraschungen – alle Termine stehen seit Jahren fest. Was er bringt, ist eine Häufung, die sich nicht mehr durch Umpriorisieren auflösen lässt. Führen Sie das Inventar diese Woche aus, treffen Sie für jede rote Zeile eine dokumentierte Entscheidung, und planen Sie die Server-2016-Welle vom Januar 2027 gleich mit ein. Der Aufwand für die Bestandsaufnahme liegt bei einer Stunde. Der Aufwand für einen ungepatchten Exchange nach einem Vorfall liegt bei einigen Wochen.
Über den Autor: Joern Walter betreibt IT-Service Walter in Euskirchen, betreut rund 400 Kundendomänen und entwickelt die ISW-ADTools für Windows-Administration, Sicherheit und Compliance. Fachbeiträge erscheinen als „Der Windows Papst“.