Der 13. Oktober und der 12. Januar: Fünf Stichtage, die Ihre Serverlandschaft in vier Monaten verändern
Am 13. Oktober 2026 endet das erste ESU-Jahr für Windows 10, fällt Windows 10 Enterprise 2016 LTSB endgültig aus dem Support und wechselt Windows Server 2022 in den erweiterten Support. Drei Monate später, am 12. Januar 2027, endet der Support für Windows Server 2016 und Windows 10 Enterprise LTSC 2021. Wer erst im Dezember mit der Planung beginnt, migriert unter Zeitdruck – und Zeitdruck ist der häufigste Auslöser für misslungene Migrationen.
Die Termine auf einen Blick
| 13.10.2026 Windows 10 ESU Jahr 1 |
Das erste ESU-Jahr für Geschäftskunden endet. Ohne Verlängerung keine Sicherheitsupdates mehr. |
| 13.10.2026 Windows 10 Enterprise 2016 LTSB |
Support endet endgültig. Betrifft typischerweise Kassensysteme, Maschinensteuerungen und Spezialarbeitsplätze. |
| 13.10.2026 Windows Server 2022 |
Ende des Mainstream-Supports. Kein Grund zur Panik: Sicherheitsupdates laufen ohne Zusatzkosten bis 14.10.2031 weiter, neue Funktionen und nicht sicherheitsrelevante Fixes gibt es aber nicht mehr. |
| 13.10.2026 AD FS DKM-Härtung |
Enforcement-Modus für die ACL des DKM-Containers (CVE-2026-56155). Kein Lifecycle-Termin, aber derselbe Tag – und er verändert Berechtigungen ohne Rückfrage. |
| 12.01.2027 Windows Server 2016 & Windows 10 LTSC 2021 |
Ende des erweiterten Supports für beide. Ab diesem Tag bleibt jede neu entdeckte Lücke dauerhaft offen. |
Windows 10 ESU: Das zweite Jahr kostet das Doppelte
Der reguläre Support für Windows 10 22H2 endete am 14. Oktober 2025. Wer weiterhin Sicherheitsupdates bekommt, tut das über das ESU-Programm – bei Geschäftskunden kostenpflichtig, pro Gerät lizenziert, in Jahresscheiben.
Die Preisstaffel ist bewusst unangenehm gestaltet: rund 60 Euro pro Gerät im ersten Jahr, etwa 120 Euro im zweiten, rund 240 Euro im dritten. Zwei Details, die in der Praxis regelmäßig für Überraschungen sorgen:
- Die Lizenzen sind kumulativ. Wer erst im zweiten Jahr einsteigt, muss das erste Jahr nachkaufen. Ein Aussetzen und späterer Wiedereinstieg spart also nichts.
- Jede Installation braucht eine eigene Lizenz – physische Geräte wie virtuelle Maschinen gleichermaßen, Voraussetzung ist Windows 10 Version 22H2, Pro oder Enterprise.
- Für Privatanwender gelten andere Regeln. Microsoft hat das kostenlose Consumer-ESU-Programm inzwischen bis Oktober 2027 verlängert. Für Ihre Firmenkunden ändert das nichts – aber es erklärt, warum Mitarbeiter zu Hause gerade kein Problem sehen.
Ein Lichtblick am Rande: Die Microsoft 365 Apps erhalten auf Windows 10 noch bis Oktober 2028 Sicherheitsupdates. Das entschärft das Office-Thema, löst aber das Betriebssystem-Thema nicht.
Windows Server 2016: Vier Monate sind knapp
Der Mainstream-Support für Windows Server 2016 endete bereits im Januar 2022, der erweiterte Support endet am 12. Januar 2027. Danach gibt es keine Sicherheitsupdates mehr – während neu entdeckte Schwachstellen selbstverständlich weiterhin veröffentlicht und ausgenutzt werden. Die Angriffsfläche eines solchen Servers wächst ab diesem Tag jeden Monat.
Drei Aspekte, die über die reine Technik hinausgehen:
- NIS2 und Stand der Technik. Das NIS2-Umsetzungsgesetz verlangt Maßnahmen nach dem Stand der Technik. Ein produktiver Server ohne Herstellerunterstützung ist im Auditgespräch schwer zu verteidigen – erst recht, wenn der Stichtag lange bekannt war.
- Cyberversicherung. Im Schadensfall wird geprüft, ob bekannte Risiken bewusst in Kauf genommen wurden. Der Betrieb eines Systems nach dem öffentlich bekannten Supportende gilt als vermeidbares Risiko und kann sich auf die Regulierung auswirken.
- Vorlaufzeit. Eine strukturierte Servermigration braucht realistisch vier bis sechs Monate – Bestandsaufnahme, Anwendungskompatibilität, Herstellerfreigaben, Testphase, Rollout, Nacharbeit. Vier Monate bis Januar bedeutet: Der Plan muss jetzt stehen, nicht die Umsetzung beginnen.
Bei den Zielplattformen ist die Lage klar: Windows Server 2022 oder 2025. Server 2025 ist die naheliegende Wahl für alles, was neu aufgesetzt wird – schon weil der Active-Directory-Betriebsmodus „Windows Server 2025“ erstmals seit 2016 wieder neue Verzeichnisfunktionen freischaltet. Server 2022 bleibt die konservative Option, verliert aber ausgerechnet am 13. Oktober seinen Mainstream-Status. Wer heute migriert, sollte diesen Punkt in die Entscheidung einbeziehen.
Bestandsaufnahme in fünf Minuten
Bevor über Migrationspfade diskutiert wird, braucht es die Liste. Für Domänenumgebungen reicht ein kurzer Abzug aus dem Verzeichnis – inklusive der Frage, welche dieser Objekte überhaupt noch aktiv sind:
Import-Module ActiveDirectory
Get-ADComputer -Filter * -Properties OperatingSystem, OperatingSystemVersion,
LastLogonDate, Description |
Where-Object {
$_.OperatingSystem -match ‘Server 2016|Server 2012|LTSB|LTSC 2021′
} |
Select-Object Name,
OperatingSystem,
OperatingSystemVersion,
LastLogonDate,
@{n=’AktivSeitTagen’; e={ [int]((Get-Date) – $_.LastLogonDate).TotalDays }},
Description |
Sort-Object OperatingSystem, Name |
Export-Csv -Path ‘C:\Temp\Lifecycle-Inventar.csv’ -NoTypeInformation -Encoding UTF8
Die Spalte AktivSeitTagen ist erfahrungsgemäß die aufschlussreichste. In fast jeder gewachsenen Umgebung stehen dort Objekte mit dreistelligen Werten – Server, die seit Monaten niemand mehr angefasst hat und die trotzdem laufen. Manche davon sind der schnellste Weg, den Migrationsaufwand zu reduzieren: nicht migrieren, sondern abschalten.
Ergänzen Sie die Liste anschließend um drei Spalten, die kein Skript liefern kann: Welche Anwendung läuft darauf, wer ist fachlich zuständig, und hat der Hersteller diese Anwendung für Server 2025 freigegeben? Diese dritte Spalte entscheidet über den Zeitplan – nicht Ihre Technik, sondern die Freigabepolitik von Branchensoftware-Herstellern.
Zwei Kleinigkeiten, die Skripte brechen
Am Rande, aber praxisrelevant: WMIC – das Kommandozeilenwerkzeug für WMI – wurde aus Windows 11 ab Version 24H2 entfernt. WMI selbst bleibt unverändert unterstützt, aber jedes Skript, jede Batch-Datei und jede Monitoring-Abfrage, die noch wmic aufruft, läuft auf neuen Clients ins Leere. Der Ersatz heißt Get-CimInstance. Wer im Zuge der Windows-11-Migration ohnehin Skripte anfasst, sollte gezielt danach suchen.
Und noch einmal der 13. Oktober: An diesem Tag greift auch der Enforcement-Modus für die DKM-Container-Härtung in AD FS. Wer Föderation betreibt und gleichzeitig ESU-Verlängerungen und Migrationen plant, sollte diesen Termin nicht im selben Wartungsfenster abarbeiten.
- ISW-ADVital – Gesundheitsprüfung des Active Directory vor der Migration. Replikation, FSMO-Rollen, Betriebsmodi: Was vorher krumm ist, wird durch eine Migration nicht gerade.
- ISW AD Migration Tool – Migration mit SID-History-Unterstützung, wenn der Weg über eine neue Domäne statt über ein In-Place-Upgrade führt.
- ISW CVE Vulnerability Scanner – macht sichtbar, was auf den Altsystemen tatsächlich offen ist. Das ist das Argument, mit dem Migrationsbudgets bewilligt werden.
- ISW ScheduledTaskManager – bevor ein Server abgeschaltet wird, gehört geklärt, welche geplanten Aufgaben darauf laufen. Das ist der Klassiker unter den bösen Überraschungen nach einer Abschaltung.
- ISW NIS2 Compliance Manager und Grundschutz++ Cockpit – Altsysteme, die über den Stichtag hinaus laufen, gehören mit Begründung, Kompensationsmaßnahme und Fristende ins Risikoregister. Nicht in eine E-Mail.
Fazit
Supportenden sind die berechenbarsten Ereignisse in der IT. Sie stehen jahrelang im Kalender, sie verschieben sich selten, und sie treffen niemanden unvorbereitet – außer die, die sie verdrängt haben. Genau deshalb sind sie ein guter Gradmesser: Wer im September weiß, wie viele Windows-Server-2016-Systeme er betreibt, wer dafür zuständig ist und welche Anwendung darauf läuft, hat kein Migrationsproblem, sondern ein Projekt.
Die praktische Empfehlung für die nächsten vier Wochen ist bescheiden und wirksam zugleich: Liste erstellen, ESU-Verlängerung bis Anfang Oktober entscheiden und beauftragen, Herstellerfreigaben für die Branchensoftware abfragen. Alles Weitere ergibt sich daraus – und zwar in geordneter Reihenfolge statt zwischen Weihnachten und Neujahr.
Quellen: Microsoft Lifecycle-Informationen zu Windows Server 2016, Windows Server 2022 und Windows 10; Windows IT Pro Blog „Windows news you can use: August 2026“; Preisangaben zum ESU-Programm nach heise online und Fachhandelsinformationen; Microsoft Support-Artikel KB5121391. Alle ISW-Tools: isw-adtools.de