Endgültig vorbei: Windows Server 2012 und 2012 R2 erhalten am 13. Oktober das letzte ESU-Update

Drei Jahre lang hat das kostenpflichtige Extended-Security-Updates-Programm Windows Server 2012 und 2012 R2 am Leben gehalten. Mit dem Patchday am 13. Oktober 2026 ist auch diese Verlängerung ausgeschöpft. Wer danach noch 2012er-Server betreibt, betreibt ungepatchte Systeme – und das in Zeiten von NIS2.

Die Zeitleiste

Ein viertes ESU-Jahr gibt es nicht. Die September-Rollups (KB5123065 für 2012, KB5123066 für 2012 R2) waren das vorletzte Paket; das Oktober-Rollup ist das letzte. Ab November erscheinen für diese Systeme keine Sicherheitsupdates mehr – auch nicht für Internet Explorer 11 und .NET Framework 4.8 auf diesen Plattformen.

Schritt 1: Restbestand ermitteln

In vielen Domänen tauchen 2012er-Systeme auf, die niemand mehr auf dem Schirm hat – Altanwendungen, Lizenzserver, ein vergessener Druckserver. Die schnellste Bestandsaufnahme liefert das AD:

Get-ADComputer -Filter 'OperatingSystem -like "*Server 2012*"' `
    -Properties OperatingSystem, LastLogonDate, IPv4Address, Description |
    Sort-Object LastLogonDate -Descending |
    Select-Object Name, OperatingSystem, LastLogonDate, IPv4Address, Description |
    Export-Csv C:\Temp\Server2012-Bestand.csv -NoTypeInformation -Encoding UTF8

Objekte mit altem LastLogonDate sind oft Leichen – trotzdem prüfen, ob sie wirklich abgeschaltet sind. Für jedes aktive System werden Rolle, Anwendung, Verantwortlicher und Zielplattform festgehalten.

Schritt 2: Migrationspfad wählen

Mitgliedsserver

Windows Server 2025 erlaubt ein In-Place-Upgrade direkt von 2012 R2 – ein Zwischenschritt ist nicht nötig. Von Server 2012 (ohne R2) geht es dagegen nur über 2012 R2 bzw. 2016 weiter. In der Praxis ist eine Neuinstallation mit anschließender Rollenmigration meist sauberer, gerade wenn das System seit zehn Jahren Altlasten sammelt. Vor jedem In-Place-Upgrade: vollständige Sicherung, Herstellerfreigabe der Anwendung prüfen, Snapshot bei VMs.

Domänencontroller

DCs werden grundsätzlich nicht per In-Place-Upgrade gehoben, sondern ersetzt: neuen DC hochstufen, FSMO-Rollen übertragen, alten DC sauber herabstufen. Zwei Stolpersteine treten bei Altdomänen regelmäßig auf:

• SYSVOL noch auf FRS: Neue DCs ab Server 2019 lassen sich in eine Domäne mit FRS-Replikation nicht hochstufen. Vorher mit dfsrmig /getglobalstate prüfen und gegebenenfalls auf DFSR migrieren.
• Funktionsebene: Für Domänencontroller mit Server 2025 muss die Domänen- und Gesamtstrukturfunktionsebene mindestens Windows Server 2016 betragen. 2012er-DCs blockieren die Anhebung – sie müssen also zuerst raus.

# Funktionsebenen und DC-Betriebssysteme prüfen
(Get-ADDomain).DomainMode
(Get-ADForest).ForestMode
Get-ADDomainController -Filter * | Select-Object Name, OperatingSystem, IsGlobalCatalog

# SYSVOL-Replikationsmodus
dfsrmig /getglobalstate

Schritt 3: Was nicht migriert werden kann, wird abgeschottet

Manche Fachanwendungen laufen schlicht nicht auf neueren Systemen. Für diese Fälle gilt: Risiko bewusst akzeptieren, schriftlich dokumentieren und technisch eingrenzen.

• Eigenes VLAN bzw. Netzsegment mit restriktiven Firewallregeln – nur die tatsächlich benötigten Ports zu den benötigten Gegenstellen.
• Kein Internetzugang, keine Anmeldung privilegierter Domänenkonten (Tier-0-Konten schon gar nicht).
• SMB1, NTLMv1 und alte TLS-Versionen deaktivieren, soweit die Anwendung es zulässt.
• Anmeldungen und Netzwerkverbindungen dieser Systeme gezielt überwachen.
• Ein festes Abschaltdatum vereinbaren – „Ausnahme bis auf Weiteres“ ist keine Ausnahme, sondern ein Dauerzustand.

Compliance-Bezug

Der BSI IT-Grundschutz-Baustein SYS.1.1 (Allgemeiner Server) verlangt, dass nur Betriebssysteme mit Herstellerunterstützung eingesetzt werden oder der Weiterbetrieb gesondert abgesichert und begründet wird; OPS.1.1.3 regelt den Patchprozess. NIS2 fordert in Art. 21 Abs. 2 risikobasierte Maßnahmen inklusive Schwachstellenmanagement. Ein ungepatchter Server ohne dokumentierte Risikobewertung ist damit ein klarer Audit-Befund.

Fazit

Der 13. Oktober ist kein überraschender Termin, aber ein endgültiger. Wer jetzt noch 2012er-Systeme im Bestand hat, sollte in dieser Reihenfolge vorgehen: letztes ESU-Update einspielen, Restbestand erheben, DCs ersetzen, Mitgliedsserver migrieren – und alles, was bleibt, konsequent isolieren und mit Ablaufdatum dokumentieren.

Quellen: Microsoft Lifecycle – Windows Server 2012 / 2012 R2;