In den letzten Monaten vor dem Supportende von Windows 10 im Oktober 2025 wird in vielen Unternehmen heftig diskutiert. In fast jedem Tenant, den ich betreue, kommt früher oder später Windows 10 ESU zur Sprache. Mal geht es um einzelne Spezialgeräte, mal um Altanwendungen, und manchmal passen die eigenen Hardwarezyklen schlicht nicht zu Microsofts Lebenszyklus. Eines ist sicher: Ab dem 14. Oktober 2025 erhält Windows 10 ohne Extended Security Updates (ESU) keine regulären Sicherheitsupdates mehr. Wer kein Risiko eingehen will, braucht einen konkreten Plan und sollte Kosten und Alternativen sachlich gegeneinander abwägen.

Mit ESU liefert Microsoft gegen Gebühr bis 2028 weiter Sicherheitsupdates

Das Prinzip ist einfach. Microsoft stellt gegen eine jährliche Gebühr pro Gerät weiterhin kritische Sicherheitsupdates bereit, höchstens drei weitere Jahre lang, also bis Oktober 2028. Billiger wird es dabei nicht: Im ersten Jahr (2025–2026) kostet ESU 61 US-Dollar pro Gerät, im zweiten Jahr verdoppelt sich der Preis und im dritten noch einmal. Lizenzen gibt es über Volumenlizenzprogramme oder über CSP-Partner. Aktiviert wird wie schon bei Windows 7, entweder mit klassischen Multiple Activation Keys (MAK) über slmgr direkt auf dem Gerät oder, für größere Flotten deutlich bequemer, automatisiert per Intune-Skript. Microsoft hat dazu ausführliche Anleitungen zur Aktivierung und Verwaltung von ESU veröffentlicht, mit denen man im Alltag gut zurechtkommt. Manchmal fällt gar keine Gebühr an. Windows-10-Geräte, die als Thin Clients auf Cloud-PCs von Windows 365 oder auf Azure Virtual Desktop zugreifen, bekommen ESU kostenlos, ebenso VMs, die direkt in Azure laufen. Gerade Organisationen mit Remote- oder BYOD-Szenarien können davon spürbar profitieren.

Bei großen Flotten übersteigen die ESU-Kosten schnell den Hardwarewert

Ob man sich für Windows 10 ESU entscheidet, hängt selten allein vom Geld ab. Der Preis wiegt aber schwer. Allein der Lizenzpreis und die jährliche Verdopplung machen deutlich, dass Microsoft ESU als Übergangslösung versteht und nicht für den Dauerbetrieb vorsieht. Bei einzelnen Spezialgeräten, die sich aus fachlichen Gründen nicht migrieren lassen, ist ESU oft der pragmatische Weg, besonders wenn Ersatzhardware teuer oder kurzfristig nicht zu bekommen ist. Anders sieht es bei Hunderten oder Tausenden Arbeitsplätzen aus: Dort kostet ESU schnell mehr, als die alte Hardware noch wert ist. Ich halte mich an eine einfache Faustregel. Sollen die Geräte länger laufen, als der ESU-Zeitraum reicht, lohnt sich fast immer der Umstieg auf Windows 11 oder ein neues Gerät, spätestens ab dem zweiten Jahr.

Mein Tipp aus der Praxis: Nutzt die Gelegenheit, um Altgeräte und Altanwendungen vollständig zu erfassen. Häufig tauchen erstaunlich viele vergessene Altlasten auf, die unbemerkt weiterlaufen und spätestens zum Supportende auffallen.

Die Aktivierung ist einfach, birgt aber einige Fallstricke

Für die meisten Admins ist die technische Aktivierung von ESU keine große Sache. Ein paar Stolpersteine begegnen mir trotzdem immer wieder. Die MAKs verteilt man entweder direkt auf dem Gerät per „slmgr /ipk “ oder zentral über Intune-Skripte. Achtung: Auf jedem Gerät muss ein gültiger Schlüssel für Windows 10 Enterprise oder Education vorhanden sein, Home-Editionen sind nicht berechtigt. Wer die Aktivierung automatisieren möchte, nutzt im Microsoft Endpoint Manager die passende PowerShell-Option:

# Intune Gerätekonfigurationsskript Beispiel
slmgr /ipk <ESU-MAK>
slmgr /ato

Bevor es losgeht, sollte man die offizielle Lifecycle-Dokumentation lesen, um Lizenzen und Rollout-Zeitpunkt sauber zu planen. Zudem setzt die Aktivierung einen Internetzugang voraus, die Firewall muss also Verbindungen zu Microsofts Aktivierungsservern erlauben. Wer diese aus Sicherheitsgründen einschränkt, sollte mit Verzögerungen rechnen.

Damit der Ablauf greifbarer wird, habe ich unten ein einfaches Diagramm mit den verschiedenen Aktivierungswegen für Windows 10 ESU erstellt. Man sieht darin auf einen Blick, wo Cloud-PCs, Azure-VMs und klassische Geräte einzuordnen sind:

flowchart TD
A["Windows 10 Gerät"] --> B["ESU erforderlich?"]
B -- "Nein" --> G["Kein Handlungsbedarf"]
B -- "Ja" --> C["Cloud PC / AVD / Azure VM?"]
C -- "Ja" --> E["ESU automatisch aktiv"]
C -- "Nein" --> D["ESU-MAK aktivieren (slmgr/Intune)"]
D --> F["ESU Updates erhalten"]
E --> F

Abbildung: Wege zur ESU-Aktivierung von Windows 10 je nach Nutzungsszenario.

Die Microsoft 365 Apps erhalten länger Updates als Office 2016 und 2019

Viele glauben, mit ESU bekämen automatisch auch alle Office-Versionen weiter Updates. Ganz so einfach ist es nicht. Die Microsoft 365 Apps erhalten unter Windows 10 bis Oktober 2028 weiterhin Sicherheitsupdates, auch wenn das Betriebssystem darunter per ESU abgesichert ist. Das wissen erstaunlich wenige, und es spricht dafür, die Office-Clients so lange zu behalten, sofern sie stabil laufen. Wer dagegen noch Office 2016 oder 2019 einsetzt, muss den Wechsel spätestens jetzt einplanen, denn für diese Versionen endet der Support bereits im Oktober 2025. Mehr dazu steht in meinem Beitrag Supportende von Office 2016 und 2019: Jetzt planen!.

Der Wechsel auf Windows 11 ist auf Dauer meist günstiger

Dass viele Unternehmen die Migration auf Windows 11 aufschieben, kann ich gut verstehen. Mal bremsen alte Anwendungen oder Hardware, mal fehlen Leute oder einfach die Zeit. Die ESU-Kosten und der wachsende Verwaltungsaufwand sind jedoch eindeutig: Wer noch viele Windows-10-Geräte betreibt, sollte spätestens jetzt mit der Planung anfangen. Am wichtigsten ist dabei die Hardwarekompatibilität. Wie man den aktuellen Stand im Unternehmen bewertet, habe ich in Vier Monate bis zum Ende von Windows 10: Windows-11-Migration mit Intune prüfen beschrieben. Dort erkläre ich, wie man sich mit Endpoint Analytics oder Tools von Drittanbietern rasch einen Überblick verschafft, welche Geräte für Windows 11 bereit sind und wo noch etwas zu tun ist.

ESU füllt eine Lücke, ersetzt aber keine Migration

Windows 10 ESU ist ein brauchbares Sicherheitsnetz, mehr allerdings nicht. Für einzelne Sonderfälle wie medizinische Geräte oder Fertigungs-PCs ist es Gold wert. Für ganze Flotten wird es dagegen teuer und auf Dauer fehleranfällig. Meine Erfahrung: Je früher man ehrlich klärt, welche Geräte wirklich bleiben müssen, desto leichter fallen Lizenzmanagement und Umstellung. Wer den Übergang zu Windows 11 schon jetzt angeht, spart sich die steigenden ESU-Kosten und hat langfristig mehr Funktionen, bessere Sicherheit und weniger Wartungsaufwand. Darum sollte es bei der Entscheidung gehen.