Bei vielen Kunden, deren Tenants ich betreue, beschäftigt das Supportende von Windows 10 inzwischen den Vorstand, und das völlig zu Recht. Am 14. Oktober 2025 läuft der reguläre Support für Windows 10 aus. Unternehmen müssen sich also entscheiden, ob sie upgraden oder zahlen. Wer danach weiter mit Windows 10 arbeitet, bekommt keine Sicherheitsupdates mehr, es sei denn, er bucht die kostenpflichtigen Extended Security Updates (ESU). Für viele IT-Abteilungen beginnt damit die heiße Phase, denn ein Jahr ist für eine saubere Umstellung nicht viel Zeit.

Die Extended Security Updates werden jedes Jahr doppelt so teuer

Die Eckdaten zu den Extended Security Updates hat Microsoft bereits im April veröffentlicht. Für ein kommerzielles Gerät mit Windows 10 werden im ersten ESU-Jahr 61 US-Dollar fällig, danach verdoppelt sich der Preis von Jahr zu Jahr. Buchen lässt sich das Programm für bis zu drei Jahre (Quelle). In größeren Umgebungen kommt da schnell eine beachtliche Summe zusammen. Wie damals bei Windows 7 enthalten die ESU nur kritische und wichtige Sicherheitsupdates, neue Funktionen oder verbesserte Treiber gibt es nicht. Besser gestellt ist, wer Cloud-Desktops nutzt: Für Windows-10-VMs in Windows 365 oder Azure Virtual Desktop sind die ESU ohne Aufpreis enthalten. Bei Spezialanwendungen, die noch nicht unter Windows 11 laufen, kann das durchaus den Ausschlag geben.

Erst eine Hardware-Inventur klärt die Windows-11-Fähigkeit der Geräte

Bevor man über ESU oder ein Upgrade spricht, sollte man wissen, welche Geräte Windows 11 überhaupt unterstützen. In der Praxis scheitern noch immer viele Clients an TPM 2.0, an Secure Boot oder an der CPU-Liste. Vor allem in der Fertigung und in Laboren stoße ich regelmäßig auf Altgeräte, die noch im produktiven Einsatz sind. Intune verschafft hier schnell Klarheit: Unter Berichte → Endpoint Analytics → Work from anywhere sieht man auf einen Blick, wie viele Geräte bereit für Windows 11 wären (Dokumentation). Das Dashboard „Windows 11 readiness“ zeigt, woran es im Einzelfall scheitert, und ist eine verlässliche Grundlage für die Hardwareplanung.

flowchart TD
    Inventur["Geräte-Inventur"] --> Analytics["Endpoint Analytics"]
    Analytics --> W11Ready["Windows 11 bereit?"]
    W11Ready -->|Ja| Upgrade["Upgrade auf Windows 11"]
    W11Ready -->|Nein| ESU["Extended Security Updates"]
    Upgrade --> Fertig["Support bis 2026+"]
    ESU --> Planung["Ablöse planen"]

Abbildung: Entscheidungsweg nach dem Supportende von Windows 10

Bei Altgeräten muss man oft etwas erfinderisch sein. Manchmal reicht ein Firmware-Update, in anderen Fällen führt an neuer Hardware kein Weg vorbei. Ein verbreiteter Fehler ist es, sich allein auf die formale Kompatibilität zu verlassen. Es gibt Geräte, die alle Anforderungen von Windows 11 erfüllen und trotzdem durchfallen, weil Peripherie nicht unterstützt wird oder Treiber Probleme machen. Das findet man nur mit einem echten Test unter Alltagsbedingungen heraus.

Intune steuert das Upgrade über Feature-Update-Richtlinien

Steht fest, welche Geräte Windows 11 vertragen, wartet mit dem eigentlichen Rollout die nächste Hürde. In kleinen Umgebungen lässt sich das noch von Hand oder mit den gewohnten Werkzeugen erledigen. Ab einer gewissen Größe kommt man an Intune aber kaum vorbei. Mit Richtlinien vom Typ „Feature-Update for Windows 11“ steuert man den Wechsel kontrolliert, einschließlich Zeitfenstern, Gruppenzuweisungen und Überwachung. Seit Windows 11 24H2 erschienen ist, spricht ohnehin vieles für die Modernisierung. Wie ich beim Rollout mit Intune vorgehe und wo die typischen Stolperfallen liegen, habe ich im Beitrag Windows 11 24H2 mit Intune ausrollen ausführlich beschrieben.

Mein Tipp aus der Praxis: Plant den Support-Lifecycle kritischer Spezial-Tools langfristig ein. Kompatibilitätsprobleme mit Windows 11 zeigen sich häufig nicht erst beim Rollout, sondern schon in der Testphase. Wer früh mit dem Hersteller spricht, findet in aller Regel eine bessere Lösung als jeden Notfall-Workaround.

Mit sinnvoll geschnittenen Gruppen und einem gestaffelten Rollout fallen Probleme früh auf. Anhand der Telemetriedaten aus Endpoint Analytics lassen sich Upgrade-Fehler gezielt beheben und Nacharbeiten planen.

Die Microsoft 365 Apps retten ein Windows 10 ohne ESU nicht

In Gesprächen höre ich oft den Satz: „Wir können doch bei Windows 10 bleiben, die Microsoft 365 Apps werden ja weiter unterstützt.“ Das ist allerdings nur die halbe Wahrheit. Microsoft hat zwar angekündigt, die Microsoft 365 Apps (und die klassischen Office-Editionen 2016/2019) unter Windows 10 noch bis Oktober 2028 mit Sicherheitsupdates zu versorgen (Details). Das gilt aber nur, solange auch Windows 10 selbst noch Sicherheitsupdates bekommt, sprich mit einem ESU-Abo. Wer sich die ESU spart, trägt spätestens ab Oktober 2025 das volle Risiko. Office läuft dann vielleicht noch, doch das Betriebssystem darunter bleibt angreifbar.

Wer jetzt noch abwartet, zahlt am Ende drauf

In vielen Projekten hakt es derzeit weniger an der Technik als an der strategischen Entscheidung. Zahlreiche Unternehmen warten „noch ein bisschen“, anstatt den Fahrplan jetzt festzulegen. Die ESU sind alles andere als ein Schnäppchen, und der Preis ist bewusst so gestaltet, dass Abwarten im wörtlichen Sinn teuer wird. Ich rate jedem, die eigene Hardware jetzt sauber zu erfassen, die Upgrade-Fähigkeit zu prüfen und die Migration mit echten Pilotgruppen zu beginnen. Das Supportende von Windows 10 liegt nicht mehr in ferner Zukunft, es steht kurz bevor. Wer jetzt anfängt, bestimmt den Zeitplan selbst und muss im Herbst 2025 nicht zu hektischen Notlösungen greifen.