In vielen IT-Abteilungen stand das „Windows-10-Supportende“ seit Langem fest im Kalender, und heute ist es so weit. Nach vielen Jahren im produktiven Einsatz ist der Support für Windows 10 ab dem 14. Oktober 2025 offiziell beendet. In etlichen Umgebungen, die ich betreue, laufen trotz aller Migrationspläne noch einzelne Windows-10-Clients, mal aus technischen, mal aus organisatorischen Gründen. Dazu kommt, dass heute auch Office 2016/2019 sowie Exchange Server 2016/2019 aus dem Support fallen. Der Druck, endlich zu handeln, steigt dadurch noch einmal.

Ohne ESU bekommt Windows 10 ab morgen keine Sicherheitsupdates mehr

Ab morgen liefert Microsoft für Windows 10 keine Sicherheitsupdates mehr. Ausgenommen sind nur Organisationen, die Extended Security Updates (ESU) erworben und sauber eingerichtet haben. Diese Lücke wiegt schwer, denn auch mit gutem Patch- und AV-Management bleibt das Risiko durch Zero-Day-Angriffe oder öffentlich bekannte Schwachstellen bestehen. Wie schnell neue Exploits auftauchen, sobald ein Produkt aus dem Support fällt, habe ich in den letzten Jahren oft genug erlebt. Der offizielle Lifecycle-Artikel von Microsoft bringt es nüchtern auf den Punkt. Wer keine ESU bucht, betreibt Windows 10 ab sofort auf eigenes Risiko, mit allen Folgen für Compliance, Haftung und Cyberversicherung.

Das Supportende von Office und Exchange verschärft die Lage zusätzlich

Zusammen mit Windows 10 haben heute auch Office 2016/2019 und Exchange Server 2016/2019 das Ende des offiziellen Supports erreicht. Besonders heikel ist das in Hybrid-Szenarien oder bei lokalem Exchange, weil ohne Updates für Backend und Clients sehr schnell Angriffsflächen entstehen. In meinen Projekten sehe ich, dass sich viele Unternehmen gerade jetzt noch mit Migrationen beschäftigen, etwa mit dem Wechsel zu Exchange Online oder zu Microsoft 365 Apps. Der Druck ist deutlich zu spüren, und auf Altlasten nimmt der Supportkalender keine Rücksicht. Was das im Einzelnen bedeutet, habe ich im Beitrag Supportende von Office 2016 und 2019: Jetzt planen! ausführlicher beschrieben.

Defender schützt weiter, ersetzt aber keine Patches für das Betriebssystem

Oft werde ich gefragt, ob Defender Antivirus oder Defender for Endpoint als Schutzschicht erhalten bleibt. Das ist der Fall, denn die Signatur-Updates für Windows 10 laufen noch eine Weile weiter. Viel nützt das allerdings nicht, wenn das Fundament, also das Betriebssystem, keine Patches gegen neue Schwachstellen mehr bekommt. Ich rate grundsätzlich davon ab, sich allein auf Endpoint Protection zu verlassen. Fehlen aktuelle OS-Patches, kann auch der beste Schutz nur begrenzt helfen. Angriffe, die Systemlücken ausnutzen, bleiben ein Einfallstor, das Defender nicht ausgleichen kann. Bei den aktuellen Ransomware-Wellen würde ich dieses Risiko keinesfalls unterschätzen.

Für die verbliebenen Geräte gibt es nur noch wenige saubere Wege

Wer jetzt noch Windows-10-Geräte im Einsatz hat, kann ruhig und pragmatisch zwischen diesen Möglichkeiten wählen:

  • ESU buchen und verteilen: Wer noch Zeit braucht, kann Windows 10 mit Extended Security Updates über Microsoft oder ausgewählte Partner weiter absichern. Auch der Weg über Azure Arc steht offen. Abgeschlossen sein sollte die Einrichtung allerdings jetzt.
  • Geräte isolieren: Bei Spezialrechnern wie Mess-PCs, Kiosks oder Systemen mit Altanwendungen kann eine Isolierung im Netzwerk als Brücke dienen. Firewall- und Segmentierungskonzepte sollte man dabei noch einmal genau prüfen.
  • Ersatz beschleunigen: Der Rollout von Windows 11 gehört spätestens jetzt auf Priorität 1. Verhindern Hardware oder Anwendungen ein Upgrade, kann Windows 365 ein Ausweg sein.
  • Office/Exchange migrieren: Veraltete Office-Clients und Exchange-Server müssen jetzt ersetzt werden. Exchange Online und Microsoft 365 Apps sind faktisch der Standard.

Bei Altgeräten lohnt sich außerdem die Frage, ob sie überhaupt noch produktiv gebraucht werden oder ob man sie nicht doch endgültig abschalten kann.

Bei Compliance und Cyberversicherung wird es jetzt ernst

Ab morgen steht die IT mit jedem Windows-10-Gerät ohne ESU mit einem Bein im Compliance-Risiko. Das betrifft interne Vorgaben und externe Audits ebenso wie Rückfragen der Cyberversicherung. In Ausschreibungen lese ich immer häufiger die ausdrückliche Forderung nach „nur unterstützten Betriebssystemen“ als Mindeststandard. Mit ein paar einfachen Maßnahmen behält man trotzdem die Kontrolle.

Mein Praxistipp: In Intune lässt sich mit einer Compliance-Richtlinie eine Mindestversion des Betriebssystems festlegen, zum Beispiel 11.0.0. Veraltete Geräte gelten damit automatisch als unsicher, und über Conditional Access kann man ihnen dann etwa den Zugriff auf Unternehmensdaten sperren.

Das erleichtert den Nachweis gegenüber Prüfern und schützt ganz praktisch vor Schatten-IT und vergessenen Altgeräten.

Beispiel: Compliance-Richtlinie in Intune für die minimale OS-Version:

{
  "@odata.type": "#microsoft.graph.windows10CompliancePolicy",
  "osMinimumVersion": "11.0.0"
}

Angelegt wird diese Richtlinie im Intune-Portal unter Geräte → Richtlinien → Erstellen → Plattform Windows 10 und später.

Wie die Umsetzung in der Praxis aussieht, habe ich im Beitrag Vier Monate bis zum Windows-10-Ende: Windows-11-Migration mit Intune prüfen genauer beschrieben.

Ein kleines Entscheidungsdiagramm ordnet die Windows-10-Geräte ein

Immer wieder werde ich gefragt, wie ich in Projekten die verbliebenen Altgeräte priorisiere und nach welchen Kriterien ich mich zwischen ESU, Ersatz und Abschalten entscheide. Das folgende Flussdiagramm zeigt die Entscheidungskette, nach der ich typischerweise vorgehe, seit das Supportende absehbar wurde.

flowchart TD
  Start["Windows 10 Gerät identifiziert"] --> ESU["ESU möglich und nötig?"]
  ESU -- "Ja" --> EnrollESU["ESU buchen und verteilen"]
  ESU -- "Nein" --> Spezialfall["Spezialfall? (Kiosk, Messgerät)"]
  Spezialfall -- "Ja" --> Isolieren["Netzwerk isolieren"]
  Spezialfall -- "Nein" --> Ersetzen["Windows 11 Rollout oder Cloud"]
  EnrollESU --> Fertig["Gerät weiter nutzen (temporär)"]
  Isolieren --> Fertig
  Ersetzen --> Fertig

Abbildung: Entscheidungsbaum für einen pragmatischen Umgang mit Windows 10 nach dem Supportende.

Konsequentes Handeln bringt jetzt mehr als Panik

Panik ist beim Supportende von Windows 10 nicht angebracht, als deutliches Warnsignal sollte man es aber ernst nehmen. Wer noch Altgeräte produktiv betreibt, muss sie sichtbar machen, kritisch bewerten und, wo nötig, gezielt absichern oder ersetzen. Die Risiken sind dabei durchaus real. Spätestens bei einem Audit, bei der Cyberversicherung oder nach einem Sicherheitsvorfall werden sie greifbar. Damit man nicht in Hektik gerät, helfen aus meiner Erfahrung vor allem eine saubere Compliance-Richtlinie für die Betriebssystemversion in Intune und ein gepflegtes Geräteinventar. Wer nachlesen möchte, wie die Lage vor einem Jahr aussah, findet das in meinem Beitrag Windows-10-Supportende: In einem Jahr ist Schluss – und dann?. Er zeigt auch, wie schnell ein Jahr vergeht, wenn man das Thema vor sich herschiebt.