Mich überrascht immer wieder, wie oft mir Windows Server 2016 in produktiven Umgebungen noch begegnet – mal als unverzichtbarer Domänencontroller, mal als verwaister Anwendungsserver, an den sich niemand herantraut. Jetzt wird es allerdings ernst. Am 12. Januar 2027 endet der erweiterte Support für Windows Server 2016, und danach kommen keine Sicherheitsupdates mehr, es sei denn, Sie besorgen sich ESUs. Falls Sie noch keine Bestandsaufnahme gemacht haben, sollten Sie das jetzt nachholen. Spätestens im Herbst 2026 muss jede Organisation verlässlich wissen, was in ihrer Landschaft noch vorhanden ist.

Ab dem Supportende bleiben Windows-Server-2016-Systeme ungepatcht

Das Supportende ist kein bloßes Datum im Kalender, sondern eine handfeste Frist. Ab dann bekommen die Server keine Patches mehr und sind für Angreifer ein leichtes Ziel. Dazu kommt die Compliance, denn bei Audits fallen nicht unterstützte Server sofort auf, erst recht, wenn es sich um Domänencontroller oder Dateiserver handelt. Jede Anwendung, die noch auf 2016 läuft, gehört deshalb unter genaue Beobachtung. Behalten Sie außerdem die offizielle Seite zum Produktlebenszyklus und die ESU-Übersicht im Blick, weil Microsoft Bedingungen oder Berechtigungen gelegentlich kurzfristig ändert. Über aktuelle Änderungen informieren Sie sich am zuverlässigsten im Message Center und in Azure Service Health.

Ohne vollständiges Inventar lässt sich keine Migration sinnvoll planen

Jeder belastbare Modernisierungs- oder Migrationsplan steht und fällt mit einer sauberen Inventarisierung. In meinen Projekten setze ich dafür drei Werkzeuge ein: Microsoft Defender Vulnerability Management (wenn Defender for Servers im Einsatz ist), Microsoft Configuration Manager (sofern noch vorhanden) und zunehmend Azure Arc. Arc ist mittlerweile der Standard, um Server zu erfassen, ganz gleich, ob sie lokal oder in der Cloud stehen. Hinzu kommen Tagging und die Sichtbarkeit im Azure Update Manager und im Security Center. Falls Sie Arc noch nicht ausgerollt haben, finden Sie in meinem Leitfaden Azure-Arc-Server: Sicheres Onboarding und Management in der Praxis einen guten Einstieg. Wichtig ist, dass die Daten aktuell und vollständig sind und genügend Lebenszyklusinformationen mitbringen (Build, Edition, Rollen wie z. B. Domänencontroller).

Das folgende Diagramm zeigt den Ablauf für Inventarisierung und Bewertung, den ich in der Regel empfehle:

flowchart TD
    S1[„Serverinventar erfassen“] --> S2[„Arc/Defender/SCCM konsolidieren“]
    S2 --> S3[„Rollen & Workloads zuordnen“]
    S3 --> S4[„Blocker markieren (Legacy-Apps, DCs)“]
    S4 --> S5[„Upgrade-/Migrationspfade bewerten“]

Abbildung: Empfohlener Ablauf für Inventarisierung und Bewertung von Windows Server 2016.

Für jeden Server gibt es vier mögliche Wege

Mit einem vollständigen Inventar fällt die Entscheidung deutlich leichter. Die meisten Windows-Server-2016-Systeme lassen sich per In-place-Upgrade auf Windows Server 2022 oder auf das inzwischen allgemein verfügbare Windows Server 2025 bringen. Häufig ist es aber sicherer, neu zu installieren und die Workloads anschließend zu migrieren, gerade bei Domänencontrollern und Legacy-Anwendungen. Manche Workloads machen es einem schwer, etwa alte Apps, die an bestimmte Builds gebunden sind, Kernel-Treiber, die nach 2019 nicht mehr funktionieren, oder DCs, deren Konfiguration über die Jahre auseinandergedriftet ist. Kommen Sie an dieser Stelle nicht weiter, hilft Ihnen vielleicht mein aktueller Beitrag Windows Server 2025: Wichtige Updates für hybride Admins.

Viele entscheiden sich auch für den Umzug nach Azure. Wie schon bei früheren Versionen erhalten Windows-Server-2016-VMs dort laut aktueller Ankündigung kostenlose ESUs, solange sie in Azure bleiben. Voraussetzung ist eine Migration, für die sich Azure Migrate oder Site Recovery gut eignen. Idealerweise binden Sie die Systeme dabei gleich in Azure Arc ein, um die ESUs zentral zu verwalten. Für lokale Systeme gibt es ESUs alternativ über Azure Arc, ähnlich wie bei Windows Server 2012/2019. Die aktuellen Berechtigungen und Bedingungen sollten Sie trotzdem immer im Azure-Portal prüfen.

Praktischer Tipp: Bevor ich zum Kauf von ESUs rate, prüfe ich jedes Mal, ob sich die Workload nicht doch migrieren oder stilllegen lässt. ESUs sind für mich die letzte Option, weil sie teuer sind und vor allem bei der Sicherheit einen Kompromiss bedeuten.

In manchen Fällen ist die Stilllegung der vernünftigste Schritt. Dafür müssen Sie sicherstellen, dass die Anwendung oder der Dienst wirklich nicht mehr gebraucht wird, und diese Entscheidung dokumentieren. Dann erleben Sie bei späteren Audits oder in der Business-Continuity-Planung keine bösen Überraschungen.

Alte Anwendungen und Domänencontroller bremsen die meisten Projekte aus

Nach meiner Erfahrung stehen beim Supportende von Windows Server 2016 vor allem diese Hindernisse im Weg:

  • Legacy-Apps, die auf neueren Windows-Versionen einfach nicht laufen
  • Domänencontroller, die noch unter 2016 betrieben werden
  • Fachbereiche, die von vergessenen Servern nichts wissen
  • Unklare Abhängigkeiten (Datenbanken, Integrationen, geplante Jobs)

Beim Upgrade von DCs bedeutet das in der Regel, die Gesamtstruktur- und Domänenfunktionsebene anzuheben, alte DCs sauber zu entfernen und Replikation sowie Backup zu testen. Bei Anwendungen kommen Sie um eine Testumgebung und Testmigrationen nicht herum, manchmal auch nicht um unangenehme Gespräche mit den Herstellern.

Konsequentes Lifecycle-Management zahlt sich bei jeder Frist aus

Das Supportende von Windows Server 2016 ist nur der nächste Dominostein, denn diese Zyklen enden nie. Ohne gründliche Inventarisierung und den Willen, technische Altlasten endlich abzubauen, bleibt jede Modernisierung Stückwerk. Wenn Sie sich für ESUs entscheiden, brauchen Sie unbedingt auch einen Exit-Plan und sollten schon jetzt mit der Planung für die nächste Welle beginnen (siehe Windows Server 2025). Ich rate Ihnen deshalb, jetzt für alle Server einheitlich auf Azure Arc zu setzen. Die nächste Frist wird Ihnen dann deutlich leichter fallen.