Windows 10 nach Supportende: Was Firmen 2026 tun sollten

Die Antwort vorweg: Windows 10 funktioniert weiterhin, erhält aber seit dem 14. Oktober 2025 keine Sicherheitskorrekturen für das Betriebssystem mehr – weder ein Virenschutzprogramm noch ein neuer Browser schließen eine Lücke im Systemkern. Ordnen Sie jeden Firmenrechner einer von drei Kategorien zu: Upgrade auf Windows 11 (lizenzrechtlich kostenlos, wenn das Gerät die Anforderungen erfüllt), kostenpflichtige ESU als Übergangslösung mit festem Enddatum oder Austausch. Und besonders wichtig: Im August 2026 gibt es ESU nicht mehr „für ein Jahr“. Das erste Unternehmensjahr endet am 13. Oktober 2026, und die Jahre müssen kumulativ erworben werden. Wer also erst jetzt beginnt, zahlt den vollen Preis für wenige Wochen.

Was das Supportende bedeutet – und was nicht

Der Computer hat sich am 14. Oktober 2025 nicht abgeschaltet. Die Buchhaltung lässt sich öffnen, der Drucker druckt, und der Benutzer bemerkt nichts. Genau deshalb wurde die Entscheidung fast ein Jahr lang aufgeschoben.

Geändert hat sich jedoch Folgendes: Windows 10 erhält ohne ESU weder Sicherheits- noch Qualitätsupdates, und Microsoft bietet dafür keinen regulären technischen Support mehr. Anwendungen haben eigene, längere Lebenszyklen – Microsoft 365 Apps sollen unter Windows 10 bis zum 10. Oktober 2028 Sicherheitsupdates erhalten. Auch Edge, WebView2 und die Defender-Definitionen werden ungefähr bis zu diesem Zeitpunkt versorgt. Daraus entsteht der häufigste Irrtum: „Es wird doch weiterhin aktualisiert.“ Aktualisiert werden die Anwendungen. Nicht aktualisiert werden der Systemkern, die Treiber, der Netzwerk-Stack, das Drucksystem oder die Authentifizierung.

Entscheidend ist, dass die Gefährdung eines solchen Rechners mit der Zeit zunimmt. Neu entdeckte Schwachstellen in Windows 10 müssen ohne ESU nicht mehr behoben werden – das System bleibt also nicht in dem Zustand, in dem es sich am 13. Oktober 2025 befand. Es handelt sich nicht um eine plötzliche Veränderung, sondern um eine langsame, unumkehrbare Verschlechterung, die sich von außen nicht aufhalten lässt.

Wenn Ihr Unternehmen unter NIS2 beziehungsweise unter den zákon č. 264/2025 Sb. fällt, ist ein nicht aktualisiertes Betriebssystem im Netzwerk zudem ein erhebliches und nur schwer zu rechtfertigendes Risiko. Vertretbar ist es ausschließlich mit einer dokumentierten Risikobewertung, kompensierenden Maßnahmen und einer Frist, bis zu der der Zustand beseitigt wird – nicht mit dem Argument, dass es bislang funktioniert.

Erst die Bestandsaufnahme, dann der Notebookkauf

Die teuerste Form der Migration besteht darin, zehn Notebooks zu bestellen und erst anschließend festzustellen, dass drei vorhandene Geräte kostenlos auf Windows 11 aktualisiert werden können, bei zwei lediglich TPM im UEFI aktiviert werden muss und eines eine alte Messsoftware benötigt, die unter Windows 11 überhaupt nicht läuft.

Bei bis zu zehn Arbeitsplätzen genügt eine gemeinsam genutzte Tabelle. Bei mehr Geräten ist ein Export aus Intune oder einem Fernverwaltungswerkzeug sinnvoll. Für jeden Arbeitsplatz benötigen Sie:

• die Systemversion (winver – für ESU muss 22H2, Build 19045 angezeigt werden),
• das genaue Prozessormodell, nicht nur „i5“ (Get-CimInstance Win32_Processor | Select-Object Name),
• den TPM-Status (tpm.msc – entscheidend ist „Specification Version 2.0“, nicht 1.2),
• den Firmwaremodus (msinfo32 – die Zeilen BIOS Mode: UEFI und Secure Boot State: On),
• den Verschlüsselungsstatus und den Speicherort des Wiederherstellungsschlüssels (manage-bde -status),
• das Ergebnis von PC Health Check, allerdings nur als zweite Einschätzung, nicht als endgültiges Urteil,
• den Akkuzustand bei Notebooks (powercfg /batteryreport – vergleichen Sie die Auslegungs- mit der vollständigen Ladekapazität),
• die auf dem Arbeitsplatz eingesetzten Anwendungen und Geräte: Buchhaltung, ERP, VPN, Signaturzertifikate, USB-Lizenzschlüssel, Drucker, Scanner sowie Mess- und Produktionssoftware,
• Daten, die ausschließlich lokal gespeichert sind, und eine Sicherung, deren Wiederherstellung tatsächlich geprüft wurde – nicht nur deren Existenz.

Das Ergebnis darf nicht bloß aus einer Spalte „kompatibel: ja/nein“ bestehen. Zu jedem Arbeitsplatz gehören ein Benutzer, die Kritikalität seiner Arbeit, ein mögliches Wartungsfenster und der Name der Person, die nach der Migration bestätigt, dass ihre Anwendungen funktionieren. Ohne diesen letzten Namen wird die Migration nie wirklich abgeschlossen.

Wenn Ihnen die Kapazität für eine Bestandsaufnahme fehlt, übernehmen wir sie als ein Gesamtprojekt einschließlich Anwendungstests und Planung der Migrationswellen – sowohl im Rahmen der laufenden Betreuung der Unternehmens-IT als auch als einmaligen Computer-Service.

Die Grenze ist nicht TPM, sondern der Prozessor

Hier entstehen die meisten unnötigen Neuanschaffungen – und zugleich die meisten unnötigen Verzögerungen. Windows 11 verlangt einen unterstützten 64-Bit-Prozessor, TPM 2.0, UEFI mit Secure-Boot-Unterstützung, mindestens 4 GB RAM und 64 GB Speicherplatz. In der Praxis scheitert jedoch nur eine Minderheit der Geräte am TPM. TPM 2.0 ist in Business-Notebooks bereits seit 2015 verbreitet. Meist scheitern Geräte an der Liste der unterstützten Prozessoren. Bei Intel beginnt sie mit der 8. Generation (Coffee Lake), bei AMD ungefähr mit der Ryzen-2000-Reihe – bei AMD entscheidet die Seriennummer allein allerdings nicht über die Kompatibilität.

Das bedeutet, dass die Grenze mitten durch eine Modellreihe verläuft:

Gerät	Prozessor	Windows 11
ThinkPad T460 / T470, T470s	Skylake / Kaby Lake (6.–7. Gen.)	nein
ThinkPad T480 / T480s	Coffee Lake (8. Gen.)	ja
Dell Latitude 7480, OptiPlex 7040 / 7050	6.–7. Gen.	nein
Dell Latitude 7490, OptiPlex 7060	8. Gen.	ja
HP EliteBook 840 G3 / G4	6.–7. Gen.	nein
HP EliteBook 840 G5	8. Gen.	ja
AMD Ryzen 1000 (Summit Ridge)	Zen	nein
AMD Ryzen 2000	Zen+, teilweise aber auch ursprüngliches Zen (einige Modelle und APUs)	entscheidend ist das genaue Modell in der aktuellen Microsoft-Liste

Beachten Sie, was das in der Praxis bedeutet: Ein ThinkPad T470 besitzt TPM 2.0, UEFI und Secure Boot – und erfüllt die Anforderungen trotzdem nicht. Ihm fehlt kein Chip, sondern ein Eintrag in der Liste. Weder zusätzlicher Arbeitsspeicher noch ein Laufwerkswechsel beheben das. Geräte aus den Jahren 2018–2019 hingegen, die heute bereits ausgemustert wirken, bestehen die Prüfung häufig problemlos und benötigen oft nur eine SSD und 16 GB RAM.

Bei AMD ist besondere Vorsicht mit der Seriennummer geboten. Die Bezeichnung „Ryzen 2000“ garantiert nicht automatisch Unterstützung – einige Modelle und APUs dieser Reihe basieren noch auf der ursprünglichen Zen-Architektur und stehen nicht auf der Liste unterstützter Prozessoren. Prüfen Sie das konkrete Modell anhand der aktuellen Microsoft-Liste und nicht nur die Prozessorgeneration als Ganzes.

Auch bei Intel gibt es einige Ausnahmen. Microsoft hat beispielsweise den Core i7-7820HQ für bestimmte Geräte nachträglich aufgenommen. Eine Planung auf Grundlage solcher Ausnahmen ist jedoch nicht sinnvoll. Entscheiden Sie immer anhand des genauen Prozessormodells.

Wenn TPM tatsächlich fehlt, ist es meist nur deaktiviert

Die zweithäufigste Situation: Der Rechner besitzt einen unterstützten Prozessor, doch tpm.msc meldet, dass kein kompatibles Modul gefunden wurde. Bei Desktop-PCs und günstigeren Systemen bedeutet das fast immer, dass die Firmware-Implementierung im UEFI deaktiviert ist – bei Intel heißt sie PTT (Platform Trust Technology), bei AMD fTPM. Ihre Aktivierung erfordert lediglich eine Änderung in den Einstellungen und einen Neustart.

Bevor Sie diese Einstellung ändern, prüfen Sie den BitLocker-Wiederherstellungsschlüssel. Eine Änderung an TPM oder Secure Boot sowie ein Firmwareupdate verändern den gemessenen Plattformzustand. Das System kann deshalb beim Start die Eingabe des Schlüssels verlangen – ist er nicht verfügbar, bleibt der Computer mitsamt seinen Daten gesperrt. Das sichere Vorgehen besteht darin, den Verschlüsselungsschutz vor dem Eingriff vorübergehend auszusetzen (manage-bde -protectors -disable C: -RebootCount 1) und den Schlüssel in AD, Entra ID oder Intune zu speichern, nicht auf einem Zettel in der Schublade. Wie diese Anzeige aussieht und was zu tun ist, wenn sie bereits vor Ihnen erscheint, erläutert BitLocker verlangt plötzlich den Wiederherstellungsschlüssel.

Ein Hinweis zu AMD: Das Aktivieren von fTPM führte bei älteren Ryzen-Prozessoren durch Zugriffe auf den Firmware-Speicher zu periodischen Aussetzern bei Ton und Bild. Ein UEFI-Update mit AGESA 1.2.0.7 oder neuer behebt dieses Problem. Wenn Sie fTPM auf einem Rechner mit Firmware aus dem Jahr 2021 aktivieren, sollten Sie die Firmware daher gleich mit aktualisieren.

Upgrade auf Windows 11: Was Sie vor dem produktiven Einsatz testen sollten

Das Upgrade selbst kostet keine Lizenzgebühr, wenn auf dem Gerät ein legales und aktiviertes Windows 10 läuft und die Anforderungen erfüllt sind. Sie bezahlen für die Datensicherung, Vorbereitung, Arbeit und Tests – und genau darin liegen die tatsächlichen Kosten.

Die Installationsminima von 4 GB RAM und 64 GB Speicher sollten Sie als das verstehen, was sie sind: eine Grenze, unterhalb derer das Installationsprogramm nicht fortfährt. Für einen Browser mit zwanzig geöffneten Tabs, Teams, Buchhaltungssoftware und PDF-Dokumente gleichzeitig benötigen Sie 16 GB RAM und eine SSD mit ausreichend freiem Speicherplatz. Ein Gerät mit 8 GB RAM und einer mechanischen Festplatte wird nach dem Upgrade nicht schneller – der Benutzer wartet lediglich vor einem moderneren Hintergrund. Ob die Ursache der Langsamkeit im System oder in der Hardware liegt, lässt sich bereits vor dem Upgrade feststellen: Messen Sie die Auslastung von Laufwerk und Arbeitsspeicher bei der üblichen Arbeit des jeweiligen Benutzers.

Testen Sie vor der unternehmensweiten Einführung mindestens auf einem Gerät:

• Buchhaltung und ERP, einschließlich Berichtsdruck und Exporten,
• Signaturzertifikate und datová schránka, insbesondere wenn sich das Zertifikat auf einer Chipkarte oder einem Token befindet,
• den VPN-Client – ältere Clients verwenden Treiber für virtuelle Netzwerkadapter, die sich unter einer neuen Systemversion anders verhalten können,
• USB-Lizenzschlüssel wie HASP – deren Treiber gehören häufig zur ältesten Software im Unternehmen,
• Drucken und Scannen, insbesondere das Scannen in einen freigegebenen Ordner.

Der letzte Punkt verdient einen eigenen Absatz, da er besonders viele Anwender überrascht. Neuere Versionen von Windows 11 verlangen eine Signierung des SMB-Datenverkehrs und erlauben keinen anonymen Gastzugriff auf freigegebene Ordner. Ältere Multifunktionsgeräte, die jahrelang ohne Kennwort oder über das längst deaktivierte SMBv1 in einen Ordner gescannt haben, können nach der Migration keine Dateien mehr speichern. Das wirkt wie ein Defekt des Scanners, ist jedoch eine strengere Standardkonfiguration. Abhilfe schaffen eine neue Firmware für das Multifunktionsgerät, ein eigener kennwortgeschützter Serviceaccount oder das Scannen per E-Mail. Dieses Problem lässt sich nicht durch einen Neustart beheben.

Zum Abschluss noch zwei Punkte: Wenn Sie noch ein 32-Bit-Windows 10 einsetzen, ist kein In-Place-Upgrade möglich. Windows 11 ist ausschließlich als 64-Bit-System verfügbar, weshalb eine Neuinstallation mit anschließender Profilübertragung erforderlich ist. Nach dem Upgrade haben Sie standardmäßig zehn Tage Zeit, über den erhaltenen Ordner Windows.old zum vorherigen System zurückzukehren. Planen Sie den Pilotbetrieb so, dass diese zehn Tage mindestens einen Monatsabschluss oder einen Abrechnungszyklus umfassen. Danach ist eine Rückkehr nur noch aus einer Sicherung möglich.

Erzwingen Sie Windows 11 nicht durch Umgehung der Prozessor- oder TPM-Prüfung. Technisch ist das möglich und kann für einen einzelnen privaten Rechner eine legitime Entscheidung sein. Im Unternehmen ersetzen Sie damit jedoch lediglich einen nicht unterstützten Zustand durch einen anderen: Microsoft garantiert für solche Installationen keine Updates, und bei einer Prüfung lässt sich das schwerer begründen als reguläres ESU mit einem festgelegten Enddatum.

ESU: Was Sie genau kaufen und warum es im August 2026 teurer ist als erwartet

Microsoft nennt für Unternehmen einen Referenzpreis von 61 USD pro Gerät im ersten Jahr. In jedem Folgejahr verdoppelt sich der Preis – auf 122 USD im zweiten und 244 USD im dritten Jahr. Der tschechische Preis hängt von Wechselkurs, Steuern, Vertriebsweg und Vertrag ab.

Entscheidend sind jedoch die Zeiträume und Kaufbedingungen:

	Zeitraum	Referenzpreis
1. Jahr	15. 10. 2025 – 13. 10. 2026	61 USD
2. Jahr	14. 10. 2026 – 12. 10. 2027	122 USD
3. Jahr	13. 10. 2027 – 10. 10. 2028	244 USD

Die Jahre sind kumulativ und unteilbar. Es ist weder möglich, nur die letzten zwei Monate zu kaufen, noch ein Jahr zu überspringen – wer das zweite Jahr erwerben möchte, muss auch das erste bezahlt haben. Für August 2026 bedeutet das: Muss ein Arbeitsplatz über den Oktober hinaus unter Windows 10 weiterlaufen, kaufen Sie kein einzelnes Jahr. Sie erwerben rückwirkend das erste Jahr, von dem nur noch wenige Wochen verbleiben, plus das zweite Jahr. Insgesamt sind das 183 USD pro Gerät, umgerechnet ungefähr viertausend tschechische Kronen ohne Mehrwertsteuer, und zwar für den Zeitraum bis Oktober 2027. Bei fünf Arbeitsplätzen ist das bereits ein Betrag, für den sich ein Hardwareaustausch prüfen lässt.

Dafür erhalten Sie kritische und wichtige Sicherheitsupdates – und nichts darüber hinaus. Keine neuen Funktionen, keine nicht sicherheitsrelevanten Fehlerbehebungen und keinen regulären technischen Support für das System. Berechtigt sind Windows 10 in der Version 22H2 in den Editionen Pro bei kommerzieller Nutzung, Enterprise und Education. Lizenzen sind bereits ab einem Gerät erhältlich, und der Schlüssel kann entweder klassisch oder über Intune bereitgestellt werden.

Zwei häufige Missverständnisse zu ESU:

• ESU für Privatkunden ist kein Unternehmensangebot. Das ESU-Programm für private Geräte läuft bis zum 12. Oktober 2027; Microsoft hat es am 25. 6. 2026 um ein Jahr verlängert. Im EWR einschließlich Tschechien erfolgt die Anmeldung über ein Microsoft-Konto – kostenlos, wenn dieses Konto weiterhin für die Windows-Anmeldung verwendet wird, andernfalls werden die Updates innerhalb von 60 Tagen deaktiviert. Alternativ ist eine einmalige Zahlung von 30 USD bei Verwendung eines lokalen Kontos möglich. Das Angebot gilt nur für persönliche Geräte, nicht für Geräte, die von einer Organisation verwaltet werden, etwa über eine Domäne oder MDM. Die Bedingungen nennt Microsoft auf seiner Seite zu den erweiterten Sicherheitsupdates.
• In manchen Fällen müssen Sie ESU nicht bezahlen. Windows 10 auf virtuellen Maschinen in Windows 365 oder Azure Virtual Desktop sowie Arbeitsplätze, die sich mit einem aktiv lizenzierten Cloud PC verbinden, erhalten ESU unter den festgelegten Bedingungen ohne zusätzliche Kosten.

Ein Hinweis für Unternehmen mit Produktionsanlagen: Wenn dort Windows 10 IoT Enterprise LTSC 2021 läuft, besteht Support bis zum 13. Januar 2032, und Sie müssen derzeit nichts unternehmen. Läuft dort hingegen die reguläre Version Enterprise LTSC 2021, endet der Support bereits am 12. Januar 2027 – also früher, als viele erwarten. Prüfen Sie daher genau, welche dieser beiden Versionen tatsächlich auf dem Bearbeitungszentrum installiert ist.

ESU kauft Zeit, um ein konkretes Hindernis zu beseitigen; es ersetzt keine Entscheidung. Wenn nicht festgehalten ist, um welche Anwendung es geht, wer für sie verantwortlich ist und wann sie ersetzt wird, wird aus „wir gewinnen ein Jahr“ zuverlässig der Kauf eines weiteren Jahres zum doppelten Preis.

Wann ein Gerät ersetzt werden sollte und was Sie bei generalüberholter Hardware prüfen müssen

Ein Austausch ist sinnvoll, wenn der Prozessor nicht auf der Kompatibilitätsliste steht, TPM 2.0 fehlt und nicht aktiviert werden kann oder der Hersteller weder Firmware noch Treiber bereitstellt. Dasselbe gilt, wenn zusätzlich die Kühlung defekt, das Laufwerk verschlissen, die Scharniere gebrochen oder der Akku am Ende seiner Lebensdauer ist. Ein aufgeblähter Akku ist kein Punkt für das nächste Budget: Trennen Sie das Gerät von der Stromversorgung, verwenden Sie es nicht weiter und lassen Sie den Akku austauschen.

Ein Neugerät ist nicht die einzige Möglichkeit. Generalüberholte Modelle wie ThinkPad T480 und T14, Dell Latitude 5490 und 7490 oder HP EliteBook 840 G5 und G6 sind für Büroarbeit vernünftige Optionen. Der Name der Modellfamilie allein reicht jedoch nicht aus. Prüfen Sie:

• das genaue Prozessormodell und ob es auf der Liste für Windows 11 steht,
• den tatsächlichen Akkuzustand – die Auslegungs- und vollständige Ladekapazität aus powercfg /batteryreport, nicht nur die Aussage „Akku OK“,
• die Garantie in Tschechien und wer sie tatsächlich abwickelt,
• die Systemedition: Windows 11 Pro für die Unternehmensverwaltung, nicht Home,
• die Kompatibilität mit den bereits vorhandenen Dockingstationen.

Der letzte Punkt verursacht häufig die höchsten Zusatzkosten. Die Dockinglösungen aller großen Hersteller haben sich über die vergangenen Generationen verändert – von proprietären mechanischen Anschlüssen über seitliche Steckverbindungen bis zu USB-C. Welche Geräte unterstützt werden, unterscheidet sich von Modell zu Modell. Verlassen Sie sich nicht darauf, dass eine Dockingstation „für ThinkPad“ oder „für Latitude“ bestimmt ist. Prüfen Sie die genaue Dockingstation anhand der offiziellen Liste unterstützter Geräte für das gewünschte Modell. Bevor Sie zehn Notebooks bestellen, kalkulieren Sie auch zehn Dockingstationen ein. Bei USB-C müssen Sie außerdem prüfen, welche Funktionen der konkrete Anschluss und das verwendete Kabel tatsächlich unterstützen. Warum das keineswegs selbstverständlich ist, erfahren Sie unter Warum wir USB-C nicht mögen.

Lassen Sie im Angebot die Preise für Computer, Dockingstation, Datenübertragung, Anwendungsinstallation und Garantie getrennt ausweisen. Fragen Sie außerdem, was „NBD“ konkret bedeutet: Wann reagiert ein Techniker, wann beginnt die Reparatur, und erhalten Sie für deren Dauer ein Ersatzgerät?

Migration ohne unnötige Ausfallzeiten

1. Prüfen Sie die Sicherung durch eine Testwiederherstellung. Kontrollieren Sie nicht nur, ob die Aufgabe grün angezeigt wurde, sondern stellen Sie eine konkrete Datei aus einem konkreten Datum wieder her. Exportieren Sie zugleich die BitLocker-Wiederherstellungsschlüssel und speichern Sie sie zusammen mit der jeweiligen Gerätekennung.
2. Wählen Sie einen Pilotarbeitsplatz, der dieselben Anwendungen und Peripheriegeräte wie der Rest des Unternehmens verwendet, dessen Ausfall aber weder die Rechnungsstellung noch die Produktion stoppt. Den Computer der Geschäftsführung als Pilotgerät zu verwenden, ist ein klassischer Weg, sich die Rückkehrmöglichkeit zu verbauen.
3. Arbeiten Sie nach dem Upgrade die gesamte Prüfliste ab: Anmeldung, E-Mail, Buchhaltung, VPN, Drucken, Scannen in einen Ordner, Netzlaufwerke, OneDrive und Sicherungsagent. Dass der Windows-11-Desktop erscheint, ist noch kein Test.
4. Lassen Sie das Pilotgerät mindestens eine Woche laufen, idealerweise über einen Monatsabschluss hinweg – genau darin liegt der Sinn des zehntägigen Rückkehrfensters.
5. Teilen Sie die übrigen Geräte in kleinere Wellen auf. Halten Sie für kritische Rollen ein Ersatzgerät bereit. Wenn sich ein zusätzlicher Rechner im Schrank nicht lohnt, können Sie für die Dauer der Migration ein Notebook für das Unternehmen mieten.
6. Dokumentieren Sie für jeden Arbeitsplatz die Systemversion, Aktivierung, den Verschlüsselungsstatus, das Ergebnis der Anwendungstests und das Rückkehrverfahren. Ohne diese Aufzeichnungen wissen Sie nicht, welche Geräte fertig sind, und einen Monat später kann es niemand mehr nachvollziehen.

Beginnen Sie keine Massenmigration am Abend vor dem Monatsabschluss. Rechnen Sie grob mit mehreren Stunden Arbeit und Prüfung pro Arbeitsplatz. Große Mengen lokaler Daten, alte Benutzerprofile und spezialisierte Software können den Vorgang erheblich verlängern.

So vergleichen Sie die tatsächlichen Kosten

Vergleichen Sie den gesamten Zeitraum bis Oktober 2028 und nicht nur die nächste Rechnung:

• Upgrade = Technikerarbeit + Anwendungstests + Sicherung + Ausfallzeit des Benutzers. Keine Lizenzkosten.
• ESU = kumulative Lizenzkosten (61 → 122 → 244 USD pro Gerät) + Updateverwaltung + die Migration, die ohnehin erfolgen muss, nur später, teurer und unter Zeitdruck.
• Austausch = Gerät + Dockingstation und Zubehör + Übertragung von Daten und Anwendungen + sichere Entsorgung des alten Laufwerks.

Fordern Sie vom Anbieter ein Budget für jeden einzelnen Arbeitsplatz und eine genaue Leistungsbeschreibung. Ein hochwertiges Ergebnis umfasst eine Bestandsaufnahme, die Entscheidung Upgrade/ESU/Austausch für jedes Gerät, das Ergebnis des Pilotbetriebs, den Status der Sicherungen und BitLocker-Schlüssel, eine Liste noch ungelöster Ausnahmen sowie den Termin für deren Beseitigung. Verlangen Sie bei ausgemusterten Computern ein Protokoll über die Löschung oder physische Vernichtung des Datenträgers. Eine weggeworfene Festplatte mit Buchhaltungsdaten ist ein Datenleck – unabhängig davon, wie alt der Computer war.

Und was ist mit Arbeitsplätzen, die bei Windows 10 bleiben müssen?

Solche Geräte gibt es – etwa Computer an Werkzeugmaschinen, Messapparaturen oder alten Laborkarten mit Treibern, die niemals auf ein neues System portiert werden. Wenn Sie bestätigen können, dass Windows 10 IoT Enterprise LTSC 2021 installiert ist, besteht bis 2032 kein Handlungsdruck. In allen anderen Fällen gilt eine einfache Regel: Ein solcher Computer darf ausschließlich die zugehörige Maschine bedienen und nichts anderes.

In der Praxis bedeutet das ein eigenes Netzwerksegment ohne Internetzugang und ohne Zugriff auf freigegebene Unternehmenslaufwerke, keine E-Mail, keinen Browser, keine USB-Datenträger von Benutzern, ein lokales statt eines Domänenkontos und eine Sicherung außerhalb der Reichweite dieses Rechners. Ein nicht aktualisiertes Windows auf einem isolierten Gerät ist ein bewusst akzeptiertes Risiko. Ein nicht aktualisiertes Windows im selben Netzwerk wie die Buchhaltung ist hingegen ein Warten auf Ransomware – und damit sind wir bei einer Verantwortung, die Sie tragen, nicht der Hersteller.

Was bis zum 13. Oktober 2026 zu tun ist

Es bleiben ungefähr acht Wochen, und der Plan lässt sich in dieser Zeit umsetzen:

• diese Woche die Bestandsaufnahme abschließen und die Arbeitsplätze in drei Kategorien einteilen,
• innerhalb von zwei Wochen den Windows-11-Pilotbetrieb auf einem repräsentativen Gerät starten,
• im September fehlende Geräte und Dockingstationen bestellen und die Migrationswellen so planen, dass sie nicht mit Monatsabschlüssen kollidieren,
• bis Anfang Oktober alle migrationsfähigen Geräte umstellen und für den Rest entscheiden, ob wirklich sowohl das erste als auch das zweite ESU-Jahr benötigt wird,
• vor dem 13. Oktober prüfen, ob die ESU-Schlüssel aktiviert sind und die Updates auf den betroffenen Arbeitsplätzen tatsächlich installiert werden. Eine bezahlte Lizenz ohne nachgewiesene Installation ist kein Schutz, sondern nur eine Ausgabe.

Wenn Sie Bestandsaufnahme, Anwendungskompatibilitätstests und Migration als ein Gesamtprojekt lösen möchten oder lediglich eine zweite Meinung dazu benötigen, welche Geräte noch sinnvoll weiterverwendet werden können, melden Sie sich bei uns. Sowohl den Computer-Service als auch die laufende Betreuung der Unternehmens-IT bieten wir einschließlich eines Budgets für jeden einzelnen Arbeitsplatz an. Nennen Sie in Ihrer Anfrage die Anzahl der Arbeitsplätze, die eingesetzten Anwendungen, die Zahl der Standorte und den gewünschten Fertigstellungstermin. Auf dieser Grundlage lassen sich Vorgehen und Preis planen, ohne Hardware auf Verdacht zu kaufen.

Häufig gestellte Fragen

Funktioniert ein Firmencomputer mit Windows 10 nach dem Supportende nicht mehr?

Doch. Er startet weiterhin, und auch die Anwendungen laufen weiter. Ohne ESU erhält das System jedoch weder Sicherheits- noch Qualitätsupdates, und es besteht kein regulärer Support mehr. Das Risiko steigt nicht schlagartig, sondern allmählich: Neu entdeckte Schwachstellen in Windows 10 müssen ohne ESU nicht mehr behoben werden, sodass die Gefährdung eines solchen Geräts mit der Zeit zunimmt.

Ist ESU für Unternehmen kostenlos?

In der Regel nicht. Microsoft nennt einen Referenzpreis von 61 USD pro Gerät für das erste Jahr und verdoppelt ihn in jedem weiteren Jahr. Kostenlos ist ESU nur in besonderen Fällen, etwa für Arbeitsplätze, die sich mit einem aktiv lizenzierten Cloud PC in Windows 365 verbinden. Das private ESU-Angebot ersetzt keine kommerzielle Lizenz und gilt weder für Domänencomputer noch für Geräte, die über MDM verwaltet werden.

Können wir ESU nur für die verbleibenden Monate kaufen?

Nein. Die Jahre werden vollständig und kumulativ verkauft. Ein Kauf im August 2026 bedeutet, das gesamte erste Jahr zu bezahlen, das am 13. Oktober 2026 endet, sowie das gesamte zweite Jahr, wenn der Arbeitsplatz darüber hinaus weiterlaufen soll.

Können wir TPM umgehen und Windows 11 manuell installieren?

Technisch ja, aber das Gerät bleibt nicht unterstützt, und Microsoft garantiert dafür keine Updates. Prüfen Sie zunächst, ob TPM im UEFI lediglich deaktiviert ist – bei Intel unter der Bezeichnung PTT, bei AMD als fTPM. Das ist die häufigste Ursache. Fehlt tatsächlich ein unterstützter Prozessor, wählen Sie ESU mit einem festen Enddatum oder ersetzen Sie das Gerät.

Reichen unter Windows 10 ein aktuelles Microsoft 365 und ein guter Virenschutz aus?

Nein. Microsoft 365 Apps sollen unter Windows 10 bis zum 10. Oktober 2028 Sicherheitsupdates erhalten, doch diese aktualisieren die Anwendungen und nicht das Betriebssystem. Eine Schwachstelle im Systemkern, in einem Treiber oder im Netzwerk-Stack kann ein Virenschutzprogramm nicht beheben – allenfalls erkennt es einen Angriff, wenn der Schadcode bereits ausgeführt wird.

Wie lange dauert die Umstellung eines kleinen Unternehmens auf Windows 11?

Die Installation ist nur der kleinere Teil der Arbeit. Entscheidend sind die Anzahl der Arbeitsplätze, das Volumen lokal gespeicherter Daten sowie die Kompatibilität von Buchhaltung, VPN, Druckern und Peripheriegeräten. Rechnen Sie grob mit mehreren Stunden pro Arbeitsplatz plus einer zusätzlichen Woche für den Pilotbetrieb. Migrieren Sie kritische Rollen nur mit einem vorbereiteten Ersatzcomputer.

Wo Sie uns finden

ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.

Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).