Die kurze Antwort: Windows 10 läuft weiter, erhält aber seit dem 14. Oktober 2025 keine Sicherheitskorrekturen für das Betriebssystem mehr – weder ein Antivirenprogramm noch ein neuer Browser schließen eine Lücke im Systemkern. Ordnen Sie jeden Firmen-PC einer von drei Kategorien zu: Upgrade auf Windows 11 (lizenzrechtlich kostenlos, sofern das Gerät die Anforderungen erfüllt), kostenpflichtige ESU als Übergangslösung mit festem Enddatum oder Austausch. Und vor allem: Im August 2026 gibt es ESU nicht mehr „für ein Jahr“. Das erste Unternehmensjahr endet am 13. Oktober 2026, und die Jahre müssen kumulativ erworben werden. Wer also erst jetzt beginnt, zahlt den vollen Preis für wenige Wochen.
Was das Supportende bedeutet – und was nicht
Der Computer hat sich am 14. Oktober 2025 nicht ausgeschaltet. Die Buchhaltung lässt sich öffnen, der Drucker druckt und der Benutzer bemerkt nichts. Genau deshalb wurde die Entscheidung fast ein Jahr lang aufgeschoben.
Geändert hat sich jedoch Folgendes: Windows 10 ohne ESU erhält weder Sicherheits- noch Qualitätsupdates, und Microsoft bietet dafür keinen regulären technischen Support mehr. Anwendungen haben eigene, längere Lebenszyklen – Microsoft 365 Apps sollen unter Windows 10 bis zum 10. Oktober 2028 Sicherheitsupdates erhalten; auch Edge, WebView2 und die Defender-Definitionen werden ungefähr bis zu diesem Zeitpunkt weiter versorgt. Daraus entsteht der häufigste Irrtum: „Es wird doch weiterhin aktualisiert.“ Aktualisiert werden die Anwendungen. Nicht aktualisiert werden Systemkern, Treiber, Netzwerk-Stack, Drucksystem oder Authentifizierung.
Entscheidend ist, dass die Gefährdung eines solchen Rechners mit der Zeit zunimmt. Neu entdeckte Schwachstellen in Windows 10 müssen ohne ESU nicht mehr behoben werden – das System bleibt also nicht in dem Zustand, in dem es sich am 13. Oktober 2025 befand. Es handelt sich nicht um eine plötzliche Veränderung, sondern um eine langsame Verschlechterung in nur eine Richtung, die sich von außen nicht aufhalten lässt.
Fällt Ihr Unternehmen unter NIS2 beziehungsweise unter zákon č. 264/2025 Sb., stellt ein nicht aktualisiertes Betriebssystem im Netzwerk zudem ein erhebliches und nur schwer zu rechtfertigendes Risiko dar. Vertretbar ist es lediglich mit einer dokumentierten Risikobewertung, kompensierenden Maßnahmen und einem verbindlichen Termin zur Behebung – nicht mit dem Argument, dass bislang alles funktioniert.
Erst inventarisieren, dann Notebooks kaufen
Die teuerste Art der Migration besteht darin, zehn Notebooks zu bestellen und erst danach festzustellen, dass drei vorhandene Rechner kostenlos auf Windows 11 aktualisiert werden können, bei zwei lediglich TPM im UEFI aktiviert werden muss und einer eine alte Messsoftware betreibt, die unter Windows 11 überhaupt nicht funktioniert.
Für bis zu zehn Arbeitsplätze reicht eine gemeinsam genutzte Tabelle; bei mehr Geräten ist ein Export aus Intune oder einem Fernverwaltungssystem sinnvoll. Für jeden Arbeitsplatz benötigen Sie:
- die Systemversion (
winver– für ESU muss dort 22H2, Build 19045 stehen), - das genaue Prozessormodell, nicht nur „i5“ (
Get-CimInstance Win32_Processor | Select-Object Name), - den TPM-Status (
tpm.msc– relevant ist „Specification Version 2.0“, nicht 1.2), - den Firmwaremodus (
msinfo32– die Zeilen BIOS Mode: UEFI und Secure Boot State: On), - den Verschlüsselungsstatus und den Speicherort des Wiederherstellungsschlüssels (
manage-bde -status), - das Ergebnis von PC Health Check, jedoch nur als zweite Einschätzung und nicht als endgültiges Urteil,
- den Akkuzustand bei Notebooks (
powercfg /batteryreport– vergleichen Sie die Auslegungskapazität mit der aktuellen Vollladekapazität), - die auf dem Arbeitsplatz verwendeten Systeme: Buchhaltung, ERP, VPN, Signaturzertifikate, USB-Lizenzschlüssel, Drucker, Scanner sowie Mess- und Produktionssoftware,
- ausschließlich lokal gespeicherte Daten und eine Sicherung, deren Wiederherstellung tatsächlich geprüft wurde – nicht nur deren Existenz.
Das Ergebnis sollte nicht nur aus einer Spalte „kompatibel: ja/nein“ bestehen. Zu jedem Arbeitsplatz gehören der Benutzer, die Kritikalität seiner Tätigkeit, ein mögliches Wartungsfenster und der Name der Person, die nach der Migration bestätigt, dass ihre Anwendungen funktionieren. Ohne diesen letzten Namen wird die Migration nie wirklich abgeschlossen.
Wenn Ihnen die Kapazität für eine Inventarisierung fehlt, übernehmen wir sie als zusammenhängenden Auftrag einschließlich Anwendungstests und Planung der Migrationswellen – sowohl im Rahmen der laufenden Betreuung Ihrer Unternehmens-IT als auch als einmaligen Computer-Service.
Die Grenze ist nicht TPM, sondern der Prozessor
Hier entstehen die meisten unnötigen Neuanschaffungen und Verzögerungen. Windows 11 benötigt einen unterstützten 64-Bit-Prozessor, TPM 2.0, UEFI mit Secure-Boot-Unterstützung, mindestens 4 GB RAM und 64 GB Speicherplatz. In der Praxis scheitert jedoch nur ein kleiner Teil der Geräte am TPM – TPM 2.0 ist bei Business-Notebooks bereits seit 2015 üblich. Die meisten Geräte scheitern an der Liste der unterstützten Prozessoren. Bei Intel beginnt sie mit der 8. Generation (Coffee Lake), bei AMD ungefähr mit der Ryzen-2000-Serie – bei AMD reicht die Seriennummer allein allerdings nicht als Entscheidungskriterium.
Das bedeutet, dass die Grenze mitten durch eine Modellreihe verläuft:
| Gerät | Prozessor | Windows 11 |
|---|---|---|
| ThinkPad T460 / T470, T470s | Skylake / Kaby Lake (6.–7. Gen.) | nein |
| ThinkPad T480 / T480s | Coffee Lake (8. Gen.) | ja |
| Dell Latitude 7480, OptiPlex 7040 / 7050 | 6.–7. Gen. | nein |
| Dell Latitude 7490, OptiPlex 7060 | 8. Gen. | ja |
| HP EliteBook 840 G3 / G4 | 6.–7. Gen. | nein |
| HP EliteBook 840 G5 | 8. Gen. | ja |
| AMD Ryzen 1000 (Summit Ridge) | Zen | nein |
| AMD Ryzen 2000 | Zen+, teilweise aber auch ursprüngliches Zen (einige Modelle und APUs) | entscheidend ist das genaue Modell in der aktuellen Microsoft-Liste |
Beachten Sie, was das in der Praxis bedeutet: Ein ThinkPad T470 hat TPM 2.0, UEFI und Secure Boot – und besteht die Prüfung trotzdem nicht. Es fehlt kein Chip, sondern ein Eintrag in der Liste. Mehr RAM oder eine neue Festplatte ändern daran nichts. Umgekehrt erfüllen viele Geräte aus den Jahren 2018–2019, die heute bereits abgeschrieben wirken, die Anforderungen problemlos und benötigen häufig nur eine SSD und 16 GB RAM.
Bei AMD ist besondere Vorsicht mit der Seriennummer geboten. Die Bezeichnung „Ryzen 2000“ garantiert für sich allein keine Unterstützung – einige Modelle und APUs dieser Reihe basieren noch auf der ursprünglichen Zen-Architektur und stehen nicht auf der Liste der unterstützten Prozessoren. Prüfen Sie das konkrete Modell anhand der aktuellen Microsoft-Liste und nicht nur die Prozessorgeneration als Ganzes.
Auch bei Intel gibt es einige Ausnahmen – Microsoft hat beispielsweise den Core i7-7820HQ in bestimmten Geräten nachträglich aufgenommen. Eine Planung auf Basis solcher Ausnahmen ist jedoch nicht sinnvoll. Entscheiden Sie anhand des genauen Prozessormodells.
Wenn TPM tatsächlich fehlt, ist es meist nur deaktiviert
Die zweithäufigste Situation: Der Rechner besitzt einen unterstützten Prozessor, aber tpm.msc meldet, dass kein kompatibles Modul gefunden wurde. Bei Desktop-PCs und günstigeren Systemen bedeutet dies fast immer, dass die Firmwareimplementierung im UEFI deaktiviert ist – bei Intel heißt sie PTT (Platform Trust Technology), bei AMD fTPM. Ihre Aktivierung erfordert lediglich eine Änderung in den Einstellungen und einen Neustart.
Bevor Sie diese Einstellung ändern, prüfen Sie den BitLocker-Wiederherstellungsschlüssel. Änderungen an TPM oder Secure Boot sowie Firmwareupdates verändern den gemessenen Zustand der Plattform. Das System fordert dann beim Start zur Eingabe des Schlüssels auf – besitzt ihn niemand, bleiben Computer und Daten gesperrt. Das sichere Vorgehen besteht darin, den Verschlüsselungsschutz vor dem Eingriff vorübergehend auszusetzen (manage-bde -protectors -disable C: -RebootCount 1) und den Schlüssel in AD, Entra ID oder Intune zu speichern, nicht auf einem Zettel in der Schublade. Wie dieser Bildschirm aussieht und was zu tun ist, wenn er bereits angezeigt wird, erläutert BitLocker verlangt plötzlich den Wiederherstellungsschlüssel.
Ein Hinweis zu AMD: Das Aktivieren von fTPM verursachte bei älteren Ryzen-Prozessoren aufgrund von Zugriffen auf den Firmware-Speicher gelegentlich wiederkehrende Aussetzer bei Ton und Bild. Behoben wird dies durch ein UEFI-Update mit AGESA 1.2.0.7 oder neuer. Wenn Sie fTPM auf einem Rechner mit Firmware aus dem Jahr 2021 aktivieren, sollten Sie daher zugleich die Firmware aktualisieren.
Upgrade auf Windows 11: Was vor dem produktiven Einsatz zu testen ist
Das Upgrade selbst ist lizenzrechtlich kostenlos, sofern auf dem Rechner ein legales und aktiviertes Windows 10 läuft und das Gerät die Anforderungen erfüllt. Sie bezahlen für Sicherung, Vorbereitung, Arbeitszeit und Tests – und genau darin liegen die tatsächlichen Kosten.
Die Installationsanforderungen von 4 GB RAM und 64 GB Speicherplatz sind genau das: eine Untergrenze, unterhalb derer das Installationsprogramm nicht fortfährt. Für den gleichzeitigen Betrieb eines Browsers mit zwanzig Tabs, Teams, Buchhaltungssoftware und PDF-Dokumenten benötigen Sie 16 GB RAM und eine SSD mit ausreichend freiem Speicherplatz. Ein Rechner mit 8 GB RAM und mechanischer Festplatte wird nach dem Upgrade nicht schneller – der Benutzer wartet lediglich vor einem moderneren Hintergrund. Ob das System oder die Hardware für die Langsamkeit verantwortlich ist, lässt sich bereits vor dem Upgrade feststellen: Messen Sie die Auslastung von Festplatte und Arbeitsspeicher während der normalen Arbeit des jeweiligen Benutzers.
Testen Sie vor der unternehmensweiten Einführung auf mindestens einem Rechner:
- Buchhaltung und ERP, einschließlich des Drucks von Berichten und des Datenexports,
- Signaturzertifikate und datová schránka, insbesondere wenn sich das Zertifikat auf einer Chipkarte oder einem Token befindet,
- den VPN-Client – ältere Clients nutzen häufig einen Treiber für einen virtuellen Netzwerkadapter, der sich unter der neuen Systemversion anders verhält,
- USB-Lizenzschlüssel wie HASP – ihre Treiber gehören häufig zur ältesten Software im Unternehmen,
- Drucken und Scannen, insbesondere das Scannen in einen freigegebenen Ordner.
Der letzte Punkt verdient einen eigenen Absatz, weil er besonders viele Unternehmen überrascht. Neuere Versionen von Windows 11 verlangen die Signierung des SMB-Datenverkehrs und erlauben keinen anonymen Gastzugriff auf freigegebene Ordner. Ältere Multifunktionsgeräte, die jahrelang ohne Passwort oder über das längst deaktivierte SMBv1 in einen Ordner gescannt haben, können nach der Migration keine Dateien mehr speichern. Das wirkt wie ein defekter Scanner, ist aber das Ergebnis verschärfter Standardeinstellungen. Die Lösung besteht in neuer Firmware für das Multifunktionsgerät, einem eigenen Dienstkonto mit Passwort oder dem Scannen per E-Mail. Ein Neustart behebt dieses Problem nicht.
Zum Abschluss zwei wichtige Punkte: Wenn Sie noch ein 32-Bit-Windows 10 einsetzen, ist kein In-Place-Upgrade möglich. Windows 11 gibt es ausschließlich als 64-Bit-System, sodass eine Neuinstallation mit Übertragung des Benutzerprofils erforderlich ist. Nach dem Upgrade haben Sie standardmäßig zehn Tage Zeit, über den erhaltenen Ordner Windows.old zum vorherigen System zurückzukehren. Planen Sie den Pilotbetrieb so, dass diese zehn Tage mindestens einen Monatsabschluss oder Abrechnungszyklus einschließen. Danach ist eine Rückkehr nur noch aus einer Sicherung möglich.
Erzwingen Sie Windows 11 nicht durch Umgehen der Prozessor- oder TPM-Prüfung. Technisch ist das möglich und für einen einzelnen privaten Computer eine vertretbare Entscheidung. Im Unternehmen ersetzen Sie damit jedoch lediglich einen nicht unterstützten Zustand durch einen anderen: Microsoft garantiert für solche Installationen keine Updates, und bei einem Audit lässt sich dies wesentlich schlechter begründen als ein ordnungsgemäßes ESU-Abonnement mit festem Enddatum.
ESU: Was Sie genau kaufen und warum es im August 2026 teurer ist als erwartet
Microsoft nennt für Unternehmen einen Referenzpreis von 61 USD pro Gerät im ersten Jahr. In jedem weiteren Jahr verdoppelt sich der Preis – auf 122 USD im zweiten und 244 USD im dritten Jahr. Der Preis in Tschechien hängt von Wechselkurs, Steuern, Vertriebskanal und Vertrag ab.
Entscheidend sind jedoch die Zeiträume und Kaufbedingungen:
| Zeitraum | Referenzpreis | |
|---|---|---|
| 1. Jahr | 15. 10. 2025 – 13. 10. 2026 | 61 USD |
| 2. Jahr | 14. 10. 2026 – 12. 10. 2027 | 122 USD |
| 3. Jahr | 13. 10. 2027 – 10. 10. 2028 | 244 USD |
Die Jahre sind kumulativ und unteilbar. Sie können weder nur die letzten zwei Monate kaufen noch ein Jahr überspringen – wer das zweite Jahr nutzen möchte, muss auch das erste bezahlt haben. Auf den August 2026 übertragen bedeutet das: Muss ein Arbeitsplatz über Oktober hinaus unter Windows 10 weiterlaufen, kaufen Sie kein Jahr. Sie bezahlen rückwirkend das erste Jahr, von dem nur noch wenige Wochen verbleiben, plus das zweite Jahr. Zusammen sind das 183 USD pro Gerät, umgerechnet ungefähr viertausend Kronen ohne Mehrwertsteuer, für den Zeitraum bis Oktober 2027. Bei fünf Arbeitsplätzen ist das bereits ein Betrag, für den sich ein Hardwareaustausch prüfen lässt.
Dafür erhalten Sie kritische und wichtige Sicherheitsupdates – und nichts weiter. Keine neuen Funktionen, keine nicht sicherheitsrelevanten Korrekturen und keinen regulären technischen Support für das System. Berechtigt sind Windows 10 Version 22H2 in den Editionen Pro bei kommerzieller Nutzung, Enterprise und Education. Der Kauf ist bereits ab einer Lizenz möglich; der Schlüssel kann klassisch oder über Intune bereitgestellt werden.
Zwei häufige Irrtümer zu ESU:
- ESU für Privatanwender ist kein Unternehmensplan. Die Verbrauchervariante – kostenlos über eine Sicherung der Einstellungen, gegen Punkte oder gegen eine geringe Gebühr – endet am 13. Oktober 2026, ist an ein persönliches Microsoft-Konto gebunden und gilt nicht für Geräte, die einer Domäne angehören oder über MDM verwaltet werden.
- In manchen Fällen müssen Sie für ESU nicht bezahlen. Windows 10 auf virtuellen Computern in Windows 365 oder Azure Virtual Desktop sowie Arbeitsplätze, die eine Verbindung zu einem aktiv lizenzierten Cloud PC herstellen, erhalten ESU unter den festgelegten Bedingungen ohne zusätzliche Kosten.
Ein weiterer Hinweis für Unternehmen mit Produktionsanlagen: Läuft auf diesen Geräten Windows 10 IoT Enterprise LTSC 2021, besteht der Support bis zum 13. Januar 2032, und Sie müssen derzeit nichts unternehmen. Läuft dort hingegen das reguläre Enterprise LTSC 2021, endet der Support bereits am 12. Januar 2027 – also früher, als die meisten erwarten. Prüfen Sie, welche dieser beiden Versionen auf Ihrem Bearbeitungszentrum tatsächlich installiert ist.
ESU ist bezahlte Zeit zur Beseitigung eines konkreten Hindernisses, keine dauerhafte Alternative zu einer Entscheidung. Wenn dazu nicht der Name der Anwendung, die verantwortliche Person und ein Ablösetermin dokumentiert sind, wird aus „Wir gewinnen ein Jahr“ zuverlässig der Kauf eines weiteren Jahres zum doppelten Preis.
Wann ein Gerät ausgetauscht werden sollte und was bei generalüberholter Hardware zu prüfen ist
Ein Austausch ist sinnvoll, wenn der Prozessor nicht auf der Liste steht, TPM 2.0 fehlt und sich nicht aktivieren lässt oder der Hersteller keine Firmware und Treiber mehr bereitstellt. Das gilt umso mehr, wenn zusätzlich die Kühlung defekt, das Laufwerk verschlissen, die Scharniere gebrochen oder der Akku am Ende seiner Lebensdauer ist. Ein aufgeblähter Akku gehört nicht in das Budget für das nächste Jahr: Trennen Sie das Gerät vom Stromnetz, verwenden Sie es nicht weiter und lassen Sie den Akku austauschen.
Ein Neugerät ist nicht die einzige Möglichkeit. Generalüberholte Modelle wie ThinkPad T480 und T14, Dell Latitude 5490 und 7490 oder HP EliteBook 840 G5 und G6 sind für Büroarbeit vernünftige Optionen. Der Name der Produktfamilie allein reicht jedoch nicht. Prüfen Sie:
- das genaue Prozessormodell und dessen Aufnahme in die Liste für Windows 11,
- den tatsächlichen Akkuzustand – Auslegungskapazität im Vergleich zur Vollladekapazität aus
powercfg /batteryreport, nicht nur die Aussage „Akku OK“, - die Garantie in Tschechien und wer sie tatsächlich abwickelt,
- die Systemedition: Windows 11 Pro für die Unternehmensverwaltung, nicht Home,
- die Kompatibilität mit Ihren vorhandenen Dockingstationen.
Der letzte Punkt verursacht häufig die höchsten Zusatzkosten. Die Dockinglösungen aller großen Hersteller haben sich in den vergangenen Generationen verändert – von proprietären mechanischen Anschlüssen über seitliche Steckverbindungen bis zu USB-C. Welche Geräte unterstützt werden, unterscheidet sich von Modell zu Modell. Verlassen Sie sich nicht darauf, dass ein Dock „für ThinkPad“ oder „für Latitude“ bestimmt ist. Prüfen Sie den genauen Dock-Typ anhand der offiziellen Kompatibilitätsliste für das Modell, das Sie kaufen möchten. Bevor Sie zehn Notebooks bestellen, kalkulieren Sie auch zehn Dockingstationen ein. Prüfen Sie bei USB-C außerdem, was der konkrete Anschluss und das verwendete Kabel tatsächlich unterstützen; weshalb das keineswegs selbstverständlich ist, erläutert Warum wir USB-C nicht mögen.
Lassen Sie im Angebot die Kosten für Computer, Dockingstation, Datenübertragung, Anwendungsinstallation und Garantie getrennt ausweisen. Fragen Sie außerdem, was „NBD“ konkret bedeutet: Wann reagiert ein Techniker, wann beginnt die Reparatur und erhalten Sie für deren Dauer ein Ersatzgerät?
Migration ohne unnötige Ausfallzeiten
- Prüfen Sie die Sicherung durch eine testweise Wiederherstellung. Kontrollieren Sie nicht nur, ob der Sicherungsauftrag grün angezeigt wurde, sondern stellen Sie eine konkrete Datei aus einem konkreten Sicherungsdatum wieder her. Exportieren Sie zugleich die BitLocker-Wiederherstellungsschlüssel und speichern Sie sie unter der jeweiligen Gerätekennung.
- Wählen Sie einen Pilotarbeitsplatz, der dieselben Anwendungen und Peripheriegeräte wie der Rest des Unternehmens nutzt, dessen Ausfall aber weder Abrechnung noch Produktion stilllegt. Den Computer der Geschäftsführung als Pilotgerät zu verwenden, ist ein klassischer Weg, sich die Rückkehr zu verbauen.
- Arbeiten Sie nach dem Upgrade die vollständige Prüfliste ab: Anmeldung, E-Mail, Buchhaltung, VPN, Drucken, Scannen in einen Ordner, Netzlaufwerke, OneDrive und Sicherungsagent. Dass der Windows-11-Desktop angezeigt wird, ist noch kein Test.
- Lassen Sie den Pilotbetrieb mindestens eine Woche laufen, idealerweise über einen Monatsabschluss hinweg – genau darin liegt der Sinn des zehntägigen Rückkehrfensters.
- Teilen Sie die restlichen Geräte in kleinere Migrationswellen auf. Halten Sie für kritische Rollen einen Ersatzrechner bereit. Lohnt sich der Kauf eines Reservegeräts für den Schrank nicht, lässt sich ein Notebook für das Unternehmen mieten – auch nur für die Dauer der Migration.
- Dokumentieren Sie für jeden Arbeitsplatz Systemversion, Aktivierung, Verschlüsselungsstatus, Ergebnis der Anwendungstests und Rückkehrverfahren. Ohne diese Aufzeichnungen wissen Sie nicht, welche Rechner abgeschlossen sind, und einen Monat später kann es niemand mehr nachvollziehen.
Beginnen Sie keine Massenmigration am Abend vor dem Monatsabschluss. Rechnen Sie grob mit mehreren Stunden Arbeit und Kontrollen pro Arbeitsplatz. Große Mengen lokaler Daten, alte Benutzerprofile und Spezialsoftware können den Aufwand erheblich erhöhen.
So vergleichen Sie die tatsächlichen Kosten
Vergleichen Sie den gesamten Zeitraum bis Oktober 2028 und nicht nur die nächste Rechnung:
- Upgrade = Technikerarbeit + Anwendungstests + Sicherung + Ausfallzeit des Benutzers. Keine Lizenzkosten.
- ESU = kumulative Lizenzen (61 → 122 → 244 USD pro Gerät) + Updateverwaltung + die Migration, die trotzdem erforderlich wird – nur später, teurer und unter Zeitdruck.
- Austausch = Gerät + Dockingstation und Zubehör + Übertragung von Daten und Anwendungen + sichere Entsorgung des alten Datenträgers.
Verlangen Sie vom Anbieter ein nach Arbeitsplätzen aufgeschlüsseltes Budget und eine genaue Leistungsbeschreibung. Ein hochwertiges Ergebnis umfasst die Inventarisierung, die Entscheidung Upgrade/ESU/Austausch für jedes Gerät, das Ergebnis des Pilotbetriebs, den Status von Sicherungen und BitLocker-Schlüsseln, eine Liste der noch offenen Ausnahmen und deren Behebungstermine. Fordern Sie für ausgemusterte Computer ein Protokoll über die Löschung oder physische Vernichtung des Datenträgers an. Eine weggeworfene Festplatte mit Buchhaltungsdaten ist ein Datenleck – unabhängig davon, wie alt der Computer war.
Und die Arbeitsplätze, die bei Windows 10 bleiben müssen
Solche Fälle gibt es: ein Computer an einer Werkzeugmaschine, an einem Messgerät oder mit einer alten Laborkarte, deren Treiber niemals auf ein neues System portiert wird. Wenn Sie feststellen, dass darauf Windows 10 IoT Enterprise LTSC 2021 läuft, haben Sie bis 2032 Ruhe. In allen anderen Fällen gilt eine einfache Regel: Ein solcher Rechner darf seine Maschine bedienen – und sonst nichts.
In der Praxis bedeutet das ein eigenes Netzwerksegment ohne Internetzugang und ohne Zugriff auf die freigegebenen Unternehmenslaufwerke, keine E-Mail, keinen Browser, keine USB-Datenträger von Benutzern, ein lokales statt eines Domänenkontos sowie eine Sicherung außerhalb der Reichweite dieses Rechners. Ein nicht aktualisiertes Windows auf einem isolierten Gerät ist ein akzeptiertes Risiko. Ein nicht aktualisiertes Windows im selben Netzwerk wie die Buchhaltung ist ein Warten auf Ransomware – und damit geht es um eine Verantwortung, die Sie tragen, nicht der Hersteller.
Was bis zum 13. Oktober 2026 zu erledigen ist
Es bleiben ungefähr acht Wochen, und der Plan lässt sich in diesem Zeitraum umsetzen:
- diese Woche die Inventarisierung abschließen und die Arbeitsplätze den drei Kategorien zuordnen,
- innerhalb von zwei Wochen den Windows-11-Pilotbetrieb auf einem repräsentativen Gerät starten,
- im September die fehlende Hardware und Dockingstationen bestellen und die Migrationswellen so planen, dass sie nicht mit Monatsabschlüssen kollidieren,
- bis Anfang Oktober alle migrationsfähigen Geräte umstellen und für den Rest entscheiden, ob Sie tatsächlich sowohl das erste als auch das zweite ESU-Jahr benötigen,
- vor dem 13. Oktober prüfen, ob die ESU-Schlüssel aktiviert sind und die Updates auf den betroffenen Arbeitsplätzen tatsächlich installiert werden. Eine bezahlte Lizenz ohne verifizierte Installation bietet keinen Schutz, sondern verursacht lediglich Kosten.
Wenn Sie Inventarisierung, Anwendungskompatibilitätstests und Migration als Gesamtprojekt umsetzen möchten oder lediglich eine zweite Einschätzung dazu benötigen, welche Geräte noch sinnvoll weiterverwendet werden können, sprechen Sie uns an. Sowohl unseren Computer-Service als auch die laufende Betreuung Ihrer Unternehmens-IT bieten wir einschließlich eines nach Arbeitsplätzen aufgeschlüsselten Budgets an. Geben Sie in Ihrer Anfrage die Zahl der Arbeitsplätze, die verwendeten Anwendungen, die Anzahl der Standorte und den gewünschten Fertigstellungstermin an. So lassen sich Ablauf und Preis planen, ohne Hardware auf Verdacht zu kaufen.
Häufig gestellte Fragen
Funktioniert ein Firmen-PC mit Windows 10 nach dem Supportende nicht mehr?
Doch. Er startet weiterhin und die Anwendungen funktionieren. Ohne ESU erhält das System jedoch weder Sicherheits- noch Qualitätsupdates, und es besteht kein regulärer Support mehr. Das Risiko steigt nicht plötzlich, sondern schrittweise: Neu entdeckte Schwachstellen in Windows 10 müssen ohne ESU nicht mehr behoben werden, sodass die Gefährdung des Geräts mit der Zeit zunimmt.
Ist ESU für Unternehmen kostenlos?
In der Regel nicht. Microsoft nennt einen Referenzpreis von 61 USD pro Gerät für das erste Jahr und verdoppelt ihn in jedem weiteren Jahr. Kostenlos ist ESU nur in bestimmten Fällen – beispielsweise für Arbeitsplätze, die eine Verbindung zu einem aktiv lizenzierten Cloud PC in Windows 365 herstellen. Das ESU-Angebot für Privatanwender ersetzt keine kommerzielle Lizenz und gilt weder für Domänengeräte noch für per MDM verwaltete Computer.
Können wir ESU nur für die verbleibenden Monate kaufen?
Nein. Die Jahre werden vollständig und kumulativ verkauft. Ein Kauf im August 2026 bedeutet, das gesamte erste Jahr zu bezahlen, das am 13. Oktober 2026 endet, sowie das gesamte zweite Jahr, wenn der Arbeitsplatz darüber hinaus weiterlaufen soll.
Können wir TPM umgehen und Windows 11 manuell installieren?
Technisch ja, das Gerät bleibt dadurch jedoch nicht unterstützt, und Microsoft garantiert dafür keine Updates. Prüfen Sie zunächst, ob TPM lediglich im UEFI deaktiviert ist – bei Intel unter der Bezeichnung PTT, bei AMD als fTPM. Das ist die häufigste Ursache. Fehlt tatsächlich ein unterstützter Prozessor, wählen Sie ESU mit festem Enddatum oder tauschen Sie das Gerät aus.
Reichen unter Windows 10 ein aktuelles Microsoft 365 und ein gutes Antivirenprogramm aus?
Nein. Microsoft 365 Apps sollen unter Windows 10 bis zum 10. Oktober 2028 Sicherheitsupdates erhalten, doch diese aktualisieren die Anwendungen und nicht das Betriebssystem. Eine Schwachstelle im Systemkern, in einem Treiber oder im Netzwerk-Stack kann ein Antivirenprogramm nicht beheben. Es kann ihre Ausnutzung höchstens erkennen – möglicherweise erst dann, wenn der Angriff bereits läuft.
Wie lange dauert der Umstieg eines kleinen Unternehmens auf Windows 11?
Die Installation selbst ist nur ein kleiner Teil der Arbeit. Entscheidend sind die Anzahl der Arbeitsplätze, der Umfang lokal gespeicherter Daten sowie die Kompatibilität von Buchhaltung, VPN, Druckern und Peripheriegeräten. Rechnen Sie grob mit mehreren Stunden pro Arbeitsplatz sowie zusätzlich einer Woche für den Pilotbetrieb. Migrieren Sie kritische Rollen nur mit einem vorbereiteten Ersatzrechner.