Windows 10 abgelöst: Upgrade auf Windows 11 oder Extended Security Updates – was ist die richtige Wahl?
Inhaltsverzeichnis
Veröffentlicht: 27. August 2026 · Lesezeit: ca. 12 Minuten
Stellen Sie sich vor: Zehn Arbeitsplätze, alle noch mit Windows 10. Kein ESU gebucht, kein Upgrade geplant. Ein einziger erfolgreicher Angriff über eine ungepatchte Sicherheitslücke kostet einen mittelständischen Betrieb nach aktuellen Schätzungen schnell 15.000 bis 50.000 Euro – durch Datenverlust, Wiederherstellung, Ausfallzeiten und mögliche DSGVO-Meldepflichten. Das ist keine Theorie: Cyberangriffe verursachen der deutschen Wirtschaft jährlich über 200 Milliarden Euro Schaden (Bitkom, 2025), und ungepatchte Systeme sind einer der häufigsten Einfallspunkte.
Wer heute auf Windows 10 setzt und weder migriert noch Extended Security Updates gebucht hat, erhält schlicht keine Sicherheitskorrekturen mehr – weder für neue noch für bekannte Schwachstellen. Das ist kein theoretisches Risiko, sondern ein laufendes Problem. Allein im August 2026 warnte die CISA vor aktiv ausgenutzten Lücken in weit verbreiteter Unternehmenssoftware – wie heise Security berichtet. Betriebe ohne aktuelle Patches sind in solchen Fällen schutzlos.
Die entscheidende Frage lautet deshalb nicht, ob Sie handeln müssen – sondern wie und womit.
Das Windows 10 End-of-Life ist seit dem 14. Oktober 2025 Realität: Microsoft stellt keine kostenlosen Sicherheitsupdates mehr für Windows 10 22H2 bereit. Betriebe, die seitdem nichts unternommen haben, betreiben ihre Arbeitsplätze ohne aktiven Patch-Schutz – in einer Zeit, in der Angreifer bekannte Schwachstellen systematisch ausnutzen.
Rund 30 Prozent der deutschen Unternehmens-PCs laufen noch mit Windows 10 (Bitkom, 2025). Für viele Geschäftsführer stellt sich jetzt die gleiche Frage: Upgrade auf Windows 11 – oder Extended Security Updates (ESU) buchen und Zeit gewinnen? Beide Wege haben ihre Berechtigung, aber auch klare Grenzen. Eine pauschale Antwort gibt es nicht.
Dieser Artikel vergleicht beide Optionen direkt: Was kosten sie, was leisten sie, und für welchen Betrieb ist welcher Weg der richtige? Sie erhalten eine klare Entscheidungshilfe – ohne Fachjargon, aber mit den Zahlen, die für Ihre Planung wirklich relevant sind.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Windows 10 Support-Ende (kostenlose Updates) | 14. Oktober 2025 | Universität Kiel / Microsoft, 2025 |
| Jährlicher Cyber-Schaden für die deutsche Wirtschaft | 202,4 Mrd. Euro | Bitkom, 2025 |
| Anteil betroffener Unternehmen durch Cyberangriffe | 59 % | Bitkom, 2025 |
| Anteil deutscher Unternehmens-PCs noch mit Windows 10 | ca. 30 % | Bitkom, 2025 |
Die Entscheidung, vor der viele Betriebe gerade stehen
Seit Oktober 2025 gilt: Wer Windows 10 ohne ESU-Lizenz betreibt, erhält keinerlei Sicherheitskorrekturen mehr von Microsoft. Das betrifft Standardversionen wie Windows 10 Home und Pro gleichermaßen. Windows 10 End-of-Life bedeutet in der Praxis: Jede neue Schwachstelle, die Sicherheitsforscher oder Angreifer entdecken, bleibt auf diesen Geräten dauerhaft offen – es sei denn, Sie handeln.
Zwei Wege stehen zur Wahl: Der erste ist der Umstieg auf Windows 11 – entweder durch ein Software-Upgrade auf geeigneter Hardware oder durch den Austausch älterer Geräte. Der zweite ist die Buchung von Extended Security Updates (ESU), mit denen Microsoft monatliche Patches weiterliefert – kostenpflichtig, befristet auf maximal drei Jahre bis Oktober 2028, mit jährlich steigendem Preis.
Viele Betriebe stehen aktuell zwischen diesen Optionen und zögern – oft, weil der Investitionsbedarf für neue Hardware drückt oder weil Fachanwendungen noch nicht auf Windows 11 getestet wurden. Dieses Zögern ist nachvollziehbar, aber riskant: Jeder Monat ohne Patches erhöht die Angriffsfläche messbar.
Bevor Sie entscheiden, sollten Sie drei Dinge wissen:
- Welche Ihrer Geräte sind überhaupt Windows-11-fähig (TPM 2.0, CPU-Generation)?
- Welche Fachanwendungen laufen noch nicht stabil unter Windows 11?
- Wie viele Geräte betrifft die Entscheidung – und welche davon sind besonders kritisch?
Ein strukturiertes Hardware-Inventar ist der erste Schritt – und oft überraschend schnell erledigt. Kostenlose Tools wie der Microsoft PC Health Check oder WhyNotWin11 liefern in wenigen Minuten belastbare Ergebnisse pro Gerät. Wer diesen Überblick hat, trifft die Folgeentscheidung deutlich sicherer. Für Betriebe, die dabei Unterstützung wünschen, bietet die TTG GmbH eine vollständige IT-Infrastruktur & Gerätebetreuung – vom Inventar bis zum rollierenden Rollout.
Eines ist klar: Nichts tun ist keine Option. Ein Betrieb in Mühlhausen, der weiter auf ungepatchten Windows-10-Geräten arbeitet, trägt ein Risiko, das sich weder versicherungstechnisch noch gegenüber Kunden gut vertreten lässt.
Option A: Upgrade auf Windows 11 – was das wirklich bedeutet
Der Umstieg auf Windows 11 ist die langfristig sauberere Lösung – aber er stellt klare Anforderungen an die Hardware. Microsoft setzt für Windows 11 zwingend voraus: ein TPM-2.0-Modul, eine 64-Bit-CPU der Intel-8.-Generation oder neuer (bzw. AMD Zen 2 oder neuer) sowie mindestens 4 GB RAM und 64 GB Speicher. Ältere Geräte, die diese Voraussetzungen nicht erfüllen, können nicht regulär upgegradet werden – sie müssen ersetzt werden.
Das klingt nach einem Hindernis, relativiert sich aber schnell: Geräte, die die Windows-11-Anforderungen nicht erfüllen, sind in der Regel älter als fünf bis sechs Jahre. Für viele Betriebe ist ein geplanter Geräteaustausch in diesem Zeitraum ohnehin fällig – Windows 10 End-of-Life beschleunigt diese Entscheidung nur.
Was ein Windows-11-Upgrade konkret leistet:
- Langfristiger Sicherheits-Support durch Microsoft (aktuell bis mindestens Oktober 2031 für Windows 11 23H2)
- Keine zusätzlichen Lizenzkosten, wenn Windows 10 Pro bereits lizenziert ist – das Upgrade ist kostenlos
- Moderne Sicherheitsarchitektur: TPM-Pflicht, Virtualization-Based Security (VBS), bessere Ransomware-Resistenz
- Kompatibilität mit aktuellen Microsoft-365-Diensten und zukünftigen Copilot-Funktionen
Die Herausforderung liegt nicht in der Technik, sondern in der Planung. Fachanwendungen – insbesondere branchenspezifische Software für Handwerk, Steuerberatung oder Medizin – müssen vor dem Rollout auf Windows-11-Kompatibilität geprüft werden. Wer das überspringt, riskiert Produktionsausfälle am Tag der Umstellung.
Unsere Einschätzung: Für Betriebe mit überwiegend neuerer Hardware (jünger als fünf Jahre) und standardisierten Anwendungen ist das Upgrade der klar bessere Weg. Es ist einmalig aufwändig, aber danach wartungsärmer und günstiger als ESU. Die IT-Dienstleistungen der TTG GmbH umfassen genau diese Kompatibilitätstests und den begleiteten Rollout – damit der Umstieg nicht zum Produktionsstopp wird.
Wichtig: Das BSI empfiehlt die Migration auf Windows 11 so früh wie möglich – und weist darauf hin, dass nicht upgradefähige Geräte in ein isoliertes Netzwerksegment verschoben werden sollten, solange sie noch im Einsatz sind.
Option B: Extended Security Updates – Brücke oder Aufschub?
Extended Security Updates (ESU) sind Microsofts Antwort für Betriebe, die mehr Zeit für die Migration brauchen. Wer ESU bucht, erhält weiterhin monatliche Sicherheits-Patches für Windows 10 – aber ausschließlich kritische und wichtige Sicherheitskorrekturen, keine neuen Features oder Qualitätsupdates. Das Programm läuft maximal bis Oktober 2028.
Die Kosten staffeln sich jährlich: Im ersten Jahr zahlen Sie rund 61 US-Dollar pro Gerät. Im zweiten Jahr verdoppelt sich der Preis – rund 122 USD. Im dritten Jahr noch einmal: rund 244 USD. Für einen Betrieb mit 20 Arbeitsplätzen, der alle drei ESU-Jahre nutzt, summiert sich das auf über 8.000 Euro – ohne einmalige Einrichtungskosten. Diese Rechnung macht deutlich: ESU ist eine befristete Brücke, keine Dauerlösung.
Was ESU leistet – und was nicht:
- ✔ Monatliche Sicherheits-Patches für bekannte Schwachstellen in Windows 10
- ✔ Schutz für Geräte, die technisch nicht Windows-11-fähig sind und noch nicht ersetzt werden können
- ✔ Zeitgewinn für die schrittweise Migration ohne Produktionsdruck
- ✗ Kein Schutz für installierte Drittanbieter-Software (Browser, Office, Fachanwendungen)
- ✗ Kein Feature-Support, keine Qualitätsupdates
- ✗ Kein Ersatz für eine Migrationsstrategie – das Enddatum Oktober 2028 kommt schneller als erwartet
Wichtig: ESU ist nicht automatisch verfügbar. Für Windows 10 Pro und Enterprise muss die Lizenz aktiv gebucht und den Geräten zugewiesen werden – über Microsoft Volume Licensing oder einen qualifizierten Partner. Nur dann erhalten die Geräte tatsächlich Patches. Geräte, die nicht im ESU-Programm eingeschrieben sind, empfangen seit Oktober 2025 keinerlei Updates mehr.
Das Windows 10 End-of-Life-Programm hat außerdem eine Besonderheit für LTSB-Nutzer: Windows 10 Enterprise LTSB 2016 verliert im Oktober 2026 seinen Support – also deutlich früher als die Standardversionen. Wer diese Edition noch einsetzt, hat eine härtere Deadline und sollte LTSB-Geräte in der Migrationsplanung vorziehen.
Unsere Einschätzung: ESU ist sinnvoll als kurzfristige Überbrückung – aber nur für Geräte mit einem dokumentierten Migrationsplan. Wer ESU bucht und dabei die Migration vergisst, kauft sich lediglich Zeit, die er später teuer bezahlt.
Direkter Vergleich: Wann lohnt sich welcher Weg?
Die Entscheidung zwischen Upgrade und ESU hängt nicht vom Budget allein ab – sondern von der konkreten Situation Ihrer Geräte, Ihrer Software und Ihres Betriebs. Die folgende Tabelle fasst die wichtigsten Entscheidungskriterien zusammen:
| Situation | Empfehlung | Begründung |
|---|---|---|
| Geräte jünger als 5 Jahre, TPM 2.0 vorhanden | Upgrade auf Windows 11 | Technisch möglich, kostenlos, langfristig günstiger |
| Geräte älter als 6 Jahre, kein TPM 2.0 | Geräteaustausch + Windows 11 | ESU lohnt sich für alte Hardware kaum – Totalausfall droht ohnehin |
| Fachanwendung noch nicht Windows-11-kompatibel | ESU überbrücken, parallel testen | Zeitgewinn für Softwaretests ohne Produktionsrisiko |
| Windows 10 Enterprise LTSB 2016 im Einsatz | Sofortige Migrationsplanung | Support-Ende Oktober 2026 – keine ESU-Option für diese Edition |
| Gemischter Gerätepark (alt + neu) | Hybridstrategie: Upgrade wo möglich, ESU wo nötig | Schrittweise Migration reduziert Investitionsspitzen |
Ein weiterer Aspekt, den viele unterschätzen: Windows 10 End-of-Life betrifft nicht nur das Betriebssystem selbst. Auch angebundene Sicherheitslösungen, Endpoint-Detection-Systeme und MDM-Plattformen setzen zunehmend Windows 11 voraus. Wer zu lange wartet, verliert nicht nur OS-Updates, sondern auch den vollständigen Schutz durch seine Sicherheitssoftware.
Drei Fragen helfen bei der Entscheidung:
- Wie viele Ihrer Geräte erfüllen die Windows-11-Mindestanforderungen – und wie viele nicht?
- Haben Sie Fachanwendungen, die noch nicht offiziell für Windows 11 freigegeben sind?
- Wie lange können Sie den Geräteaustausch realistisch hinauszögern, ohne das Budget dauerhaft zu belasten?
Für die Sichere Hardware-Verwaltung für KMU empfehlen wir, Geräte in drei Risikoklassen einzuteilen: kritisch (sofortiger Handlungsbedarf), normal (Upgrade planbar) und austauschreif (kein ESU, Ersatz budgetieren). Dieses Raster macht aus einer diffusen Gesamtaufgabe einen konkreten Projektplan.
Was die Praxis zeigt: Erfahrungen aus Betrieben in der Region
Ein Handwerksbetrieb aus unserer Region – 18 Mitarbeiter, gemischter Gerätepark – stand vor einigen Monaten vor exakt dieser Entscheidung. Acht Geräte waren Windows-11-fähig, sechs nicht. Die Fachanwendung für Aufmaß und Angebotserstellung lief unter Windows 11 noch nicht stabil. Die Lösung: ESU für die sechs älteren Geräte als Überbrückung, sofortiges Upgrade der acht neueren Geräte, parallel Softwaretest mit dem Hersteller. Der gesamte Rollout dauerte knapp drei Wochen – deutlich weniger als ursprünglich befürchtet.
Was dabei auffiel: Die größte Hürde war nicht die Technik, sondern die fehlende Übersicht. Kein vollständiges Inventar, keine dokumentierten Softwareversionen, keine Aufstellung der Lizenzkosten. Das Erstellen dieser Grundlage hat mehr Zeit gekostet als der eigentliche Umstieg.
Als ISO/IEC 27001-zertifizierter IT-Partner mit über 25 Jahren Erfahrung in der Region begleiten wir genau solche Projekte regelmäßig – von der ersten Inventaraufnahme bis zum abgeschlossenen Rollout. Unsere Erfahrung zeigt: Betriebe, die die Migration strukturiert angehen, sind in vier bis sechs Wochen durch – inklusive Mitarbeiterschulung. Wer improvisiert, braucht deutlich länger und zahlt mehr.
Kosten im Überblick: Ein realistisches Windows-11-Upgrade-Projekt für 20 Arbeitsplätze (Hardware bereits kompatibel) liegt inklusive Beratung, Rollout und Kompatibilitätstests in der Größenordnung von 2.000 bis 4.000 Euro Dienstleistungskosten – einmalig. ESU für drei Jahre an 20 Geräten kostet kumuliert über 8.000 Euro – ohne Migrationskosten am Ende.
Der Bitkom weist darauf hin, dass viele Unternehmen Hardware-Investitionen zu lange aufschieben und dadurch höhere Folgekosten verursachen. Das deckt sich mit dem, was wir täglich erleben: Der günstigste Zeitpunkt für eine Migration war gestern – der zweitbeste ist jetzt.
Ein konkreter Hinweis für LTSB-Nutzer: Windows 10 Enterprise LTSB 2016 verliert im Oktober 2026 seinen Support – für diese Geräte gibt es keine ESU-Option. Wer noch LTSB 2016 betreibt, sollte diese Systeme in der Migrationsplanung vorziehen und nicht auf die reguläre Reihenfolge warten.
Unsere Einschätzung: Welche Option für welchen Betrieb passt
Nach allem, was wir bisher beschrieben haben, lässt sich eine klare Linie ziehen: Windows 10 End-of-Life ist kein Datum, das man ignorieren kann – aber es zwingt auch nicht jeden Betrieb zur gleichen Entscheidung.
Für Betriebe mit überwiegend neuerer Hardware ist das Upgrade auf Windows 11 die richtige Wahl. Es ist einmalig aufwändig, aber danach günstiger, sicherer und zukunftsfähiger. ESU ist in diesem Fall eine unnötige Ausgabe, die man sich sparen kann.
Für Betriebe mit älterem Gerätepark, laufenden Softwaretests oder begrenztem Investitionsbudget ist ESU eine legitime Übergangslösung – aber nur mit klarem Enddatum und einem Migrationsplan, der daran hängt. ESU ohne Plan ist teuer aufgeschobenes Handeln.
Was in keinem Fall funktioniert: weder migrieren noch ESU buchen. Wer heute Windows 10 ohne Patches betreibt, ist schutzlos gegenüber bekannten und neuen Schwachstellen. Das ist kein vertretbares Risiko – weder betriebswirtschaftlich noch unter DSGVO-Gesichtspunkten.
Konkrete Empfehlungen für den Start:
- Hardware-Inventar erstellen – heute, nicht nächste Woche
- Windows-11-Fähigkeit pro Gerät prüfen (PC Health Check, WhyNotWin11)
- Fachanwendungen auf Kompatibilität prüfen – beim Hersteller anfragen
- ESU nur buchen, wenn ein Migrationsplan daran geknüpft ist
- LTSB-2016-Geräte sofort priorisieren – Deadline Oktober 2026
- Secure-Boot-Zertifikate prüfen: Das PCA-2011-Zertifikat läuft ebenfalls im Oktober 2026 aus – verwaltete Geräte müssen das Ersatz-Zertifikat bereits erhalten haben
Wenn Sie unsicher sind, wo Ihr Betrieb gerade steht, sprechen Sie uns an. Die TTG GmbH unterstützt Betriebe in Mühlhausen und der gesamten Region bei genau diesem Prozess – mit einem klaren Inventar, einer realistischen Zeitplanung und einem Rollout, der den laufenden Betrieb nicht unterbricht. Hardware-Migration jetzt planen lassen – wir melden uns innerhalb eines Werktages.
Ihre Checkliste: So starten Sie jetzt
- Erstellen Sie ein vollständiges Hardware-Inventar aller Arbeitsplätze – mit Modell, Baujahr, RAM, CPU und TPM-Version.
- Prüfen Sie die Windows-11-Fähigkeit jedes Geräts mit dem kostenlosen Tool Microsoft PC Health Check oder WhyNotWin11.
- Identifizieren Sie alle Fachanwendungen und fragen Sie beim jeweiligen Hersteller nach der offiziellen Windows-11-Freigabe.
- Teilen Sie Geräte in drei Risikoklassen ein: kritisch (kein Patch, kein ESU), normal (Upgrade planbar), austauschreif (Ersatz budgetieren).
- Buchen Sie ESU ausschließlich für Geräte mit dokumentiertem Migrationsplan – nicht als Dauerlösung.
- Priorisieren Sie Windows 10 Enterprise LTSB 2016 – der Support endet im Oktober 2026, ESU ist für diese Edition nicht verfügbar.
- Stellen Sie sicher, dass verwaltete Geräte das neue Secure-Boot-Zertifikat erhalten haben, bevor das PCA-2011-Zertifikat im Oktober 2026 ausläuft.
- Sprechen Sie Ihren IT-Dienstleister an und legen Sie einen realistischen Rollout-Zeitplan fest – für 20 Arbeitsplätze sind 2 bis 4 Wochen realistisch.
Häufig gestellte Fragen
Was passiert konkret, wenn ich weder auf Windows 11 umstelle noch ESU buche?
Ihre Windows-10-Geräte erhalten seit Oktober 2025 keinerlei Sicherheits-Patches mehr. Jede neu entdeckte Schwachstelle bleibt dauerhaft offen. Angreifer nutzen bekannte, ungepatchte Lücken gezielt aus – oft automatisiert. Im Schadensfall haftet die Geschäftsführung unter Umständen auch persönlich, wenn nachweisbar ist, dass bekannte Sicherheitsrisiken ignoriert wurden. Abwarten ist keine neutrale Entscheidung – es ist eine aktive Risikoübernahme.
Lohnt sich ESU überhaupt, wenn der Preis sich jedes Jahr verdoppelt?
ESU lohnt sich nur als befristete Überbrückung – maximal ein bis zwei Jahre – und nur für Geräte, für die ein konkreter Migrationsplan existiert. Wer alle drei ESU-Jahre nutzt, zahlt pro Gerät kumuliert rund 427 USD. Für ältere Hardware, die ohnehin bald ersetzt werden muss, ist das kaum wirtschaftlich. ESU als Dauerstrategie zu verwenden, verschiebt Kosten nur in die Zukunft – und erhöht sie dabei.
Müssen wir neue Hardware kaufen, oder reicht ein Software-Upgrade?
Das hängt vom Alter Ihrer Geräte ab. Geräte der letzten fünf bis sechs Jahre erfüllen in der Regel die Windows-11-Mindestanforderungen (TPM 2.0, aktuelle CPU-Generation) – dort reicht ein Software-Upgrade, das kostenlos ist. Ältere Geräte ohne TPM 2.0 müssen ersetzt werden. Ein Hardware-Inventar mit Kompatibilitätsprüfung zeigt Ihnen innerhalb weniger Stunden, was bei Ihnen zutrifft.
Wie lange dauert ein Windows-11-Rollout für einen Betrieb mit 20 Arbeitsplätzen?
Mit guter Vorbereitung – Inventar, Kompatibilitätstests, Pilotgruppe – sind 20 Arbeitsplätze realistisch in zwei bis vier Wochen migriert. Voraussetzung: Fachanwendungen sind vorab getestet, und der Rollout erfolgt schrittweise, nicht auf einen Schlag. Der häufigste Grund für längere Projektlaufzeiten ist fehlende Vorarbeit, nicht die eigentliche technische Umstellung.
Was bedeutet das Windows 10 End-of-Life für unsere DSGVO-Pflichten?
Die DSGVO verlangt technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Ein ungepatchtes Betriebssystem gilt als bekanntes Sicherheitsrisiko – und kann im Fall eines Datenschutzvorfalls als Organisationsverschulden gewertet werden. Aufsichtsbehörden erwarten, dass Unternehmen auf bekannte Risiken reagieren. Das Windows 10 End-of-Life war lange angekündigt – fehlende Reaktion lässt sich schwer begründen.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute, wie viele Ihrer Windows-10-Geräte ohne Sicherheits-Patches laufen – und was das im Ernstfall kostet?
IT-Infrastruktur sicher modernisieren
Veraltete Hardware kostet Zeit und Geld. Die TTG GmbH plant und realisiert Ihre IT-Migration – ohne Produktionsausfälle, für KMU in Nordthüringen und Eichsfeld.
