Windows 10 läuft aus – ESU-Brückenlizenz oder direkte Migration: Was ist die richtige Entscheidung für Ihren Betrieb?
Inhaltsverzeichnis
Veröffentlicht: 03. September 2026 · Lesezeit: ca. 13 Minuten
Viele Unternehmer glauben, dass das Support-Ende von Windows 10 sie nicht wirklich betrifft – schließlich laufe ihr System noch, und bisher sei ja auch nichts passiert. Dieser Gedanke ist verständlich, aber trügerisch. Was sich mit dem Support-Ende verändert hat, ist nicht die Funktion des Betriebssystems, sondern sein Schutzstatus: Neue Sicherheitslücken werden von Microsoft nicht mehr geschlossen. Das System selbst läuft weiter – nur eben dauerhaft offen für jeden Angreifer, der eine dieser Lücken kennt.
Ein zweiter verbreiteter Irrtum: „Wir haben ein Antivirusprogramm – das reicht als Schutz.“ Antivirensoftware kann bekannte Schadsoftware erkennen, ersetzt aber keinen gepatchten Betriebssystemkern. Schwachstellen auf Kernel- oder Treiberebene bleiben offen, egal welcher Virenschutz darüber liegt. Wer das ignoriert, riskiert nicht nur einen Angriff, sondern auch seine DSGVO-Konformität – denn der „Stand der Technik“ ist ohne aktive Sicherheitsupdates schlicht nicht mehr gegeben.
Das Windows 10 End-of-Life markiert eine der größten Pflichtaufgaben für kleine und mittlere Betriebe in diesem Jahr. Seit dem 14. Oktober 2025 stellt Microsoft keine kostenlosen Sicherheitsupdates mehr bereit – und jede neu entdeckte Schwachstelle bleibt auf ungepatchten Systemen dauerhaft offen. Das BSI zählte zuletzt durchschnittlich 119 neue IT-Schwachstellen pro Tag, ein Anstieg von 24 % gegenüber dem Vorjahr.
Für Unternehmer stellt sich damit eine sehr konkrete Frage: Kaufen Sie über das Extended Security Updates-Programm (ESU) Zeit, oder steigen Sie jetzt direkt auf Windows 11 um? Beide Wege sind legitim – aber keiner davon ist für jeden Betrieb gleich sinnvoll. Die Antwort hängt von Ihrem Gerätebestand, Ihren Budgetzyklen und Ihrer Risikobereitschaft ab.
Dieser Artikel vergleicht beide Optionen direkt: Was kostet ESU wirklich, was setzt Windows 11 voraus, und wann rechnet sich welcher Weg? Sie erhalten eine klare Entscheidungsgrundlage – ohne Vereinfachungen, aber auch ohne unnötige Komplexität.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Office 2016/2019-Installationsquote in kleinen Unternehmen (10–49 MA) | 65 % – weitere 12 % nutzen noch Office 2010/2013 | Intra2net, Oktober 2025 |
| Kleine Unternehmen ohne Sicherheitsupdates für ihr Office-Paket seit Oktober 2025 | 77 % | Intra2net, Oktober 2025 |
| ESU-Kosten pro Gerät im dritten Lizenzjahr (bis Oktober 2028) | 244 USD – kumuliert über 3 Jahre: 427 USD/Gerät | Mittelstand-Digital Zentrum Berlin, August 2025 |
| Neue IT-Schwachstellen pro Tag (Deutschland, BSI-Lagebericht) | Ø 119 – Anstieg von 24 % gegenüber Vorjahr | BSI-Lagebericht 2025, via TTG GmbH |
Die Ausgangslage: Welche Entscheidung steht wirklich an?
Betriebe, die noch mit Windows 10 arbeiten, stehen vor einer Weggabelung mit zwei klar definierten Pfaden: Entweder sie buchen Extended Security Updates (ESU) und kaufen sich damit Übergangszeit bis maximal Oktober 2028 – oder sie migrieren ihre Geräte jetzt auf Windows 11, sofern die Hardware das erlaubt. Eine dritte Option – einfach abwarten und nichts tun – ist keine Strategie, sondern ein kalkuliertes Risiko, das sich mit jedem Monat vergrößert.
Bevor Sie diese Entscheidung treffen können, brauchen Sie verlässliche Daten über Ihren eigenen Gerätebestand. Das klingt aufwändiger als es ist: Das kostenlose Tool Microsoft PC Health Check zeigt für jedes Gerät, ob TPM 2.0 vorhanden ist, ob der Prozessor die Windows-11-Mindestanforderungen erfüllt (Intel 8. Generation aufwärts, AMD Zen 2 aufwärts) und wie viel RAM verbaut ist. Für einen typischen Betrieb mit 15–30 Arbeitsplätzen dauert diese Inventur erfahrungsgemäß drei bis vier Tage – ein Aufwand, der sich lohnt, weil er jede Folgeentscheidung auf eine echte Grundlage stellt.
Was viele bei dieser Inventur unterschätzen: Das Betriebssystem ist nur die halbe Miete. In einem Betrieb mit 10 bis 49 Mitarbeitern laufen nach aktuellen Erhebungen in 77 % der Fälle auch veraltete Office-Versionen ohne aktive Sicherheitsupdates. Wer Windows 10 End-of-Life adressiert, sollte die Office-Modernisierung deshalb gleichzeitig auf den Tisch legen – nicht als Zusatzprojekt, sondern als integralen Bestandteil derselben Planung.
- Führen Sie eine vollständige Geräteinventur durch – OS-Version, CPU-Generation, TPM-Status, RAM pro Arbeitsplatz.
- Nutzen Sie Microsoft PC Health Check für jedes Windows-10-Gerät (kostenlos, kein IT-Fachwissen nötig).
- Trennen Sie Geräte in drei Gruppen: sofort upgradefähig / upgradefähig mit BIOS-Anpassung / nicht upgradefähig.
- Prüfen Sie parallel die installierten Office-Versionen – ein veraltetes Office neben Windows 11 löst das Sicherheitsproblem nur halb.
- Schauen Sie sich die Unterstützung durch Ihren IT-Partner an: Eine strukturierte IT-Infrastruktur & Gerätebetreuung – TTG GmbH kann diese Inventur mit geeigneten Tools in deutlich kürzerer Zeit durchführen.
Erst wenn Sie wissen, wie viele Geräte wirklich nicht upgradefähig sind, lässt sich der ESU-Aufwand seriös kalkulieren. Ohne diese Grundlage treffen Sie eine kostspielige Entscheidung im Blindflug.
Option A – Extended Security Updates: Brückenlizenz mit klaren Grenzen
Extended Security Updates sind Microsofts Angebot für Betriebe, die nicht sofort migrieren können. Das Programm liefert kritische Sicherheitspatches für Windows 10 – aber ausschließlich für Schwachstellen mit hohem oder kritischem Schweregrad, keine Funktionsupdates, keine Support-Anfragen. Es handelt sich um ein reines Sicherheitsnetz, nicht um einen vollwertigen Support.
Die Kosten staffeln sich jährlich: Im ersten Jahr zahlen Unternehmen 61 USD pro Gerät, im zweiten Jahr 122 USD, im dritten Jahr 244 USD. Wer erst im zweiten Jahr einsteigt, muss das erste Jahr rückwirkend nachkaufen – also mindestens 183 USD auf einmal. Bei einem Betrieb mit 20 Geräten, der erst in Jahr 2 beginnt, werden das auf einen Schlag rund 3.660 USD fällig. Im dritten Jahr kämen nochmals 4.880 USD hinzu. Diese Kostenkurve ist der entscheidende Grund, warum ESU nur als bewusst befristete Brücke funktioniert – nicht als günstige Dauerlösung.
Was ESU leistet:
- Schließt kritische Sicherheitslücken für Windows 10 bis Oktober 2028.
- Hält die DSGVO-Konformität aufrecht, solange der Betrieb aktiv patcht und den Status dokumentiert.
- Gibt Ihnen Zeit, Hardware-Entscheidungen geordnet zu treffen – ohne Druck, noch diese Woche bestellen zu müssen.
- Ist über das Microsoft-Volumenlizenzprogramm oder über Windows 365 (Cloud-PC) buchbar, wo ESU automatisch eingeschlossen ist.
Was ESU nicht leistet:
- Keine Absicherung veralteter Office-Versionen – das ist ein separates Problem.
- Kein Schutz vor Anwendungsfehlern oder Treiberinkompatibilitäten, die mit der Zeit zunehmen.
- Keine langfristige Lösung: Oktober 2028 ist ein hartes Enddatum, danach gibt es keine Verlängerungsoption mehr.
Unsere Einschätzung: ESU macht für Geräte Sinn, die schlicht nicht upgradefähig sind und deren Austausch aus budget- oder beschaffungstechnischen Gründen nicht sofort möglich ist. Als generelle Strategie für den gesamten Bestand ist es zu teuer und zu kurzfristig gedacht. Weitere Informationen zu einem durchdachten Migrations-Vorgehen finden Sie bei den IT-Dienstleistungen der TTG GmbH.
Option B – Direkte Migration auf Windows 11: Chancen und Hürden
Die Migration auf Windows 11 ist für viele Betriebe der schnellste Weg heraus aus dem Windows 10 End-of-Life-Dilemma – aber sie setzt voraus, dass die Hardware mitspielt. Microsoft hat mit Windows 11 erstmals TPM 2.0 als Pflichtanforderung eingeführt, kombiniert mit einer Mindest-Prozessorgeneration. Geräte, die diese Anforderungen nicht erfüllen, können nicht offiziell upgraden.
Allerdings ist das Bild in der Praxis differenzierter: Viele Geräte besitzen bereits einen TPM-2.0-Chip, der im BIOS schlicht deaktiviert ist. Eine kurze BIOS-Prüfung – die für einen erfahrenen IT-Techniker drei bis fünf Minuten dauert – kann solche Geräte upgradefähig machen, ohne einen Euro für neue Hardware auszugeben. Das ist aus Nachhaltigkeitsperspektive ein erheblicher Vorteil: Jedes Gerät, das so reaktiviert wird, ist ein Gerät weniger auf dem Elektroschrott-Berg.
Was die direkte Migration bietet:
- Voller Microsoft-Support bis mindestens Oktober 2031 für Windows 11 Home/Pro – langfristige Planungssicherheit.
- Keine steigenden ESU-Lizenzkosten – die Investition fließt in die Infrastruktur statt in temporäre Lizenzen.
- Zugang zu aktuellen Sicherheitsfeatures wie Virtualization-Based Security (VBS) und Windows Hello for Business.
- Kompatibilität mit modernen Verwaltungslösungen (Microsoft Intune, Autopilot), die für KMU zunehmend relevant werden.
Die Herausforderungen dabei:
- Nicht alle Geräte sind upgradefähig – ein Teil des Bestands muss zwingend ausgetauscht werden.
- Der Migrationsprozess erfordert Planung: Datensicherung, Anwendungskompatibilitätsprüfung, Rollout-Reihenfolge.
- Für Betriebe mit spezialisierten Branchenanwendungen (Produktionssteuerung, Kassensysteme, Medizinsoftware) muss die Kompatibilität mit Windows 11 vorab geprüft werden – das ist keine Selbstverständlichkeit.
Das BSI – Sichere Clients für KMU empfiehlt ausdrücklich, nicht upgradefähige Geräte entweder auszutauschen oder in ein streng isoliertes Netzwerksegment zu verschieben – ein Betrieb ohne Netzwerktrennung sollte diese Geräte also nicht einfach weiterlaufen lassen. Als ISO/IEC 27001 zertifizierter IT-Partner – TTG GmbH begleiten wir diese Segmentierungsprojekte regelmäßig und kennen die typischen Stolperstellen.
ESU gegen Migration: Wann lohnt sich welcher Weg?
Die Entscheidung zwischen ESU und direkter Migration ist keine Grundsatzfrage, sondern eine Kalkulation – pro Gerät, nicht für den gesamten Bestand auf einmal. In der Praxis fahren die meisten Betriebe eine gemischte Strategie: upgradefähige Geräte wandern sofort auf Windows 11, der Rest wird befristet über ESU abgesichert und in den nächsten Beschaffungszyklus eingesteuert.
Die folgende Tabelle fasst die wichtigsten Entscheidungssituationen zusammen:
| Ihre Situation | Empfehlung | Warum |
|---|---|---|
| Gerät hat TPM 2.0 (aktiv oder im BIOS deaktiviert), CPU Intel 8. Gen+ oder AMD Zen 2+ | Direkt auf Windows 11 migrieren | Kein ESU-Aufwand, langfristige Planungssicherheit, kein Kostenwachstum |
| Gerät ist nicht upgradefähig, aber geschäftskritisch und Austausch erst in 6–12 Monaten geplant | ESU Jahr 1 buchen (61 USD/Gerät), konkretes Austauschdatum festlegen | Minimale Kosten, klare Frist, kein Einstieg in die teureren Folgejahre ohne Plan |
| Gerät läuft spezielle Branchensoftware, Windows-11-Kompatibilität noch nicht bestätigt | ESU als Puffer buchen, Kompatibilitätsprüfung sofort anstoßen | Vermeidet Produktionsausfälle durch überhastete Migration |
| Mehrere ältere Geräte, kein Budget für Sofort-Ersatz | Geräte priorisieren nach Exponierung (Internet-Zugang, Kundendaten) und selektiv ersetzen | ESU für alle zu buchen ist bei 20+ Geräten in Jahr 3 kaum günstiger als neue Hardware |
| Geräte ohne Internet-Zugang, reine Steuerungsrechner in der Produktion | Netzwerksegmentierung + ESU oder Austausch mittelfristig planen | Isolierte Geräte haben geringeres Angriffspotenzial, aber keine Null-Risiko-Situation |
Ein konkreter Vergleichswert zur Entscheidungshilfe: Bei 20 Geräten, die über alle drei ESU-Jahre laufen, summieren sich allein die Lizenzkosten auf rund 8.500 USD – ohne Verwaltungsaufwand. Ein aktuelles Business-Notebook liegt bei 700–1.200 EUR. Ab einem gewissen Gerätealter ist der Austausch schlicht wirtschaftlicher als das Aufrechterhalten veralteter Hardware mit immer teureren Pflasterlösungen.
Für die Compliance-Dokumentation gilt: Halten Sie ESU-Buchungen, Migrationsstatus und interne Fristen schriftlich fest. Datenschutzbehörden fragen im Ernstfall nach dem „Stand der Technik“ – und der lässt sich nur mit einer nachvollziehbaren Dokumentation belegen. Hilfestellung zur sicheren Hardware-Verwaltung bietet die Sichere Hardware-Verwaltung für KMU – TTG GmbH.
Was die Praxis zeigt: Erfahrungen aus Betrieben in der Region
Ein Handwerksbetrieb aus unserer Region mit rund 18 Mitarbeitern stand vor einem typischen gemischten Bestand: Acht Geräte waren upgradefähig, fünf besaßen TPM 2.0 im BIOS, das schlicht deaktiviert war, und sechs Geräte schieden komplett aus. Nach einer strukturierten Inventur – durchgeführt an zwei Nachmittagen – ergab sich ein klarer Plan: 13 Geräte migrierten auf Windows 11 ohne Hardwarekauf, sechs werden im nächsten Quartal ersetzt und überbrückend mit ESU abgesichert. Ergebnis: Statt eines Budget-Schocks durch den Komplettaustausch entstand ein verteilter, finanziell beherrschbarer Rollout.
Was diesen Fall lehrreich macht: Kein einziges Gerät lief weiter ohne Plan. Das ist seltener als man denkt – und wichtig, denn ungepatchte Systeme sind heute kein theoretisches Risiko mehr. Aktuell melden Sicherheitsforscher, dass 85 Prozent der deutschen On-Premises-Exchange-Server durch eine öffentlich bekannte Lücke angreifbar sind (heise Security, August 2026) – ein Beleg dafür, wie schnell veraltete Software zum realen Einfallstor wird. Wer Windows 10 End-of-Life ignoriert, geht dasselbe Risiko auf Betriebssystemebene ein.
Als ISO/IEC 27001-zertifizierter IT-Partner mit über 25 Jahren Erfahrung begleiten wir Betriebe in der Region durch genau diese Entscheidungsprozesse – vom ersten Geräte-Scan bis zum abgeschlossenen Rollout. Was dabei immer wieder auffällt: Die technische Migration ist selten das eigentliche Problem. Die größere Hürde ist die fehlende Priorisierung. Betriebe, die konkrete Fristen und Zuständigkeiten definieren, schließen solche Projekte tatsächlich ab – die anderen schieben sie von Quartal zu Quartal.
Der Bitkom – Digitale Infrastruktur und Hardware weist darauf hin, dass Hardware-Refresh-Zyklen in deutschen KMU im Schnitt bei sechs bis acht Jahren liegen – deutlich länger als die typischen vier bis fünf Jahre, die Hersteller empfehlen. Das Windows 10 End-of-Life ist für viele Betriebe der erzwungene Anlass, diesen Zyklus endlich zu korrigieren. Wer das jetzt tut, baut langfristig auf einer stabileren Grundlage. Mehr über unsere regionale Arbeit und Herangehensweise erfahren Sie unter Über TTG GmbH – Ihr IT-Partner seit über 25 Jahren.
Unsere Einschätzung: Welche Option für welchen Betrieb passt
Es gibt keine universelle Antwort auf die Frage „ESU oder Migration?“ – aber es gibt eine klare Logik, der die meisten Betriebe folgen sollten: Migrieren Sie alles, was migriert werden kann, und sichern Sie den Rest mit ESU ab – mit einem verbindlichen Ausstiegsdatum, nicht als Dauerzustand.
Wer noch nie eine Geräteinventur durchgeführt hat, wird beim Windows 10 End-of-Life oft positiv überrascht: Ein erheblicher Teil des Bestands ist bereits upgradefähig, wenn man die BIOS-Einstellungen prüft. Das kostet keinen Euro für neue Hardware und spart gleichzeitig ESU-Kosten. Diese niedrig hängenden Früchte sollten zuerst geerntet werden.
Für Betriebe in Leinefelde-Worbis und der weiteren Region gilt dasselbe wie überall: Die technische Lösung ist der einfache Teil. Der schwierige Teil ist, den ersten Schritt zu tun – den Bestand zu erfassen und eine Entscheidung zu treffen, bevor der Druck durch einen Sicherheitsvorfall entsteht. Wer jetzt handelt, kann ruhig und geordnet vorgehen. Wer wartet, handelt unter Zeitdruck – und trifft dann oft teurere Entscheidungen.
Unsere klare Empfehlung für den Einstieg:
- Starten Sie mit der Inventur – heute, nicht nächsten Monat.
- Buchen Sie ESU nur für Geräte, für die Sie ein konkretes Austauschdatum haben.
- Behandeln Sie Windows 10 End-of-Life nicht als reines IT-Thema, sondern als Compliance- und Unternehmensrisiko.
- Schließen Sie die Office-Modernisierung in dieselbe Planung ein.
Wenn Sie möchten, dass jemand diese Inventur und Planung strukturiert für Sie durchführt, sprechen Sie uns an. Hardware-Migration jetzt planen lassen – wir zeigen Ihnen in einem ersten Gespräch, welche Geräte in Ihrem Bestand sofort upgradefähig sind und welche realistischen Optionen Sie haben.
Ihre Checkliste: So starten Sie jetzt
- Erfassen Sie alle Arbeitsplatz-PCs mit OS-Version, CPU-Modell, RAM und TPM-Status – nutzen Sie dafür Microsoft PC Health Check (kostenlos, kein IT-Fachwissen nötig).
- Teilen Sie Ihren Gerätebestand in drei Gruppen ein: sofort upgradefähig, upgradefähig nach BIOS-Anpassung, nicht upgradefähig.
- Prüfen Sie im BIOS jedes Geräts, ob TPM 2.0 vorhanden, aber deaktiviert ist – das lässt sich in wenigen Minuten aktivieren und macht ein Upgrade möglich.
- Buchen Sie ESU ausschließlich für Geräte, für die Sie ein konkretes Austauschdatum in den nächsten 6–12 Monaten festgelegt haben.
- Starten Sie den Windows-11-Rollout bei den upgradefähigen Geräten – beginnen Sie mit internetexponierten Arbeitsplätzen und Geräten mit Kundendatenzugriff.
- Prüfen Sie parallel alle installierten Office-Versionen und planen Sie eine Modernisierung auf mindestens Office 2021 oder Microsoft 365 ein.
- Dokumentieren Sie ESU-Buchungen, Migrationsstatus und interne Fristen schriftlich – als Nachweis des Standes der Technik gegenüber Datenschutzbehörden oder Kunden.
- Sprechen Sie Ihren IT-Partner auf eine Kosten-Nutzen-Kalkulation an: Ab welcher Gerätezahl ist sofortiger Hardwarekauf günstiger als ESU über mehrere Jahre?
Häufig gestellte Fragen
Muss ich sofort handeln, oder habe ich noch Zeit?
Das Support-Ende liegt seit Oktober 2025 hinter uns – jede Woche ohne Schutz ist eine Woche, in der neu entdeckte Schwachstellen auf Ihren Systemen offen bleiben. Wer ESU buchen möchte, sollte das nicht auf Jahr 2 verschieben: Der Späteinstieg erfordert den rückwirkenden Nachkauf von Jahr 1, was bei mehreren Geräten einen erheblichen Einmalbetrag bedeutet. Handeln Sie jetzt – auch wenn der Rollout gestaffelt erfolgt.
Was kostet das Extended Security Updates-Programm bei 15 Geräten konkret?
Im ersten Jahr zahlen Sie rund 61 USD pro Gerät, also ca. 915 USD gesamt. Im zweiten Jahr verdoppelt sich der Preis auf 122 USD/Gerät (1.830 USD), im dritten Jahr auf 244 USD/Gerät (3.660 USD). Wer alle drei Jahre nutzt, gibt pro Gerät insgesamt 427 USD aus – bei 15 Geräten über 6.400 USD. Neue Business-Hardware liegt oft darunter, wenn man Betriebskosten und Produktivitätsgewinn einrechnet.
Gefährdet Windows 10 End-of-Life meine DSGVO-Konformität?
Ja, potenziell. Die DSGVO fordert „dem Stand der Technik“ entsprechende Schutzmaßnahmen. Ein Betriebssystem ohne Sicherheitsupdates erfüllt diesen Standard nicht mehr. Das bedeutet nicht zwingend eine sofortige Abmahnung – aber im Fall eines Datenschutzvorfalls kann der Einsatz veralteter Software ein erhebliches Haftungsrisiko darstellen. ESU-Buchung und Dokumentation des Migrationsstatus helfen, die Konformität aufrechtzuerhalten.
Können wirklich alle Windows-10-Geräte auf Windows 11 upgraden?
Nein. Windows 11 setzt TPM 2.0 und eine Mindest-Prozessorgeneration voraus. Ältere Geräte mit Intel 7. Generation oder darunter sowie AMD Zen 1 sind grundsätzlich ausgeschlossen. Allerdings haben viele Geräte TPM 2.0 verbaut, aber im BIOS deaktiviert – eine kurze Prüfung durch einen IT-Techniker kann hier Überraschungen in beide Richtungen ans Licht bringen. Eine Inventur klärt das zuverlässig.
Wir haben eine spezialisierte Branchensoftware – was müssen wir beachten?
Branchenanwendungen (z. B. für Produktion, Medizin oder Gastronomie) sind nicht immer mit Windows 11 kompatibel. Fragen Sie Ihren Softwareanbieter vor der Migration konkret nach einer Freigabe für Windows 11. Solange diese aussteht, ist ESU als Überbrückung sinnvoll – aber setzen Sie dem Anbieter eine klare Frist. Eine fehlende Kompatibilitätszusage darf kein dauerhafter Migrationsaufschub sein.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute, wie viele Ihrer Arbeitsplatz-PCs noch ohne Sicherheitsupdates laufen – und wer im Ernstfall dafür haftet?
IT-Infrastruktur sicher modernisieren
Veraltete Hardware kostet Zeit und Geld. Die TTG GmbH plant und realisiert Ihre IT-Migration – ohne Produktionsausfälle, für KMU in Nordthüringen und Eichsfeld.
