Windows 10 läuft aus – Upgrade auf Windows 11 oder Extended Security Updates: Was ist die richtige Wahl?
Inhaltsverzeichnis
Veröffentlicht: 06. August 2026 · Lesezeit: ca. 11 Minuten
Noch vor wenigen Jahren galt Windows 10 als die stabilste und verlässlichste Plattform für Unternehmens-PCs – regelmäßige Updates, breite Hardware-Unterstützung, keine erzwungenen Wechsel. Viele Betriebe haben auf dieser Basis jahrelang zuverlässig gearbeitet und kaum einen Grund gesehen, etwas zu verändern.
Heute sieht das Bild anders aus. Der Support ist seit Oktober 2025 ausgelaufen, neue Schwachstellen entstehen weiterhin – etwa CVE-2026-58531, eine SMB-Privilege-Escalation-Lücke mit einem CVSS-Score von 7,5, die Windows-10-Versionen 21H2 und 22H2 betrifft und auf ungepatchten Systemen dauerhaft offen bleibt. Gleichzeitig melden Sicherheitsforscher nahezu täglich neue Angriffsvektoren: Allein die aktiv ausgenutzte Outlook-Web-Access-Lücke (heise Security, Juli 2026) zeigt, wie schnell veraltete oder ungepatchte Systeme zum Einfallstor werden können.
Die Frage ist also nicht mehr, ob etwas passieren muss – sondern welcher Weg für Ihren Betrieb der richtige ist.
Das Windows 10 End-of-Life ist kein angekündigtes Ereignis mehr, sondern vollzogene Realität. Seit dem 14. Oktober 2025 erhalten Systeme ohne kostenpflichtigen ESU-Vertrag keine Sicherheitspatches mehr von Microsoft. Neue Schwachstellen werden gefunden – und bleiben auf diesen Geräten dauerhaft offen.
Für Inhaber und Geschäftsführer kleiner und mittelständischer Unternehmen bedeutet das eine konkrete Entscheidung: Entweder die betroffenen Geräte auf Windows 11 migrieren – sofern die Hardware es zulässt – oder über Extended Security Updates (ESU) vorübergehend weiter mit Patches versorgt werden. Beide Optionen haben ihren Platz, aber auch klare Grenzen. Laut Bitkom laufen noch rund 30 % der deutschen Unternehmens-PCs mit Windows 10 – der Handlungsdruck ist breit.
Dieser Artikel vergleicht beide Wege ehrlich: Was kostet ESU wirklich, wann ist das Upgrade die bessere Wahl – und wie gehen Sie die Migration so an, dass Ihr Betrieb nicht tagelang stillsteht? Sie erhalten eine klare Entscheidungsgrundlage, keine Pauschalantwort.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Neue IT-Schwachstellen pro Tag (Berichtszeitraum 2025) | Ø 119 – Anstieg von ca. 24 % ggü. Vorjahr | BSI-Lagebericht 2025 |
| Windows-10-Geräte in deutschen Unternehmen | ca. 30 % aller Unternehmens-PCs | Bitkom 2025 |
| ESU-Kosten (1. Jahr) je Gerät | ca. 61 USD – Verdopplung jährlich, max. 3 Jahre (bis Okt. 2028) | Microsoft Support, Juli 2026 |
| Nächste EOL-Welle: Windows 10 Enterprise LTSB 2016 | 13. Oktober 2026 – vollständiger Wegfall des Update-Supports | Microsoft Tech Community, Juli 2026 |
Die Entscheidung, vor der viele Betriebe jetzt stehen
Mit dem Windows 10 End-of-Life ist für viele Unternehmen eine Situation eingetreten, die sich lange angekündigt hat – und dennoch viele unvorbereitet trifft. Die Geräte laufen weiter, die Mitarbeiter arbeiten weiter, und auf den ersten Blick passiert nichts. Was im Hintergrund fehlt, sind die monatlichen Sicherheitspatches, die bisher still und zuverlässig Lücken geschlossen haben.
Microsoft stellt zwar weiterhin Updates bereit – etwa KB5099539 im Juli 2026 – aber ausschließlich für Geräte mit einem aktiven, kostenpflichtigen ESU-Vertrag. Alle anderen Systeme akkumulieren ab sofort ungepatchte Schwachstellen. Das ist keine theoretische Warnung: CVE-2026-58531 (CVSS 7,5) zeigt, dass kritische Lücken aktiv auf Windows 10 entstehen und ohne ESU dauerhaft offen bleiben (windowsforum.com, Juli 2026).
Konkret stehen Unternehmen vor zwei Wegen:
- Option A – Extended Security Updates (ESU): Microsoft liefert weiterhin Patches gegen Zahlung. Kein sofortiger Wechsel nötig, aber mit steigenden Kosten und einer harten Enddatums-Grenze im Oktober 2028.
- Option B – Upgrade auf Windows 11: Dauerhafte Lösung, sofern die Hardware die Mindestanforderungen erfüllt (TPM 2.0, Intel 8. Gen+ oder AMD Zen 2+). Nicht jedes Gerät ist upgradefähig – dann ist Neukauf erforderlich.
Bevor Sie entscheiden, lohnt sich ein vollständiges Hardware-Inventar. Welche Geräte sind Windows-11-fähig? Welche müssen ersetzt werden? Welche sind an Spezialsoftware gebunden und kurzfristig nicht migrierbar? Das kostenlose Microsoft PC Health Check-Tool gibt für jedes Gerät innerhalb weniger Minuten Auskunft. Für 10 bis 20 Geräte ist das an einem Vormittag erledigt.
Unsere IT-Infrastruktur & Gerätebetreuung – TTG GmbH unterstützt Sie dabei, dieses Inventar systematisch aufzubauen und die richtigen Schlüsse daraus zu ziehen – bevor ungepatchte Systeme zum Sicherheitsproblem werden.
Extended Security Updates – was sie leisten und wo sie enden
Extended Security Updates sind kein Geheimtipp, sondern ein etabliertes Microsoft-Modell, das bereits für Windows 7 und Windows Server-Versionen funktioniert hat. Für Windows 10 stehen sie Unternehmen seit Oktober 2025 zur Verfügung – zu einem Preis, der im ersten Jahr bei rund 61 USD pro Gerät liegt und sich jährlich verdoppelt. Im dritten und letzten Jahr kostet ein einzelner Arbeitsplatz damit rund 244 USD – zuzüglich Verwaltungsaufwand und Vertragskosten.
Was ESU konkret bietet:
- Monatliche Sicherheitspatches für kritische und wichtige Schwachstellen – kein Feature-Update, kein Support für neue Anwendungen
- Weiterhin gültige Patch-Versorgung für Geräte, die aus technischen oder regulatorischen Gründen nicht sofort migriert werden können
- Zeitpuffer für geplante Migrationsprojekte – ESU ist als Brücke gedacht, nicht als Ziel
Was ESU ausdrücklich nicht bietet:
- Neue Funktionen oder Kompatibilitätsupdates – Windows 10 bleibt Windows 10
- Schutz vor Anwendungslücken in Drittanbieter-Software, die selbst kein Update mehr erhält
- Eine langfristige Perspektive – das Programm endet spätestens Oktober 2028, ohne weitere Verlängerungsoption
ESU macht Sinn für klar begrenzte Sonderfälle: ein Maschinenleitrechner mit einer eingebetteten Windows-10-Umgebung, ein medizinisches Gerät mit herstellerseitig gesperrtem Betriebssystem, eine Branchensoftware, die erst in zwölf Monaten Windows-11-fähig wird. In diesen Situationen ist ESU die einzig realistische Option – aber immer kombiniert mit strikter Netzwerksegmentierung, um SMB-Angriffsvektoren wie den in CVE-2026-58531 beschriebenen einzuschränken.
Für Standardarbeitsplätze ohne technische Migrationshürden ist ESU dagegen der teurere Weg ohne Zukunft. Die IT-Dienstleistungen der TTG GmbH helfen Ihnen, den ESU-Bedarf in Ihrem Unternehmen realistisch einzugrenzen – und das Budget gezielt dort einzusetzen, wo es wirklich notwendig ist.
Windows 11 Upgrade – was wirklich dahintersteckt
Das Upgrade auf Windows 11 ist für lizenzierte, kompatible Geräte kostenlos. Das klingt nach der einfachen Lösung – und für viele Geräte stimmt das auch. Der Haken liegt in den Hardware-Mindestanforderungen: Ein TPM 2.0-Chip und ein Prozessor der Intel-8.-Generation oder neuer (bzw. AMD Zen 2+) sind Pflicht. Ältere Geräte, die diese Voraussetzungen nicht erfüllen, können nicht aktualisiert werden – unabhängig vom Betriebssystem.
Was das in der Praxis bedeutet:
- Geräte ab Baujahr 2018–2019 sind in der Regel Windows-11-fähig und können direkt migriert werden
- Ältere Geräte müssen ersetzt werden – Budget: ab ca. 600–900 € pro Business-Gerät
- Das Upgrade selbst dauert je nach Gerät 30–60 Minuten; bei 20 Geräten ist ein rollierender Zeitplan realistisch
Windows 11 bringt substanzielle Sicherheitsvorteile mit: TPM 2.0 ist die Hardware-Basis für sichere Boot-Prozesse und Credential-Schutz. Der BSI empfiehlt für sichere Clients in Unternehmen ausdrücklich aktuelle Betriebssysteme mit verifizierten Boot-Mechanismen – Windows 11 erfüllt diese Anforderungen, Windows 10 im EOL-Zustand nicht mehr.
Typische Stolpersteine beim Upgrade:
- Ältere Peripherie (Drucker, Scanner, spezifische USB-Geräte) benötigt möglicherweise neue Treiber
- Branchensoftware muss auf Windows-11-Kompatibilität geprüft werden – vor dem Rollout, nicht danach
- Benutzerprofile und -einstellungen sollten vor dem Upgrade gesichert werden
- Eine Pilotgruppe von zwei bis drei Geräten testet die Umgebung, bevor alle Systeme migriert werden
Wer Windows 11 einführt, schafft damit auch die Grundlage für die nächsten Jahre – anstatt in zwei Jahren dieselbe Diskussion erneut zu führen. Die ISO/IEC 27001-Anforderungen an Informationssicherheit – TTG GmbH decken dabei auch die Absicherung aktueller Betriebssystemumgebungen ab.
ESU oder Upgrade: Wann lohnt sich was?
Beide Optionen haben ihre Berechtigung – aber für unterschiedliche Ausgangssituationen. Die folgende Gegenüberstellung fasst zusammen, welcher Weg wann der richtigere ist. Das erleichtert die Entscheidung, ohne dass Sie dafür tief in technische Details einsteigen müssen.
| Situation | Empfehlung | Begründung |
|---|---|---|
| Standard-Arbeitsplatz, Hardware ab 2018 | Upgrade auf Windows 11 | Kostenlos, dauerhaft, kein Folgeproblem |
| Älteres Gerät, nicht Windows-11-fähig | Neukauf + Windows 11 | ESU kostet langfristig mehr als ein neues Gerät |
| Maschinen-PC / eingebettetes System | ESU + Netzwerksegmentierung | Migration technisch nicht möglich, Zeit kaufen |
| Branchensoftware läuft noch nicht auf Windows 11 | ESU als Übergangslösung | Bis Softwareanbieter Update liefert – max. 1 Jahr |
| Windows 10 Enterprise LTSB 2016 | Sofortige Migration (bis Oktober 2026) | Verliert am 13.10.2026 jeden Update-Support |
Besondere Aufmerksamkeit verdienen Betriebe, die noch auf Windows 10 Enterprise LTSB 2016 laufen. Diese Version verliert am 13. Oktober 2026 vollständig den Update-Support (Microsoft Tech Community, Juli 2026). Wer heute noch auf LTSB 2016 arbeitet, hat weniger als drei Monate Puffer – ESU steht für diese Version nicht dauerhaft zur Verfügung.
Wichtige Entscheidungsparameter für Ihre Planung:
- Wie viele Geräte sind betroffen, und wie viele davon sind Windows-11-fähig?
- Welche Software-Abhängigkeiten existieren, die eine sofortige Migration verhindern?
- Wie hoch ist das Datenschutz- und Compliance-Risiko bei weiterbetriebenen ungepatchten Systemen?
- Ist Ihr Budget für Geräteneukauf im aktuellen Geschäftsjahr verfügbar – oder besser gestaffelt auf zwei Jahre?
Das Sichere Hardware-Verwaltung für KMU – TTG GmbH-Konzept berücksichtigt genau diese Variablen und hilft Ihnen, eine Migrationsplanung aufzustellen, die zu Ihrer Betriebsstruktur passt – nicht zu einem Musterunternehmen.
Was die Praxis zeigt – und was es wirklich kostet
Ein Handwerksbetrieb aus unserer Region stand vor einigen Monaten vor genau dieser Entscheidung: 14 Arbeitsplätze, davon neun Windows-11-fähig, vier ältere Geräte an CNC-Maschinen gebunden, ein Büro-PC mit einer Branchensoftware, für die der Hersteller erst in neun Monaten ein Windows-11-Update liefern würde.
Das Ergebnis war kein Entweder-oder, sondern ein gestufter Plan: Die neun kompatiblen Bürogeräte wurden auf Windows 11 migriert – kostenlos, mit einem halben Tag Vorbereitung und einem rollierenden Rollout über zwei Wochen. Die Maschinen-PCs wurden per ESU abgesichert und in ein isoliertes Netzwerksegment verschoben. Der eine verbleibende Büro-PC erhielt ebenfalls ESU für die Übergangszeit.
Kosten im Überblick für diesen konkreten Fall:
- Windows-11-Upgrade für 9 Geräte: ca. 0 € Lizenzkosten, ca. 4 Stunden IT-Betreuung
- ESU für 5 Geräte im 1. Jahr: ca. 305 USD (5 × 61 USD) – überschaubar für den definierten Zeitraum
- Ohne Plan: dauerhaft offene Schwachstellen auf allen 14 Geräten und ein messbares DSGVO-Risiko
Als ISO/IEC 27001-zertifizierter IT-Partner mit über 25 Jahren Erfahrung – TTG GmbH erleben wir in Dingelstädt und der gesamten Region regelmäßig, dass der größte Aufwand nicht die Migration selbst ist – sondern das fehlende Inventar zu Beginn. Wer nicht weiß, welche Geräte er hat und welche Software darauf läuft, verliert viel Zeit mit unnötigen Rückfragen.
Der Bitkom-Leitfaden zu digitaler Infrastruktur empfiehlt für genau diese Situationen einen strukturierten Lifecycle-Plan – nicht als bürokratische Pflichtübung, sondern als Steuerungsinstrument für Investitionsentscheidungen. Wer weiß, wann welches Gerät ersetzt werden muss, plant das Budget rechtzeitig ein, statt im Ernstfall kurzfristig kaufen zu müssen.
Unsere Einschätzung: Welcher Weg für welchen Betrieb
Nach allem, was wir in der Praxis sehen, ist die Antwort selten schwarz-weiß – aber sie ist auch nicht beliebig offen. Für die große Mehrheit der Standardarbeitsplätze in kleinen und mittleren Unternehmen ist das Upgrade auf Windows 11 die richtige Entscheidung. Es kostet keine zusätzliche Lizenz, schafft eine belastbare Sicherheitsbasis und beendet die jährlich wachsende ESU-Kostenstruktur, bevor sie teuer wird.
ESU ist dann sinnvoll, wenn eine technische oder herstellerseitige Blockade die Migration verhindert – und wenn der Betrieb diese Systeme konsequent vom restlichen Netz isoliert. Ohne Netzwerksegmentierung ist ESU kein ausreichender Schutz: Die Patches schließen bekannte Windows-Lücken, schützen aber nicht vor Angriffen über angebundene Systeme oder nicht patchbare Drittanbieter-Software.
Was wir explizit nicht empfehlen: ESU als bequemen Aufschub nutzen, ohne einen konkreten Migrationsplan für das Ende des ESU-Zeitraums. Wer in drei Jahren dieselbe Diskussion führen will – dann ohne jede Verlängerungsoption – zahlt dreimal: in Lizenzkosten, Migrationsaufwand und entgangenem Sicherheitsniveau.
- Führen Sie jetzt ein vollständiges Hardware-Inventar durch
- Prüfen Sie Windows-11-Kompatibilität mit dem PC Health Check – pro Gerät fünf Minuten
- Definieren Sie, welche Systeme wirklich ESU-pflichtig sind – und warum
- Planen Sie Neukauf-Budget für nicht migrierbare Geräte rechtzeitig ein
- Dokumentieren Sie den Ist-Zustand schriftlich – relevant bei DSGVO-Audits und im Schadensfall
Das Windows 10 End-of-Life ist kein einmaliges Ereignis, das irgendwann endet – es ist der Beginn einer dauerhaften Lücke, die ohne aktive Entscheidung größer wird. Sprechen Sie uns an, bevor der nächste Patch-Dienstag eine neue Schwachstelle meldet, die Ihre Systeme nicht mehr schließen können.
Hardware-Migration jetzt planen lassen – wir begleiten Sie vom Inventar bis zum abgeschlossenen Rollout.
Ihre Checkliste: So starten Sie jetzt
- Erstellen Sie ein vollständiges Hardware-Inventar – alle Geräte, Betriebssystemversion, Baujahr und eingesetzte Software erfassen (Aufwand: ca. 1–2 Stunden für 10–20 Geräte).
- Prüfen Sie die Windows-11-Kompatibilität jedes Geräts mit dem kostenlosen Microsoft PC Health Check – notieren Sie, welche Geräte upgradefähig sind und welche nicht.
- Identifizieren Sie Ihre ESU-Pflichtfälle – nur Geräte mit technischer oder herstellerseitiger Migrationssperre qualifizieren sich für ESU als sinnvolle Überganglösung.
- Segmentieren Sie Windows-10-Systeme, die vorerst bleiben müssen, vom restlichen Netzwerk – dadurch schränken Sie Angriffsvektoren wie SMB-Exploits wirksam ein.
- Planen Sie den Upgrade-Rollout gestaffelt: Pilotgruppe (2–3 Geräte) testen, Erfahrungen auswerten, dann rollierend auf alle kompatiblen Geräte ausweiten.
- Klären Sie Softwarekompatibilität vorab – sprechen Sie mit Ihren Branchensoftware-Anbietern, ob deren Anwendungen auf Windows 11 freigegeben sind, bevor Sie migrieren.
- Dokumentieren Sie den aktuellen Sicherheitszustand schriftlich – Inventar, Migrationsplan und ESU-Entscheidungen als Dokument ablegen, um bei Audits oder im Schadensfall nachweisfähig zu sein.
- Prüfen Sie Ihr Budget für Geräteneukäufe und planen Sie ab ca. 600–900 € pro Business-Gerät für Systeme ein, die die Windows-11-Hardware-Mindestanforderungen nicht erfüllen.
Häufig gestellte Fragen
Muss ich sofort alle Windows-10-Geräte ersetzen?
Nein – aber Sie müssen handeln. Geräte, die Windows-11-kompatibel sind, können kostenlos aktualisiert werden. Für Systeme mit technischen Migrationshürden gibt es Extended Security Updates als Übergangslösung. Ungepatchte Windows-10-Systeme ohne ESU sollten Sie jedoch vom restlichen Netzwerk isolieren, um offene Schwachstellen nicht zum Einfallstor zu machen. Ein gestaffeltes Vorgehen ist realistischer als ein Soforttausch – erfordert aber einen klaren Plan.
Was kostet ESU wirklich über drei Jahre?
Im ersten Jahr zahlen Sie ca. 61 USD pro Gerät. Der Preis verdoppelt sich jährlich: Im zweiten Jahr sind es ca. 122 USD, im dritten ca. 244 USD pro Gerät. Für zehn Geräte über drei Jahre summiert sich das auf gut 4.200 USD – zuzüglich Verwaltungskosten. Ein neues Business-Gerät ab ca. 700 € amortisiert sich für viele Betriebe damit innerhalb von zwei bis drei Jahren gegenüber einer reinen ESU-Strategie.
Was passiert, wenn ich gar nichts tue?
Ihre Systeme laufen weiter – aber jede neue Schwachstelle bleibt dauerhaft offen. Da durchschnittlich 119 neue IT-Schwachstellen pro Tag gemeldet werden (BSI-Lagebericht 2025), akkumuliert sich das Risiko schnell. Gleichzeitig riskieren Sie Probleme bei DSGVO-Audits, da fehlende Sicherheitsmaßnahmen nachweispflichtig sind. Im Schadensfall kann der Nachweis, wissentlich ungepatchte Systeme betrieben zu haben, zu Haftungsrisiken führen.
Kann ich Windows 11 auch auf älteren Geräten installieren?
Offiziell nein – Microsoft setzt TPM 2.0 und einen Prozessor der Intel-8.-Generation oder AMD Zen 2+ voraus. Es gibt inoffizielle Wege, diese Anforderungen zu umgehen, aber das ist für Unternehmensumgebungen keine empfehlenswerte Strategie: Fehlende TPM-Unterstützung bedeutet reduzierte Sicherheitsfeatures, mögliche Instabilität und keinen Microsoft-Support. Geräte, die die Anforderungen nicht erfüllen, sollten ersetzt werden.
Wie wirkt sich Windows 10 End-of-Life auf meine DSGVO-Pflichten aus?
Die DSGVO verlangt technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten – dazu gehören aktuelle Sicherheitspatches. Wer wissentlich veraltete, ungepatchte Systeme betreibt und dabei personenbezogene Daten verarbeitet, riskiert im Schadensfall Bußgelder und Haftungsansprüche. Der aktuelle Sicherheitszustand sollte daher dokumentiert und ein Migrationsplan schriftlich festgehalten sein.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute, welche Ihrer Geräte gerade keine Sicherheitspatches mehr erhalten – und welche Daten darauf liegen?
IT-Infrastruktur sicher modernisieren
Veraltete Hardware kostet Zeit und Geld. Die TTG GmbH plant und realisiert Ihre IT-Migration – ohne Produktionsausfälle, für KMU in Nordthüringen und Eichsfeld.
