Am 13. Oktober 2026 hat Microsoft das letzte Sicherheitsupdate für Windows Server 2012 und 2012 R2 ausgeliefert. Damit ist das dritte und letzte Jahr der Extended Security Updates (ESU) abgelaufen – und mit ihm die letzte Möglichkeit, diese Server offiziell abzusichern. Ein viertes ESU-Jahr gibt es nicht, weder gegen Geld noch in Azure. Am 10. November 2026 folgt der erste Patchday, an dem für Windows Server 2012 R2 nichts mehr erscheint.
Was am 13. Oktober wirklich zu Ende gegangen ist
Oft heißt es, der „erweiterte Support“ sei jetzt ausgelaufen. Das stimmt nicht ganz: Der Extended Support für Windows Server 2012 und 2012 R2 endete bereits am 10. Oktober 2023. Seitdem gab es Sicherheitsupdates nur noch über das kostenpflichtige ESU-Programm – per Volumenlizenz mit Software Assurance, über Azure Arc oder kostenlos für Server, die in Azure liefen. Dieses Programm war von Anfang an auf drei Jahre begrenzt. Jetzt ist es vorbei, und zwar für alle Bezugswege gleichzeitig.
ESU waren nie ein vollwertiger Support: geliefert wurden nur Updates der Stufen kritisch und wichtig, keine Fehlerbehebungen, keine Funktionen. Wer ESU gekauft hat, hatte also schon drei Jahre lang ein eingeschränkt gepflegtes System. Ab sofort ist es ein ungepflegtes.
Was das für Ihre Server bedeutet
Die Server laufen weiter. Dienste starten, Freigaben sind erreichbar, niemand merkt am Morgen danach einen Unterschied. Genau das macht die Lage gefährlich: Jede Schwachstelle, die ab jetzt bekannt wird, bleibt auf Windows Server 2012 R2 dauerhaft offen. Angreifer werten die Updates neuerer Windows-Versionen gezielt aus, um dieselbe Lücke im alten Code zu finden – jeder künftige Patchday liefert ihnen damit eine Vorlage.
Hinzu kommen Folgeeffekte, die oft erst später auffallen:
- Fachanwendungen: Hersteller von ERP, Datenbanken, Backup und Virenschutz haben ihren Support für 2012 R2 meist schon früher eingestellt – im Störfall fehlt auch dort die Hilfe.
- Versicherung: Cyberversicherer fragen nach Systemen ohne Herstellersupport. Stimmen die Angaben nicht mehr, kann das im Schadenfall teuer werden.
- Nachweise: NIS2, ISO 27001 und TISAX® verlangen ein Management technischer Schwachstellen. Ein Server ohne Updates und ohne dokumentierte Entscheidung ist im nächsten Audit eine Abweichung.
Sofortmaßnahmen für diese Woche
Wer heute noch Windows Server 2012 oder 2012 R2 betreibt, sollte nicht bis zum nächsten Budgetjahr warten. Fünf Schritte senken das Risiko sofort:
- Bestand erfassen: alle Systeme mit 2012 und 2012 R2 – mit Rolle, Standort, Anwendungen und verantwortlicher Fachabteilung. Auch Hyper-V-Hosts, Außenstellen und Appliances.
- Isolieren: eigenes Netzsegment, nur die wirklich benötigten Verbindungen, kein Internetzugang, keine Anmeldung mit Domänen-Administratoren, Zugriff nur über einen gesicherten Sprungserver.
- Überwachen: EDR auf dem System, Protokolle zentral auswerten, Alarme für ungewöhnliche Anmeldungen und Verbindungen.
- Entscheiden und dokumentieren: eine Risikoakzeptanz mit kompensierenden Maßnahmen, Verantwortlichen und Ablaufdatum – unterschrieben von der Geschäftsführung.
- Termin setzen: ein konkretes Migrationsdatum, nicht „sobald es passt“.
Der Weg raus: direkt auf Windows Server 2025
Die gute Nachricht: Seit Windows Server 2025 erlaubt Microsoft ein In-Place-Upgrade über bis zu vier Versionen. Windows Server 2012 R2 lässt sich damit vom Installationsmedium direkt auf 2025 heben – ohne Umweg über 2016 oder 2019 und mit Sicherheitsupdates bis November 2034. Für Windows Server 2012 ohne R2 gilt das nicht; dort braucht es einen Zwischenschritt oder einen Neuaufbau.
Domain Controller sind die Ausnahme. Sie werden nicht aktualisiert, sondern neu aufgebaut. Ein Domain Controller mit Windows Server 2025 setzt mindestens die Funktionsebene Windows Server 2016 voraus – und die lässt sich erst anheben, wenn kein Domain Controller mit 2012 R2 mehr in der Domäne ist. Die Reihenfolge ist also vorgegeben: neue Domain Controller aufbauen, Rollen übertragen, alte herabstufen, dann die Funktionsebene anheben.
Ein Umzug nach Azure bringt bei 2012 R2 übrigens keinen Aufschub mehr: Die kostenlosen ESU in Azure sind am selben Tag ausgelaufen. Azure kann trotzdem das richtige Ziel sein – nur eben mit einem aktuellen Betriebssystem.
Der nächste Termin steht schon fest: Windows Server 2016
Wer jetzt migriert, sollte nicht nur auf 2012 R2 schauen. Am 12. Januar 2027 endet der Extended Support für Windows Server 2016 – in vielen Umgebungen laufen davon deutlich mehr Systeme als von 2012 R2. Wer beide Versionen in einem Projekt ablöst, plant einmal und migriert einmal. Fristen, ESU-Optionen für 2016 und alle Migrationswege haben wir auf unserer Seite zum Windows Server Supportende zusammengestellt.
Wie wir es halten
Bei uns gilt Security by default: Sicherheit ist der Ausgangszustand, Abweichungen werden als Risikoakzeptanz dokumentiert. Einen Server ohne Updates betreiben wir deshalb nur mit Netzsegment, Überwachung, unterschriebener Entscheidung und festem Ablösetermin. Die Migration selbst rechnen wir nach Aufwand ab – ab 135 € je Stunde, Tagessatz ab 1.080 € netto. Den Aufwand schätzen wir nach der Bestandsaufnahme je Server ab, bevor es losgeht.
Noch Windows Server 2012 R2 im Netz? Erstgespräch buchen – 30 Minuten, direkt mit dem Fachteam und Alexander Brütsch oder Stefan Wagner.
Passende Leistung: Windows Server Supportende – Fristen, ESU und Migration