Windows Server 2016 End of Life – rechtzeitig umsteigen.
Bestandsaufnahme, Migration auf Windows Server 2025 oder nach Azure und eine ehrliche ESU-Bewertung – für Unternehmen mit Windows Server 2016 und 2012 R2 im Netz.
- 35+ Jahre Erfahrung im Team
- 200+ betreute Kund:innen
- Microsoft Cloud Solution Provider
12.01.2027
Ende Extended Support Windows Server 2016
13.10.2026
letztes ESU-Update für Windows Server 2012 und 2012 R2
bis 01/2030
ESU für Windows Server 2016 – nur kritische und wichtige Updates
35+ Jahre
Erfahrung im Team
Wann welche Windows-Server-Version keine Updates mehr bekommt.
Microsoft unterstützt jede LTSC-Version zehn Jahre: fünf Jahre Mainstream Support mit Funktionen und Fehlerbehebungen, danach fünf Jahre Extended Support nur mit Sicherheitsupdates. Stand: Oktober 2026.
Windows Server 2016
Mainstream seit 11.01.2022 beendet. Extended Support endet am 12.01.2027. Danach Sicherheitsupdates nur noch über ESU – höchstens bis Januar 2030.
Windows Server 2012 und 2012 R2
Extended Support seit 10.10.2023 beendet. Das dritte und letzte ESU-Jahr endet am 13.10.2026 – danach gibt es keine Updates mehr, auch nicht gegen Geld.
Windows Server 2019
Mainstream seit 09.01.2024 beendet, Sicherheitsupdates bis 09.01.2029. Läuft noch – ist für eine Migration, die heute startet, aber kein sinnvolles Ziel mehr.
Windows Server 2022
Mainstream endet am 13.10.2026, Sicherheitsupdates gibt es bis 14.10.2031. Kein Handlungsdruck – nur keine neuen Funktionen und keine Fehlerbehebungen mehr.
Windows Server 2025
Mainstream bis 13.11.2029, Sicherheitsupdates bis 14.11.2034. Das Ziel für jede Migration, die jetzt geplant wird.
Windows Server 2008 und 2008 R2
Regulärer Support seit Januar 2020 beendet, auch die ESU-Phase ist ausgelaufen. Wer sie noch betreibt, hat kein Update-, sondern ein Sicherheitsproblem.
Was am 12. Januar 2027 bei Windows Server 2016 endet.
Windows Server 2016 ist im Oktober 2016 erschienen und gehört zum Long-Term Servicing Channel (LTSC). Für diese Versionen gilt bei Microsoft ein fester Lebenszyklus von zehn Jahren. Der Mainstream Support – neue Funktionen, Fehlerbehebungen, Designänderungen – endete bereits am 11. Januar 2022. Seitdem befindet sich Windows Server 2016 im Extended Support: Es erscheinen nur noch Sicherheitsupdates. Am 12. Januar 2027 endet auch diese Phase. Der Januar-Patchday ist damit der letzte, an dem Windows Server 2016 ohne Zusatzvertrag ein Sicherheitsupdate erhält.
Was sich nach dem 12. Januar 2027 ändert
- Keine Sicherheitsupdates mehr – auch nicht für kritische Lücken, die bereits aktiv ausgenutzt werden. Einzige Ausnahme sind kostenpflichtige Extended Security Updates (ESU).
- Kein technischer Support von Microsoft, keine Fehlerbehebungen, keine Aktualisierung der Dokumentation.
- Fachanwendungen verlieren ihre Freigabe. Hersteller von ERP, Warenwirtschaft, Datenbanken, Backup-Software und Virenschutz beenden ihren Support für alte Betriebssysteme – häufig schon vor Microsoft.
- Neue Hardware wird nicht mehr unterstützt. Treiber und Firmware entstehen für aktuelle Versionen, nicht für ein Betriebssystem ohne Support.
Der Server läuft weiter – genau das ist das Problem
Am 13. Januar 2027 geht kein Licht aus. Dienste starten, Anmeldungen funktionieren, Freigaben bleiben erreichbar. Deshalb wird das Supportende so oft unterschätzt. Der Unterschied zeigt sich erst mit der Zeit: Jede Lücke, die ab Februar 2027 bekannt wird, bleibt auf Windows Server 2016 offen. Angreifer werten die Updates neuerer Versionen gezielt aus, um dieselbe Schwachstelle im alten Code zu finden – der Patchday der anderen wird zur Anleitung für den Angriff auf Ihren Server.
Welche Systeme betroffen sind – oft mehr, als die Liste zeigt
Betroffen ist nicht nur der eine Server im Schrank, den alle kennen. In gewachsenen Umgebungen läuft Windows Server 2016 typischerweise auf Domain Controllern, Datei- und Druckservern, Terminalservern (Remotedesktopdienste), Datenbankservern, Hyper-V-Hosts, WSUS- und Backup-Servern, Servern mit Active-Directory-Zertifikatdiensten und auf Systemen in Außenstellen, die seit Jahren niemand angemeldet hat. Dazu kommen Appliances und Steuerungsrechner, deren Hersteller Windows Server 2016 als Basis verbaut hat.
Häufig hängen weitere Produkte am selben Zeitplan: Der erweiterte Support für SQL Server 2016 ist am 14. Juli 2026 ausgelaufen, Exchange Server 2016 und 2019 sind seit dem 14. Oktober 2025 ohne regulären Support. Wer einen Server von 2016 ablöst, sollte deshalb immer auch prüfen, was darauf läuft – sonst steht nach der Migration ein neues Betriebssystem unter einer alten Anwendung.
Welche Version ein einzelner Server hat, zeigt der Befehl winver. Für einen belastbaren Überblick über die gesamte Umgebung reicht das nicht: Dafür braucht es eine Inventur über alle Systeme, Rollen und Abhängigkeiten – der erste Schritt jedes Migrationsprojekts.
Windows Server 2012 R2: ESU endet am 13. Oktober 2026.
Bei Windows Server 2012 und 2012 R2 wird oft vom „erweiterten Support“ gesprochen. Genau genommen ist der Extended Support bereits am 10. Oktober 2023 ausgelaufen. Seitdem gab es Sicherheitsupdates nur noch über die kostenpflichtigen Extended Security Updates – über Volumenlizenzierung mit Software Assurance, über Azure Arc oder kostenlos für Server, die in Azure laufen. Dieses Programm war von Anfang an auf drei Jahre begrenzt. Das dritte und letzte ESU-Jahr endet am 13. Oktober 2026: Mit dem Oktober-Patchday erscheint das letzte Sicherheitsupdate. Danach gibt es keines mehr – weder gegen Geld noch in Azure.
Wen das jetzt trifft
ESU haben vor allem größere Unternehmen und Konzernstrukturen gekauft – als Brücke für Systeme, die sich nicht schnell ablösen ließen: produktionsnahe Server, validierte Systeme in regulierten Branchen, Anwendungen, deren Hersteller es nicht mehr gibt, und Schnittstellen, an denen niemand etwas ändern möchte. Die Brücke ist jetzt zu Ende. Wer heute noch Windows Server 2012 R2 betreibt, betreibt ab Mitte Oktober ein System, das dauerhaft ungepatcht bleibt.
Was in den nächsten Tagen und Wochen zu tun ist
- Liste schließen: alle Systeme mit Windows Server 2012 und 2012 R2 erfassen, mit Rolle, Standort, ESU-Status und verantwortlicher Fachabteilung.
- Isolieren, was bleiben muss: eigenes Netzsegment, nur die wirklich benötigten Verbindungen, kein Internetzugang, keine Anmeldung mit Domänen-Administratoren, Zugriff nur über einen gesicherten Sprungserver.
- Überwachung verschärfen: EDR auf dem System, Protokolle zentral auswerten, Alarme für ungewöhnliche Anmeldungen und Verbindungen.
- Entscheidung dokumentieren: eine Risikoakzeptanz mit kompensierenden Maßnahmen, Verantwortlichen und Ablaufdatum – von der Geschäftsführung unterschrieben.
- Migrationstermin festlegen: mit Datum, nicht mit „sobald es passt“.
Der direkte Weg nach vorn
Seit Windows Server 2025 erlaubt Microsoft ein In-Place-Upgrade über bis zu vier Versionen in einem Schritt – Windows Server 2012 R2 lässt sich damit direkt auf 2025 heben, ohne Umweg über 2016 oder 2019. Für Windows Server 2012 ohne R2 gilt das nicht; dort ist ein Zwischenschritt oder ein Neuaufbau nötig. Domain Controller werden grundsätzlich nicht per Upgrade migriert: Ein Windows-Server-2025-Domain-Controller setzt mindestens die Funktionsebene Windows Server 2016 voraus, und die lässt sich erst anheben, wenn keine Domain Controller mit 2012 R2 mehr in der Domäne sind. Die Reihenfolge ist damit vorgegeben – und sie kostet Zeit, die jetzt eingeplant werden muss.
Was ein Server ohne Updates im Alltag wirklich kostet.
Das Supportende ist kein IT-Detail, sondern ein Geschäftsrisiko. Sechs Punkte, die in jeder Bestandsaufnahme auftauchen.
Einfallstor für Ransomware
Ungepatchte Server sind bevorzugte Ziele für die Ausbreitung im Netz. Ein kompromittierter Client reicht – der Weg zu Daten und Backups führt dann über den alten Server.
Cyberversicherung
Versicherer fragen gezielt nach Systemen ohne Herstellersupport. Stimmen die Angaben im Fragebogen nicht, kann das im Schadenfall die Leistung gefährden.
Audit und Nachweis
ISO 27001, TISAX® und NIS2 verlangen ein Schwachstellenmanagement. Ein Server ohne Updates und ohne dokumentierten Umgang ist eine Abweichung.
Verantwortung der Geschäftsführung
Unter NIS2 müssen Leitungsorgane Sicherheitsmaßnahmen billigen und überwachen. Eine bekannte, offene Lücke ohne Entscheidung ist schwer zu begründen.
Fachanwendungen ohne Freigabe
ERP, Datenbank, Backup und Virenschutz beenden ihren Support für alte Betriebssysteme oft vor Microsoft. Dann fehlt im Störfall auch der Herstellersupport.
Teure Notmigration
Unter Zeitdruck oder nach einem Vorfall wird alles teurer: Arbeit am Wochenende, Hardware zu Tagespreisen, keine Testphase, kein Rückfallplan.
Noch Windows Server 2016 oder 2012 R2 im Einsatz?
Im kostenlosen 30-Minuten-Erstgespräch klären wir, wie viel Zeit Sie realistisch haben und welcher Weg für Ihre Server passt.
NIS2, ISO 27001, TISAX®: Supportende ist ein Nachweisthema.
Ein Server ohne Sicherheitsupdates ist nicht nur ein technisches Risiko. Sobald Ihr Unternehmen Nachweise erbringen muss – gegenüber einer Behörde, einem Kunden, einem Prüfer oder Ihrer Cyberversicherung –, wird er zum Befund. Entscheidend ist dabei selten, dass ein Altsystem existiert. Entscheidend ist, ob Sie es kennen, das Risiko bewertet haben und eine dokumentierte Entscheidung vorlegen können.
NIS2
Die NIS2-Richtlinie verlangt in Artikel 21 Risikomanagementmaßnahmen, ausdrücklich auch für die Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen einschließlich des Umgangs mit Schwachstellen. Das deutsche Umsetzungsgesetz ist seit Ende 2025 in Kraft. Die Geschäftsleitung muss die Maßnahmen billigen und ihre Umsetzung überwachen. Auch wer nicht direkt betroffen ist, spürt die Pflicht über die Lieferkette: In Lieferanten-Fragebögen steht inzwischen regelmäßig die Frage, ob Systeme ohne Herstellersupport betrieben werden. Ob Ihr Unternehmen unter NIS2 fällt, klärt der NIS2-Check.
ISO 27001 und TISAX®
ISO 27001 fordert im Anhang A unter 8.8 das Management technischer Schwachstellen. Ein Betriebssystem, für das keine Updates mehr erscheinen, muss in der Risikobehandlung auftauchen – mit Maßnahme, Verantwortlichem und Termin. Im TISAX®-Assessment nach VDA ISA gilt dasselbe Prinzip: Prüfer schauen ins Asset-Inventar, und ein Windows Server 2012 R2 ohne Plan fällt dort auf. Wer vor dem Termin wissen will, was ein Prüfer findet, nutzt ein internes Audit als Vorprüfung.
BSI IT-Grundschutz
Der IT-Grundschutz des BSI behandelt Patch- und Änderungsmanagement in einem eigenen Baustein (OPS.1.1.3). Die Erwartung ist eindeutig: Sicherheitsupdates werden zeitnah eingespielt, und Systeme, für die es keine mehr gibt, werden ersetzt oder durch zusätzliche Maßnahmen abgesichert.
Cyberversicherung
Versicherer fragen beim Abschluss und bei der Verlängerung nach dem Patchstand und nach Systemen ohne Herstellersupport. Die Angaben werden Teil des Vertrags. Ändert sich der Zustand – etwa weil ein Server am 12. Januar 2027 aus dem Support fällt –, sollte das mit dem Versicherer geklärt sein, bevor ein Schaden eintritt, nicht danach.
Was eine belastbare Risikoakzeptanz enthält
Bei uns gilt Security by default: Sicherheit ist der Ausgangszustand, Abweichungen werden als Risikoakzeptanz dokumentiert. Für einen Server ohne Support heißt das: welches System, warum es bleiben muss, welche kompensierenden Maßnahmen greifen (Netzsegment, Zugriffsbeschränkung, Überwachung), wer verantwortlich ist und bis wann die Ausnahme gilt – unterschrieben von der Geschäftsführung. Ein externer ISB hält diese Entscheidungen prüffähig nach.
ESU ist eine Brücke, kein Zielbild.
Extended Security Updates kaufen Zeit – nicht mehr. Sie schließen nur kritische und wichtige Sicherheitslücken, liefern keine Fehlerbehebungen, keine Funktionen und keine Freigaben Ihrer Softwarehersteller. Wir setzen ESU deshalb nur mit festem Migrationstermin ein und dokumentieren die Entscheidung als Risikoakzeptanz. Das Ziel ist ein Server, der bis 2034 Updates bekommt – oder gar keiner mehr, weil der Dienst in die Cloud gewandert ist.
Sechs Wege weg von Server 2016 – und wann welcher passt.
Selten passt ein Weg für alle Server. In fast jeder Umgebung entsteht eine Mischung – je Server entschieden, nicht pauschal.
In-Place-Upgrade auf Windows Server 2025
Bis zu vier Versionen in einem Schritt, Rollen und Daten bleiben erhalten. Schnell, übernimmt aber auch Altlasten. Nicht für Domain Controller.
Neuaufbau und Migration
Neuer Server, saubere Installation, Dienste ziehen um. Mehr Aufwand, dafür gehärtet und dokumentiert – unser Standard für Domain Controller und Fileserver.
Umzug nach Azure
Windows Server 2016 als virtuelle Maschine in Azure erhält ESU ohne Aufpreis bis Januar 2030 – Zeitgewinn für Anwendungen, deren Nachfolger noch nicht bereitsteht.
Azure Virtual Desktop statt Terminalserver
Remotedesktop-Farmen auf Windows Server 2016 lassen sich durch Azure Virtual Desktop ablösen – Standorte werden über Firewalls angebunden.
ESU über Azure Arc
Der Server bleibt im eigenen Rechenzentrum, die Abrechnung läuft monatlich je Prozessorkern ab 13.01.2027 und endet, sobald der Server abgeschaltet ist.
Ablösen durch Cloud-Dienste
Exchange zu Exchange Online, Fileserver zu SharePoint und Teams, Druckserver zu Cloud-Druck: Oft fällt der Server ganz weg, statt ersetzt zu werden.
Upgrade, Neuaufbau oder Cloud: worauf es bei der Wahl ankommt.
Die Frage „Upgrade oder neu?“ lässt sich nicht für die ganze Umgebung beantworten, sondern nur je Server und je Rolle. Fünf Punkte entscheiden in der Praxis fast immer über den Weg.
Domain Controller: nie per In-Place-Upgrade
Microsoft rät ausdrücklich davon ab, Domain Controller direkt zu aktualisieren. Der saubere Weg: neue Domain Controller mit Windows Server 2025 aufbauen, Rollen und Dienste übertragen, alte Domain Controller herabstufen und erst danach die Funktionsebenen anheben. Voraussetzung ist, dass Domäne und Gesamtstruktur mindestens auf der Funktionsebene Windows Server 2016 stehen. Laufen noch Domain Controller mit 2012 R2, ist ein Zwischenschritt nötig. Bei dieser Gelegenheit prüfen wir auch, was sich über die Jahre angesammelt hat: verwaiste Konten, Dienstkonten mit Domänen-Administratorrechten, alte Gruppenrichtlinien, unsichere Protokolle wie NTLMv1 oder SMBv1.
Fachanwendungen: der Hersteller entscheidet mit
Ob eine Anwendung auf Windows Server 2025 läuft, entscheidet nicht Microsoft, sondern ihr Hersteller. Bevor ein Server umgezogen wird, holen wir die Freigaben ein: Betriebssystem, Datenbankversion, .NET- und Java-Laufzeiten, Lizenzbindung an Hardware oder Rechnernamen. Fehlt eine Freigabe, gibt es drei Antworten: Update der Anwendung, Umzug in eine isolierte Umgebung mit ESU – oder Ablösung durch ein anderes Produkt. Wichtig ist, diese Entscheidung früh zu treffen, denn Updates von Fachanwendungen brauchen oft Wochen Vorlauf beim Hersteller.
Lizenzen: Kerne, CALs und Remotedesktop
Windows Server wird je Prozessorkern lizenziert, mit Mindestmengen je Prozessor und je Server. Mit einer neuen Serverversion müssen auch die Zugriffslizenzen (CALs) mindestens dieser Version entsprechen – das gilt genauso für Remotedesktop-CALs auf Terminalservern. Wer Software Assurance hat, ist hier im Vorteil; wer Retail- oder OEM-Lizenzen nutzt, braucht neue Lizenzen. Als Microsoft Cloud Solution Provider rechnen wir die Varianten vor dem Projekt durch, statt sie danach zu entdecken.
Hardware: der Server von 2016 ist selbst am Ende
Ein Server, auf dem seit 2016 dasselbe Betriebssystem läuft, ist meist genauso alt. Garantie und Herstellersupport sind ausgelaufen, Firmware-Updates kommen nicht mehr, und Windows Server 2025 setzt aktuelle Sicherheitsfunktionen wie TPM 2.0 und Secure Boot voraus, um sie vollständig zu nutzen. Läuft Windows Server 2016 als Hyper-V-Host, betrifft das Supportende zusätzlich jede Maschine darauf. Die Migration ist deshalb oft der richtige Zeitpunkt, die Virtualisierung neu aufzustellen – oder zu prüfen, welche Server überhaupt noch lokal laufen müssen.
Azure: wann der Umzug Zeit kauft
Läuft Windows Server 2016 als virtuelle Maschine in Azure, sind die Extended Security Updates bis Januar 2030 ohne Aufpreis enthalten. Das ist kein Freifahrtschein, aber ein echtes Werkzeug: Anwendungen, deren Nachfolger noch nicht verfügbar ist, ziehen zuerst um und werden dort in Ruhe abgelöst. Aus eigenen Projekten wissen wir, woran solche Umzüge scheitern: an falscher Skalierung, an Datenbank und Anwendung auf getrennten Systemen mit zu langen Wegen, und an älteren Anwendungen, die Kerberos brauchen – dann reicht Entra ID allein nicht, und ein Domain Controller muss mit in Azure laufen. Für Terminalserver ist Azure Virtual Desktop meist die bessere Antwort als eine Eins-zu-eins-Kopie.
ESU: wann es sich rechnet – und wann nicht
Für Windows Server 2016 gibt es zwei Wege zu ESU: über Volumenlizenzierung, in der Regel mit aktiver Software Assurance, oder über Azure Arc mit monatlicher Abrechnung je Prozessorkern. Microsoft hat die Arc-Registrierung im August 2026 freigegeben; abgerechnet wird ab dem 13. Januar 2027. Wer später einsteigt, zahlt rückwirkend ab Beginn des ESU-Zeitraums. Über drei Jahre kommen schnell Beträge zusammen, die in der Größenordnung einer neuen Lizenz liegen – für ein System, das danach trotzdem ersetzt werden muss. ESU rechnet sich deshalb nur für wenige, klar benannte Server mit festem Ablösetermin. Für alle anderen ist die Migration jetzt die günstigere Entscheidung.
Checkliste: was bis Dezember 2026 geklärt sein sollte
- Vollständige Liste aller Server mit Windows Server 2012, 2012 R2 und 2016 – inklusive Hyper-V-Hosts, Außenstellen und Appliances.
- Je Server: Rolle, Fachbereich, verantwortliche Person, Anwendungen und Datenbanken darauf.
- Herstellerfreigaben aller Fachanwendungen für Windows Server 2025 – oder die schriftliche Aussage, dass es keine gibt.
- Funktionsebene von Domäne und Gesamtstruktur, Anzahl und Version der Domain Controller.
- Lizenzbestand: Kerne, Editionen, CALs, Remotedesktop-CALs, Software Assurance.
- Zustand und Garantie der Hardware, Kapazität der Virtualisierung.
- Je Server eine Entscheidung: Upgrade, Neuaufbau, Azure, Cloud-Dienst, ESU oder Abschaltung.
- Für jeden Server, der über den 12. Januar 2027 hinaus bleibt: Risikoakzeptanz mit Ablaufdatum und kompensierenden Maßnahmen.
- Geprüftes Backup aller betroffenen Systeme, bevor irgendetwas umgestellt wird.
- Abgestimmte Wartungsfenster und Ansprechpartner in den Fachbereichen.
Wer diese Liste vollständig beantworten kann, hat die eigentliche Arbeit hinter sich. Die Migration selbst ist dann Handwerk. Fehlen mehrere Punkte, ist das kein Grund zur Sorge – aber ein guter Grund, jetzt zu beginnen und nicht im Dezember.
So läuft die Migration bei uns – in sechs Schritten.
Von der Inventur bis zum abgeschalteten Altsystem, mit Rückfallplan in jedem Schritt.
1. Inventur
Alle Server, Versionen, Rollen und ESU-Status erfassen – automatisiert über unser Monitoring, ergänzt um Gespräche mit den Fachbereichen.
2. Abhängigkeiten und Freigaben
Fachanwendungen, Schnittstellen, Zertifikate, Dienstkonten, Drucker und Mail-Relais aufnehmen, Herstellerfreigaben einholen.
3. Zielbild und Lizenzen
Je Server den Weg festlegen – Upgrade, Neuaufbau, Azure, Cloud-Dienst oder ESU –, Lizenzen rechnen, Termine abstimmen.
4. Testmigration
Geprüftes Backup vorab, Migration im Testsystem oder mit Snapshot, Abnahme durch den Fachbereich vor der Umstellung.
5. Umstellung
Im abgestimmten Wartungsfenster mit Rückfallplan. Domain Controller schrittweise, Funktionsebenen erst ganz am Ende.
6. Härtung und Übergabe
Sicherheitsrichtlinien, Patchmanagement und Überwachung aktiv, Altsysteme abgeschaltet, alles dokumentiert und übergeben.
Wer was übernimmt: UBESAFE, Microsoft, Softwarehersteller.
Ein Supportende betrifft mehrere Beteiligte. Damit im Projekt nichts zwischen den Stühlen liegt, legen wir die Rollen vorher fest.
- UBESAFE: Inventur, Bewertung und Zielbild, Lizenzplanung, Migration, Aufbau in Azure, Anbindung an Azure Arc und ESU-Registrierung, Härtung, Dokumentation und auf Wunsch der laufende Betrieb. Ansprechpartner und Verantwortung für den Einsatz liegen bei uns.
- Microsoft: legt den Lebenszyklus fest und liefert Updates und ESU. Ob ESU eine bestimmte Lücke schließt, entscheidet Microsoft – eine Garantie gibt es nicht.
- Ihre Softwarehersteller: geben ihre Anwendungen für neue Versionen frei und liefern Updates. Wir koordinieren, die Upgrade-Lizenzen kommen vom Hersteller.
- Ihr Unternehmen: entscheidet über Zielbild und Termine, nimmt ab und unterschreibt Risikoakzeptanzen für Systeme, die bleiben müssen.
Abrechnung
Eine Migration ist ein Projekt und wird nach Aufwand abgerechnet – ab 135 € je Stunde, Tagessatz ab 1.080 € netto, kleinste Einheit 30 Minuten. Den Aufwand schätzen wir nach der Inventur je Server und Weg ab, bevor es losgeht. Umstellungen außerhalb der Servicezeiten werden mit den vertraglichen Zuschlägen berechnet.
Nach der Migration übernehmen wir die Server auf Wunsch dauerhaft im Client- & Server-Management: Betrieb, Patchen und Absicherung zum festen Monatspreis je Server, Support nach Volumen oder Aufwand. So wird aus dem nächsten Supportende kein Projekt mehr, sondern ein Punkt in der laufenden Lebenszyklusplanung. Haben Sie eine eigene IT, unterstützen wir als IT-Dienstleister gezielt dort, wo Zeit oder Erfahrung fehlt.
Von 200 Servern auf zwei – eine komplette Auslagerung.
Eine über Jahre gewachsene Umgebung: rund 200 Server, auf denen jeder Administrator eigene Werkzeuge und Speziallösungen hinterlassen hatte. Der Vorstand entschied, die IT vollständig abzugeben. Am Ende blieben zwei Server – alles andere läuft über Microsoft 365, Azure und SaaS-Dienste.
200 Server, drei Monate, zwei Restsysteme
Was dabei entstanden ist
- Migration nach Microsoft 365 und Azure, Rest als SaaS
- Zentrale Identität über Entra ID mit Single Sign-On
- Patch-Management, ESET-MDR mit SOC-Anbindung
- ISMS und externer ISB mit Blick auf TISAX®
- Übernahme eines Teils der bisherigen IT-Mitarbeitenden
Rund 198 Server sind weggefallen. Der größte Hebel lag nicht im Sparen an einzelnen Servern, sondern darin, eine gewachsene Struktur grundlegend neu zu ordnen – ohne die Mitarbeitenden dabei zurückzulassen.
Wenn ein System über Jahre gewachsen ist.
Wir sind begeistert von UBESAFE! Das Team bringt derzeit unser komplettes Computersystem auf Vordermann – mit viel Fachwissen, großem Engagement und dazu noch kostengünstige Lösungen. Vor Jahren haben wir mit nur zwei PCs angefangen. Inzwischen arbeiten bei uns zwölf Personen täglich im Netzwerk zusammen. Über die Zeit ist unser System natürlich „organisch gewachsen“ – und dabei sind viele unterschiedliche Varianten und Eigenlösungen entstanden. UBESAFE schafft es, all das Schritt für Schritt zu ordnen – und das ohne jegliche Ausfälle im laufenden Betrieb. Besonders schätzen wir die Flexibilität: Wenn irgendwo mal etwas hakt, wird sofort reagiert. Und ist das Team ohnehin in der Nähe, wird das Problem direkt vor Ort behoben. Wir sind beeindruckt von der Professionalität, dem Know-how und der Zuverlässigkeit. Wir fühlen uns rundum bestens betreut!
Kerstin Boysen
Geschäftsführung, Regenbogen Fahrdienst
Unternehmen, die UBESAFE vertrauen
Ein Ausschnitt der Kund:innen, die wir laufend betreuen.
Alexander Brütsch über Windows Server 2016
In fast jeder Bestandsaufnahme finden wir ihn: den einen Server, den niemand anfassen will, weil eine Anwendung darauf läuft, deren Hersteller es nicht mehr gibt. Genau dieser Server macht aus einem planbaren Projekt eine Notmigration. Dabei ist das Supportende von Windows Server 2016 kein Überraschungstermin – es steht seit zehn Jahren fest.
Mein Rat: Nutzen Sie die Monate bis Januar nicht, um ESU zu bestellen, sondern um zu entscheiden. Was kann weg, was zieht in die Cloud, was braucht einen neuen Server? Wer das jetzt sauber trennt, migriert einmal – auf ein System, das bis 2034 Updates bekommt. Und wo etwas wirklich bleiben muss, schreiben wir es ehrlich als Risiko auf, mit Datum und Unterschrift.
Alexander Brütsch
Geschäftsführer, UBESAFE GmbH
Supportende abhaken statt aussitzen?
Inventur, Zielbild, Aufwand – wir besprechen es in 30 Minuten, kostenlos und unverbindlich.
Windows Server Supportende: Migration aus Wolfsburg
Das End of Life von Windows Server 2016 am 12. Januar 2027 betrifft viele Unternehmen im Mittelstand und in Konzernstrukturen gleichzeitig: Domain Controller, Fileserver, Terminalserver und Datenbankserver aus den Jahren 2016 bis 2018 erreichen zusammen ihr Supportende. Für Windows Server 2012 und 2012 R2 endet mit dem 13. Oktober 2026 das letzte Jahr der Extended Security Updates – danach gibt es keine Sicherheitsupdates mehr. Wer beide Termine kennt, kann planen; wer sie aussitzt, migriert unter Zeitdruck.
UBESAFE begleitet das Windows Server Supportende von der Inventur bis zum abgeschalteten Altsystem: Bewertung je Server, Entscheidung zwischen In-Place-Upgrade, Neuaufbau auf Windows Server 2025, Umzug nach Azure oder Ablösung durch Cloud-Dienste, ehrliche Bewertung der Extended Security Updates für Windows Server 2016 über Azure Arc und eine Migration mit Testphase und Rückfallplan. Domain Controller, Funktionsebenen, Lizenzen und Herstellerfreigaben der Fachanwendungen gehören zur Planung, nicht zur Nacharbeit.
Weil Betrieb und Informationssicherheit bei uns aus einer Hand kommen, endet die Migration nicht mit dem neuen Server: Sicherheitsrichtlinien, Patchmanagement und Überwachung sind ab dem ersten Tag aktiv, Ausnahmen werden als Risikoakzeptanz dokumentiert – nachweisfähig für NIS2, ISO 27001 und TISAX®. Hinter jedem Projekt stehen 35+ Jahre Erfahrung im Team.
Verankert in der Metropolregion Hannover Braunschweig Göttingen Wolfsburg, bundesweit tätig – und für die Standorte unserer Kund:innen weltweit.
Häufige Fragen zum Windows Server Supportende
Wann endet der Support für Windows Server 2016?
Der Mainstream Support endete am 11. Januar 2022, der Extended Support endet am 12. Januar 2027. Danach erscheinen keine Sicherheitsupdates mehr – außer über die kostenpflichtigen Extended Security Updates (ESU), die höchstens bis Januar 2030 laufen.
Was bedeutet End of Life bei Windows Server konkret?
End of Life heißt: Microsoft liefert keine Sicherheitsupdates, keine Fehlerbehebungen und keinen technischen Support mehr. Der Server läuft weiter, aber jede neu bekannte Lücke bleibt offen. Hersteller von Fachanwendungen ziehen ihre Freigaben meist zur gleichen Zeit oder früher zurück.
Kann ich Windows Server 2016 nach dem 12. Januar 2027 weiter betreiben?
Technisch ja, verantwortbar nur in Ausnahmen: mit ESU, isoliert im eigenen Netzsegment, eng überwacht und mit dokumentierter Risikoakzeptanz mit Ablaufdatum. Als Dauerzustand ist ein Server ohne Updates weder sicher noch nachweisfähig.
Was sind Extended Security Updates (ESU)?
ESU sind ein kostenpflichtiges Programm von Microsoft, das nach dem Ende des Extended Support für bis zu drei Jahre Sicherheitsupdates der Stufen kritisch und wichtig liefert. Neue Funktionen, Fehlerbehebungen ohne Sicherheitsbezug und Herstellerfreigaben gehören nicht dazu.
Was kosten ESU für Windows Server 2016?
Über Azure Arc wird monatlich je Prozessorkern abgerechnet, beginnend am 13. Januar 2027; wer später einsteigt, zahlt rückwirkend. Daneben gibt es ESU über Volumenlizenzierung, in der Regel mit Software Assurance. Über drei Jahre liegen die Kosten schnell in der Größenordnung einer neuen Lizenz – wir rechnen das für Ihre Server konkret durch.
Gibt es ESU auch kostenlos?
Ja, für Windows Server 2016 als virtuelle Maschine in Azure sind die ESU bis Januar 2030 ohne Aufpreis enthalten. Sie zahlen dann den Betrieb in Azure, nicht die Updates. Das kann für einzelne Anwendungen ein sinnvoller Zwischenschritt sein.
Wann endet der Support für Windows Server 2012 R2 endgültig?
Der Extended Support für Windows Server 2012 und 2012 R2 endete am 10. Oktober 2023. Das dritte und letzte ESU-Jahr endet am 13. Oktober 2026. Mit dem Oktober-Patchday erscheint das letzte Sicherheitsupdate.
Gibt es nach dem 13. Oktober 2026 noch Updates für Windows Server 2012 R2?
Nein. Microsoft hat kein viertes ESU-Jahr angekündigt, auch nicht in Azure. Systeme, die bleiben müssen, gehören isoliert, überwacht und mit unterschriebener Risikoakzeptanz und festem Migrationstermin dokumentiert.
Müssen wir wegen Windows Server 2022 jetzt handeln?
Nein. Am 13. Oktober 2026 endet bei Windows Server 2022 nur der Mainstream Support. Sicherheitsupdates gibt es bis zum 14. Oktober 2031. Wer ohnehin migriert, plant 2022 in den nächsten Lebenszyklus ein – Druck besteht nicht.
Auf welche Version sollten wir migrieren?
In der Regel auf Windows Server 2025 mit Sicherheitsupdates bis zum 14. November 2034. Windows Server 2022 ist eine Option, wenn ein Softwarehersteller 2025 noch nicht freigegeben hat. Windows Server 2019 erhält nur noch bis Januar 2029 Updates und ist als Ziel einer neuen Migration zu kurz.
Kann ich direkt von Windows Server 2016 auf Windows Server 2025 upgraden?
Ja. Windows Server 2025 erlaubt ein In-Place-Upgrade über bis zu vier Versionen, also auch von 2016 und 2012 R2. Ausgenommen sind Domain Controller. Ob ein Upgrade sinnvoll ist oder ein Neuaufbau, entscheiden Zustand, Rolle und Anwendungen des Servers.
Was ist bei Domain Controllern zu beachten?
Domain Controller werden neu aufgebaut, nicht aktualisiert. Ein Domain Controller mit Windows Server 2025 setzt die Funktionsebene Windows Server 2016 voraus. Laufen noch Domain Controller mit 2012 R2, müssen diese zuerst ersetzt werden, bevor die Funktionsebene angehoben werden kann.
Brauchen wir neue Lizenzen und Zugriffslizenzen?
Meist ja. Windows Server wird je Prozessorkern lizenziert, und die Zugriffslizenzen (CALs) müssen mindestens der Serverversion entsprechen – auch die Remotedesktop-CALs. Mit Software Assurance sind Upgrade-Rechte oft schon enthalten. Wir prüfen den Bestand vor dem Projekt.
Wie lange dauert eine Migration?
Ein einzelner Fileserver ist in wenigen Tagen umgezogen. Umgebungen mit mehreren Domain Controllern, Fachanwendungen und Abstimmung mit Herstellern brauchen Wochen. Unser größtes Referenzprojekt – rund 200 Server – wurde in drei Monaten umgesetzt. Wichtig ist der Start: Herstellerfreigaben haben Vorlauf.
Was passiert mit Anwendungen, die nur auf Windows Server 2016 laufen?
Es gibt drei Wege: ein Update der Anwendung beim Hersteller, ein Umzug in eine isolierte Umgebung mit ESU – zum Beispiel in Azure, wo ESU enthalten sind – oder die Ablösung durch ein anderes Produkt. Welcher passt, hängt vom Hersteller und von der Bedeutung der Anwendung ab.
Ist ein Server ohne Updates ein Problem für NIS2, ISO 27001 oder TISAX®?
Ja, wenn er nicht bewertet und dokumentiert ist. Alle drei verlangen ein Management technischer Schwachstellen. Ein Altsystem mit Risikoakzeptanz, kompensierenden Maßnahmen und Migrationstermin ist erklärbar – ein vergessener Server ohne Plan ist eine Abweichung.
Was kostet die Migration bei UBESAFE?
Migrationen rechnen wir nach Aufwand ab: ab 135 € je Stunde, Tagessatz ab 1.080 € netto. Nach der Inventur schätzen wir den Aufwand je Server und Weg ab, bevor das Projekt startet. Lizenzen und Hardware kommen je nach Zielbild hinzu.
Betreut UBESAFE die Server nach der Migration weiter?
Auf Wunsch ja, im Client- & Server-Management: Betrieb, Patchen und Absicherung zum festen Monatspreis je Server, Support nach Volumen oder Aufwand. Arbeiten Sie mit eigener IT, unterstützen wir projektweise als IT-Dienstleister.
Was ist mit SQL Server 2016 und Exchange Server auf denselben Servern?
Beide sind ebenfalls aus dem regulären Support: Der erweiterte Support für SQL Server 2016 endete am 14. Juli 2026, Exchange Server 2016 und 2019 sind seit dem 14. Oktober 2025 ohne regulären Support. Wir planen Betriebssystem und Anwendung deshalb gemeinsam – oft ist Exchange Online der Moment, in dem der Server ganz wegfällt.
Was passiert mit Hyper-V-Hosts auf Windows Server 2016?
Der Host fällt genauso aus dem Support wie jede Maschine darauf. Wir ziehen die virtuellen Maschinen auf einen aktuellen Host oder nach Azure um und prüfen dabei, welche Server überhaupt noch lokal laufen müssen. Das senkt Lizenz- und Hardwarekosten oft spürbar.
Was nach der Migration weiterläuft.
Ein neuer Server ist der Anfang. Damit das nächste Supportende kein Projekt wird, gehört er in einen laufenden Betrieb.
Client- & Server-Management
Server und Endgeräte remote betrieben, gepatcht und abgesichert – mit Lebenszyklusplanung, damit Supportfristen nicht mehr überraschen.
Azure Virtual Desktop
Terminalserver ablösen statt nachbauen: Arbeitsplätze aus Azure, Standorte über Firewalls angebunden, Hosts nach Bedarf betrieben.
IT-Dienstleister
Migration als Projekt neben dem Tagesgeschäft – als Verstärkung Ihrer internen IT, nach Aufwand abgerechnet.
Antwort innerhalb eines Werktags.
Aus dem Security Blog.
Was das Ende der Extended Security Updates für Windows Server 2012 R2 bedeutet – und was Sie jetzt tun sollten.
Windows Server 2012 R2 End of Life: Das letzte ESU-Update ist raus – was jetzt zu tun ist
Kostenloses Erstgespräch
- Antwort innerhalb eines Werktags.
- Kostenloses, unverbindliches Erstgespräch – 30 Minuten.
- Klare Empfehlung und transparente Aufwandsschätzung.
- Lieber direkt einen Termin? 30-Minuten-Slot buchen
Ihre Ansprechpartner
Alexander Brütsch
Geschäftsführer, CISO
Stefan Wagner
Geschäftsführer
Mit Sternchen markierte Felder sind Pflichtfelder. Mit dem Absenden des Formulares akzeptieren Sie die Datenschutzerklärung. Mit dem Absenden des Formulars willige ich ein, dass meine übermittelten Informationen gespeichert werden, damit meine Anfrage beantwortet werden kann.