Es ist eines dieser IT-Themen, das lange als „irgendwann einmal“ abgetan wurde und nun schlicht Realität ist: Microsoft hat den regulären Support für Windows 10 mit 14. Oktober 2025 beendet. Seit diesem Stichtag erhält das jahrelang meistgenutzte Betriebssystem der Welt keine kostenlosen Sicherheitsupdates mehr – und trotzdem läuft es in vielen Betrieben munter weiter: auf dem Rechner in der Werkstatt, am Empfang, auf dem Notebook des Chefs, an der Maschine, „wo eh nur das eine Programm drauf ist“. Wenn das auch Ihr Unternehmen beschreibt, ist dieser Beitrag für Sie: Wir erklären, was das Supportende konkret bedeutet, warum „läuft doch noch“ die teuerste aller Antworten ist, welche Optionen es gibt – und wie ein geordneter Umstieg abläuft, ohne den Betrieb lahmzulegen.
Was „Supportende“ wirklich heißt – und was nicht
Zunächst zur Klarstellung, denn hier gibt es ein verbreitetes Missverständnis: Windows-10-Rechner sind am Stichtag nicht stehengeblieben und werden es auch nicht. Das System startet, die Programme laufen, äußerlich ändert sich nichts. Genau darin liegt die Tücke – denn geändert hat sich etwas Unsichtbares und Entscheidendes: Es gibt keine Sicherheitsupdates mehr.
Um zu verstehen, warum das so schwer wiegt, muss man wissen, wie der Update-Zyklus funktioniert: In jedem Betriebssystem werden laufend Sicherheitslücken entdeckt – von Forschern, von Herstellern, von Kriminellen. Solange ein System unterstützt wird, liefert der Hersteller monatlich Korrekturen, und das Wettrennen zwischen Lücke und Patch geht meist gut aus. Nach dem Supportende bleibt jede neu entdeckte Lücke dauerhaft offen. Schlimmer noch: Viele Schwachstellen betreffen Windows 10 und seine Nachfolger gemeinsam – wenn Microsoft sie künftig in Windows 11 schließt, ist die Korrektur öffentlich dokumentiert, und Angreifer können daraus ablesen, wo sie bei Windows 10 ansetzen müssen. Ungepatchte Alt-Systeme sind deshalb kein theoretisches Risiko, sondern das bevorzugte Ziel automatisierter Angriffe; die Geschichte früherer Supportenden – Stichwort Windows XP und Windows 7 – hat das eindrucksvoll gezeigt. Ein Windows-10-Rechner im Firmennetz ist ab jetzt eine Tür, die mit jedem Monat weiter aufgeht – und über die im Ernstfall nicht nur dieser eine PC, sondern das gesamte Netzwerk kompromittiert wird, bis hin zum Ransomware-Szenario.
Dazu kommen zwei praktische Folgeprobleme. Erstens die Software: Anwendungshersteller stellen die Unterstützung alter Systeme nach und nach ein – Browser, Virenschutz und Branchensoftware erhalten früher oder später keine Versionen mehr für Windows 10, womit auch deren Sicherheitslage erodiert. Zweitens die Verantwortung: Wer personenbezogene Daten auf einem System ohne Sicherheitsupdates verarbeitet, wird die Frage nach den „geeigneten technischen Maßnahmen“ der DSGVO im Vorfallsfall schwer beantworten können, und auch Cyberversicherungen und die kommenden Anforderungen des NISG 2026 setzen den Stand der Technik voraus. „Wir wussten es nicht“ ist keine Verteidigung – das Datum stand jahrelang fest.
Die Optionen im Überblick
Was also tun mit den betroffenen Geräten? Es gibt vier ehrliche Antworten, und welche passt, hängt vom einzelnen Rechner ab.
Die erste und für die meisten Geräte richtige Option ist das Upgrade auf Windows 11 auf der bestehenden Hardware. Ist der Rechner kompatibel, ist das Upgrade kostenlos und der Aufwand überschaubar. Der Haken steckt im Wort „kompatibel“: Windows 11 stellt strengere Hardware-Anforderungen als jede Windows-Version zuvor – insbesondere den Sicherheitschip TPM 2.0 und eine relativ junge Prozessorgeneration. Viele solide, im Alltag völlig ausreichende Geräte der Jahre bis etwa 2018 scheitern an genau diesen formalen Hürden, obwohl sie leistungsmäßig noch mithalten würden. Ob ein Gerät kompatibel ist, lässt sich zuverlässig prüfen – das ist der erste Schritt jeder Umstiegsplanung.
Die zweite Option ist der Gerätetausch, und sie ist bei älterer Hardware oft die wirtschaftlich vernünftigere: Ein sechs, sieben Jahre alter PC steht ohnehin am Ende seines sinnvollen Lebenszyklus – langsamer Massenspeicher, knapper Arbeitsspeicher, auslaufende Garantie. Das Supportende ist dann weniger ein Ärgernis als ein natürlicher Anlass, die Erneuerung, die in ein, zwei Jahren ohnehin fällig gewesen wäre, vorzuziehen und dabei gleich richtig zu dimensionieren. Wichtig aus Planungssicht: nicht alles auf einmal und nicht in Panik – sondern priorisiert nach Risiko und Zustand.
Die dritte Option ist der bezahlte Aufschub: Microsoft bietet erweiterte Sicherheitsupdates (Extended Security Updates, ESU) an, mit denen sich für betroffene Systeme gegen Gebühr weiterhin Sicherheitskorrekturen beziehen lassen – für Unternehmen gestaffelt über mehrere Jahre, mit von Jahr zu Jahr steigenden Kosten. Man muss dieses Programm als das sehen, was es ist: eine Brücke für Sonderfälle, kein Dauerzustand. Sinnvoll ist es etwa für einzelne Rechner, an denen Spezialsoftware oder angebundene Geräte hängen, die kurzfristig nicht auf ein neues System umziehen können. Als flächendeckende Strategie ist es die teuerste Variante – man bezahlt dafür, das eigentliche Problem vor sich herzuschieben.
Und die vierte Option betrifft die echten Härtefälle: Maschinen- und Steuerungsrechner, Messplätze, Systeme mit alter Spezialsoftware, die sich weder aktualisieren noch wirtschaftlich ersetzen lassen. Für solche Systeme gilt die eiserne Regel der Isolation: Sie gehören in ein eigenes, striktes abgeschottetes Netzsegment ohne Internetzugang und ohne freie Verbindung ins übrige Firmennetz – so, dass eine Kompromittierung dieses einen Systems nicht zum Sprungbrett für alles andere wird. Das ist Risikomanagement, kein Freibrief: Auch für diese Inseln braucht es einen Plan, wie es mittelfristig weitergeht.
So läuft ein geordneter Umstieg ab
Aus vielen Migrationsprojekten hat sich ein Ablauf bewährt, der das Thema vom diffusen Berg zur abarbeitbaren Liste macht.
Am Anfang steht die Inventur: Welche Geräte laufen überhaupt noch mit Windows 10 – inklusive der gern vergessenen Kandidaten wie Kassensystemen, Empfangs- und Besprechungsraum-PCs, Werkstattrechnern und dem Notebook, das nur der Außendienst benutzt? Für jedes Gerät wird erhoben: Hardware-Stand, Windows-11-Kompatibilität, installierte Software samt Lizenzfragen und die Rolle im Betrieb. Daraus entsteht drittens die Entscheidung pro Gerät – Upgrade, Tausch, ESU-Brücke oder Isolation – und ein Zeitplan, der mit den kritischsten und exponiertesten Systemen beginnt.
Bei der Umsetzung selbst entscheidet die Vorbereitung über den Stress: Vor jedem Upgrade oder Tausch steht die vollständige Datensicherung; Profile, Daten und Einstellungen werden geordnet übernommen, die benötigte Software wird vorab auf Kompatibilität geprüft und bereitgelegt, und die Umstellung erfolgt gestaffelt – etwa abteilungsweise oder außerhalb der Kernzeiten –, sodass nie der ganze Betrieb gleichzeitig betroffen ist. Ein Nebeneffekt, den viele Betriebe erst im Nachhinein zu schätzen wissen: Eine solche Migration ist die beste Gelegenheit seit Jahren, aufzuräumen – Altsoftware zu entsorgen, Lizenzchaos zu bereinigen, Benutzerkonten und Rechte zu ordnen und die neuen Geräte von Anfang an sauber und einheitlich aufzusetzen, inklusive zeitgemäßer Sicherheitsgrundausstattung wie Festplattenverschlüsselung und zentral verwalteter Updates.
Und die Altgeräte? Bitte nicht einfach in den Container: Auf den Datenträgern ausgemusterter Rechner liegen Firmendaten, die vor der Entsorgung oder Weitergabe nachweislich und sicher gelöscht werden müssen – einfaches „Formatieren“ genügt nicht. Fachgerechte Datenlöschung beziehungsweise die physische Vernichtung der Datenträger gehört zum Abschluss jedes Gerätetauschs dazu; funktionsfähige, sauber bereinigte Geräte lassen sich danach guten Gewissens weitergeben oder einer zweiten Verwendung zuführen.
Fazit
Das Supportende von Windows 10 ist kein Microsoft-Marketing und keine Panikmache, sondern ein hartes Sicherheitsdatum, das bereits hinter uns liegt: Jeder weiterhin produktiv genutzte Windows-10-Rechner sammelt ab jetzt ungepatchte Lücken an – in einem Firmennetz ist das eine tickende Uhr, keine Bagatelle. Die gute Nachricht: Mit einer nüchternen Inventur und einer Entscheidung pro Gerät – Upgrade, Tausch, befristete ESU-Brücke oder strikte Isolation – wird aus dem Thema ein planbares Projekt mit überschaubaren Kosten. Die schlechteste Option ist die verbreitetste: nichts zu tun und darauf zu hoffen, dass es gutgeht. Diese Hoffnung hat in der Geschichte der IT-Sicherheit noch selten gehalten.
