Die Frist war lange bekannt, und trotzdem stehen in vielen Betrieben noch Rechner mit Windows 10. Das Kassensystem im Laden. Der Rechner in der Werkstatt, an dem das Aufmaßprogramm hängt. Der Arbeitsplatz im Büro, den nur eine Person benutzt und der deshalb bei der letzten Runde durchgerutscht ist.
Diese Geräte laufen. Sie starten morgens, drucken, öffnen die Warenwirtschaft. Genau deshalb hat sie niemand angefasst.
Seit dem 14. Oktober 2025 bekommen sie keine Sicherheitsupdates mehr. Das sind inzwischen über zehn Monate, in denen jede neu gefundene Lücke offen geblieben ist. Und in gut sieben Wochen läuft die Frist ab, die aus dem Versäumnis eine Entscheidung macht.
Der 13. Oktober 2026 ist der Termin, der jetzt zählt
Microsoft verkauft für Windows 10 erweiterte Sicherheitsupdates, kurz ESU. Das Programm läuft in Jahresschritten, gerechnet ab dem Support-Ende am 14. Oktober 2025. Die Enddaten stehen fest:
| ESU-Jahr | Endet am |
|---|---|
| Jahr 1 | 13. Oktober 2026 |
| Jahr 2 | 12. Oktober 2027 |
| Jahr 3 | 10. Oktober 2028 |
Danach ist Schluss. Microsoft beschreibt das Programm selbst nicht als Lösung, sondern als vorübergehende Brücke, um während der Migration sicher zu bleiben. Länger als drei Jahre nach dem Support-Ende gibt es nichts.
Wer im ersten Jahr gebucht hat, muss also bis Mitte Oktober entscheiden, ob er verlängert. Wer nichts gebucht hat, entscheidet dieselbe Frage — nur mit zehn Monaten Rückstand.
Das kostenlose ESU aus den Nachrichten gilt für deinen Betrieb nicht
Es gibt zwei getrennte Programme mit demselben Kürzel, und das ist die häufigste Verwechslung bei diesem Thema.
Für Privatanwender gibt es ESU nur für ein einziges Jahr, bis zum 13. Oktober 2026 — im Europäischen Wirtschaftsraum kostenlos, wenn man sich mit einem Microsoft-Konto anmeldet, sonst für einmalig 30 US-Dollar. Drei Jahre gibt es ausschließlich im kommerziellen Programm. Davon war viel zu lesen, und viele haben daraus geschlossen, das Thema sei erledigt.
Ist es nicht. Microsoft schreibt zu diesem Programm ausdrücklich, dass es im geschäftlichen Umfeld nicht verwendet werden kann. Die Registrierung wird außerdem gar nicht erst angeboten für Geräte im Kiosk-Modus, für Geräte, die mit einer Active-Directory-Domäne oder mit Microsoft Entra verbunden sind, und für Geräte, die über eine MDM-Lösung verwaltet werden.
Für Betriebe gilt das kommerzielle Programm. Berechtigt sind dort die Editionen Enterprise, Education und Pro in kommerzieller Nutzung. Die Langzeitversionen LTSB und LTSC haben eigene Lebenszyklen und sind vom Windows-10-ESU-Programm nicht abgedeckt.
Was ESU für einen Betrieb tatsächlich kostet
Über das Volumenlizenzprogramm nennt Microsoft für das erste Jahr 61 US-Dollar je Gerät. Der Preis verdoppelt sich in jedem Folgejahr, maximal drei Jahre lang. Drei Dinge kommen dazu, die den Rechenweg verändern:
- Die Jahre sind kumulativ. Wer erst im zweiten Jahr einsteigt, muss Jahr 1 mitbezahlen. Das Versäumnis wird also nicht billiger, wenn man es aussitzt.
- Es gibt nur ganze Jahre. Teilzeiträume, etwa sechs Monate, verkauft Microsoft nicht.
- Technischer Support ist nicht enthalten. ESU umfasst kritische und wichtige Sicherheitsupdates, sonst nichts: keine neuen Funktionen, keine Fehlerkorrekturen außerhalb der Sicherheit, keine Hilfe bei Problemen, die nichts mit den Updates zu tun haben.
Die Mindestabnahme ist eine Lizenz. Für einen Betrieb mit drei Altgeräten ist das Programm also grundsätzlich zugänglich — die Frage ist, ob es sich lohnt. Bei einem Rechner, der ohnehin ersetzt werden muss, zahlt man mit ESU zweimal: einmal für die Verlängerung und einmal für das Gerät, das danach trotzdem kommt.
Was technisch dazugehört
ESU fällt nicht vom Himmel, wenn man bezahlt hat. Auf dem Gerät muss
Windows 10 Version 22H2 laufen. Darauf muss das Update KB5066791 oder ein
späteres installiert sein, und erst danach das ESU-Vorbereitungspaket
KB5072653. Der Schlüssel wird anschließend je Gerät mit slmgr.vbs
installiert und aktiviert, wofür das Gerät die Aktivierungsserver von
Microsoft erreichen muss.
Das ist Arbeit je Gerät. Bei drei Rechnern ist sie überschaubar, aber sie fällt an — und sie fällt in jedem Jahr erneut an, weil jedes ESU-Jahr eine eigene Aktivierungs-ID hat.
Wann ESU trotzdem der richtige Weg ist
Es gibt einen Fall, in dem die Verlängerung Sinn ergibt: Ein Gerät hängt an einer Fachsoftware oder an einer Maschine, für die es noch keine Freigabe für Windows 11 gibt. Dann ist ESU keine Bequemlichkeit, sondern die Absicherung eines Termins, den ein anderer bestimmt.
Wichtig ist die Reihenfolge. Zuerst wird beim Hersteller schriftlich geklärt, wann die Freigabe kommt. Erst danach wird entschieden, wie viele ESU-Jahre man braucht. Wer ohne diese Antwort verlängert, kauft ein Jahr und steht im nächsten Oktober wieder am selben Punkt.
Für alle anderen Geräte gilt das, was das BSI schon zum Support-Ende gesagt hat: Der Weiterbetrieb birgt gravierende Sicherheitsrisiken, und die Empfehlung lautet, ein Upgrade durchzuführen oder auf ein anderes Betriebssystem umzusteigen.
Der Umstieg scheitert selten an Windows
Ob ein Gerät Windows 11 überhaupt bekommen kann, hängt an einer kurzen Liste: ein kompatibler 64-Bit-Prozessor mit mindestens 1 GHz und zwei Kernen, 4 GB Arbeitsspeicher, 64 GB freier Speicherplatz, UEFI mit der Möglichkeit zum sicheren Start und TPM in Version 2.0. Der Sprung selbst setzt mindestens Windows 10 Version 2004 voraus und das Sicherheitsupdate vom 14. September 2021 oder später.
In der Praxis entscheidet meistens der Prozessor, und zwar nicht über die Geschwindigkeit, sondern über die Liste der freigegebenen Modelle. Fällt ein Gerät dort durch, ist es alt genug, dass sich das Nachrüsten nicht mehr lohnt.
Der schwierige Teil steht ohnehin woanders. Es sind die Fachsoftware, deren Hersteller die neue Version noch nicht freigegeben hat, der Etikettendrucker ohne aktuelle Treiber und die Anwendung, deren Zugangsdaten vor sieben Jahren einmal eingetragen wurden und die niemand mehr kennt. Wie diese Liste entsteht, steht in Windows 10 endet im Oktober — die Aufgabe ist dieselbe geblieben, nur der Zeitpuffer ist weg.
Ein Nebenpunkt, der oft übersehen wird: Für Microsoft 365 Apps auf Windows 10 liefert Microsoft noch bis zum 10. Oktober 2028 Sicherheitsupdates. Das Office läuft also länger als das Betriebssystem darunter. Ein aktuelles Office auf einem ungepatchten Windows ist trotzdem kein sicheres Gerät.
Was jetzt zu tun ist
- Aufschreiben, welche Geräte noch Windows 10 haben, welche Edition und welche Version darauf läuft und wer damit arbeitet.
- Für jedes Gerät die Frage stellen: ersetzen, aktualisieren oder verlängern.
- Bei den Verlängerungskandidaten den Softwarehersteller schriftlich nach der Windows-11-Freigabe fragen. Diese Antwort bestimmt den Plan.
- Die ESU-Entscheidung vor dem 13. Oktober 2026 treffen, nicht danach.
- Vor jedem Upgrade eine Sicherung anlegen und sie zurückspielen. Warum das Zurückspielen der eigentliche Teil ist, steht in Backup ist noch keine Datensicherung.
Ein Punkt gehört noch dazu. Cyberversicherungen fragen nach dem Patchstand. Ein Arbeitsplatz ohne Hersteller-Support kann im Schadensfall die Leistung kosten — was dabei zählt, steht in Wenn der Cyberschaden da ist. Ob dein konkreter Vertrag das so vorsieht, sagt dir dein Versicherer, und die verbindliche rechtliche Einordnung gehört zu einem Anwalt, nicht in einen Blogbeitrag.
Wenn niemand im Betrieb weiß, welche Rechner betroffen sind, ist das der normale Zustand. Wir sehen nach, machen die Liste und teilen den Umstieg so auf, dass nicht der ganze Betrieb an einem Tag stillsteht — IT-Betreuung für kleine und mittlere Betriebe.