Extended Security Updates (ESU) erklärt: gekaufte Zeit nach dem Support-Ende

Was ESU sind und was sie nicht sind

Microsoft-Produkte mit festem Lebenszyklus (Fixed Lifecycle Policy) erhalten nach dem Support-Ende normalerweise keinerlei Updates mehr. Für ausgewählte Produkte bietet Microsoft danach ein ESU-Programm an: ein kostenpflichtiges Zusatzfenster von maximal 3 Jahren, in dem weiterhin Sicherheitsupdates ausgeliefert werden.

Der Umfang ist bewusst eng begrenzt. ESU liefert:

• nur Sicherheitsupdates der Einstufungen „Critical" und „Important",
• keine neuen Funktionen,
• keine Fehlerbehebungen außerhalb der Sicherheit,
• keinen technischen Support.

ESU hält ein Altsystem also nur gegen die gravierendsten Sicherheitslücken am Leben. Wer etwa ein Kompatibilitätsproblem hat, bleibt darauf sitzen. Dazu kommt das Preismodell: Im kommerziellen Programm verdoppelt sich der Preis jedes Jahr. Beides zusammen ist Microsofts klares Signal, dass ESU eine Brücke für die Migration ist und kein Betriebsmodell.

Welche Produkte ESU haben: der Überblick

ESU gibt es nicht für jedes Produkt. Stand 15.10.2026 sieht die Lage so aus:

Die Gegenbeispiele sind wichtig: Für Office, Exchange und SharePoint gibt es keinen ESU-Weg. Dort bedeutet das Support-Ende endgültig „keine Patches mehr". Eine Übersicht aller Termine führt unsere Support-Ende-Zentrale; was das für Mailserver konkret heißt, steht auf der Seite zum Exchange Server.

Eine bemerkenswerte Sonderregel gibt es bei den Apps: Microsoft 365 Apps auf Windows 10 erhalten unabhängig vom Betriebssystem-ESU noch bis zum 10.10.2028 Sicherheitsupdates; Feature-Updates enden mit Version 2608, danach bleiben die Geräte auf diesem Stand eingefroren.

Windows-10-ESU für Privatnutzer (Consumer)

Das Consumer-Programm gilt für Windows 10 Home und Pro bei Privatnutzern. Ursprünglich war es auf ein Jahr bis zum 13.10.2026 angelegt; im Juni 2026 hat Microsoft es bis zum 12.10.2027 verlängert. Bereits eingeschriebene Geräte bleiben automatisch abgedeckt, Neuanmeldungen sind bis zum Programmende möglich.

Anmeldewege und Kosten

• Kostenlos per Windows-Backup beziehungsweise Einstellungs-Synchronisierung mit einem Microsoft-Konto,
• mit 1.000 Microsoft-Rewards-Punkten oder
• einmalig 30 USD (beziehungsweise Lokaläquivalent); eine ESU-Lizenz deckt bis zu 10 Geräte.

Die EWR-Sonderregel

Im Europäischen Wirtschaftsraum ist Consumer-ESU nach Druck der Verbraucherorganisation Euroconsumers (im Kontext des Digital Markets Act) kostenlos und ohne Backup- oder Rewards-Bedingung verfügbar. Nötig ist nur ein Microsoft-Konto, mit dem man sich mindestens alle 60 Tage anmeldet. Ein Vorbehalt gehört dazu: Ob die EWR-Gratisregel ebenfalls bis zum 12.10.2027 gilt, nennt Microsoft nicht separat; die offizielle ESU-Seite nennt das Datum ohne Regionaleinschränkung, während Pressemeldungen zur EWR-Regel aus 2025 noch den 13.10.2026 nannten.

Für Firmen-PCs gilt das Consumer-Programm nicht

Voraussetzung ist Windows 10 22H2 mit aktuellen Updates. Ausgeschlossen sind Geräte, die in Active Directory oder Microsoft Entra ID eingebunden, per MDM verwaltet oder als Kiosk konfiguriert sind. Im Klartext: Firmen-PCs brauchen das kommerzielle Programm. Die Gesamtlage von Windows 10 ein Jahr nach dem Support-Ende behandelt unsere Produktseite Windows 10 nach dem Support-Ende; diese Seite hier erklärt das ESU-Programm selbst.

Windows-10-ESU für Unternehmen (Commercial)

Für Volumenlizenz-Kunden gilt das klassische ESU-Preismodell mit jährlicher Verdopplung. Die Mindestabnahme liegt bei 1 Lizenz, lizenziert wird pro Gerät:

Drei Regeln bestimmen die Kostenrechnung:

• Kumulativ: Wer erst im Jahr 2 einsteigt, zahlt Jahr 1 nach; wer im Jahr 3 einsteigt, zahlt Jahr 1 und 2 nach. Ein später Einstieg spart also nichts.
• Verdopplung: Jedes Jahr kostet doppelt so viel wie das vorherige. Über alle 3 Jahre summiert sich ESU auf 427 USD pro Gerät (netto).
• Hartes Ende: Nach Oktober 2028 ist Schluss, eine vierte Runde gibt es nicht.

Kostenlose Sonderfälle: Windows-10-VMs in Windows 365, Azure Virtual Desktop und Azure-VMs erhalten ESU ohne Aufpreis. Endgeräte mit aktiver Windows-365-Lizenz bekommen ESU ebenfalls bis zu 3 Jahre gratis. Wer ohnehin Cloud-PCs einsetzt, sollte diesen Weg zuerst prüfen. Die aktuelle Nachrichtenlage dazu fasst unser Beitrag Windows 10 ein Jahr nach dem Aus zusammen.

Windows Server 2012 R2: das ESU-Programm ist beendet

Windows Server 2012 R2 ist das Lehrstück dafür, wie ein ESU-Programm komplett durchläuft. Der Extended Support endete am 10.10.2023, danach folgten drei ESU-Jahresfenster:

• Jahr 1 bis 08.10.2024,
• Jahr 2 bis 14.10.2025,
• Jahr 3 bis 13.10.2026.

Damit ist am 13.10.2026 die allerletzte Patch-Option für Windows Server 2012 R2 ausgelaufen (abgesehen von Azure-Sonderfällen). Wer dieses System noch produktiv betreibt, fährt ab sofort dauerhaft ungepatcht, und zwar ohne jede Nachkauf-Möglichkeit. Einziger sauberer Ausweg ist die Migration auf eine unterstützte Windows-Server-Version; die Details zum Stichtag stehen in unserer Meldung Windows Server 2012 R2: letzte ESU-Stufe beendet.

Der nächste Kandidat steht übrigens fest: Für Windows Server 2016 endet der Extended Support am 12.01.2027; danach sind kostenpflichtige ESU von bis zu 3 Jahren vorgesehen (Abrechnung über Azure Arc ab 13.01.2027). Was das für Bestandssysteme bedeutet, behandelt die Produktseite Windows Server 2016.

SQL Server 2016: ESU-Fenster bis 2029

Auch Datenbanken haben ein ESU-Programm: Für SQL Server 2016 endete der Extended Support am 14.07.2026. Die ESU-Jahresfenster laut Microsoft-Lifecycle-Seite:

• Jahr 1 bis 13.07.2027 (läuft aktuell),
• Jahr 2 bis 18.07.2028,
• Jahr 3 bis 17.07.2029.

Anders als noch bei SQL Server 2014 ist SQL-Server-2016-ESU auch in Azure kostenpflichtig (Abo über Azure Arc bzw. die SQL IaaS Agent Extension). Für die Einordnung: SQL Server 2017 (Extended bis 12.10.2027), 2019 (bis 08.01.2030) und 2022 (bis 11.01.2033) sind noch regulär im Support, eine Migration auf diese Versionen beendet das ESU-Thema ganz. Die Lizenzmodelle erklärt unsere Seite zur SQL-Server-Lizenzierung.

ESU ist Zeitkauf: die Exit-Strategie

Alle ESU-Programme folgen derselben Logik: Sie kaufen Zeit, nicht Sicherheit im umfassenden Sinn und erst recht keine Zukunft. Drei Gründe, warum ESU nur als Übergang taugt:

• Die Kosten steigen planmäßig. Die jährliche Verdopplung macht das dritte Jahr viermal so teuer wie das erste, pro Gerät und wiederkehrend.
• Der Schutz ist lückenhaft. Nur Critical- und Important-Updates, keine Bugfixes, kein Support: Für internetexponierte oder compliance-relevante Systeme bleibt ein Restrisiko.
• Das Ende ist fix. Nach maximal 3 Jahren steht dieselbe Migrationsentscheidung wieder an, nur ohne weitere Gnadenfrist, wie der Fall Windows Server 2012 R2 gerade zeigt.

Sinnvoll ist ESU deshalb genau dann, wenn eine konkrete Abhängigkeit (etwa eine Fachanwendung, die noch nicht auf dem neuen System läuft) ein definiertes Zeitfenster braucht. Die Empfehlung dieser Redaktion: ESU-Budget immer zusammen mit einem Migrationsplan beschließen. Wer die ESU-Jahresbeträge stattdessen in den Umstieg auf unterstützte Versionen investiert, löst das Problem dauerhaft, zumal gebrauchte Volumenlizenzen die Lizenzkosten der Zielumgebung drastisch senken. Für den Client-Umstieg samt Lizenzwegen hilft der Vergleich Windows 10 oder 11.

Praxisbeispiel: 25-Mitarbeiter-Szenario

Ein Unternehmen mit 25 Mitarbeitern hat noch 20 PCs auf Windows 10 (die übrigen 5 laufen bereits auf Windows 11). Die Geschäftsführung überlegt, ob sie die Altgeräte per ESU weiterbetreibt. Da Jahr 1 am 13.10.2026 ausgelaufen ist, gilt beim Einstieg heute: Jahr 1 wird nachgezahlt.

Das Ergebnis ist eindeutig: Rund 3.660 USD netto fließen in ein einziges Jahr Aufschub, bis Oktober 2028 wären es 8.540 USD, und danach steht die Migration trotzdem an. Dasselbe Budget in den Umstieg investiert (Windows-11-taugliche Hardware dort, wo nötig, plus gebrauchte Volumenlizenzen für Client- und Serverlandschaft) beendet das Thema dauerhaft. Sinnvoll bleibt ESU in diesem Szenario höchstens für eine Handvoll Geräte mit einer Altanwendung, die ein fest terminiertes Gnadenfenster braucht.

Fazit

Extended Security Updates sind ein nützliches, aber bewusst unbequemes Instrument: maximal 3 Jahre Notversorgung mit Critical- und Important-Patches, zu jährlich verdoppelten Preisen und mit fixem Endtermin. Für Windows 10 läuft das Programm noch (Privatnutzer bis 12.10.2027, Unternehmen bis Oktober 2028), für SQL Server 2016 bis 2029, für Windows Server 2012 R2 ist es seit dem 13.10.2026 Geschichte. Behandeln Sie ESU als das, was es ist: gekaufte Zeit für eine geplante Migration. Wie viel Budget der Umstieg auf unterstützte Versionen mit geprüften Gebrauchtlizenzen tatsächlich braucht, zeigt Ihnen der Lizenzrechner auf lyzio.de; bei Detailfragen hilft die persönliche Beratung.

Häufige Fragen