Windows 10 LTSB und Server 2016: Supportende zwingt zu ESU oder Migration

Microsoft hat den Support für Windows 10 Enterprise LTSB 2016 und Windows 10 IoT Enterprise LTSB 2016 am 13. Oktober 2026 beendet. Am 12. Januar 2027 folgt Windows Server 2016. Damit stehen in vielen Umgebungen Client- und Servermigrationen nahezu gleichzeitig an. iX ordnet die Termine ein, erläutert die Bedingungen für Extended Security Updates (ESU) und zeigt Migrationswege auf.

An einem Leitstand in der Fertigung arbeitet ein Industrie-PC unter Windows 10 IoT Enterprise LTSB 2016. Freigaben und Druckwarteschlangen stellt ein Dienst auf Windows Server 2016 im selben Betrieb bereit. Der Client hat am 13. Oktober sein letztes reguläres Sicherheitsupdate erhalten; beim Server endet die reguläre Versorgung am 12. Januar 2027. Für beide Systeme gibt es ESU-Programme, deren Voraussetzungen der Betrieb prüfen muss.

Zwei Stichtage liegen drei Monate auseinander

Zwischen dem Supportende der LTSB-Clients und dem der Serverausgabe liegen drei Monate. Bezahlte Sicherheitsupdates für Windows 10 LTSB 2016 lassen sich seit dem 1. April 2026 beziehen. Wer Clients und zugehörige Dienste getrennt migriert, muss ihre Abhängigkeiten bei beiden Schritten berücksichtigen.

Im Oktober 2026 endete auch der Support für Office 2021

Der Oktobertermin betraf nicht nur die LTSB-Ausgaben. Auch Office 2021 und Office LTSC 2021 erreichten ihr Supportende. Windows Server 2012 und 2012 R2 haben ihr drittes und letztes ESU-Jahr abgeschlossen. Windows Server 2022 wechselte vom Mainstream- in den erweiterten Support; dieser läuft bis Oktober 2031. Wenige Wochen später endet außerdem der Support für .NET 8.

Update Services, Windows Defender und IIS 10 fallen mit weg

Mit Windows Server 2016 erreichen auch weitere Produkte und Komponenten aus diesem Umfeld ihr Supportende. Dazu zählen Hyper-V Server 2016, Windows Storage Server 2016, Windows Server Update Services, Windows Defender, IIS 10 und .NET Framework 4.6.2. Einen Tag zuvor läuft der Support für die System-Center-2016-Familie aus, darunter Operations Manager und Virtual Machine Manager.

Ein Sonderfall sind Sitzungshosts: Microsoft-365-Apps werden auf Windows Server 2016 seit dem 14. Oktober 2025 nicht mehr regulär unterstützt. Sicherheitsupdates für die Desktopanwendungen liefert Microsoft dort jedoch noch bis zum 10. Oktober 2028. Neue Funktionen erhalten diese Installationen nur bis zu einer festgelegten Version. Ohne ESU arbeitet ein solcher Terminalserver ab Januar 2027 zwar weiterhin mit Sicherheitsupdates für die Office-Anwendungen, aber ohne Patches für das Betriebssystem.

Im naheliegenden Ausweg auf die nächstjüngere LTSC-Ausgabe steckt eine Falle. Viele Betriebe haben Windows 10 Enterprise LTSC 2021 als Nachfolger vorgesehen, weil passende Images bereits vorhanden sind. Dessen regulärer Support endet jedoch schon am 12. Januar 2027. Für diese Ausgabe bietet Microsoft anschließend ein eigenes ESU-Programm an. Windows 10 IoT Enterprise LTSC 2021 wird dagegen regulär bis Januar 2032 unterstützt; das ESU-Angebot für Enterprise LTSC 2021 gilt nicht für die IoT-Ausgabe.

Windows 10 Enterprise LTSB 2016 und Windows 10 IoT Enterprise LTSB 2016 haben am 13. Oktober 2026 ihr letztes reguläres monatliches Update erhalten. Kostenpflichtige ESU sind für bis zu drei Jahre vorgesehen. Voraussetzung auf dem Gerät sind mindestens das Servicing-Stack-Update KB5122874 und das Sicherheitsupdate KB5123099 vom September 2026. Den Schlüssel für die Enterprise-Ausgabe liefert das Microsoft-365-Admin-Center, den für die IoT-Ausgabe der OEM-Partner. Ein öffentlicher Preis für dieses ESU-Programm ist nicht genannt.

Windows Server 2016 in den Editionen Standard und Datacenter erreicht am 12. Januar 2027 das Ende des erweiterten Supports. Die Konfiguration von ESU über Azure Arc ist seit dem 3. August 2026 möglich; die Abrechnung beginnt am 13. Januar 2027. Die Updates können bis 2030 bereitgestellt werden. Für lokale Workloads bleiben aktive Software Assurance oder eine gleichwertige Server Subscription Voraussetzung – unabhängig davon, ob die Bereitstellung über Azure Arc erfolgt. Ein Umzug nach Azure garantiert nach den derzeit widersprüchlichen Microsoft-Angaben keine kostenfreien ESU für diese Version.

Der Aktivierungsschlüssel verlangt aktuelle Updates

Extended Security Updates verlängern die Versorgung um bis zu drei Jahre. Sie enthalten Sicherheitsupdates der Kategorien „kritisch“ und „wichtig“. Neue Funktionen, nicht sicherheitsrelevante Fehlerbehebungen und regulärer technischer Support gehören nicht dazu. ESU sind damit eine Übergangslösung bis zur Migration, nicht deren Ersatz.

Vor der Aktivierung benötigen Windows 10 Enterprise LTSB 2016 und Windows 10 IoT Enterprise LTSB 2016 mindestens das Servicing-Stack-Update KB5122874 sowie das Sicherheitsupdate KB5123099 vom September 2026 oder neuere Updates. Bei den Clients arbeitet das Programm mit einem Multiple Activation Key (MAK). Den Schlüssel erhalten Administratoren für die Enterprise-Ausgabe im Microsoft-365-Admin-Center im Bereich Volumenlizenzierung. Das Entra-ID-Konto benötigt dafür die Rolle „Product Key Reader“ oder „VL Administrator“. Die Aktivierung erfolgt anschließend etwa mit slmgr.vbs /ipk, slmgr.vbs /ato und slmgr.vbs /dlv.

Für die IoT-Ausgabe stellt Microsoft den Schlüssel nicht direkt bereit: Den MAK liefert der OEM-Partner des Geräteherstellers. Bei abgekündigten Industrie-PCs kann das eine Recherche über die Lieferkette erfordern. Geräte ohne Internetzugang lassen sich über Installations- und Bestätigungs-IDs aktivieren; für größere Bestände kommt das Volume Activation Management Tool infrage.

Einen öffentlich genannten Preis für das ESU-Programm der LTSB-Ausgaben gibt Microsoft nicht an. Die häufig zitierten 61 US-Dollar je Gerät im ersten Jahr beziehen sich auf das andere ESU-Programm für Windows 10 Version 22H2. Dessen Preis lässt sich nicht auf LTSB 2016 übertragen.

Software Assurance bleibt auch mit Azure Arc Voraussetzung

Beim Serverbetriebssystem läuft das Programm anders. Die Konfiguration über das Azure-Portal ist seit dem 3. August 2026 möglich, die Abrechnung für über Azure Arc bezogene ESU beginnt am 13. Januar 2027. Die Versorgung reicht bis 2030. Azure Arc ermöglicht die monatliche Abrechnung und die Bereitstellung ohne ESU-Schlüssel auf jeder einzelnen Maschine. Es ersetzt aber nicht die Lizenzvoraussetzungen: Für lokale Windows-Server-2016-Workloads verlangt Microsoft aktive Software Assurance oder eine gleichwertige Server Subscription. Das Services Provider License Agreement (SPLA) ist nach Microsofts Lizenzierungsrichtlinie für diese ESU nicht verfügbar.

Für Betriebe mit OEM-Lizenzen ohne Software Assurance ist Azure Arc folglich kein lizenzrechtlicher Ausweg. Sie müssen ihre Berechtigung anders herstellen oder die Systeme migrieren. Zudem brauchen Arc-verwaltete Maschinen regelmäßig Verbindung zu Azure. Bei getrennten Netzen oder abgeschotteten Produktionsumgebungen ist zu klären, welcher Bereitstellungsweg technisch möglich ist.

Auch ein anderer Betriebsort beseitigt die ESU-Kosten für Windows Server 2016 nicht automatisch. Microsoft hat zum 1. April 2026 eine standortunabhängige Preisregel für neue ESU-Angebote eingeführt. Die Dokumentation zu Azure Local nennt Windows Server 2016 ausdrücklich als kostenpflichtigen Fall. Andere Microsoft-Seiten stellen ESU für Azure-VMs und Azure VMware Solution weiterhin als kostenlos dar. Solange Microsoft diese Angaben nicht produktspezifisch aufgelöst hat, sollten Betriebe die Kosten für ihren Zielstandort verbindlich klären, statt Kostenfreiheit vorauszusetzen.

Die Inventur bestimmt den Umfang des Projekts

Vor der Entscheidung über Migration oder ESU steht die Bestandsaufnahme. Die Lizenzprüfung gehört an den Anfang: Fehlt Software Assurance oder eine geeignete Server Subscription, lässt sich der Zeitplan nicht allein durch die Wahl von Azure Arc retten. Bei Windows Server 2016 zählen außerdem Edition und Lizenzmodell, da ESU für Standard und Datacenter vorgesehen sind.

Fünf Punkte gehören auf die Liste:

• Hardware: Arbeitsplätze für Windows 11 benötigen unter anderem TPM 2.0, Secure Boot und eine unterstützte CPU. Gerade Industrie-PCs mit Sondertreibern erfüllen diese Voraussetzungen oft nicht.
• Anwendungen: Software, die auf .NET Framework 4.6.2 angewiesen ist, muss gegen eine aktuelle Laufzeitumgebung getestet werden.
• Rollen: Für einzelne Serverrollen gelten eigene Upgrade- und Migrationspfade, etwa bei Remotedesktopdiensten.
• Lizenzstand: Für Windows-Server-2016-ESU auf lokalen Maschinen sind aktive Software Assurance oder eine gleichwertige Server Subscription erforderlich – auch bei Bereitstellung über Azure Arc.
• Verbindungen: Backupagenten, Überwachungssoftware und Speichertreiber benötigen für das Zielsystem freigegebene Versionen.

Das In-Place-Upgrade kann mehrere Versionen überspringen

Seit Windows Server 2025 erlaubt Microsoft größere Versionssprünge beim In-Place-Upgrade. Nicht geclusterte Systeme können beispielsweise von Windows Server 2012 R2 auf Windows Server 2025 aktualisiert werden. Das Upgrade übernimmt Einstellungen, Serverrollen und Daten; zugleich bleiben möglicherweise Altlasten aus vielen Betriebsjahren erhalten, etwa nicht mehr benötigte Dienstkonten oder veraltete Treiber. Für Cluster gelten eigene Upgradepfade. Vor jedem Upgrade gehören ein getestetes Backup und ein ausreichend großes Wartungsfenster zur Planung.

Domänencontroller besser neu aufsetzen

Für einige Rollen schließt Microsoft das In-Place-Upgrade aus oder rät davon ab. Das betrifft insbesondere Active Directory Domain Services. Microsoft empfiehlt, neue Domänencontroller zu installieren und heraufzustufen und die alten anschließend herabzustufen. Die Gesamtstruktur- und Domänenfunktionsebene muss für Windows Server 2025 mindestens Windows Server 2016 entsprechen.

Ein Umzug nach Azure ersetzt keinen Kostenvergleich

Eine Verlagerung nach Azure kann den Betrieb alter Server vereinfachen, beseitigt die ESU-Rechnung für Windows Server 2016 nach Microsofts neuer Preisregel aber nicht automatisch. Für Azure Local ist die Kostenpflicht ausdrücklich dokumentiert; bei Azure-VMs und Azure VMware Solution stehen Angaben zur kostenlosen Bereitstellung neben der neueren, standortunabhängigen Preisregel. Vor einer Entscheidung sollten Betriebe daher die ESU-Konditionen für die konkrete Umgebung klären. Migration, laufender Betrieb und Netzwerkanbindung gehören in denselben Kostenvergleich.

Windows Server 2025 verschiebt den nächsten Stichtag auf 2034

Als Migrationsziel bietet sich Windows Server 2025 im Long-Term Servicing Channel an. Der Mainstream-Support läuft bis zum 13. November 2029, der erweiterte Support bis zum 14. November 2034.

Hotpatching kann auf unterstützten Windows-Server-2025-Installationen Sicherheitsupdates ohne Neustart einspielen. Für Arc-verwaltete Server verlangt Microsoft dafür keinen zusätzlichen Aufpreis; regelmäßige Basisupdates mit Neustart bleiben erforderlich. Zu den Voraussetzungen für Standard und Datacenter gehören Windows Server 2025 ab Build 26100.1742, die Anbindung an Azure Arc, UEFI mit Secure Boot und aktivierte virtualisierungsbasierte Sicherheit. Unter Hyper-V muss die VM der Generation 2 entsprechen.

Auf der Clientseite trennen sich die Wege der LTSC-Ausgaben erneut: Windows 11 Enterprise LTSC 2024 erreicht sein Supportende im Oktober 2029, die IoT-Ausgabe desselben Jahrgangs erst im Oktober 2034. Windows 11 IoT Enterprise LTSC 2024 ist allerdings nur für spezialisierte Geräte mit fester Funktion vorgesehen, nicht als Ersatz für allgemeine Bürodesktops. Für geeignete Industrie-PCs mit langen Nutzungszyklen kann diese Ausgabe die passendere Wahl sein.

Vor Januar 2027 braucht der Plan Puffer

Die Projektplanung lässt sich vom 12. Januar 2027 rückwärts rechnen. Nach Microsoft-Angaben kann es drei bis fünf Werktage dauern, bis der Multiple Activation Key nach dem Kauf der ESU verfügbar ist; dazu kommt die Zeit für Planung und Verteilung im Betrieb. Wer erst im Dezember bestellt, riskiert knappe Fristen für Tests, Verteilung und Nacharbeiten. Lizenzfragen, Anwendungsfreigaben und Wartungsfenster sollten deshalb jetzt geklärt werden.

Fazit

Die Entscheidung zwischen ESU und Migration fällt selten allein am Preis. Für Windows 10 LTSB 2016 müssen Betriebe die Konditionen des eigenen ESU-Programms erfragen. Bei lokal betriebenem Windows Server 2016 bleibt Software Assurance oder eine gleichwertige Server Subscription auch dann Voraussetzung, wenn Azure Arc die Updates bereitstellt. Schwerer wiegt oft das Umfeld: Auch Update Services, Windows Defender und IIS 10 stehen auf dem Prüfstand.

Wer geeignete Industrie-PCs auf Windows 11 IoT Enterprise LTSC 2024 und die Serverdienste auf Windows Server 2025 migriert, verschiebt deren nächsten Supportstichtag bis 2034. Für allgemeine Arbeitsplätze ist die IoT-Ausgabe dagegen kein zulässiger Ersatz. ESU können Zeit für die Umstellung kaufen – sie ersetzen aber weder die Inventur noch die Migration.