Inhalt in Kürze
- Windows XP ist seit April 2014 EOL. Wer es noch im Netz hat, betreibt eine offene Tür für jeden Angreifer.
- Windows 10 wurde am 14. Oktober 2025 eingestellt. Seitdem gibt es keine kostenlosen Sicherheitsupdates mehr – das BSI empfiehlt eindeutig den Wechsel.
- Windows 11 ist der einzig sinnvolle Zielkurs für KMU – plus Hardware-Refresh für Geräte ohne TPM 2.0 (rund 55 Prozent der Bestände).
- Migration in 8 bis 12 Wochen ist machbar, wenn Hardware-Check, Pilot-Welle und Intune/Autopilot-Setup richtig aufgesetzt sind.
Die Frage lautet 2026 nicht mehr „Was kommt nach XP?”. Die Frage lautet: Wie bringen wir den ganzen Maschinenpark sauber auf Windows 11 – ohne Produktionsausfall und ohne nach jedem Patch über den Schreibtisch zu rennen.
Wir sehen das täglich bei Neukunden in Hamburg, Bremen und Norddeutschland. XP-Restbestände in Maschinen-PCs. Windows-7-Buchhaltungsrechner, die seit 2020 keinen Patch mehr gesehen haben. Windows-10-Notebooks, die seit Oktober 2025 unbemerkt in Betrieb sind. Wer das ignoriert, fängt sich früher oder später eine Welle ein – meist über einen Anhang in der Buchhaltung. Dieser Artikel zeigt, was Sie als Geschäftsführer wirklich tun müssen.
Warum Windows XP 2026 ein kritisches Risiko ist
Wer 2026 noch Windows XP betreibt, betreibt ein Betriebssystem, das seit zwölf Jahren keinen einzigen Sicherheits-Patch von Microsoft mehr gesehen hat. In dieser Zeit wurden hunderte CVEs gemeldet – kein einziger davon ist im XP-Code geschlossen. Konkret heißt das: Es gibt kein TLS 1.3 (moderne Webdienste reden gar nicht mehr mit XP), keine aktuellen SMB-Versionen (Wurm-Angriffe wie WannaCry oder EternalBlue ziehen sich seit Jahren durch ungepatchte XP-Netze), keine modernen Browser, keine Endpoint-Protection mehr für XP. Ein XP-Rechner im Firmennetz ist nicht „etwas weniger sicher” – er ist eine offene Tür, über die ein Angreifer in Minuten über laterale Bewegung jeden anderen Rechner übernehmen kann.
Dazu kommt die rechtliche Seite. DSGVO Art. 32 verpflichtet zu „Stand der Technik” bei der Datensicherheit – XP erfüllt das definitiv nicht. Im Schadensfall kann eine Cyberversicherung die Leistung verweigern, wenn dokumentiert ist, dass ein veraltetes Betriebssystem im Netz lief. Und beim TPM-2.0- und Secure-Boot-Zwang von Windows 11 (auch in 24H2/25H2) sind XP-Geräte von der Migration ohnehin ausgeschlossen – ein direktes Upgrade existiert nicht.
Warum die Frage „Wechsel von XP” 2026 anders aussieht
Vor zehn Jahren war die Antwort simpel: Sie wechseln von Windows XP auf Windows 7 oder 8. Heute ist Windows 7 ebenfalls EOL (Januar 2020), Windows 8.1 endete 2023 – und Windows 10 hat seit dem 14. Oktober 2025 keinen Support mehr.
Die einzige sinnvolle Antwort heißt Windows 11. Alles andere ist ein Workaround.
Wir hatten kürzlich einen Hamburger Maschinenbauer mit 35 Mitarbeitern in der Inventur. Auf zwei Maschinen-PCs lief noch Windows XP, drei Büro-Notebooks waren auf Windows 7, der Rest Windows 10. Drei verschiedene Betriebssysteme im selben Netz, alle ohne aktuelle Sicherheitsupdates. Genau die Konstellation, in der ein einziger Phishing-Klick reicht, um die ganze Domain zu übernehmen.
Auch ein einzelner Windows-XP- oder Windows-10-Rechner ohne Updates gefährdet das ganze Netz. Angreifer scannen automatisiert nach veralteten SMB- und RDP-Versionen. Ein verwundbarer Endpoint reicht – unabhängig davon, wie gut der Rest geschützt ist.
Windows-Lifecycle 2026: Wer ist noch supported?
Microsoft veröffentlicht den Lifecycle-Status pro Produkt. Ein Blick in die offizielle Microsoft-Doku zum Windows-10-Supportende macht es eindeutig.
| Betriebssystem | Support-Ende | Status 2026 |
|---|---|---|
| Windows XP | 8. April 2014 | EOL – betriebsblind weiternutzen unverantwortlich |
| Windows 7 | 14. Januar 2020 | EOL – ohne ESU keine Patches mehr |
| Windows 8.1 | 10. Januar 2023 | EOL – kein Mainstream-Support |
| Windows 10 | 14. Oktober 2025 | EOL – ESU bis maximal Oktober 2028 (kostenpflichtig) |
| Windows 11 | mindestens bis 2031 | Supported – aktueller Stand: Version 24H2 |
Laut StatCounter haben weltweit über 70 Prozent aller Windows-Rechner mittlerweile auf Windows 11 gewechselt. Im deutschen Mittelstand hinkt der Wechsel etwas hinterher. Genau hier sehen wir den größten Handlungsdruck.
Wieso Windows 10 wirklich „weg” ist
Viele Geschäftsführer fragen mich: „Mein PC startet doch noch ganz normal. Warum jetzt umstellen?” Die Antwort ist unbequem. Ein Betriebssystem ohne Sicherheitsupdates ist nicht „etwas weniger sicher” – es ist nach drei bis sechs Monaten massiv unsicher. Genau das schreibt auch das BSI: Windows 10 wird mit jedem Monat verwundbarer, weil neue Schwachstellen entdeckt, aber nicht mehr geschlossen werden.
„Die können einfach so viel mehr Unternehmen angreifen. Das geht alles mit KI – Massenangriff. Ob Sie nun klein sind oder groß, das ist völlig wurscht. Mit einem ungepatchten Windows 10 sind Sie 2026 das einfachste Ziel im Internet."
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Windows 10 vs. Windows 11 – der ehrliche Vergleich für KMU
Windows 11 ist nicht „nur ein neues Design”. Es ist die erste Windows-Generation, die durchgängig auf moderne Hardware-Sicherheit setzt: TPM 2.0, Secure Boot, virtualisierungsbasierter Schutz (VBS) und Hypervisor-Code-Integrität sind Pflicht. Genau das macht den Unterschied gegen Ransomware aus.
| Kriterium | Windows 10 | Windows 11 |
|---|---|---|
| Support / Patches | ❌ EOL seit 14.10.2025 | ✅ supported bis mindestens 2031 |
| TPM 2.0 Pflicht | optional | Pflicht |
| Secure Boot | optional | Pflicht |
| Microsoft Copilot | nachgerüstet, eingeschränkt | nativ integriert |
| Snap-Layouts / Multitasking | basic | deutlich verbessert |
| Microsoft Intune / Autopilot | unterstützt | unterstützt + bessere Policies |
| ESU / Lizenzkosten 2026 | ca. 61 USD pro Gerät (Jahr 1) | im Gerät enthalten |
| Installer-Hash-Schutz | nein | SmartApp Control |
| Eignung für Hamburg-KMU 2026 | nicht mehr empfehlenswert | klare Empfehlung |
Ein Aspekt wird oft übersehen: Windows 11 in Verbindung mit Cloud und Microsoft 365 plus Microsoft Intune schaltet erst die Funktionen frei, für die Sie M365 ohnehin schon zahlen – Conditional Access, Compliance-Policies, Autopilot, Defender for Endpoint. Ohne Windows 11 bleiben das Karteileichen.
Hardware-Realität: Wer schafft den Sprung auf Windows 11?
Die ehrliche Zahl, die wir fast jede Woche bei Inventuren sehen: Etwa 55 Prozent der Unternehmens-PCs erfüllen die Windows-11-Mindestanforderungen nicht. Hauptgrund ist das fehlende TPM 2.0 oder eine zu alte CPU-Generation – das deckt sich mit den Beobachtungen, die heise im Migrations-Special für den Mittelstand schildert.
Die Microsoft-Mindestanforderungen im Klartext
- CPU: 64-Bit-Prozessor, mindestens 1 GHz, mindestens zwei Kerne und auf der Microsoft-Kompatibilitätsliste (Intel ab 8. Generation / AMD Ryzen 2000+ in der Regel ja).
- RAM: 4 GB Minimum – für ein Business-Notebook 2026 sollten Sie 16 GB einplanen, sonst ärgert sich der Anwender täglich.
- Speicher: 64 GB – realistisch sind 256 GB SSD aufwärts, sonst bleibt für M365, OneDrive und Teams nichts übrig.
- TPM 2.0: Pflicht. Bei Geräten ab 2018/2019 oft per BIOS-Update aktivierbar (oft als „PTT" oder „fTPM" benannt).
- Secure Boot: Pflicht. UEFI-Mode nötig, Legacy/CSM muss aus.
- Grafik: DirectX-12-fähig, WDDM-2.0-Treiber.
Drei Szenarien aus der Hamburger Praxis
In jedem Migrations-Projekt sehen wir die gleiche Verteilung der Geräte:
- Geräte von 2020 oder jünger – fast immer kompatibel. Hier reicht ein In-Place-Upgrade bzw. ein sauberes Re-Image über Intune/Autopilot. Kosten: nur Arbeit.
- Geräte von 2018 bis 2019 – Mischbild. Oft TPM 2.0 verbaut, aber im BIOS deaktiviert. Wir aktivieren PTT/fTPM, machen Secure Boot scharf, schalten UEFI um. Etwa eine bis zwei Stunden Arbeit pro Gerät.
- Geräte vor 2018 – meist nicht migrierbar. Selbst wenn ein TPM-Modul existiert, bremst die CPU. Empfehlung: gezielter Hardware-Refresh über unseren Hardware-Einkauf vom Systemhaus.
Optionen 2026: Was Sie wirklich tun können
Wir sehen in der Praxis fünf Wege, wie Unternehmen mit der Situation umgehen. Vier davon sind sinnvoll – einer ist ein Risiko.
Option 1: Windows 11 Inplace-Upgrade auf bestehender Hardware
Für kompatible Geräte der schnellste Weg. Microsoft liefert das Upgrade über Windows Update, alternativ über das Installation-Assistent-Tool. Bei mehr als zehn Rechnern lohnt sich der Weg über Microsoft Intune und Autopilot plus eine zentrale Update-Compliance-Policy.
Vorteile: keine Neuanschaffung, Daten und Profile bleiben. Nachteile: älterer „Schmutz” wandert mit, Treiberprobleme möglich.
Option 2: Hardware-Refresh + sauberer Windows-11-Rollout
Der saubere Weg für alles, was vor 2018 angeschafft wurde. Neue Geräte kommen mit Windows 11 Pro vorinstalliert. Per Autopilot werden Profile, Apps und Daten automatisch verteilt – der Anwender packt aus, meldet sich an, fertig.
Genau das ist der Kern des Managed Workplace: Wir verwalten Hardware-Lifecycle, Imaging, Patch-Management und Helpdesk in einem Festpreis-Paket. Kein Geräte-Streuverlust mehr, keine „Wer hat den Laptop von Frau Müller?”-Diskussionen.
Option 3: Cloud-PC / Windows 365
Statt physischer Notebook-Migration fahren Sie Ihre Anwender über Cloud-PC in Microsoft 365. Der Desktop liegt bei Microsoft, der Anwender braucht nur einen schlanken Endpunkt – idealerweise ein dünnes Notebook oder ein Thin Client. Macht Sinn für Remote-Teams, externe Auftragnehmer und Anwender mit hohen Compliance-Anforderungen.
Option 4: Extended Security Updates (ESU) für Windows 10 – nur als Brücke
ESU ist Microsofts Notbehelf. Sie zahlen pro Jahr eine Lizenz und bekommen weiterhin kritische Sicherheitsupdates. Im ersten Jahr rund 61 USD pro Gerät, danach jeweils Verdoppelung. ESU ist sinnvoll für Spezialgeräte (z.B. Maschinen-PCs), die Sie 2026 nicht migrieren können. Aber ESU ist kein Plan für den Büromaschinenpark – nach drei Jahren haben Sie das Geld verbrannt, das ein neuer Rechner kosten würde.
Option 5: Nichts tun und „hoffen”
Das ist die teuerste Variante. Ein Cyberangriff kostet im Mittelstand laut Bitkom durchschnittlich mehrere hunderttausend Euro – über Lösegeld, Produktionsausfall und Wiederaufbau. Drei Monate Stillstand sind keine Theorie, wir haben das bei einem Sanitärbetrieb in der Hamburger Umgebung selbst miterlebt.
„Drei Monate lang konnten wir nicht arbeiten. Alles verschlüsselt – jedes Dokument, jede E-Mail, jede Rechnung."
Der Migrationsplan: 8 bis 12 Wochen, vier Phasen
Wir fahren jeden Rollout im Mittelstand nach demselben Schema. Egal ob 30 oder 200 Arbeitsplätze – die Phasen sind identisch, die Dauer skaliert.
- Phase 1 – Inventur und Hardware-Check (Woche 1–2): Wir scannen Ihren kompletten Gerätepark via Intune oder agentenbasiert. Ergebnis: kompatible / per BIOS aufrüstbare / nicht migrierbare Geräte plus eine App-Compat-Liste für Branchensoftware.
- Phase 2 – Pilot-Welle (Woche 3–4): Fünf bis zehn Anwender bekommen Windows 11 zuerst – meist die IT, die Geschäftsleitung und ein Fachbereich mit komplexer Software. Hier finden wir 90 Prozent der Stolpersteine, bevor das Telefon im Helpdesk glühte.
- Phase 3 – Wellenrollout (Woche 5–10): Pro Woche eine Welle von 10–20 Geräten. Wir machen Imaging entweder zentral im Rechenzentrum oder via Autopilot direkt am Anwenderarbeitsplatz. Daten gehen über OneDrive oder einen Migrations-Job, Profile werden automatisiert mitgenommen.
- Phase 4 – Nacharbeit und Optimierung (Woche 11–12): Restgeräte, Sondermaschinen, Drucker-Treiber, ergonomische Feinarbeit. Lessons Learned werden in eine Standardkonfiguration gegossen, die der nächste neue Mitarbeiter automatisch bekommt.
Bei einem Hamburger Logistiker mit 60 Arbeitsplätzen haben wir den ganzen Rollout in 9 Wochen abgewickelt – ohne einen einzigen Produktionsausfall. Schlüssel war die Pilot-Welle: In Woche 4 fanden wir einen Treiberkonflikt mit einem alten Lager-Scanner. Wenn wir das in Woche 8 entdeckt hätten, wären die Überstunden zweistellig gewesen.
Die Migrations-Checkliste für Geschäftsführer
- Bestand kennen. Inventur aller Windows-Geräte, inkl. Maschinen-PCs, Kassen, Spezialhardware. Niemand vergessen, sonst „findet" der Angreifer ihn.
- Kritische Branchensoftware prüfen. Hat DATEV / SAP / die ERP-Nische auch unter Windows 11 24H2 freigegeben? Wenn nein – Hersteller jetzt anschreiben.
- Hardware-Roadmap aufstellen. Für alle Geräte mit Baujahr vor 2018: Refresh-Plan in das Budget 2026/2027 einbauen.
- Microsoft 365 / Intune aktivieren. Ohne Intune verteilen Sie 50 Notebooks 50-mal manuell – das ist Zeitverschwendung.
- Pilot vor Welle. Niemals direkt mit der gesamten Belegschaft starten. Fünf bis zehn Anwender zuerst, eine Woche Beobachtung.
- Backup vor Migration prüfen. Vor jedem Geräte-Re-Image: läuft das Backup, lassen sich Dateien tatsächlich zurückspielen?
- Anwender mitnehmen. Eine 30-Minuten-Schulung pro Welle reicht – aber sie reduziert Helpdesk-Tickets in den ersten 14 Tagen um zwei Drittel.
- Rollback-Plan. Nicht jedes Inplace-Upgrade gelingt. Für den Notfall ein Restore-Image bereithalten.
Aus der Praxis: Drei Hamburger KMU – drei Migrations-Wege
Damit das nicht abstrakt bleibt: drei reale (anonymisierte) Fälle, die wir 2025/2026 begleitet haben.
Fall 1 – Architekturbüro, 12 Mitarbeiter: Geräte alle aus 2021/2022, kompatibel. Wir haben in drei Wochen via Autopilot komplett auf Windows 11 plus Intune migriert. Daten lagen ohnehin in OneDrive. Kosten: ca. 1.200 Euro im Projekt – danach läuft das Lifecycle-Management im Managed Workplace mit.
Fall 2 – Steuerkanzlei, 28 Mitarbeiter: Mischpark, Hälfte 2017/2018, Hälfte 2020+. Wir haben aufgeteilt: 14 Geräte per BIOS-Anpassung gerettet, 14 neue Notebooks im Hardware-Refresh über unseren Einkauf bestellt. DATEV-Update auf eine 11-kompatible Version war der Knackpunkt – ein Tag Vorlauf, dann 6 Wochen Rollout.
Fall 3 – Maschinenbauer mit Produktion, 40 Mitarbeiter: Büro auf Windows 11 migriert. Drei Maschinen-PCs blieben aus harten Lizenzgründen auf Windows XP/7 – diese laufen jetzt segmentiert in einem isolierten Produktions-VLAN ohne Internetzugang, gemonitort durch unser Managed-IT-Team. Kein Risiko für das Hauptnetz mehr, kein Stillstand der Maschinen.
Windows-Migration ohne Schock?
15 Minuten Erstgespräch mit Jens Hagel – wir schauen Ihren Gerätepark an, schätzen Aufwand und Kosten ein. Kostenlos, ohne Vertriebsdruck.
Erstgespräch buchen →Was Windows-Migration im Festpreis bei hagel IT bedeutet
Wer einmal eine Migration mit Stundensatz-Abrechnung erlebt hat, vergisst das nicht. „Wir hatten ja noch einen Druckertreiber-Stress” – und plötzlich ist ein Drittel des Budgets weg, ohne dass jemand etwas Böses wollte. Genau deswegen rechnen wir Migrations-Projekte beim Mittelstand grundsätzlich im Festpreis ab.
Konkret heißt das bei uns: Sie bekommen einen Festpreis für das gesamte Migrations-Projekt (Prüfung, Imaging, Datenübernahme, App-Tests, Rollout, Schulung). Hardware kalkulieren wir transparent über unseren Hardware-Einkauf. Nach der Migration läuft das Patch-, Update- und Lifecycle-Management im Managed-IT-Festpreis ab 50 Euro pro Arbeitsplatz und Monat – inklusive Helpdesk und 24/7-Monitoring.
Sie hätten den Wechsel auch selbst hinbekommen? Vermutlich. Aber das war auch nicht der Punkt. Der Punkt ist: Sie wollen sich auf Ihr Geschäft konzentrieren – Architektur, Steuerberatung, Logistik, Maschinenbau – und nicht auf Windows-Imaging, TPM-Aktivierung und Treiberkonflikte. Genau deshalb gibt es uns.
„Wir wollen, dass die IT bei Ihnen unsichtbar wird. Wenn Sie nach der Migration nichts mehr von uns hören, außer dass alles läuft – haben wir unseren Job richtig gemacht. Das ist der Anspruch."
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Fazit: Wer 2026 nicht migriert, fällt zurück
Windows XP und Windows 10 gehören 2026 nicht mehr in das Produktivnetz eines Hamburger Mittelständlers. Die Frage ist nicht „ob”, sondern „wie schnell” – und mit welchem Partner. Mit einem klaren Plan, einer Pilot-Welle und Microsoft Intune ist die Migration in 8 bis 12 Wochen erledigt. Ohne Plan endet sie in 12 Monaten Helpdesk-Chaos.
Wenn Sie heute auf Ihre Geräte schauen und nicht auf Anhieb sagen können, welche von Ihnen Windows 11 können und welche nicht – dann ist genau das der nächste Schritt. Buchen Sie 15 Minuten Erstgespräch oder rufen Sie unser Hamburger Büro in der Spaldingstraße an. Wir machen den Hardware-Check kostenlos – Sie wissen danach, was Sache ist. Auch wenn Sie hinterher entscheiden, dass Sie das doch lieber selbst machen, haben Sie dann zumindest die richtigen Fragen.
Wir sind seit 2002 IT-Dienstleister in Hamburg und haben in den letzten 24 Jahren ungefähr jede Windows-Generation in den Mittelstand gebracht. Von XP nach 7. Von 7 nach 10. Jetzt von 10 nach 11. Das wird auch nicht das letzte Mal sein – aber dieses Mal ist es das mit dem größten Sicherheits-Hebel.
