Inhalt in Kürze
- Windows 10 ist seit dem 14. Oktober 2025 End-of-Life — keine Sicherheitsupdates mehr, außer im kostenpflichtigen ESU-Programm.
- ESU für Unternehmen ist teuer und temporär: ca. 61 USD/Gerät im ersten Jahr, Verdopplung pro Jahr, maximal drei Jahre. Übergang, kein Ersatz.
- Drei Wege raus: Windows-11-Upgrade auf vorhandener Hardware (wenn TPM 2.0 vorhanden), Hardware-Refresh, oder Cloud-PC (Windows 365) — ESU dort inklusive.
- Cyber-Versicherung & NIS-2: Unpatched Windows 10 ohne ESU ist ein offenes Compliance-Risiko, Versicherer dürften Leistungen kürzen.
- Pragmatischer Plan: Inventar (1 Tag), Hardware-Check (3 Tage), Pilot (1 Woche), Roll-out in Wellen über Microsoft Intune und Autopilot — typisches KMU 4–10 Wochen.
Am 14. Oktober 2025 hat Microsoft den Support für Windows 10 eingestellt. Borncity berichtet sechs Monate später: Viele KMU haben den Wechsel noch nicht vollzogen. Das Risiko wächst mit jedem Patch-Tuesday, an dem es eine neue Lücke gibt — und nichts dagegen ausgerollt wird.
Der ursprüngliche Artikel von 2015 fragte: „Windows 10 — starten oder warten?” Diese Frage stellt sich nicht mehr. Heute lautet die Frage: Wie kommen wir geordnet raus? Hier der pragmatische Plan für Hamburger KMU.
Was Windows 10 EOL konkret bedeutet
Microsoft fasst es in der offiziellen Mitteilung knapp zusammen: „Ab diesem Datum erhält Windows 10 keine Sicherheitsupdates mehr.” Punkt. Für Unternehmen heißt das: Jede neue Schwachstelle bleibt offen, bis sie ausgenutzt wird oder Sie das System ersetzen. Patch-Management ist kein Luxus — es ist die Basis jeder modernen IT-Sicherheit.
Cyber-Versicherer fragen explizit ab, ob alle Endgeräte aktuelle Patches erhalten. Wer mit unpatched Windows 10 ohne ESU einen Vorfall hat, riskiert Leistungskürzung. NIS-2 verlangt „Maßnahmen nach dem Stand der Technik" — Windows 10 ohne ESU ist das nicht.
Die drei Wege raus aus Windows 10
Weg 1: Windows-11-Upgrade auf vorhandener Hardware
Geräte ab ca. 2018/2019 erfüllen meist die Mindestanforderungen (TPM 2.0, Secure Boot, kompatibler Prozessor). Microsoft prüft das mit der „PC-Integritätsprüfung”. In Microsoft Intune lässt sich der Status für die ganze Flotte zentral abrufen.
Vorteile:
- Keine Hardware-Investition
- Lizenzen meist enthalten (Windows-11-Pro-Upgrade ist kostenlos für aktive Lizenzen)
- Userdaten bleiben erhalten
Nachteile:
- Geräte über 5–6 Jahre alt sind meistens nicht kompatibel
- Aufwand für Treiber, alte Software, Druckerkonfigurationen
Weg 2: Hardware-Refresh
Geräte, die TPM 2.0 nicht haben (oder aus dem normalen Lebenszyklus rausfallen), werden ersetzt. Das ist der teuerste, aber sauberste Weg. Windows 11 mit Microsoft Autopilot automatisiert die Erstkonfiguration: Auspacken, einschalten, Microsoft-Konto eingeben — der Laptop konfiguriert sich selbst, inklusive aller Apps, Sicherheitsrichtlinien und VPN-Profile.
Stellen Sie sich vor: Sie packen einen neuen Laptop aus, schalten ihn ein — und er konfiguriert sich komplett selbst. Alle Apps, alle Einstellungen, alle Sicherheitsrichtlinien. Das geht heute mit Microsoft 365 und Intune.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Weg 3: Cloud-PC mit Windows 365
Windows 365 liefert einen virtuellen Windows-11-Desktop in der Microsoft Cloud. Der Mitarbeiter greift vom alten Gerät, vom Tablet oder vom Privat-Laptop drauf zu. Lizenzkosten ab ca. 30 Euro pro Nutzer und Monat (je nach Performance-Klasse).
Cleverer Vorteil 2026: Laut Microsoft Learn ist ESU für Windows 10 in Windows 365 und Azure Virtual Desktop kostenlos enthalten. Sie gewinnen Zeit, ohne Hardware zu ersetzen — und bekommen einen Modern Workplace, der von überall funktioniert.
Mehr Hintergrund: Windows 365 vs. Azure Virtual Desktop und Windows 11 Upgrade für Unternehmen Hamburg.
ESU-Programm im Detail: Wann lohnt es sich?
ESU ist der Notnagel — keine Strategie. Microsoft selbst beschreibt es als „Übergang”. Das offizielle Preisschema (Microsoft Learn):
| Jahr | Preis pro Gerät (Unternehmen) |
|---|---|
| 1 (bis 10/2026) | ca. 61 USD |
| 2 (bis 10/2027) | ca. 122 USD |
| 3 (bis 10/2028) | ca. 244 USD |
Sinnvoll, wenn:
- Spezifische Branchen-Software noch nicht Windows-11-kompatibel ist
- Geräte zwingend bis zu einem bestimmten Stichtag laufen müssen
- Rollout von Windows 11 aus organisatorischen Gründen verzögert ist
Nicht sinnvoll, wenn:
- Es einfach „bequem” ist und niemand entscheiden will
- Mehr als 30–40 Geräte betroffen sind (Hardware-Refresh oft günstiger)
- Sie ohnehin in Cloud-PC oder neuen Workplace investieren wollten
Pragmatischer Migrationsplan in 5 Schritten
- Inventar (1 Tag): Alle Endgeräte mit Modell, Alter, Hauptnutzer und installierter Software. Microsoft Intune liefert das auf Knopfdruck.
- Hardware-Check (3 Tage): Welche Geräte sind Windows-11-fähig? Welche müssen ersetzt werden? Welche Software ist kritisch und Win-11-getestet?
- Pilot-Phase (1 Woche): 5–10 Geräte aus verschiedenen Abteilungen umstellen. Probleme dokumentieren, Anwender-Feedback einholen.
- Roll-out in Wellen (2–6 Wochen): Pro Welle 10–20 Geräte. Über Intune und Autopilot weitgehend automatisiert. Hotline-Bereitschaft am Tag X.
- Nachbereitung (1 Woche): Alte Geräte sicher entsorgen oder nachverwerten, Lizenzbestand bereinigen, Dokumentation aktualisieren.
Verschwenden Sie keine Zeit mit „eigenständigem" Windows-Image-Bauen. Microsoft Autopilot zieht Konfiguration und Apps aus Microsoft 365 und Intune — das spart bei einer 50-Gerät-Migration locker 80 Stunden Technikerarbeit.
Aus der Praxis: 35 Geräte in 6 Wochen
Ein Hamburger Architekturbüro (35 Mitarbeitende) hat die Migration im Februar 2026 mit uns gefahren: 12 Geräte Windows-11-fähig, 23 Geräte Hardware-Refresh nötig. Über Microsoft Intune und Autopilot kamen die neuen Geräte beim Mitarbeitenden an, mit Anleitung „aufmachen, anschalten, Microsoft-Konto eingeben”. Verbliebene 4 Geräte mit spezieller CAD-Software bekamen Windows 365 Cloud-PC — ESU inklusive, kein Hardware-Tausch.
Wir wollen uns nicht um IT kümmern müssen. Wenn ein neuer Mitarbeiter kommt: Laptop da, E-Mail eingerichtet, Telefon funktioniert. Wenn jemand geht: Zugänge gesperrt. Einfach. Zuverlässig.
Was Sie nicht tun sollten
- Nicht abwarten. Jeder zusätzliche Patch-Tuesday ohne Update vergrößert die Angriffsfläche.
- Kein „Inhouse-Bastel-Image". Wer 2026 noch eigene WIM-Files baut, verschwendet Zeit. Autopilot ist deutlich besser.
- Nicht alle Geräte auf einmal umstellen. Pilot-Phase und Wellen-Roll-out reduzieren Risiken erheblich.
- ESU nicht als Strategie. Es ist ein Notnagel, kein Plan B. Wer 2027 noch breit ESU bezahlt, hat 2024 und 2025 gepennt.
Fazit: Aus „starten oder warten” wurde „migrieren — geordnet”
Der Artikel von 2015 stellte die Frage, ob man Windows 10 sofort installieren soll. 2026 ist die Antwort eindeutig: weg davon. Wer den Plan in den nächsten 60 Tagen aufsetzt und dann diszipliniert ausrollt, hat im Herbst 2026 eine moderne Workplace-Umgebung — automatisiert über Intune, abgesichert mit Defender for Business, mit Cloud-PCs für Sonderfälle. Das ist kein Mammutprojekt; es ist eine Routineaufgabe, wenn man sie strukturiert angeht.
Auch lesenswert: Managed IT Services Hamburg für den vollständig betreuten Roll-out und Windows Autopilot für KMU in Hamburg für die technische Tiefe.
Migrationsplan in 15 Minuten?
Erstgespräch ohne Verkaufsdruck. Wir prüfen kurz Inventar und Lizenzlage und sagen, welcher Weg für Sie der günstigste ist — Windows 11, Hardware-Refresh oder Cloud-PC.
Termin buchen →
