Seit dem 14. Oktober 2025 bekommt Windows 10 keine regulären Sicherheitsupdates mehr. Trotzdem läuft es noch in sehr vielen kleinen Unternehmen, oft auf der Hälfte der Geräte. Meist nicht aus Überzeugung, sondern weil der Umstieg nie dringend genug war.
Jetzt ist er dringend. In diesem Artikel erklären wir, was das Support-Ende praktisch bedeutet, welche Geräte überhaupt auf Windows 11 können und wie ein Umstieg abläuft, der den Betrieb nicht lahmlegt.
Was „keine Updates mehr" wirklich heißt
Ein Windows 10 ohne Sicherheitsupdates funktioniert weiter. Das ist das Tückische daran: Es fühlt sich an wie immer. Aber jede neu entdeckte Sicherheitslücke bleibt ab jetzt offen, und Angreifer suchen gezielt nach genau solchen Systemen, weil sie wissen, dass dort nichts mehr gestopft wird.
Dazu kommen zwei Punkte, die gern übersehen werden. Erstens: Softwarehersteller ziehen nach. Neue Versionen von Branchensoftware, DATEV und Co. werden früher oder später Windows 11 voraussetzen. Zweitens: Compliance und Versicherung. Wer personenbezogene Daten auf einem System ohne Sicherheitsupdates verarbeitet, hat bei der DSGVO schlechte Karten, und Cyber-Versicherungen fragen im Schadensfall sehr genau nach dem Patch-Stand.
ESU: gekaufte Zeit, keine Lösung
Microsoft verkauft für die Übergangszeit sogenannte Extended Security Updates (ESU). Für Unternehmen gibt es die bis maximal Oktober 2028, allerdings mit einem Preismodell, das bewusst unbequem ist: Der Preis pro Gerät verdoppelt sich in jedem Jahr.
ESU ist damit ein Werkzeug für Sonderfälle, etwa für die eine Maschine, deren Steuerungssoftware nur auf Windows 10 läuft. Als Strategie für den ganzen Gerätepark ist es die teuerste aller Optionen: Sie zahlen jährlich steigende Beträge und stehen am Ende trotzdem vor derselben Migration, nur mit älterer Hardware.
ESU kaufen heißt: Zeit kaufen. Das ist legitim für einzelne Altsysteme mit klarem Ablaufdatum. Für alles andere ist das Geld in neuen Geräten besser angelegt.
Welche Geräte können Windows 11?
Windows 11 stellt Hardware-Anforderungen, an denen ältere Geräte scheitern: ein TPM-2.0-Chip, UEFI mit Secure Boot und ein halbwegs aktueller Prozessor, als Faustregel Intel ab der 8. Generation (ab etwa 2018) oder AMD Ryzen ab der 2000er-Serie.
Die gute Nachricht: Geräte aus den letzten fünf, sechs Jahren erfüllen die Anforderungen meistens. Die ehrliche Nachricht: Ein Gerät, das zu alt für Windows 11 ist, ist in der Regel auch sonst am Ende seines sinnvollen Arbeitslebens. Die Frage ist dann nicht „Wie kriege ich Windows 11 da drauf?", sondern „Warum arbeitet hier noch jemand auf einem acht Jahre alten Rechner?"
Von Bastellösungen, die die Hardware-Prüfung umgehen, raten wir bei Firmengeräten ab. Sie laufen offiziell ohne Support-Anspruch und können bei Updates jederzeit Probleme machen. Das ist nichts, worauf man einen Arbeitsplatz stellt.
Die Rechnung: nachrüsten, ersetzen oder ESU
Ein solides Business-Notebook kostet zwischen 600 und 1.000 Euro und hält realistisch fünf Jahre, das sind grob 10 bis 17 Euro im Monat. Verglichen mit jährlich steigenden ESU-Kosten plus dem Risiko und der Trägheit alter Hardware ist der Neukauf für die meisten Geräte die nüchternere Rechnung, auch ohne das Sicherheitsargument.
Bei Geräten, die Windows 11 unterstützen, kostet der Umstieg dagegen vor allem etwas Arbeitszeit: Upgrade einspielen, prüfen, fertig. Deshalb lohnt sich als erster Schritt immer die Inventur: Was kann upgraden, was muss ersetzt werden, was ist ein Sonderfall?
Wie eine Migration bei uns abläuft
1. Inventur statt Bauchgefühl. Unser Monitoring liefert uns für jedes betreute Gerät den genauen Stand: Modell, Alter, Windows-Version, Windows-11-Tauglichkeit. Daraus entsteht eine Liste mit drei Spalten: upgraden, ersetzen, Sonderfall.
2. Wellen statt Stichtag. Wir migrieren in kleinen Gruppen, nicht alle auf einmal. Wenn in Welle eins ein Problem mit einer Branchensoftware auftaucht, betrifft es drei Geräte und nicht dreißig.
3. Daten und Profile wandern mit. Bei Neugeräten kommen Daten, Einstellungen und Programme geordnet mit um. Der Mitarbeiter gibt abends das alte Gerät ab und arbeitet morgens auf dem neuen weiter.
4. Sonderfälle bekommen einen Plan. Die Maschine mit der alten Steuerungssoftware, das Messgerät am USB-Port: Solche Fälle bekommen eine eigene Lösung, sei es ESU mit Ablaufdatum, Isolation vom Netz oder ein Gespräch mit dem Softwarehersteller.
Wenn Sie heute noch Windows-10-Geräte im Einsatz haben: Machen Sie jetzt die Inventur. Nicht alles muss sofort ersetzt werden, aber Sie sollten wissen, was bis wann passieren muss, bevor der Kalender oder ein Sicherheitsvorfall es für Sie entscheidet.