Der erweiterte Support für Windows Server 2016 endet am 12. Januar 2027. Ab dann gibt es keine regulären Sicherheitsupdates mehr. Ihr habt drei Wege: auf eine neuere Windows-Server-Version upgraden, bezahlte Extended Security Updates kaufen oder die Gelegenheit nutzen und prüfen, welche Rollen überhaupt noch Windows brauchen. Keine Option ist, den Server einfach ungepatcht weiterlaufen zu lassen.
Was genau endet am 12. Januar 2027?
Betroffen sind alle Editionen von Windows Server 2016, dazu Hyper-V Server 2016 und die WSUS-Rolle auf 2016. Der Server fährt am 13. Januar natürlich trotzdem hoch. Er bekommt nur keine Patches mehr, und damit bleibt jede Lücke offen, die danach bekannt wird.
Selten kommt so ein Server allein. In vielen Serverräumen steht 2016 neben Software, deren Uhr schon abgelaufen ist oder bald abläuft:
| Produkt | Support-Ende | Stand |
|---|---|---|
| Exchange Server 2016 / 2019 | 14. Oktober 2025 | vorbei |
| SQL Server 2016 | 14. Juli 2026 | vorbei, ESU verfügbar |
| Windows Server 2012 / 2012 R2 (ESU Jahr 3) | 13. Oktober 2026 | endgültig vorbei |
| Windows Server 2016 | 12. Januar 2027 | ESU verfügbar |
| Windows Server 2019 | Januar 2029 | noch im Support |
Wer also „nur mal eben“ den 2016er upgraden will, stellt oft fest, dass daneben ein SQL Server 2016 hängt, der seit Juli keine regulären Updates mehr bekommt. Spätestens da wird aus dem Upgrade eine Bestandsaufnahme.
Option 1: Upgrade auf eine neuere Windows-Server-Version
Das ist der naheliegende Weg, und für manche Rollen ist er der richtige. Active Directory, Fachanwendungen mit Windows-Pflicht, alles, was an Gruppenrichtlinien hängt: Das zieht auf eine aktuelle Version um und gut. Nur sollte man dabei nicht auf 2019 landen, das im Januar 2029 selbst ausläuft. Dann steht dasselbe Projekt in gut zwei Jahren wieder an.
Der Haken am Reflex-Upgrade: Man trägt jede Rolle mit, auch die, die eigentlich niemand mehr auf Windows braucht. Lizenzen und CALs werden dann für einen Zustand neu gekauft, den keiner bewusst gewählt hat.
Option 2: Extended Security Updates über Azure Arc
Microsoft bietet für Windows Server 2016 Standard und Datacenter bis zu drei Jahre ESU, also kritische und wichtige Sicherheitsupdates bis 2030. Neue Features oder sonstige Fixes gibt es darüber nicht. Einrichten lässt sich das seit dem 3. August 2026 im Azure-Portal, abgerechnet wird ab dem 13. Januar 2027, und zwar monatlich, nach Kernen und Edition. Wer später einsteigt, zahlt rückwirkend ab dem 12. Januar.
Zwei Dinge sollte man vorher wissen. Ohne Software Assurance oder ein vergleichbares Server-Abonnement gibt es keine ESU; über SPLA beim Hoster geht es für 2016 nicht. Und einen offiziellen Preis hat Microsoft bisher nicht veröffentlicht, ihr kalkuliert also mit einem Angebot, nicht mit einer Liste.
ESU ist eine Schonfrist. Sinnvoll ist sie für den einen Server mit der Fachanwendung, deren Nachfolger erst im Sommer kommt. Als Dauerlösung für den ganzen Serverpark ist das die teuerste Art, nichts zu entscheiden.
Option 3: Prüfen, was überhaupt Windows braucht
Das ist der Weg, den ich meistens empfehle. Der Grund ist banal: Die Inventur ist ohnehin fällig. Auf einem typischen 2016er im Mittelstand laufen Dinge wie die Dateiablage, ein Intranet, vielleicht ein Wiki, eine kleine Web-Anwendung, die irgendwer mal auf IIS gestellt hat. Nichts davon braucht zwingend Windows.
Dateiablage und Zusammenarbeit laufen auf Nextcloud, Intranet und Wiki als selbst gehostete Dienste auf einem schlanken Linux-Server. Die kleine IIS-Anwendung ist oft in einem Container besser aufgehoben als auf einem eigenen Windows-Server mit eigener Lizenz. Das Muster kennt ihr vielleicht vom Windows-10-Aus am Arbeitsplatz: Nicht alles wechselt, aber das, was wechseln kann, spart dauerhaft Lizenzen und Abhängigkeit.
Active Directory bleibt in den meisten Firmen erst mal, wo es ist. Das ist kein Scheitern. Ein gemischter Betrieb mit einem kleinen, aktuellen Windows-Kern und dem Rest auf Linux ist für viele Betriebe schlicht die vernünftigste Variante. Wer beim Aufräumen gleich den Mailserver mitdenkt (Exchange 2016 ist ja schon seit einem Jahr raus), findet in unserem Beitrag zu Microsoft-365-Alternativen die Optionen dazu.
Warum ungepatcht weiterlaufen keine Option ist
Ein Server mit bekannten, offenen Lücken ist genau das, wonach automatisierte Angriffe suchen. Wer unter NIS2 fällt, hat zusätzlich eine Nachweispflicht: Ein Patch-Management, das bei einem produktiven Server seit Monaten nichts mehr patchen kann, besteht keine Prüfung. Ob ihr betroffen seid, klärt der NIS2-Selbsttest in ein paar Minuten.
Der pragmatische Ablauf bis Januar: Rollen auflisten, pro Rolle entscheiden (Upgrade, ESU als Brücke, Umzug), die Umzüge vor dem Stichtag erledigen. Den laufenden Betrieb danach (Updates, Monitoring) übernehmen wir auf Wunsch als Wartungsvertrag.
Auf eurem Windows Server 2016 läuft mehr, als euch lieb ist, und der Januar rückt näher? Schreib mir — wir machen die Inventur und entscheiden Rolle für Rolle.