Jeder Windows-10-PC, der noch im Einsatz ist, braucht diese Woche eines von drei Dingen: eine kostenpflichtige ESU-Lizenz, einen dokumentierten Isolationsplan oder einen unterschriebenen Austauschtermin. Der Support endete am 14. Oktober 2025. Ein Rechner ohne eines der drei ist ein ungepatchter Endpoint, an dem ein Anwender arbeitet.
Die Seiten von Microsoft beschreiben das erste Jahr auf zwei Arten. Der Schutz beginnt mit dem Ende des Supports, das Kaufjahr dagegen soll im November 2025 beginnen. Verlassen Sie sich nicht auf Annahmen, sondern lesen Sie Ihre eigenen Lizenzunterlagen.
Klären, was ESU tatsächlich abdeckt
ESU ist ein kostenpflichtiges Jahresabonnement, das Sicherheitsupdates der Einstufungen "kritisch" und "wichtig" liefert. Neue Funktionen, von Kunden gewünschte Nicht-Sicherheitsupdates und Anfragen für Designänderungen sind nicht enthalten. Der technische Support beschränkt sich auf die Lizenzaktivierung, die Installation und Regressionen der ESU selbst und setzt einen aktiven Supportplan voraus.
Ein Gerät ist nur mit Windows 10 in der Version 22H2 berechtigt. Laut der Lifecycle-Seite von Microsoft endete der Support für 21H2 im Juni 2023 und für 21H1 im Dezember 2022. Ein PC mit einer dieser Versionen braucht daher zuerst ein Feature-Update. LTSC-Releases folgen über den Oktober 2025 hinaus eigenen Lebenszyklen, nehmen Sie sie also aus dieser Übung heraus.
Berechtigung und Schlüssel prüfen
Ziehen Sie aus Ihrem Inventarwerkzeug die Windows-10-Feature-Version jedes Nicht-LTSC-Rechners und markieren Sie alles unterhalb von 22H2 als nicht berechtigt, bis es aktualisiert ist. Prüfen Sie anschließend die Schlüssel. Die ESU Multiple Activation Keys im Microsoft 365 Admin Center waren bis zum Ende des Supports nicht nutzbar. Ein dort hinterlegter Schlüssel ist also kein Nachweis für bestehenden Schutz.
Bestätigen Sie die Aktivierung auf jedem Gerät und halten Sie das Ergebnis fest. Die Programmübersicht zu ESU von Microsoft nennt keine Aktivierungsschritte. Sie verweist auf eine eigene Seite, "Enable Extended Security Updates (ESU)", der Sie für kommerzielle Umgebungen folgen sollten.
Kosten durchrechnen
Das erste Jahr kostet über Volumenlizenzierung 61 US-Dollar pro Gerät. Der Preis verdoppelt sich jedes Jahr, höchstens aber drei Jahre lang. Der gesamte Zeitraum kostet also 61 + 122 + 244 = 427 US-Dollar pro Gerät. Teiljahre lassen sich nicht kaufen, und ESUs sind kumulativ.
Diese kumulative Regel bestimmt den Zeitplan. Ein Gerät, das erst im zweiten Jahr einsteigt, kostet 183 US-Dollar, denn das erste Jahr muss mitbezahlt werden. Vergleichen Sie den Betrag für Ihr Jahr mit einem Angebot für den Ersatz, zuzüglich des Aufwands, die Maschine neu aufzusetzen und den Anwender umzuziehen.
Der Schutz hat außerdem eine harte Grenze. Angemeldete kommerzielle PCs erhalten Updates für höchstens drei Jahre nach Supportende. Jedes Datum unter "Ersetzen bis" muss daher vor dem Ende des letzten bezahlten ESU-Jahres liegen.
Windows-10-virtuelle-Maschinen in Windows 365, Azure Virtual Desktop und als Azure-VMs erhalten ESU ohne Zusatzkosten. Prüfen Sie, ob sich Nachzügler dorthin verlagern lassen.
Isolieren, was ESU nicht abdeckt
Orientieren Sie sich für jeden PC ohne ESU an den NCSC-Hinweisen zu veralteten Produkten. Die Position ist unmissverständlich: Nichts darin macht die Weiternutzung risikofrei, und die einzige wirklich wirksame Lösung ist, das Produkt nicht mehr zu verwenden.
Beginnen Sie damit, die Wege zu kappen, auf denen nicht vertrauenswürdige Inhalte den Rechner erreichen: E-Mail, Websurfen, Dateifreigaben, Netzwerkports und Wechselmedien. Setzen Sie das technisch durch, denn Kontrollen, die nicht technisch erzwungen werden, wirken nicht. Muss der PC Zugriff auf einen Browser oder Office-Anwendungen haben, machen Sie ihn zum Thin Client für einen Remote-Desktop mit gepatchter Software, bei dem Zwischenablage und Dateiübertragung deaktiviert sind.
Nehmen Sie den Steuerungs-PC einer CNC-Maschine, der auf Windows 10 festhängt, weil der Treiber des Herstellers nie für Windows 11 erschien. Ich würde ihm eine eigene Zone geben und nur Verkehr zum Dateiserver mit den Maschinenprogrammen erlauben. Internet und E-Mail würde ich komplett sperren, die USB-Ports deaktivieren und Dateien über ein Scan-Gateway einbringen.
Behandeln Sie jeden solchen PC als nicht verwaltet und nicht vertrauenswürdig, ähnlich wie ein BYOD-Gerät. Definieren Sie die Datenflüsse zwischen den Zonen und gehen Sie nicht davon aus, dass die Software-Firewall eines kompromittierten Geräts noch funktioniert. Wo möglich, betreiben Sie veraltete Windows-Clients in einem eigenen Active-Directory-Forest, getrennt vom Remote-Desktop-Dienst.
Ein Neuaufsetzen kann residente Malware eine Zeit lang entfernen, die ausgenutzte Schwachstelle bleibt aber bestehen. Rechnen Sie es nicht als Lösung an.
Erkennung und die Menschen rund um die Maschinen
Virenschutz und Intrusion Detection erkennen weiterhin einiges an Schadcode, doch ihre Signaturen sind möglicherweise nicht auf Angriffe gegen veraltete Systeme abgestimmt. Verlassen Sie sich nicht darauf.
Logging ohne Alarmierung bringt wenig, denn viele Organisationen zeichnen Sicherheitsereignisse auf und reagieren nie darauf. Stellen Sie sicher, dass jemand alarmiert wird, wenn sich ein Legacy-Rechner auffällig verhält, und legen Sie vorab fest, wer ihn wie isoliert. Unser Incident-Response-Service kann Sie dabei unterstützen, das zu üben, und mit Managed Monitoring können wir die Alarmierung selbst übernehmen.
Prüfen Sie auch Dritte. Lieferanten, die eigene Geräte anschließen, setzen womöglich ebenfalls nicht mehr unterstütztes Windows ein. Fragen Sie deshalb vor einem Vorfall nach und legen Sie deren Verbindungen in eine separate Zone.
Die datierte Austauschliste erstellen
Die NCSC-Hinweise zum Schwachstellenmanagement bezeichnen die Entscheidung, nicht zu aktualisieren, als Risikoentscheidung auf Führungsebene. Tragen Sie jede solche Entscheidung mit Zeit- und Budgetrahmen in Ihr Risikoregister ein, damit der Verantwortliche sichtbar ist. Wenn eine neue Schwachstelle einen Rechner trifft, den Sie nicht patchen können, bewerten Sie sie zuerst. Unser CVSS-Rechner hilft Ihnen bei der Einstufung. Erstellen Sie dann eine Tabelle wie diese, eine Zeile pro Maschine:
| Asset | Verantwortlicher | Warum noch auf Windows 10 | ESU-Status | Umgesetzte Maßnahmen | Ersetzen bis | Risiko akzeptiert von |
|---|---|---|---|---|---|---|
| (Hostname) | (Name) | (Anwendung, Treiber, Budget) | (ja / nein) | (Zone, kein Web, keine E-Mail) | (Datum, vor Ende von ESU) | (Name) |
Jede Zeile braucht ein reales Datum und einen benannten Freigebenden. Überprüfen Sie die Liste regelmäßig, denn neue Bedrohungen und Schwachstellen können die Antwort verändern.
Wo Sie anfangen
- Exportieren Sie Ihr Windows-10-Inventar, filtern Sie LTSC-Geräte heraus und markieren Sie alles unterhalb von Version 22H2.
- Prüfen Sie die Lizenzunterlagen auf ESU-Schlüssel, bestätigen Sie die Aktivierung jedes Geräts und vergleichen Sie 427 US-Dollar (bzw. 183 US-Dollar bei Einstieg im zweiten Jahr) pro Gerät mit Ihrem Angebot für den Ersatz.
- Verlagern Sie, was möglich ist, in Windows 365 oder in Azure gehostete Windows-10-VMs, wo ESU keine Zusatzkosten verursacht.
- Sperren Sie bei den übrigen Rechnern E-Mail, Websurfen, Dateifreigaben, Wechselmedien und nicht benötigte Ports und platzieren Sie diese Maschinen in einer separaten Zone.
- Aktivieren Sie für diese Zone eine Alarmierung, nicht nur Logging, und halten Sie schriftlich fest, wer einen Vorfall wie eindämmt.
- Füllen Sie die Austauschtabelle mit Verantwortlichen und Terminen innerhalb des bezahlten ESU-Zeitraums und lassen Sie die Risikoakzeptanz von einer leitenden Person unterschreiben.
