Windows Server 2016 EOL und Support-Ende am 12. Januar 2027

Windows Server 2016 End of Life am 12. Januar 2027 und was danach gilt

Am 12. Januar 2027 erreicht Windows Server 2016 sein End of Life (EOL). Microsoft liefert an diesem Patch-Dienstag die letzten Sicherheitsupdates, danach bleibt jede neu bekannt werdende Lücke offen. Aus einem technischen Umstand wird somit eine Entscheidung, die jemand gegenüber Versicherung und Kunden begründen muss. Ob Sie wechseln können, hängt selten am Betriebssystem. Zuerst entscheidet die Hardware mit Freigabe für Server 2025, Herstellersupport und Betriebsdauer, danach Ihr Softwarehersteller, der ein altes System meist früher fallen lässt als Microsoft.

Nach dem Support-Ende schließt Microsoft dann keine neu gefundene Lücke mehr, nimmt keinen Support-Fall an und liefert keine Fehlerbehebung. Der Server startet weiterhin, die Lizenz bleibt gültig und jede Anwendung läuft wie am Tag zuvor, und genau deshalb bleibt der Termin in vielen Betrieben unbemerkt.

Die meisten Schwachstellen betreffen dabei mehrere Windows-Generationen zugleich. Mit dem Patch für die versorgten Systeme wird die Lücke öffentlich dokumentiert, während sie auf einem Server 2016 offen bleibt. Wie schnell das praktisch wird, zeigt beispielsweise der Vorgänger. Windows Server 2012 R2 fiel am 10. Oktober 2023 aus dem Support, und 35 Tage später nahm die US-Behörde CISA eine Rechteausweitung bis SYSTEM (CVE-2023-36036), die auch 2012 R2 betraf, in ihren Katalog aktiv ausgenutzter Lücken auf. Den Patch dafür gab es für diese Version allerdings nur noch über kostenpflichtige ESU.

Windows Server 2016 Lifecycle von der Freigabe bis zum Support-Ende

Der Lebenszyklus ist seit der Freigabe im Oktober 2016 festgelegt. Nach dem Fixed-Lifecycle-Modell von Microsoft endete der Mainstream-Support am 11. Januar 2022, seitdem gibt es nur noch Sicherheitsupdates. Heute lassen sich Beschaffung und Wartungsfenster noch frei planen, ab dem EOL am 12. Januar 2027 bleiben hingegen nur noch ESU oder der Betrieb ohne Updates.

Betroffene Server im Active Directory per PowerShell finden

Welche Server noch auf Windows Server 2016 laufen, beantwortet ein Einzeiler auf einem Domänencontroller für das ganze Active Directory. Er filtert auf die Buildnummer 14393 statt auf den Anzeigenamen, weil der Name je nach Edition und Sprachpaket abweicht.

Get-ADComputer -Filter 'OperatingSystem -like "*Server*"' `
  -Properties OperatingSystem,OperatingSystemVersion,LastLogonDate,IPv4Address |
  Where-Object OperatingSystemVersion -like '*14393*' |
  Select-Object Name,OperatingSystem,IPv4Address,LastLogonDate |
  Sort-Object LastLogonDate

Zwei Dinge fallen regelmäßig auf, sobald die Liste vorliegt. Es stehen mehr Maschinen darauf, als im ersten Gespräch genannt wurden, und fast immer ist ein Server dabei, für den niemand mehr zuständig ist. Er wurde für ein Projekt aufgesetzt, nie abgeschaltet und läuft seitdem im Backup mit. Inhaltlich ist er harmlos, technisch ist er das größte Risiko, weil ihn niemand vermisst und deshalb auch niemand patcht.

Systeme außerhalb der Domäne findet die Abfrage allerdings nicht, etwa Hyper-V-Hosts in einer Arbeitsgruppe, Appliances mit eingebettetem Windows oder die Maschine im Serverraum der Zweigstelle. Diese Lücke schließen drei weitere Quellen, wobei zwei davon auch ausgeschaltete Maschinen kennen.

• Auf jedem Hyper-V-Host liefert Get-VM | Select Name, State, Version alle Gäste samt Konfigurationsversion, die beim Wechsel auf Server 2025 wichtig wird.
• Die Leases auf dem DHCP-Server zeigen zudem Geräte, die nie in der Domäne standen.
• In der Backup-Software fällt ein Server, der dort fehlt, als erster Befund auf.

Notieren Sie danach zu jeder Zeile Rolle, Fachanwendung und Betriebsdauer der Maschine. Die ersten beiden Angaben entscheiden über Reihenfolge und Aufwand, die dritte darüber, ob die Hardware überhaupt noch ein neues Betriebssystem bekommt, denn ein Betriebssystem von 2016 läuft fast immer auf Hardware derselben Generation.

Weitere Support-Enden bei Windows Server 2012 R2, SQL Server 2016 und Exchange

Der 12. Januar 2027 ist selten die einzige Frist im Bestand. Windows Server 2012 R2 ist seit Oktober 2023 ohne Support, und wer Server 2016 im Haus hat, hat oft noch eine Maschine davor stehen, die dringender ist. Außerdem sitzt ein zweiter blinder Fleck auf dem Betriebssystem. Exchange Server 2016 und 2019 sind seit Oktober 2025 abgekündigt, und das meldet sich über den Mailfluss von selbst. Der SQL Server unter einer Fachanwendung meldet sich dagegen nicht, solange die Anwendung startet.

Welche Microsoft-Produkte neben Windows Server 2016 auslaufen

Tabelle 1, Support-Enden im Umfeld von Windows Server 2016, Quelle Microsoft Lifecycle, Stand Oktober 2026.

Eine Frist betrifft das Ziel statt der Quelle. Windows Server 2022 hat am 13. Oktober 2026 den Mainstream-Support verlassen, wer heute migriert, geht deshalb auf Windows Server 2025 mit Mainstream-Support bis November 2029. Die Bestandsliste aus dem vorigen Abschnitt bekommt somit zwei Spalten mehr, die Datenbankversion und das Mailsystem.

Weiterbetrieb nach dem Support-Ende laut IT-Grundschutz und Cyber-Versicherung

Der Weiterbetrieb eines Servers ohne Patches ist nach dem Stichtag keine rein technische Entscheidung mehr, weil jemand sie begründen muss. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) formuliert dazu im IT-Grundschutz-Baustein OPS.1.1.3 zum Patch- und Änderungsmanagement eine Prüfpflicht und kein pauschales Verbot.

Was die Cyber-Versicherung aus der Prüfung macht

Wer prüft, dokumentiert und zusätzlich absichert, etwa mit einer eigenen Netzzone hinter einer Firewall, die selbst noch im Support steht, darf also weiterbetreiben. Zwei Stellen lesen diese Prüfung allerdings mit, und keine davon sitzt in der IT. Die Cyber-Versicherung verlangt in den Musterbedingungen des Gesamtverbands der Versicherer ein Patch-Management und untersagt zudem den Betrieb von Systemen mit bekannten Lücken ohne zusätzliche Absicherung. Im Schadenfall wird dann der Forensikbericht mit den Angaben aus dem Versicherungsantrag abgeglichen. Dass daraus keine automatische Ablehnung folgt, zeigen zwei Urteile. Das Landgericht Tübingen sprach 2023 trotz mehrerer Server ohne Updates rund 2,85 Millionen Euro zu, weil der Patchstand für den Schaden nicht ursächlich war. Das Landgericht Kiel wies 2024 eine Klage über mehr als 400.000 Euro ab, weil die Risikofragen im Antrag falsch beantwortet worden waren. In beiden Fällen entschied die Zusicherung im Antrag, weshalb die dokumentierte Prüfung nach IT-Grundschutz auch gegenüber dem Versicherer zählt.

Was NIS2 über die Lieferkette verlangt

Dazu kommt als zweite Stelle die Lieferkette. NIS2 verlangt von den betroffenen Einrichtungen, die Sicherheit ihrer Dienstleister und Zulieferer zu bewerten, und diese Bewertung erreicht auch Betriebe, die selbst nicht unter das Gesetz fallen. Die Frage nach dem Patchstand der Server kommt dann aus dem Einkauf eines Kunden, mit Frist und Formular, und eine dokumentierte Prüfung mit Ablösedatum ist darauf die Antwort, die ohne Diskussion durchgeht.

Hardware-Freigabe und Betriebsdauer vor dem Upgrade auf Windows Server 2025

Ob ein Server 2016 das Upgrade bekommt oder ersetzt wird, hängt an drei Fragen in fester Reihenfolge, zuerst an der Hardware, dann an der Betriebsdauer und zuletzt am Termin des Softwareherstellers. Jede dieser Antworten kann die nächste Frage überflüssig machen, weshalb sich die Prüfung in genau dieser Reihenfolge lohnt.

Kann die Hardware Windows Server 2025 überhaupt tragen?

Die erste Frage ist die Support-Matrix des Hardwareherstellers. Steht Windows Server 2025 dort für das Servermodell, bei HPE etwa je Servergeneration geführt, gibt es Treiber und Herstellersupport. Fehlt der Eintrag, endet der Weg dagegen vor dem ersten Neustart, unabhängig davon, wie gut die Maschine noch läuft. Dazu kommen zwei Firmware-Voraussetzungen, UEFI mit Secure Boot und virtualisierungsbasierte Sicherheit. Ohne sie läuft das System zwar, aber ohne die Schutzfunktionen, wegen derer man aufrüstet.

Zur Hardware gehört auch der Wartungsvertrag. Die Matrix sagt, was technisch ginge, der Vertrag sagt, ob im Fehlerfall jemand erreichbar ist und ob es Ersatzteile gibt. Ein Server ohne Hardwaresupport bekommt deshalb kein neues Betriebssystem mehr, sondern einen Nachfolger oder einen Platz im Rechenzentrum.

Warum entscheidet die Betriebsdauer und nicht das Baujahr?

Die zweite Frage ist die Betriebsdauer, abzulesen am Einschaltzähler im Management-Controller (iLO, iDRAC) und nicht am Lieferschein. Denn nach rund fünf Jahren Dauerbetrieb steigt die Ausfallrate wieder an, die Badewannenkurve. Das betrifft neben den Festplatten auch Netzteile, Lüfter, Pufferbatterien und Elektrolytkondensatoren, die dann ihre Auslegungslebensdauer erreicht haben.

Wann sagt der Softwarehersteller den Termin?

Trägt die Hardware, bestimmt anschließend der Softwarehersteller den Termin. Manche Fachanwendung ist noch nicht für Server 2025 freigegeben, manche verlangt ausdrücklich eine alte SQL-Version, und eine neue SQL-Version ist eine neue Lizenz. Backup-Agent, EDR-Sensor (Endpoint Detection and Response) und Treiber führen eigene Support-Matrizen und streichen ein altes Betriebssystem regelmäßig früher als Microsoft selbst.

Eine Kombination sperrt sogar beide Hauptwege. SQL Server 2016 ist nach Microsofts Kompatibilitätsmatrix nur bis Windows Server 2019 freigegeben, auf Server 2022 beginnt die Unterstützung bei SQL Server 2017, auf Server 2025 bei SQL Server 2019. Wer eine Fachanwendung hat, die ausdrücklich SQL 2016 verlangt, kann den Server weder in-place anheben noch sauber im Rechenzentrum neu aufsetzen. Dann bleiben zwei Wege, entweder die Datenbank nach Freigabe des Softwareherstellers auf SQL Server 2022 zu heben oder die Maschine mit ESU zu überbrücken, bis der Hersteller nachzieht. Der Datenbanksprung ist dabei das eigentliche Projekt, weil Testlauf und Datenübernahme an der Fachanwendung hängen, während der Betriebssystemwechsel danach Routine ist.

Ein Beispiel, das in Baden-Württemberg viele Kanzleien und Betriebe betrifft, ist DATEV. Die DATEV-Programme laufen seit November 2024 auf Windows Server 2025, und die Zusage für Windows Server 2016 endet mit der Jahreswechsel-Version 2026/2027 der DATEV-Programme, also zeitgleich mit Microsoft. Seit dem Service-Release vom November 2025 markiert die DATEV-Installation Systeme mit Server 2016 gelb. Wer DATEV auf einem Server 2016 betreibt, hat somit die Herstellerfreigabe für den Zielpfad schon in der Hand und die Frist für den alten Server ebenfalls.

Die Hardware sagt also, ob gewechselt werden kann, die Softwarehersteller sagen, wann, und dieser Termin liegt meist vor dem 12. Januar 2027. Deshalb werden zuerst die Freigaben schriftlich eingesammelt und erst danach der Plan gebaut, weil ein Wechsel vor der Freigabe den Support des Anwendungsherstellers kostet.

In-Place-Upgrade, Neuinstallation oder ESU im Vergleich

Aus der Bestandsliste und den Antworten auf die drei Fragen ergibt sich dann je Maschine einer von drei Wegen. Der erste ist die Regel, der zweite die Ausnahme beim Hardwaretausch, der dritte die Überbrückung, solange ein Hersteller noch keinen Termin nennt.

Weg A als Regel, das In-Place-Upgrade von Server 2016 auf Server 2025

Das In-Place-Upgrade von Windows Server 2016 auf 2025 ist direkt per Installationsmedium unterstützt, über Windows Update jedoch nicht. Die Rolle bleibt, wo sie ist, die Anwendung kennt ihren Server unter demselben Namen, und der Wartungsabend endet mit einem Neustart statt mit einer Datenübernahme. Zwei Ausnahmen gelten allerdings. Ein Failover-Cluster steigt im Rolling Upgrade nur eine Version je Schritt, und beim Domänencontroller empfiehlt Microsoft die Neuinstallation mit anschließender Heraufstufung.

Weg B als Ausnahme, die Neuinstallation mit Umzug der Rollen

Ein neuer Server 2025 wird aufgesetzt, die Rolle sauber installiert, die Daten kontrolliert übernommen, während der alte bis zur Abnahme stehen bleibt. Das ist der richtige Weg bei einem Hardwaretausch, beim Domänencontroller und dann, wenn die gewachsene Konfiguration selbst der Grund für den Ärger ist. Der neue Server steht im eigenen Serverraum oder im RauRZ, unserem Rechenzentrum in Stuttgart.

Weg C als Überbrückung, Extended Security Updates für einzelne Maschinen

ESU sind dagegen für die eine Maschine gedacht, die auf eine Herstellerfreigabe wartet. Microsoft liefert damit bis Januar 2030 ausschließlich sicherheitsrelevante Updates, über Azure Arc mit monatlicher Abrechnung oder über Volumenlizenz mit Software Assurance. Ein späterer Einstieg kostet rückwirkend ab dem 13. Januar 2027, sodass sich die Lücke nicht aussitzen lässt. Beide Wege setzen Software Assurance oder ein Server-Abonnement voraus, eine OEM-Lizenz ohne Software Assurance qualifiziert folglich nicht.

Tabelle 2, welcher Weg zu welchem Betrieb passt. ✔ passt, ◐ möglich mit Einschränkung, ✖ passt nicht.

Die ersten beiden Zeilen entscheiden dabei häufiger als alles darunter. Läuft die Hardware länger als fünf Jahre, fällt das Upgrade im Haus in der Regel weg, siehe Badewannenkurve oben. Ein Wiederanlauf innerhalb von vier Stunden setzt mit eigener Hardware voraus, dass Ersatzteile im Haus liegen und jemand sie einbaut, auch freitagabends. Im Rechenzentrum ist dieselbe Zusage eine Frage der Auslegung und nicht der Anwesenheit, und Mischformen sind üblich, etwa Infrastrukturdienste im RauRZ und die Fachanwendung mit Hardwarebindung vor Ort.

Stolperfallen nach dem Wechsel auf Windows Server 2025, von SMB bis Hyper-V

Nach der Umschaltung macht selten der Server Probleme, sondern die zwanzig kleinen Geräte um ihn herum. Windows Server 2025 hat mehrere Vorgaben verschärft, und jede davon trifft Altbestand, der bisher nie aufgefallen ist.

• SMB-Signierung ist für alle ausgehenden Verbindungen Pflicht, nicht mehr nur gegenüber SYSVOL. Ein NAS oder ein Multifunktionsdrucker mit Scan-to-Folder, der sie nicht beherrscht, verweigert den Dienst.
• TLS 1.0 und 1.1 sind deaktiviert, und TLS-Serverzertifikate brauchen mindestens 2048 Bit RSA. Ein älteres Gerät, das nur diese Protokollversionen beherrscht, baut keine Verbindung mehr auf. Die 2048-Bit-Grenze trifft laut Microsoft nur Zertifikate öffentlicher Zertifizierungsstellen, eine gewachsene interne Zertifizierungsstelle mit 1024-Bit-Wurzel läuft weiter, gehört aber vor dem Umzug erneuert.
• LDAP-Signierung ist bei einem neuen Verzeichnisdienst auf Server 2025 Standard, und auch nach dem Umzug verlangt der Domänencontroller sie, wenn nie eine Richtlinie dazu gesetzt wurde. Zeiterfassung, Telefonanlage, Kopierer-Adressbuch und Monitoring melden sich heute oft unsigniert oder im Klartext an, und genau diese Anmeldungen weist der neue Domänencontroller ab. Die Ereignisse 2887 und 2889 im Verzeichnisdienst-Protokoll zeigen vorher, welche Geräte das betrifft.
• Die SMTP-Server-Funktion ist zudem ersatzlos entfernt. Im Mittelstand versorgen diese Relais aber Kopierer, Fakturierung und die Alarmmails von Maschinen.
• Hyper-V auf Server 2025 startet außerdem keine virtuelle Maschine unterhalb der Konfigurationsversion 8.0. Eine VM, die auf 2012 R2 angelegt und seither nur mitgezogen wurde, läuft auf dem alten Host anstandslos und auf dem neuen gar nicht, und das Hochstufen der Version lässt sich nicht rückgängig machen.

Alle fünf Punkte lassen sich vor der Umschaltung prüfen, mit einem Blick in die Gerätelisten, in das Verzeichnisdienst-Protokoll und in die Ausgabe von Get-VM, und keiner davon lässt sich am Montagmorgen in der Hektik des Anlaufs nachholen.

Ablauf der Server-Migration mit RAUSYS in drei Schritten

1. 01

   Bestand und Freigaben

   Zwei Wochen · parallel zum Betrieb

   Jeder Server bekommt eine Zeile mit Rolle, Anwendung, Betriebsdauer und Freigabestatus für Server 2025, dazu den Eintrag in der Support-Matrix des Hardwareherstellers, und aus dieser Liste entsteht die Reihenfolge der Umstellung.

2. 02

   Aufbau und Parallelbetrieb

   Ein Tag je Server · werktags

   Der neue Server wird aufgebaut, gehärtet und ins Monitoring genommen, während der alte weiterläuft und die Anwender nichts davon merken.

3. 03

   Umschaltung

   Wochenende · etwa sechs Stunden

   Letzter Datenabgleich, Umschaltung, Funktionstest mit einem Anwender je Fachbereich. Ein Rückfall ist bis Montag früh möglich, weil der alte Server noch steht und das Backup vorher per Restore-Test geprüft wurde.

In welcher Reihenfolge werden die Server umgestellt?

Die Reihenfolge lautet Virtualisierungshosts zuerst, dann Infrastrukturdienste wie Domänencontroller, DHCP und Dateidienste, zuletzt die Fachanwendungen, denn wer die Gäste vor dem Host migriert, migriert zweimal. Der alte Server bleibt vier Wochen ausgeschaltet, weil sich der Dienst, an den niemand gedacht hat, meist erst beim Monatsabschluss meldet.

Bei Windows Server 2012 R2 haben wir dasselbe Muster gesehen. Der Anwendungshersteller kündigt seine Version für das alte Betriebssystem oft ein bis zwei Jahre vor Microsoft ab. Wer bis dahin wartet, bekommt Betriebssystemwechsel, Anwendungs-Upgrade und Datenbanksprung in dasselbe Wochenende, und in dieser Häufung entstehen die Wechselwirkungen, die einzeln niemand erwartet hätte.

Für den Einstieg genügt die Liste aus dem zweiten Abschnitt. Wir nehmen Ihren Serverbestand vor Ort oder remote auf, fragen bei den Herstellern Ihrer Fachanwendungen die Freigaben für Windows Server 2025 ab, und Sie erhalten eine Liste aller betroffenen Systeme mit Rolle, Freigabestatus, empfohlenem Weg und Reihenfolge. Von Stuttgart aus betreuen wir die Region von Böblingen und Sindelfingen bis Esslingen, Ludwigsburg und Waiblingen. Eine Kurzanfrage oder ein Anruf unter +49 711 727 222-0 reicht.

Häufige Fragen zum Support-Ende von Windows Server 2016

Quellen: Microsoft, Windows Server 2016 Lifecycle · Microsoft, Product Lifecycle FAQ zu Extended Security Updates und ESU über Azure Arc · Microsoft, Upgrade- und Migrationspfade für Windows Server · Microsoft, Entfernte Funktionen in Windows Server 2025 · Microsoft, VM-Konfigurationsversionen in Hyper-V · Microsoft, Versionsanforderungen für SQL Server unter Windows (KB 2681562) · DATEV Hilfe-Center, Dok. 1080847 und 0908427 · BSI, IT-Grundschutz-Kompendium OPS.1.1.3 · CISA, Known Exploited Vulnerabilities Catalog (CVE-2023-36036) · Microsoft, Neuerungen in Windows Server 2025 · Microsoft, LDAP-Signierung für Active Directory · Microsoft, Abkündigung schwacher RSA-Zertifikate (Windows IT Pro Blog, Mai 2024). Stand 14.10.2026.