Windows Server 2016: Support endet im Januar 2027 – was jetzt zu tun ist

Was das Supportende praktisch bedeutet

Windows Server 2016 folgt der festen Lifecycle-Richtlinie von Microsoft. Der Mainstream-Support ist seit Januar 2022 vorbei, der erweiterte Support endet laut Microsoft-Lifecycle-Seite am 12. Januar 2027. Das ist ein Patchday – die Updates dieses Tages sind die letzten regulären. Danach gilt:

• Keine Sicherheitsupdates mehr. Neu entdeckte Lücken bleiben offen. Der Server läuft weiter, aber jede Lücke, die Microsoft in neueren Versionen schließt, ist eine Anleitung für Angreifer.
• Kein Herstellersupport. Bei Störungen hilft Microsoft nicht mehr. Auch Softwarehersteller ziehen ihre Freigaben für das alte System nach und nach zurück.
• Versicherung. Viele Cyberversicherer fragen im Antrag und im Schadensfall, ob Systeme ohne Herstellersupport im Einsatz sind. Was das für Ihren Vertrag bedeutet, steht in Ihren Bedingungen – fragen Sie Ihren Versicherer oder Makler, bevor der Termin verstreicht.
• Datenschutz. Art. 32 DSGVO verlangt technische Maßnahmen „unter Berücksichtigung des Stands der Technik“. Ein Server mit personenbezogenen Daten, der keine Sicherheitsupdates mehr erhält, ist damit schwer zu begründen. Dieser Artikel ist keine Rechtsberatung.

Der Server 2016 ist selten allein. Exchange Server 2016 und 2019 sind seit dem 14. Oktober 2025 aus dem Support, SQL Server 2016 seit dem 14. Juli 2026. Wer den Server anfasst, sollte die Anwendungen darauf gleich mit prüfen.

Erst zählen, dann planen: die Bestandsaufnahme

Die erste Frage lautet nicht „Wie migriere ich?“, sondern „Was habe ich überhaupt?“. In gewachsenen Umgebungen finden sich fast immer Server, an die niemand mehr gedacht hat: die alte Zeiterfassung, der Lizenzserver, eine vergessene Test-VM.

In einer Domäne liefert das Active Directory die schnellste Übersicht:

Get-ADComputer -Filter 'OperatingSystem -like "*Server 2016*"' -Properties OperatingSystem | Select-Object Name, OperatingSystem

Auf dem einzelnen Server zeigen zwei weitere Befehle Version und installierte Rollen. Windows Server 2016 erkennen Sie an der Version 1607 mit der Build-Nummer 14393.

Get-ComputerInfo | Select-Object CsName, OsName, OsVersion, OsInstallDate

Get-WindowsFeature | Where-Object Installed

Wer lieber klassisch arbeitet, bekommt mit systeminfo dieselben Eckdaten. Weitere Werkzeuge für Hardware- und Systemdaten haben wir im Artikel Systeminfos für Windows Server verglichen. Server außerhalb der Domäne finden Sie mit einem Netzwerk-Scanner.

Halten Sie für jeden Server fest:

• Rolle: Domänencontroller, Dateiserver, Remotedesktop (RDS), SQL Server, Druckserver, Branchenanwendung
• Plattform: physisch oder virtuell, Alter und Garantie der Hardware
• Abhängigkeiten: Welche Anwendungen, Schnittstellen und Geräte greifen zu?
• Verantwortlich: Wer im Haus kennt die Anwendung, wer ist Ansprechpartner beim Hersteller?
• Datenmenge: Wie viel muss umziehen? Ein Blick auf die Speicherbelegung zeigt meist auch, was vorher aufgeräumt werden kann.

Vier Wege und was für sie spricht

1. In-Place-Upgrade

Das Setup installiert die neue Version über die bestehende. Rollen, Einstellungen und Daten bleiben erhalten. Laut Microsoft-Dokumentation ist von Windows Server 2016 das direkte Upgrade per Installationsmedium auf 2019, 2022 und 2025 unterstützt. Failovercluster dürfen beim Rolling Upgrade nur eine Version pro Schritt gehen.

Dafür spricht: der schnellste Weg, gleiche Hardware, gleicher Servername. Dagegen: Altlasten wandern mit, nicht jede Rolle unterstützt das Verfahren, und jedes Upgrade braucht eine neue Lizenz. Sprache und Installationsvariante (Core oder Desktop) lassen sich dabei nicht wechseln, NIC-Teaming muss vorher deaktiviert werden. Ohne geprüftes Backup oder VM-Sicherung sollten Sie nicht starten.

2. Neuinstallation und Migration

Ein neuer Server wird aufgesetzt, Rollen und Daten ziehen um. Dafür spricht: ein sauberes System, der alte Server bleibt als Rückfallebene erhalten, Hardwaretausch lässt sich verbinden. Dagegen: mehr Aufwand, neue Namen oder IP-Adressen müssen sauber nachgezogen werden. Für Domänencontroller empfehlen wir diesen Weg: neuen DC hinzufügen, FSMO-Rollen verschieben, alten herabstufen.

3. Rolle in die Cloud oder zum Hoster verlagern

Nicht jede Rolle braucht noch einen eigenen Server. Dateiablagen, E-Mail oder einzelne Fachanwendungen gibt es als Dienst oder als gehostete Lösung. Dafür spricht: keine eigene Hardware, der Lifecycle liegt beim Anbieter. Dagegen: laufende Kosten, Abhängigkeit von Leitung und Anbieter, und Datenschutz sowie Vertragslage müssen vorher geklärt sein.

4. ESU als Brücke

Microsoft bietet für Windows Server 2016 Extended Security Updates an. Laut Ankündigung des Azure-Arc-Teams gibt es damit bis zu drei Jahre lang, also bis Januar 2030, Sicherheitsupdates der Stufen „kritisch“ und „wichtig“ – ohne neue Funktionen und ohne sonstige Fehlerbehebungen. Die Abrechnung über Azure Arc läuft als monatliches Abonnement. Abgedeckt sind die Editionen Standard und Datacenter, in der Regel ist Software Assurance aus einem Volumenlizenzprogramm Voraussetzung.

Genau daran scheitert es in vielen KMU: Server mit OEM- oder Einzellizenz ohne Software Assurance erfüllen diese Bedingung in der Regel nicht. Konkrete Preise für Server 2016 haben wir in den öffentlichen Microsoft-Quellen nicht gefunden; fragen Sie dazu Ihren Lizenzpartner. Microsoft selbst nennt ESU eine letzte Möglichkeit und keine Dauerlösung. So sollten Sie es auch einplanen: für die eine Anwendung, die nachweislich nicht rechtzeitig umziehen kann.

Welche Zielversion sich lohnt

Die Tabelle beantwortet die Frage fast von selbst. Ein Wechsel auf 2019 kauft nur zwei Jahre – dann steht dasselbe Projekt wieder an. Windows Server 2025 ist das Ziel der Wahl. 2022 ist die Ausweichlösung, wenn ein Softwarehersteller 2025 noch nicht freigegeben hat; dort endet der Mainstream-Support bereits am 13. Oktober 2026.

Zeitplan: rückwärts vom 12. Januar gerechnet

Die verbleibenden Wochen klingen nach viel. Abzüglich Feiertagen, Jahresabschluss und Lieferzeiten bleiben für die eigentliche Arbeit eher sechs. So teilen wir die Zeit ein:

1. Bis Ende Oktober: Bestandsaufnahme abschließen. Bei allen Softwareherstellern schriftlich anfragen, welche Windows-Server-Version freigegeben ist. Diese Antworten dauern erfahrungsgemäß am längsten.
2. Bis Mitte November: Entscheidung je Server (Upgrade, Migration, Verlagerung, Abschaltung). Hardware und Lizenzen bestellen. Lieferzeiten für Server vorher beim Lieferanten erfragen und nicht schätzen.
3. Zweite Novemberhälfte: Testlauf. Bei virtuellen Servern einen Klon in einem isolierten Netz upgraden und die Anwendungen von den Fachabteilungen prüfen lassen. Backup und Rücksicherung einmal wirklich durchspielen.
4. Bis Mitte Dezember: Produktive Umstellung, ein Server nach dem anderen, mit Wartungsfenster und Rückfallplan. Unkritische Systeme zuerst.
5. Mitte Dezember bis Anfang Januar: Änderungsstopp. Inventur, Jahresabschluss und Urlaube vertragen keine Serverumstellung.
6. Januar, vor dem 12.: Puffer für Nacharbeiten. Alte Server herabstufen, abschalten und aus Monitoring, Backup und Dokumentation austragen.

Wenn schon jetzt absehbar ist, dass ein System den Termin nicht schafft, gehört die Brücke in den Plan: ESU, sofern die Lizenzvoraussetzungen erfüllt sind, oder zumindest die Abschottung des Servers im Netz – getrenntes Segment, kein Internetzugang, nur die nötigen Ports.

Typische Stolpersteine

• Alte Hardware. Windows Server 2025 verlangt Prozessoren mit SSE4.2 und POPCNT. Ein TPM 2.0 ist laut Microsoft keine allgemeine Installationsvoraussetzung, wird aber für Funktionen wie BitLocker und Secured-core benötigt. Entscheidender ist oft, ob der Hardwarehersteller für das Modell überhaupt noch Treiber und Firmware für die neue Version anbietet.
• Domänenfunktionsebene. Ein Domänencontroller mit Windows Server 2025 setzt mindestens die Funktionsebene Windows Server 2016 voraus. Außerdem muss SYSVOL per DFSR repliziert werden; das alte FRS wird nicht mehr unterstützt. Die aktuelle Ebene zeigt Get-ADDomain | Select-Object DomainMode.
• RDS-CALs sind versionsgebunden. Mit RDS-CALs für 2016 dürfen Sie laut Microsoft nicht auf einen Sitzungshost mit neuerer Version zugreifen. Für den neuen Terminalserver brauchen Sie neue CALs und einen Lizenzserver in passender Version. Das gehört früh ins Budget.
• SMB1-Reste. Alte Scanner, Kopierer oder Maschinensteuerungen sprechen mitunter nur SMB1. Ob das Protokoll auf dem Server noch aktiv ist, zeigt Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol. Klären Sie vor der Umstellung, welche Geräte davon abhängen – und tauschen Sie eher das Gerät, als SMB1 auf dem neuen Server wieder einzuschalten.
• Fehlende Herstellerfreigaben. Branchensoftware, Warenwirtschaft, Zeiterfassung: Ohne Freigabe des Herstellers verlieren Sie im Zweifel dessen Support. Manchmal ist erst ein Update der Anwendung nötig, bevor der Server wechseln kann.
• Anwendungen mit eigenem Lifecycle. Ein SQL Server 2016 wird durch ein neues Betriebssystem nicht jünger. Planen Sie Datenbank und Betriebssystem zusammen.

Fazit

Das Supportende von Windows Server 2016 ist kein Stichtag, an dem etwas ausfällt. Es ist der Tag, ab dem das Risiko jeden Monat wächst – und ab dem Sie es gegenüber Versicherer, Kunden und Aufsichtsbehörde erklären müssten. Die Technik ist dabei selten das Problem. Knapp wird die Zeit für Freigaben, Lieferungen und Tests.

Die Kurzfassung als Checkliste:

• Alle Server mit Windows Server 2016 samt Rollen und Abhängigkeiten erfasst
• Herstellerfreigaben für jede Anwendung schriftlich eingeholt
• Je Server entschieden: Upgrade, Migration, Verlagerung oder Abschaltung
• Zielversion festgelegt, Hardware, Lizenzen und RDS-CALs bestellt
• Backup geprüft und Rücksicherung getestet
• Testlauf mit den Fachabteilungen durchgeführt
• Umstellung vor dem Jahresend-Stopp terminiert
• Für Nachzügler: ESU geklärt oder Server im Netz abgeschottet
• Altserver abgeschaltet und aus der Dokumentation entfernt