Windows Server 2016 endet am 12. Januar 2027: Bestand, Aufwand, Wellen
Die Zahl der Server ist selten das Problem. Das Problem sind die drei bis vier Systeme, bei denen weder ein Upgrade noch ein Neuaufbau in ein normales Wartungsfenster passt.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Frist ist bekannt, die Liste der betroffenen Server ist es nicht
In fast jeder Umgebung gibt es drei Antworten auf die Frage, wie viele Server mit Windows Server 2016 noch laufen. Die erste kommt aus dem Inventarwerkzeug und ist zu niedrig, weil dort Systeme fehlen, die nie erfasst wurden. Die zweite kommt aus dem Active Directory und ist zu hoch, weil dort Computerkonten von Servern stehen, die seit Jahren abgeschaltet sind. Die dritte kommt aus dem Hypervisor und ist die verlässlichste, deckt aber die physischen Maschinen nicht ab. Der Abgleich dieser drei Quellen ist der eigentliche erste Schritt, und er dauert einen Tag.
Danach beginnt der Teil, den Projektpläne regelmäßig unterschätzen. Ein Server ist keine Einheit, sondern ein Bündel aus Rollen, Freigaben, Zertifikaten, geplanten Aufgaben, lokalen Konten, Druckerwarteschlangen und einer Fachanwendung, die vor sieben Jahren jemand installiert hat, der nicht mehr im Haus ist. Der Umstieg ist bei den meisten dieser Server unspektakulär. Bei einigen wenigen hängt er an einer Freigabe des Herstellers, an einem Zertifikat, das nicht mitwandert, oder an einer Rolle, für die Microsoft ein Upgrade am Bestand ausdrücklich nicht empfiehlt.
Und dann ist da die Zeitrechnung, die viele in die falsche Richtung führt. Ein Wechsel von Windows Server 2016 auf Windows Server 2019 wirkt wie der kleinere Sprung, verschafft aber nur zwei zusätzliche Jahre, denn der erweiterte Support für Windows Server 2019 endet am 9. Januar 2029. Der Wechsel auf Windows Server 2025 ist derselbe Aufwand und reicht bis zum 14. November 2034. Wer die Zwischenstufe wählt, plant sich das nächste Projekt für übermorgen ein.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Fälle, an denen ein Umstieg tatsächlich hängen bleibt
Sortiert nach dem, was ihr bei der Bestandsaufnahme vorfindet. Für die meisten Server ist der Umstieg eine Sache von Stunden. Die Zeit geht für die drei bis fünf Systeme drauf, die in dieser Liste stehen.
Symptom
Niemand kann sagen, wie viele Server mit Windows Server 2016 noch laufen.
Ursache
Es gibt mehrere Listen und keine gemeinsame Wahrheit. Im Verzeichnis stehen Computerkonten von längst abgeschalteten Servern, im Inventarwerkzeug fehlen Systeme, die nie erfasst wurden, und physische Maschinen tauchen im Hypervisor naturgemäß nicht auf.
Lösung
Zieh alle drei Listen und gleich sie ab. Aus dem Active Directory bekommst du die Computerkonten samt Betriebssystemangabe und dem Zeitpunkt der letzten Anmeldung, und dieser Zeitpunkt trennt laufende Server von Karteiresten. Ergänz die Liste um die Systeme aus dem Hypervisor und aus der Überwachung. Was in keiner Überwachung auftaucht, aber läuft, ist der eigentliche Fund dieses Schritts.
Symptom
Der Server ist ein Domänencontroller, und ein Upgrade am Bestand wäre der schnellste Weg.
Ursache
Microsoft rät in der Übersicht zu Rollen und Migration ausdrücklich davon ab, Domänencontroller am Bestand zu aktualisieren. Der Grund ist nicht, dass es technisch scheitert, sondern dass ein aktualisierter Domänencontroller die Verbesserungen der neuen Fassung nicht bekommt, unter anderem behält er sein bisheriges Datenbankformat mit der alten Seitengröße.
Lösung
Setz stattdessen neue Domänencontroller mit einer sauberen Installation auf, stuf sie herauf und die alten anschließend herab. Das ist der von Microsoft beschriebene Weg, er lässt sich ohne Ausfallzeit durchführen, und er ist der einzige, bei dem ihr die neuen Möglichkeiten von Active Directory später auch nutzen könnt.
Symptom
Auf dem Server läuft eine Fachanwendung, die nur bis Windows Server 2016 freigegeben ist.
Ursache
Die Freigabe des Herstellers ist nicht nachgezogen worden, weil die Anwendung selbst nicht mehr weiterentwickelt wird oder weil die aktuelle Fassung einen Umstieg des Produkts verlangt, den bisher niemand beauftragt hat.
Lösung
Frag die Freigabe schriftlich an und setz eine Frist. Kommt keine, habt ihr drei Möglichkeiten: die Anwendung auf eine freigegebene Fassung heben, sie durch ein anderes Produkt ersetzen oder den Server bewusst isoliert weiterbetreiben, ohne Zugang zum Internet, mit eingeschränkter Erreichbarkeit im Netz und mit einer schriftlichen Risikobewertung. Die dritte Möglichkeit ist eine Entscheidung der Geschäftsführung und keine der Systemadministration.
Symptom
Der Server gehört zu einem Failover-Cluster.
Ursache
Für Cluster gilt ein eigener Weg, das rollierende Upgrade des Clusterbetriebssystems, und dabei lässt sich jeweils nur eine Version je Durchgang überspringen. Ein Upgrade am Bestand mit dem Installationsmedium ist für Cluster nicht der vorgesehene Weg.
Lösung
Rechne mit mehreren Durchgängen, wenn ihr von 2016 auf eine deutlich neuere Fassung wollt, oder plan gleich einen neuen Cluster auf neuen Knoten und zieh die Rollen dorthin um. Bei Hyper-V-Clustern und beim Scale-Out-Dateiserver bleibt die Verfügbarkeit während des rollierenden Upgrades erhalten, was diesen Weg trotz des Aufwands attraktiv macht.
Symptom
Die Hardware ist zu alt für die Zielversion.
Ursache
Ein Server, der 2016 in Betrieb ging, ist heute neun oder zehn Jahre alt. Neben den Mindestanforderungen an Prozessor, Arbeitsspeicher und Speicherplatz spielen die Sicherheitsfunktionen der neueren Fassungen eine Rolle, weil einige von ihnen nur dort greifen, wo die Hardware sie unterstützt.
Lösung
Prüf die Anforderungen der Zielversion gegen die tatsächliche Ausstattung, bevor ihr ein Wartungsfenster ansetzt. Wo die Hardware nicht reicht, ist die Frage nicht mehr Upgrade oder Neuaufbau, sondern neue Hardware oder Virtualisierung. Häufig ist die Virtualisierung eines physischen Altservers die schnellere Antwort, weil sie den Beschaffungsvorgang umgeht.
Symptom
Es bleiben mehr Server übrig, als in die verbleibende Zeit passen.
Ursache
Der Aufwand je Server wurde am einfachsten Fall geschätzt und nicht am mittleren. Dazu kommen Wartungsfenster, die nur an bestimmten Wochenenden zur Verfügung stehen, und Einfrierphasen zum Jahresabschluss, in denen nichts geändert werden darf.
Lösung
Rechne rückwärts vom Stichtag, zieh die Einfrierphasen ab und teil die verbleibenden Wochenenden durch die Zahl der Server. Kommt dabei mehr als ein Server je Fenster heraus, braucht ihr entweder mehr Leute, eine höhere Standardisierung oder eine bewusste Entscheidung darüber, welche Systeme über den Stichtag hinaus isoliert weiterlaufen. Diese Rechnung gehört auf ein Blatt und in die nächste Leitungsrunde.
Vom Stichtag zum Wellenplan in fünf Schritten
- 01 12. Januar 2027 ist das Ende des erweiterten Supports, ein ESU-Programm ist nicht veröffentlicht.
- 02 Verzeichnis, Hypervisor und Überwachung abgleichen, statt einer Liste zu vertrauen.
- 03 Je Server Rollen, Freigaben, Zertifikate und Aufgaben erfassen und einen Verantwortlichen benennen.
- 04 Herstellerfreigaben einholen, weil sie den längsten Vorlauf haben.
- 05 In Wellen umstellen, die erste klein, mit Sicherung und Rückweg je Server.
Was du in den ersten zwei Wochen festlegst
Sechs Entscheidungen, die den Rahmen setzen. Sie kosten zusammen weniger Zeit als die erste Diskussion darüber, ob man nicht doch noch ein Jahr warten könnte, und sie beantworten genau die Fragen, die in dieser Diskussion aufkommen.
Drei Quellen abgleichen statt einer vertrauen
Zieh die Liste aus dem Active Directory über die Eigenschaft des Betriebssystems am Computerkonto, die Liste aus dem Hypervisor und die Liste aus der Überwachung. Was in allen dreien steht, läuft. Was nur im Verzeichnis steht, ist meistens ein Karteirest. Was nur im Hypervisor steht, ist ein Server, den bisher niemand überwacht, und genau der wird später Ärger machen.
Das Zieljahr ehrlich rechnen
Für Windows Server 2019 endet der erweiterte Support am 9. Januar 2029, für Windows Server 2022 am 14. Oktober 2031, für Windows Server 2025 am 14. November 2034. Wer heute umstellt, sollte nicht auf eine Fassung gehen, deren Ende schon in Sichtweite ist. Bei Windows Server 2022 kommt hinzu, dass der Mainstream-Support bereits am 13. Oktober 2026 endet, also noch vor dem Ende von Windows Server 2016.
Nicht auf erweiterte Sicherheitsupdates hoffen
Das Programm für erweiterte Sicherheitsupdates ist ein kostenpflichtiger Notbehelf für höchstens drei Jahre und setzt eine aktive Software Assurance oder Abonnementlizenzen voraus. In der aktuellen Übersicht von Microsoft sind Windows Server 2012 und 2012 R2, Windows 10 und einige SQL-Server-Fassungen aufgeführt. Windows Server 2016 steht dort nicht. Plan also ohne diese Rückfallebene.
Je Server die Rolle prüfen, nicht die Maschine
Microsoft führt eine Übersicht darüber, welche Rollen sich am Bestand aktualisieren lassen und welche eine Migration verlangen. Für Domänencontroller wird das Upgrade am Bestand ausdrücklich nicht empfohlen, Verbunddienste und Druckdienste lassen sich gar nicht am Bestand aktualisieren, und für Cluster gilt ein eigener Weg. Diese Prüfung entscheidet über den Aufwand je Server und gehört deshalb ganz nach vorn.
Die Herstellerfreigaben früh einholen
Bei jeder Fachanwendung auf einem betroffenen Server ist die Freigabe des Herstellers für die Zielversion die Bedingung, an der alles hängt. Diese Anfragen dauern Wochen, manchmal enden sie mit dem Hinweis, dass eine neuere Fassung der Anwendung nötig ist, und dann steht plötzlich ein zweites Projekt daneben. Deshalb gehören sie in die erste und nicht in die dritte Woche.
In Wellen planen und die erste klein halten
Teil die Server in Wellen von jeweils überschaubarer Größe und leg die Reihenfolge nach Abhängigkeiten fest: erst die Grunddienste, dann die Dateidienste, dann die Anwendungen. Die erste Welle enthält Server, deren Ausfall am Wochenende niemandem auffällt, denn dort lernt ihr, wie lange ein Durchgang tatsächlich dauert.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Was am 12. Januar 2027 genau passiert
Windows Server 2016 folgt der festen Lebenszyklusrichtlinie mit fünf Jahren Mainstream-Support und fünf Jahren erweitertem Support. Der Mainstream-Support ist bereits ausgelaufen, der erweiterte Support endet am 12. Januar 2027. Ab diesem Tag erscheinen keine Sicherheitsupdates mehr für das Betriebssystem, auch nicht für kritisch eingestufte Lücken. Es gibt keinen Übergang und keine Schonfrist, der letzte Patchday davor ist der letzte.
Praktisch heißt das dreierlei. Erstens ist jede Lücke, die nach diesem Datum bekannt wird, dauerhaft offen, und das betrifft auch Lücken, die auf neueren Fassungen geschlossen werden und damit öffentlich beschrieben sind. Zweitens verlieren die Server ihren Anspruch auf technische Unterstützung durch Microsoft. Drittens fällt in vielen Prüfungen die Bewertung anders aus: Ein System ohne Sicherheitsupdates ist in Zertifizierungen, in Prüfungen nach dem Stand der Technik und in Verträgen mit Kunden regelmäßig ein Befund, unabhängig davon, wie gut es abgeschottet ist.
Für den Zeitplan lohnt es sich, den Stichtag nicht als Ziel zu nehmen, sondern als äußerste Grenze. Erfahrungsgemäß verschiebt sich in einem Migrationsprojekt mindestens ein Termin, und wer die letzte Welle auf den Dezember 2026 legt, hat keinen Puffer mehr. Ein Zielkorridor, der ein halbes Jahr vor dem Stichtag endet, ist realistisch und lässt Platz für die zwei Server, bei denen sich am Ende doch noch etwas ergibt.
Warum erweiterte Sicherheitsupdates dieses Mal keine Reserve sind
Bei Windows Server 2012 und 2012 R2 gab es nach dem Supportende das Programm für erweiterte Sicherheitsupdates, und viele Umgebungen haben es als Puffer eingeplant. Microsoft beschreibt dieses Programm als letzten Ausweg für Kunden, die ein Produkt über das Supportende hinaus betreiben müssen, ausdrücklich nicht als dauerhafte Lösung, sondern als Brücke. Es umfasst Sicherheitsupdates der Einstufungen kritisch und wichtig für höchstens drei Jahre nach dem Ende des erweiterten Supports.
Für Windows Server 2016 hat Microsoft ein solches Programm bislang nicht veröffentlicht. In der Übersicht der Verfügbarkeit und Enddaten stehen Windows Embedded POSReady 7, SQL Server 2012 und 2014, Windows Server 2012 und 2012 R2 sowie Windows 10. Windows Server 2016 ist dort nicht aufgeführt. Wer heute plant, plant deshalb ohne diese Rückfallebene, und wer sie doch einkalkuliert, sollte das schriftlich als Annahme festhalten und regelmäßig prüfen.
Selbst wenn ein Programm käme, wäre es keine bequeme Lösung. Die Voraussetzungen sind eine aktive Software Assurance, aktive Abonnementlizenzen oder ein Bezug über einen Dienstleister mit entsprechender Lizenzierung. Der Bezug läuft über Volumenlizenzprogramme oder über Azure Arc, es fallen Kosten je Kern an, und wer erst später einsteigt, zahlt die versäumten Monate nach. Kostenlos sind erweiterte Sicherheitsupdates nur für Systeme, die in Azure laufen. Als Argument dafür, ein Projekt zu verschieben, taugt das Programm damit auch dann nicht, wenn es eines gibt.
Bestand aufnehmen, ohne sich auf eine Liste zu verlassen
Beginn mit den drei Quellen und dem Abgleich, und nimm dabei das Datum der letzten Anmeldung am Computerkonto als Filter, um die Karteireste auszusortieren. Was übrig bleibt, ist die Ausgangsliste. Jetzt kommt der Teil, der Zeit kostet und den man nicht abkürzen kann: Zu jedem Server gehört ein Datenblatt, und dieses Datenblatt entsteht nicht aus einem Werkzeug allein, sondern aus einem Werkzeug plus einem Gespräch.
Auf das Datenblatt gehören die installierten Rollen und Features, denn sie entscheiden über den Weg, die Freigaben mit ihren Berechtigungen, die installierten Zertifikate mit ihren Ablaufdaten, die geplanten Aufgaben samt der Konten, unter denen sie laufen, die lokalen Konten und Dienstkonten, die Druckerwarteschlangen, die installierten Anwendungen und die Netzwerkeinstellungen inklusive fester Adressen und Einträge im Namensdienst. Dazu kommt die Frage, die kein Werkzeug beantwortet: Wer ruft diesen Server auf, und was passiert, wenn er eine Stunde nicht da ist.
Für die technischen Teile reicht ein Skript, das die Angaben einsammelt und in eine Tabelle schreibt, und genau dieses Skript ist ein guter Anlass, es gleich als Modul anzulegen, weil ihr es in jeder Welle erneut braucht. Für den nichttechnischen Teil gibt es keine Abkürzung. Ein Server ohne benannten Verantwortlichen ist der Server, bei dem später niemand die Abnahme unterschreibt, und deshalb gehört diese Zeile in jedes Datenblatt, auch wenn dort am Ende die IT-Leitung steht.
Den Aufwand ehrlich schätzen
Sortier die Server in drei Klassen. In die einfache Klasse gehören Systeme mit einer klar umrissenen Aufgabe und ohne besondere Abhängigkeiten, etwa ein Anwendungsserver mit einer aktuellen Software oder ein Server für einen internen Dienst. Sie lassen sich neu aufbauen oder am Bestand aktualisieren, und der Aufwand liegt bei einem halben bis einem Tag inklusive Test. In die mittlere Klasse gehören Dateiserver mit vielen Freigaben und gewachsenen Berechtigungen, Server mit einer Fachanwendung und Systeme mit fester Einbindung in Abläufe. Hier ist die Migration der Rolle die Arbeit und nicht das Betriebssystem.
In die schwere Klasse gehören Domänencontroller, Zertifikatsdienste, Verbunddienste, Druckdienste, Terminalserverfarmen und alles, was zu einem Cluster gehört. Die Übersicht von Microsoft zu Rollen und Migration ist hier die verbindliche Grundlage: Für Domänencontroller wird das Upgrade am Bestand nicht empfohlen, Verbunddienste und Druckdienste lassen sich nicht am Bestand aktualisieren, Remotedesktopdienste zwar schon, aber eine Farm im Mischbetrieb wird nicht unterstützt. Für Cluster gilt der rollierende Weg mit einer Version je Durchgang.
Aus dieser Sortierung ergibt sich eine belastbare Zahl. Multiplizier die drei Klassen mit realistischen Aufwänden, addier je Server einen halben Tag für Vor- und Nachbereitung und leg für die schwere Klasse jeweils ein eigenes kleines Vorhaben an. Das Ergebnis ist meistens unangenehm und trotzdem die beste Grundlage für die Frage, ob ihr das intern schafft oder Unterstützung braucht. Diese Frage sollte nicht im Oktober 2026 zum ersten Mal gestellt werden.
In Wellen umstellen und die Ablösung sauber abschließen
Die Reihenfolge der Wellen folgt den Abhängigkeiten. Zuerst kommen die Grunddienste, also Namensauflösung, Adressvergabe und Verzeichnis, denn alles andere hängt daran und ihr wollt nicht mitten in der Umstellung eines Dateiservers feststellen, dass ein Domänencontroller Probleme macht. Dann folgen die Dateidienste, weil sie viele Nutzer betreffen und deshalb ein sauberes Fenster brauchen. Zum Schluss kommen die Anwendungen, weil dort die Herstellerfreigaben und die Fachabteilungen mitspielen müssen.
Jede Welle bekommt denselben Ablauf: Vollsicherung mit Wiederherstellungstest, Diagnosedaten außerhalb des Servers ablegen, Wartungsfenster ankündigen, umstellen, prüfen, Abnahme durch den Verantwortlichen. Der Wiederherstellungstest ist der Punkt, der am häufigsten übersprungen wird und am teuersten fehlt, denn eine Sicherung, die nie zurückgespielt wurde, ist eine Annahme. Plant außerdem je Welle einen Puffertag ein, an dem nichts Neues beginnt und Nacharbeiten Platz haben.
Zum Abschluss gehört die Ablösung des alten Systems, und die ist mehr als das Ausschalten. Der alte Server bleibt zunächst abgeschaltet, aber vorhanden, damit ihr im Zweifel noch an Daten kommt. Erst nach einer vereinbarten Frist, üblicherweise einige Wochen nach der Abnahme, wird er tatsächlich abgebaut. Dann werden Computerkonto, Einträge im Namensdienst, Überwachung, Sicherung, Lizenzen und die Dokumentation nachgezogen. Wer diesen letzten Schritt auslässt, hat in zwei Jahren wieder eine Liste, die nicht stimmt, und beginnt beim nächsten Supportende erneut mit dem Abgleich von drei Quellen.
Dazu passende Kurse
Wenn der Zielstand feststeht und die erste Welle näher rückt, bereiten Umsteigerkurse auf Windows Server 2025 das Team darauf vor.
Weil in einem Umstieg Rollen auflaufen, mit denen sonst niemand zu tun hat, hilft ein Blick in das Kursangebot zu den selteneren Windows-Server-Rollen .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Der passende Lernpfad
Wenn du nicht nur ein Thema abhaken, sondern eine Rolle ausfüllen willst, zeigt dir der Lernpfad die Kurse in der Reihenfolge, in der sie aufeinander aufbauen.
Windows Server Senior Administrator
In diesem Lernpfad vertiefst Du Deine Windows Server Kenntnisse auf Senior-Niveau und bringst Betrieb, Sicherheit und Automatisierung in eine stabile, nachvollziehbare Praxis. Du lernst, komplexe Server- und Active Directory Umgebungen zu planen, zu betreiben und sauber zu dokumentieren, inklusive Troubleshooting unter Zeitdruck und klarer Priorisierung im Incident-Fall.
Einstieg (Junior)
Expert (Senior)
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Wann genau endet der Support für Windows Server 2016?
Gibt es erweiterte Sicherheitsupdates für Windows Server 2016?
Können wir direkt von 2016 auf Windows Server 2025 wechseln?
Lohnt sich der Zwischenschritt auf Windows Server 2019 oder 2022?
Was machen wir mit einem Server, für den es keine Herstellerfreigabe gibt?
Wie viel Vorlauf brauchen wir für das Projekt?
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Den Umstieg einmal vollständig durchgehen, bevor er ansteht
Im Umsteigerkurs bei cmt siehst du, was sich zwischen deiner heutigen Umgebung und Windows Server 2025 tatsächlich ändert, und gehst die Wege für Upgrade, Neuaufbau und Rollenmigration an einer echten Umgebung durch.
Passt dazu
- Inplace-Upgrade oder Neuaufbau: den Weg auf Windows Server 2025 wählen
- Windows Server 2022 oder Windows Server 2025: was der Wechsel bringt
- Windows Server lizenzieren: Kerne, CALs und die Wahl zwischen Standard und Datacenter
- Dateiserver umziehen, ohne Berechtigungen und Freigaben zu verlieren