Windows Server 2022 oder Windows Server 2025: der Vergleich für den Betrieb
Verglichen wird nicht die Liste der Neuerungen, sondern das, was ihr im Alltag merkt: Versorgungsdauer, Neustartfenster, Verzeichnisdienst, Standardvorgaben und die Altlasten, die nicht mitkommen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Frage wird als Funktionsvergleich gestellt und als Terminfrage entschieden
Wenn die Frage nach der Version aufkommt, landet auf dem Tisch meistens eine Gegenüberstellung von Funktionen. Auf der einen Seite steht eine lange Liste mit Neuerungen, auf der anderen die Feststellung, dass die vorhandene Umgebung läuft. Beides ist richtig und hilft bei der Entscheidung nicht weiter, weil in der Liste Dinge stehen, die für die meisten Umgebungen keine Rolle spielen, und weil das Argument des laufenden Betriebs jede Version stützt, auch die von 2016.
Die Entscheidung wird tatsächlich an drei Stellen getroffen. Erstens am Lebenszyklus: Eine Version, deren Mainstream-Support in wenigen Monaten endet, ist für einen Neuaufbau eine andere Wahl als eine, die noch drei Jahre davor steht. Zweitens an genau einer oder zwei Funktionen, die im Betrieb wirklich etwas ändern, und das ist bei Windows Server 2025 für viele das Hotpatching, für andere die Neuerungen im Verzeichnisdienst. Drittens an den Altlasten, denn die neue Fassung nimmt einiges nicht mehr mit.
Genau der dritte Punkt fehlt in den meisten Gegenüberstellungen, weil er sich schlecht als Vorteil verkaufen lässt. Windows Server 2025 verschärft eine Reihe von Standardvorgaben, entfernt Komponenten und stellt andere auf Nachinstallation um. Für die Sicherheit ist das gut, für die Umstellung bedeutet es, dass ein Server nach dem Wechsel Dinge nicht mehr tut, die er vorher getan hat. Wer das vorher weiß, plant es ein. Wer es nicht weiß, findet es an einem Montagmorgen heraus.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Die Kriterien, an denen der Unterschied im Betrieb sichtbar wird
Verglichen wird nicht die Zahl der Neuerungen, sondern was sie im Alltag bedeuten. Bei zwei Kriterien schneidet die ältere Fassung besser ab, und das ist kein Versehen: Wer viel Altbestand betreibt, bekommt bei 2025 zuerst Arbeit und erst danach den Gewinn.
Windows Server 2022
seit August 2021 verfügbar, im Betrieb eingespielt, mit Mainstream-Support bis Oktober 2026 und erweitertem Support bis Oktober 2031
Windows Server 2025
seit November 2024 verfügbar, mit neuem Verzeichnisdienst-Unterbau, deutlich schärferen Standardvorgaben und Hotpatching über Azure Arc
| Entscheidungsfrage | Windows Server 2022 | Windows Server 2025 |
|---|---|---|
| Wie lange ist die Version noch versorgt? | Kommt darauf an Der Mainstream-Support endet am 13. Oktober 2026, der erweiterte Support am 14. Oktober 2031. Für einen laufenden Server ist das kein Problem, denn Sicherheitsupdates gibt es weiterhin. Für einen Neuaufbau heißt es allerdings, dass ihr ein System in Betrieb nehmt, das die Phase mit neuen Funktionen bereits hinter sich hat. | Stärke Der Mainstream-Support läuft bis zum 13. November 2029, der erweiterte bis zum 14. November 2034. Damit deckt die Version einen üblichen Abschreibungszeitraum vollständig ab, und ihr müsst das Thema in dieser Hardwaregeneration nicht noch einmal aufmachen. |
| Wie gut lässt sich patchen, ohne neu zu starten? | Schwäche Hotpatching gibt es nur für die Azure-Edition-Images, und die laufen ausschließlich in Azure und auf Azure Local. Ein Server im eigenen Rechenzentrum bekommt es nicht, unabhängig von der Edition. Wer Neustartfenster als Engpass hat, findet hier keine Antwort. | Stärke Für Windows Server 2025 lässt sich Hotpatching über Azure Arc einschalten, für Datacenter und Standard, und Microsoft stellt es ohne Zusatzkosten bereit. Der Ablauf sieht alle drei Monate eine Baseline mit Neustart vor und dazwischen zwei Hotpatch-Monate ohne Neustart, im Jahr also vier Baselines und acht Hotpatch-Ausgaben. Nicht enthalten sind Updates ohne Sicherheitsbezug, Aktualisierungen für .NET sowie Treiber und Firmware, und einen automatischen Rückbau gibt es nicht. |
| Was bringt die Version für Active Directory? | Kommt darauf an Der Verzeichnisdienst läuft stabil und wird weiter mit Sicherheitsupdates versorgt, bleibt aber auf dem bisherigen Unterbau. Die neue Datenbank mit 32k großen Seiten, die neue Funktionsebene, die delegierten verwalteten Dienstkonten und die verschärften LDAP-Vorgaben fehlen. Microsoft hat außerdem angekündigt, die Funktionsebenen für Windows Server 2019 und 2022 nicht nachzurüsten. | Stärke Die Datenbank kann optional auf 32k große Seiten umgestellt werden, wodurch mehrwertige Attribute rund 3.200 Werte aufnehmen können, also gut das Zweieinhalbfache des bisherigen Werts. Dazu kommen die Funktionsebene mit dem Wert 10, delegierte verwaltete Dienstkonten für die Ablösung alter Dienstkonten, LDAP-Signierung als Vorgabe für neue Umgebungen, LDAP über TLS 1.3, das Ende von RC4 bei Ticket-Granting-Tickets und die Nutzung aller Prozessorgruppen statt nur der ersten. Wichtig ist der Vorbehalt: Die Umstellung auf 32k gilt gesamtstrukturweit und setzt voraus, dass alle Domänencontroller sie unterstützen, und ein aktualisierter Domänencontroller behält sein altes Datenbankformat. |
| Wie sicher ist der Zustand direkt nach der Installation? | Kommt darauf an Die Vorgaben sind die gewohnten: SMB-Signierung nur für die Freigaben SYSVOL und NETLOGON verpflichtend, NTLMv1 noch vorhanden, Credential Guard nicht von sich aus aktiv. Das ist verträglich für alte Geräte und Anwendungen und bedeutet gleichzeitig, dass ihr die Absicherung vollständig selbst konfigurieren müsst. | Stärke SMB-Signierung ist für alle ausgehenden Verbindungen verpflichtend, die Verschlüsselung lässt sich für alle ausgehenden Verbindungen erzwingen, eine Begrenzung der Anmeldeversuche gegen SMB ist von sich aus aktiv, NTLM lässt sich für ausgehende SMB-Verbindungen sperren, NTLMv1 ist entfernt, TLS 1.0 und 1.1 sind abgeschaltet, Credential Guard ist auf passender Hardware aktiv, und neue Installationen der Routing- und RAS-Dienste nehmen keine Verbindungen über PPTP und L2TP mehr an. Der Preis dafür ist genau das: Diese Vorgaben sind die häufigste Ursache dafür, dass nach einer Umstellung ein altes Gerät nicht mehr verbindet. |
| Wie viel bringt die Version im Hyper-V-Betrieb? | Kommt darauf an Der Host unterstützt 1.024 logische Prozessoren, eine Maschine der zweiten Generation bis zu 1.024 virtuelle Prozessoren. Die Speichergrenze liegt bereits bei 4 Petabyte und ist damit dieselbe wie in der neueren Fassung. Was fehlt, ist die GPU-Partitionierung mit Hochverfügbarkeit und Livemigration sowie der Cluster ohne Domänenmitgliedschaft. | Stärke Die Grenzen verdoppeln sich auf 2.048 logische Prozessoren je Host und 2.048 virtuelle Prozessoren je Maschine der zweiten Generation, die Speichergrenze bleibt bei 4 Petabyte. Dazu kommen die GPU-Partitionierung mit Hochverfügbarkeit und Livemigration, eine überarbeitete dynamische Prozessorkompatibilität für gemischte Cluster, Cluster ohne Domänenmitgliedschaft und die zweite Generation als Vorauswahl im Assistenten. Für die meisten Umgebungen sind die Grenzwerte nebensächlich, die GPU-Partitionierung ist der Punkt, der tatsächlich neue Anwendungsfälle möglich macht, allerdings nur mit passender Hardware. |
| Was ändert sich bei Speicher und Dateidiensten? | Kommt darauf an SMB over QUIC gibt es nur in der Azure Edition, ReFS bringt keine eigene Deduplizierung und Komprimierung mit, Storage Spaces Direct kennt keine dünn bereitgestellten Datenträger, und Storage Replica überträgt unkomprimiert. Für einen klassischen Dateiserver reicht das vollkommen aus, für konsolidierten Speicher fehlen ein paar Hebel. | Stärke SMB over QUIC steht in Standard und Datacenter zur Verfügung, ReFS bringt Deduplizierung und Komprimierung mit, Storage Spaces Direct kann dünn bereitstellen und feste Datenträger nachträglich umwandeln, Storage Replica komprimiert und nutzt ein überarbeitetes Protokoll, und SMB unterstützt LZ4 als zusätzliches Komprimierungsverfahren. Dazu kommen Optimierungen für NVMe-Datenträger. Der Nutzen hängt davon ab, ob ihr Speicher tatsächlich konsolidiert oder einzelne Dateiserver betreibt. |
| Wie viel Umbau kostet die Umstellung am Altbestand? | Stärke WMIC und VBScript sind vorhanden, Windows PowerShell 2.0 ebenfalls, der SMTP-Server steht als Feature zur Verfügung, und keine neue Standardvorgabe sperrt ältere Geräte aus. Wer viel Altbestand betreibt, bekommt hier die ruhigere Umgebung, und das ist ein legitimes Argument. | Schwäche WMIC ist nur noch ein Feature on Demand und wird künftig entfernt, VBScript ist ebenfalls ein Feature on Demand vor der Entfernung, Windows PowerShell 2.0 ist seit dem Update vom September 2025 nicht mehr vorhanden, der SMTP-Server und der Internet Explorer sind entfernt, ebenso NTLMv1 und die DES-Verschlüsselung. Netzwerklastenausgleich, Cluster Sets, die interne Windows-Datenbank, der WebDAV-Umleitungsdienst und die Windows Server Update Services werden nicht mehr weiterentwickelt. Jeder dieser Punkte kann eine Anwendung betreffen, und zusammen ergeben sie eine Aufgabenliste, die vor dem Wechsel abgearbeitet sein muss. |
Wie lange ist die Version noch versorgt?
Der Mainstream-Support endet am 13. Oktober 2026, der erweiterte Support am 14. Oktober 2031. Für einen laufenden Server ist das kein Problem, denn Sicherheitsupdates gibt es weiterhin. Für einen Neuaufbau heißt es allerdings, dass ihr ein System in Betrieb nehmt, das die Phase mit neuen Funktionen bereits hinter sich hat.
Der Mainstream-Support läuft bis zum 13. November 2029, der erweiterte bis zum 14. November 2034. Damit deckt die Version einen üblichen Abschreibungszeitraum vollständig ab, und ihr müsst das Thema in dieser Hardwaregeneration nicht noch einmal aufmachen.
Wie gut lässt sich patchen, ohne neu zu starten?
Hotpatching gibt es nur für die Azure-Edition-Images, und die laufen ausschließlich in Azure und auf Azure Local. Ein Server im eigenen Rechenzentrum bekommt es nicht, unabhängig von der Edition. Wer Neustartfenster als Engpass hat, findet hier keine Antwort.
Für Windows Server 2025 lässt sich Hotpatching über Azure Arc einschalten, für Datacenter und Standard, und Microsoft stellt es ohne Zusatzkosten bereit. Der Ablauf sieht alle drei Monate eine Baseline mit Neustart vor und dazwischen zwei Hotpatch-Monate ohne Neustart, im Jahr also vier Baselines und acht Hotpatch-Ausgaben. Nicht enthalten sind Updates ohne Sicherheitsbezug, Aktualisierungen für .NET sowie Treiber und Firmware, und einen automatischen Rückbau gibt es nicht.
Was bringt die Version für Active Directory?
Der Verzeichnisdienst läuft stabil und wird weiter mit Sicherheitsupdates versorgt, bleibt aber auf dem bisherigen Unterbau. Die neue Datenbank mit 32k großen Seiten, die neue Funktionsebene, die delegierten verwalteten Dienstkonten und die verschärften LDAP-Vorgaben fehlen. Microsoft hat außerdem angekündigt, die Funktionsebenen für Windows Server 2019 und 2022 nicht nachzurüsten.
Die Datenbank kann optional auf 32k große Seiten umgestellt werden, wodurch mehrwertige Attribute rund 3.200 Werte aufnehmen können, also gut das Zweieinhalbfache des bisherigen Werts. Dazu kommen die Funktionsebene mit dem Wert 10, delegierte verwaltete Dienstkonten für die Ablösung alter Dienstkonten, LDAP-Signierung als Vorgabe für neue Umgebungen, LDAP über TLS 1.3, das Ende von RC4 bei Ticket-Granting-Tickets und die Nutzung aller Prozessorgruppen statt nur der ersten. Wichtig ist der Vorbehalt: Die Umstellung auf 32k gilt gesamtstrukturweit und setzt voraus, dass alle Domänencontroller sie unterstützen, und ein aktualisierter Domänencontroller behält sein altes Datenbankformat.
Wie sicher ist der Zustand direkt nach der Installation?
Die Vorgaben sind die gewohnten: SMB-Signierung nur für die Freigaben SYSVOL und NETLOGON verpflichtend, NTLMv1 noch vorhanden, Credential Guard nicht von sich aus aktiv. Das ist verträglich für alte Geräte und Anwendungen und bedeutet gleichzeitig, dass ihr die Absicherung vollständig selbst konfigurieren müsst.
SMB-Signierung ist für alle ausgehenden Verbindungen verpflichtend, die Verschlüsselung lässt sich für alle ausgehenden Verbindungen erzwingen, eine Begrenzung der Anmeldeversuche gegen SMB ist von sich aus aktiv, NTLM lässt sich für ausgehende SMB-Verbindungen sperren, NTLMv1 ist entfernt, TLS 1.0 und 1.1 sind abgeschaltet, Credential Guard ist auf passender Hardware aktiv, und neue Installationen der Routing- und RAS-Dienste nehmen keine Verbindungen über PPTP und L2TP mehr an. Der Preis dafür ist genau das: Diese Vorgaben sind die häufigste Ursache dafür, dass nach einer Umstellung ein altes Gerät nicht mehr verbindet.
Wie viel bringt die Version im Hyper-V-Betrieb?
Der Host unterstützt 1.024 logische Prozessoren, eine Maschine der zweiten Generation bis zu 1.024 virtuelle Prozessoren. Die Speichergrenze liegt bereits bei 4 Petabyte und ist damit dieselbe wie in der neueren Fassung. Was fehlt, ist die GPU-Partitionierung mit Hochverfügbarkeit und Livemigration sowie der Cluster ohne Domänenmitgliedschaft.
Die Grenzen verdoppeln sich auf 2.048 logische Prozessoren je Host und 2.048 virtuelle Prozessoren je Maschine der zweiten Generation, die Speichergrenze bleibt bei 4 Petabyte. Dazu kommen die GPU-Partitionierung mit Hochverfügbarkeit und Livemigration, eine überarbeitete dynamische Prozessorkompatibilität für gemischte Cluster, Cluster ohne Domänenmitgliedschaft und die zweite Generation als Vorauswahl im Assistenten. Für die meisten Umgebungen sind die Grenzwerte nebensächlich, die GPU-Partitionierung ist der Punkt, der tatsächlich neue Anwendungsfälle möglich macht, allerdings nur mit passender Hardware.
Was ändert sich bei Speicher und Dateidiensten?
SMB over QUIC gibt es nur in der Azure Edition, ReFS bringt keine eigene Deduplizierung und Komprimierung mit, Storage Spaces Direct kennt keine dünn bereitgestellten Datenträger, und Storage Replica überträgt unkomprimiert. Für einen klassischen Dateiserver reicht das vollkommen aus, für konsolidierten Speicher fehlen ein paar Hebel.
SMB over QUIC steht in Standard und Datacenter zur Verfügung, ReFS bringt Deduplizierung und Komprimierung mit, Storage Spaces Direct kann dünn bereitstellen und feste Datenträger nachträglich umwandeln, Storage Replica komprimiert und nutzt ein überarbeitetes Protokoll, und SMB unterstützt LZ4 als zusätzliches Komprimierungsverfahren. Dazu kommen Optimierungen für NVMe-Datenträger. Der Nutzen hängt davon ab, ob ihr Speicher tatsächlich konsolidiert oder einzelne Dateiserver betreibt.
Wie viel Umbau kostet die Umstellung am Altbestand?
WMIC und VBScript sind vorhanden, Windows PowerShell 2.0 ebenfalls, der SMTP-Server steht als Feature zur Verfügung, und keine neue Standardvorgabe sperrt ältere Geräte aus. Wer viel Altbestand betreibt, bekommt hier die ruhigere Umgebung, und das ist ein legitimes Argument.
WMIC ist nur noch ein Feature on Demand und wird künftig entfernt, VBScript ist ebenfalls ein Feature on Demand vor der Entfernung, Windows PowerShell 2.0 ist seit dem Update vom September 2025 nicht mehr vorhanden, der SMTP-Server und der Internet Explorer sind entfernt, ebenso NTLMv1 und die DES-Verschlüsselung. Netzwerklastenausgleich, Cluster Sets, die interne Windows-Datenbank, der WebDAV-Umleitungsdienst und die Windows Server Update Services werden nicht mehr weiterentwickelt. Jeder dieser Punkte kann eine Anwendung betreffen, und zusammen ergeben sie eine Aufgabenliste, die vor dem Wechsel abgearbeitet sein muss.
Was passt wann
- Wenn ihr einen Server neu aufbaut, der die nächsten fünf bis zehn Jahre stehen soll
- nehmt Windows Server 2025, weil bei 2022 der Mainstream-Support bereits im Oktober 2026 endet.
- Wenn Neustartfenster euer eigentlicher Engpass sind und Azure Arc bei euch erlaubt ist
- ist Hotpatching der Grund für 2025, den ihr im Betrieb jeden Monat merkt.
- Wenn ihr Domänencontroller ohnehin neu aufsetzt oder die Gesamtstruktur modernisiert
- geht direkt auf 2025, denn die Neuerungen im Verzeichnisdienst werden für ältere Fassungen nicht nachgerüstet.
- Wenn im Bestand noch WMIC, VBScript, PowerShell 2.0, NTLMv1 oder Geräte ohne SMB-Signierung stecken
- räumt zuerst diese Liste ab und stellt danach um, sonst wird die Umstellung selbst zum Störfall.
- Wenn Windows Server 2022 gerade erst ausgerollt wurde und keiner der genannten Punkte drückt
- bleibt vorerst dabei und nutzt die Zeit bis 2031 für den Umbau, den 2025 ohnehin verlangt.
Fünf Fragen, und die Version steht fest
- 01 Wie lange soll der Server stehen? Bei mehr als fünf Jahren ist 2025 die einzige sinnvolle Antwort.
- 02 Sind Neustartfenster euer Engpass? Dann entscheidet die Frage, ob Azure Arc erlaubt ist.
- 03 Baut ihr Domänencontroller neu auf? Dann liegt der größte Einzelgewinn bei 2025.
- 04 Welche Geräte sprechen noch NTLMv1, TLS 1.0 oder ungezeichnetes SMB? Diese Liste kommt vor dem Wechsel.
- 05 Hängen Skripte an WMIC, VBScript oder PowerShell 2.0? Erst ablösen, dann umstellen.
Die Punkte, an denen die Entscheidung tatsächlich hängt
Sechs Prüfungen, die zusammen an einem Tag zu erledigen sind. Danach steht nicht nur die Version fest, sondern auch die Liste der Dinge, die vor dem Wechsel erledigt sein müssen.
Den Lebenszyklus gegen euren Planungshorizont halten
Windows Server 2022 ist seit dem 18. August 2021 verfügbar, der Mainstream-Support endet am 13. Oktober 2026 und der erweiterte Support am 14. Oktober 2031. Windows Server 2025 ist seit dem 1. November 2024 verfügbar, der Mainstream-Support endet am 13. November 2029, der erweiterte am 14. November 2034. Für einen Server, der zehn Jahre stehen soll, ist das der ganze Vergleich.
Prüfen, ob Hotpatching für euch überhaupt in Frage kommt
Bei Windows Server 2025 lässt sich Hotpatching für Standard und Datacenter über Azure Arc einschalten, und Microsoft stellt es dafür ohne Zusatzkosten bereit. Bei Windows Server 2022 gibt es Hotpatching nur für die Azure-Edition-Images in Azure und auf Azure Local. Wenn eure Server nicht an Azure Arc angebunden werden dürfen, entfällt damit das stärkste Argument für 2025, und die Entscheidung fällt an anderer Stelle.
Die Frage nach Active Directory getrennt beantworten
Die Neuerungen im Verzeichnisdienst hängen an Domänencontrollern mit Windows Server 2025 und teilweise an der neuen Funktionsebene, die den Wert 10 für Domäne und Gesamtstruktur trägt. Microsoft schreibt ausdrücklich, dass die Funktionsebenen für Windows Server 2019 und 2022 nicht nachgerüstet werden. Wer Domänencontroller ohnehin neu aufbaut, hat hier den größten Einzelgewinn.
Die verschärften Standardvorgaben gegen den Altbestand halten
In Windows Server 2025 ist die SMB-Signierung für alle ausgehenden Verbindungen verpflichtend, NTLMv1 ist entfernt, TLS 1.0 und 1.1 sind standardmäßig abgeschaltet, und bei neu angelegten Freigaben wird eine restriktivere Firewallregelgruppe gesetzt, die die alten NetBIOS-Ports nicht mehr öffnet. Prüft vor der Entscheidung, welche Geräte und Anwendungen davon betroffen sind, denn dort liegen die Ausfälle nach einer Umstellung.
Nachsehen, was die neue Fassung nicht mehr mitbringt
WMIC und VBScript sind in Windows Server 2025 nur noch Features on Demand, Windows PowerShell 2.0 ist mit dem Update vom September 2025 entfernt, ebenso der SMTP-Server und der Internet Explorer. Netzwerklastenausgleich, Cluster Sets und die interne Windows-Datenbank werden nicht mehr weiterentwickelt, ebenso wenig die Windows Server Update Services. Diese Liste ist die eigentliche Aufgabenliste vor einem Wechsel.
Die Azure-Bindung bewusst entscheiden
Ein spürbarer Teil dessen, was Windows Server 2025 im Betrieb erleichtert, hängt an Azure Arc: Hotpatching, die verbrauchsabhängige Lizenzierung, Windows Admin Center in der Arc-Oberfläche, die Bewertung nach empfohlenen Vorgehensweisen und der Fernzugriff für den Support. Azure Arc Setup ist als Feature on Demand vorinstalliert und meldet sich mit einem Assistenten. Wer bewusst ohne Cloudanbindung arbeitet, bekommt eine sicherere, aber im Kern ähnliche Verwaltung wie bisher.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Lebenszyklus in Zahlen
Windows Server folgt der festen Lebenszyklusrichtlinie mit fünf Jahren Mainstream-Support und fünf Jahren erweitertem Support, also zehn Jahren insgesamt. Für Windows Server 2022, verfügbar seit dem 18. August 2021, bedeutet das ein Ende des Mainstream-Supports am 13. Oktober 2026 und ein Ende des erweiterten Supports am 14. Oktober 2031. Für Windows Server 2025, verfügbar seit dem 1. November 2024, endet der Mainstream-Support am 13. November 2029 und der erweiterte am 14. November 2034.
Der Unterschied zwischen den beiden Phasen wird im Alltag oft übersehen. Im erweiterten Support gibt es weiterhin Sicherheitsupdates, aber keine neuen Funktionen mehr und keine Änderungen am Verhalten. Ein Server bleibt also betreibbar und prüfungssicher, er bekommt nur nichts Neues. Für ein System, das genau seine Aufgabe erledigt und sonst nichts, ist das kein Nachteil. Für eine Plattform, auf der in den nächsten Jahren noch etwas aufgebaut werden soll, schon.
Für die Entscheidung heißt das: Bei einem Neuaufbau spricht der Lebenszyklus eindeutig für die neuere Fassung, weil ihr sonst einen Server in Betrieb nehmt, dessen Funktionsphase gerade endet. Bei einer bestehenden Umgebung mit Windows Server 2022 spricht er für nichts Bestimmtes, denn bis 2031 ist Zeit. Dort entscheidet nicht das Datum, sondern eine der Funktionen aus den folgenden Abschnitten.
Was Hotpatching wirklich verlangt und was es liefert
Hotpatching bringt Sicherheitsupdates in den Speicher laufender Prozesse ein, ohne dass die Maschine neu starten muss. Das ist genau der Punkt, an dem viele Umgebungen hängen, denn ein monatliches Neustartfenster für zweihundert Server ist Organisationsaufwand, und die Verschiebung eines Fensters bedeutet einen Monat ungepatchte Systeme. Der Ablauf sieht alle drei Monate eine Baseline vor, also ein kumulatives Update mit Neustart, und dazwischen zwei Monate mit Hotpatch-Ausgaben ohne Neustart. Über ein Jahr gerechnet sind das vier geplante Baselines und acht Hotpatch-Ausgaben.
Die Voraussetzungen sind der Grund, warum das Thema in vielen Häusern nicht weiterkommt. Für Windows Server 2025 im eigenen Rechenzentrum läuft Hotpatching über Azure Arc, die Maschine muss also mit Azure verbunden sein, und Microsoft stellt die Funktion für Datacenter und Standard ohne Zusatzkosten bereit. Für Windows Server 2022 gibt es Hotpatching ausschließlich für bestimmte Azure-Edition-Images in Azure und auf Azure Local, ein Server im eigenen Haus bekommt es nicht. Wenn eine Anbindung an Azure Arc bei euch ausgeschlossen ist, entfällt dieses Argument für 2025 vollständig.
Zwei Einschränkungen gehören in die Planung. Erstens deckt Hotpatching nur Sicherheitsupdates für Windows ab. Aktualisierungen ohne Sicherheitsbezug, .NET-Updates sowie Treiber und Firmware brauchen weiterhin ein Neustartfenster, und auch nach einer neuen Baseline solltet ihr regelmäßig neu starten, damit die Maschine mit den kumulativen Updates gleichzieht. Zweitens gibt es keinen automatischen Rückbau: Wenn nach einem Hotpatch etwas nicht stimmt, deinstalliert ihr das Update und installiert die letzte funktionierende Baseline, und dafür ist ein Neustart nötig. Hotpatching verkleinert die Zahl der Neustarts also deutlich, es beseitigt sie nicht.
Die Standardvorgaben, an denen der Umstieg hängt
Windows Server 2025 ändert eine Reihe von Voreinstellungen, die vorher offener waren. Die auffälligste betrifft SMB: Die Signierung ist jetzt für alle ausgehenden Verbindungen verpflichtend, während sie vorher nur beim Zugriff auf SYSVOL und NETLOGON verlangt wurde. Dazu kommen eine Begrenzung der Anmeldeversuche gegen den SMB-Server, die von sich aus aktiv ist, die Möglichkeit, NTLM für ausgehende SMB-Verbindungen zu sperren, und eine restriktivere Firewallregelgruppe beim Anlegen einer Freigabe, die die NetBIOS-Ports 137 bis 139 nicht mehr öffnet.
Auf der Authentifizierungsseite ist NTLMv1 entfernt, während NTLMv2 und LANMAN als nicht mehr weiterentwickelt geführt werden und in einer künftigen Fassung verschwinden sollen. Das Kerberos-Schlüsselverteilungscenter stellt keine Ticket-Granting-Tickets mehr mit RC4 aus. Neue Bereitstellungen von Active Directory verlangen LDAP-Signierung nach einer SASL-Bindung, und vertrauliche Attribute lassen sich nur noch über verschlüsselte Verbindungen lesen und ändern. TLS 1.0 und 1.1 sind abgeschaltet, die Datenverschlüsselung nach DES ist entfernt.
Für die Planung ergibt sich daraus eine konkrete Aufgabe. Sammelt vor der Umstellung die Geräte und Anwendungen ein, die alte Verfahren brauchen: Netzwerkdrucker und Multifunktionsgeräte, die auf eine Freigabe scannen, Steuerungen in der Fertigung, Sicherungsprogramme mit eigenen Agenten, ältere Speichersysteme und Anwendungen, die ihre Anmeldung über NTLM abwickeln. Für jedes davon gibt es drei Wege: aktualisieren, ersetzen oder in ein abgetrenntes Netzsegment stellen. Was es nicht gibt, ist der Weg, die Vorgaben auf jedem neuen Server wieder aufzuweichen und das Thema damit für erledigt zu halten.
Was Windows Server 2025 nicht mehr mitbringt
Entfernt sind in Windows Server 2025 unter anderem der SMTP-Server ohne Ersatz im Betriebssystem, der Internet Explorer als eigenständige Anwendung, die alte IIS-6-Verwaltungskonsole, NTLMv1, die Verschlüsselung nach DES und Wordpad. Windows PowerShell 2.0 ist mit dem Update vom September 2025 verschwunden, und wer es vorher installiert hatte, kann es danach nicht mehr benutzen. Jeder dieser Punkte betrifft eine überschaubare Zahl von Umgebungen, aber die, die er trifft, trifft er hart, weil der Ausfall erst nach der Umstellung sichtbar wird.
Nicht mehr weiterentwickelt, also weiterhin vorhanden und unterstützt, aber ohne Zukunft, sind der Netzwerklastenausgleich, Cluster Sets im Failoverclustering, die interne Windows-Datenbank, der WebDAV-Umleitungsdienst, der Computerbrowser, Remote Mailslots und die Windows Server Update Services. Beim Netzwerklastenausgleich empfiehlt Microsoft einen Softwarelastenausgleich als Alternative, bei der internen Datenbank eine Fassung von SQL Server. Bei den Update Services gilt, dass alle vorhandenen Möglichkeiten und Inhalte weiterhin zur Verfügung stehen, was für den Betrieb erst einmal nichts ändert, für die Planung der nächsten Jahre aber sehr wohl.
In eine eigene Gruppe gehören WMIC und VBScript. Beide sind in Windows Server 2025 nicht mehr fest eingebaut, sondern als Feature on Demand geführt. WMIC muss nachinstalliert werden, VBScript ist noch vorinstalliert, und für beide kündigt Microsoft die Entfernung in einer späteren Fassung an. Als Ersatz nennt Microsoft in beiden Fällen PowerShell. Wenn bei euch Altskripte, Anmeldeskripte oder Installationsroutinen auf diesen beiden aufsetzen, ist das die Arbeit, die vor dem Versionswechsel liegt, und nicht danach.
Verwaltung, Lizenzierung und die Frage nach der Cloudanbindung
Windows Server 2025 lehnt sich deutlich stärker an Azure Arc an als seine Vorgänger. Azure Arc Setup ist als Feature on Demand vorinstalliert und bringt einen Assistenten sowie ein Symbol im Infobereich mit, über die sich ein Server anbinden lässt. Ist er angebunden, kommen mehrere Dinge dazu, die vorher nicht möglich waren: Hotpatching, die Verwaltung über das Windows Admin Center innerhalb der Arc-Oberfläche, eine Bewertung der Konfiguration nach empfohlenen Vorgehensweisen, ein Fernzugriff für den Support mit Protokollierung und Widerrufsmöglichkeit sowie die Einrichtung der Standortwiederherstellung.
Ein Teil dieser Möglichkeiten ist an eine aktive Software Assurance oder an Abonnementlizenzen gebunden. Dazu kommt als eigene Option die verbrauchsabhängige Lizenzierung: Statt einer dauerhaften Lizenz wird der Server über Azure Arc lizenziert und über das Azure-Abonnement abgerechnet. Für schwankende Umgebungen kann das sinnvoll sein, für einen Server, der zehn Jahre unverändert steht, in der Regel nicht. Die Entscheidung darüber ist eine kaufmännische und gehört zusammen mit der Lizenzberatung getroffen.
Wer bewusst ohne Cloudanbindung arbeitet, sei es aus Gründen der Datenhaltung, wegen einer Vorgabe oder wegen eines abgetrennten Netzes, bekommt mit Windows Server 2025 trotzdem eine sicherere Grundeinstellung, den neuen Verzeichnisdienst-Unterbau, die Speicherneuerungen und die höheren Grenzwerte bei Hyper-V. Nur die Verwaltungsschicht bleibt in diesem Fall die gewohnte, mit Server-Manager, Gruppenrichtlinien, dem lokal installierten Windows Admin Center und PowerShell. Das ist eine vollständig tragfähige Betriebsweise, sie nutzt die neue Fassung nur nicht aus.
Dazu passende Kurse
Wenn der Wechsel beschlossen ist und die Neuerungen im Betrieb ankommen sollen, sind Kurse zu Windows Server 2025 für Umsteiger der nächste Schritt.
Wer die vorhandene Umgebung erst einmal ausreizen will, findet in Kurse rund um Windows Server 2022 die passende Vertiefung.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Der passende Lernpfad
Wenn du nicht nur ein Thema abhaken, sondern eine Rolle ausfüllen willst, zeigt dir der Lernpfad die Kurse in der Reihenfolge, in der sie aufeinander aufbauen.
Windows Server Senior Administrator
In diesem Lernpfad vertiefst Du Deine Windows Server Kenntnisse auf Senior-Niveau und bringst Betrieb, Sicherheit und Automatisierung in eine stabile, nachvollziehbare Praxis. Du lernst, komplexe Server- und Active Directory Umgebungen zu planen, zu betreiben und sauber zu dokumentieren, inklusive Troubleshooting unter Zeitdruck und klarer Priorisierung im Incident-Fall.
Einstieg (Junior)
Expert (Senior)
Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Häufige Fragen
Müssen wir von Windows Server 2022 sofort weg?
Bekommen wir Hotpatching auch ohne Azure?
Lohnt sich die neue Funktionsebene im Active Directory?
Was bricht nach der Umstellung auf 2025 am ehesten?
Können wir von Windows Server 2022 direkt auf 2025 aktualisieren?
Ändert sich bei den Editionen etwas?
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Die Neuerungen einmal an einer echten Umgebung ansehen
Im Update-Training bei cmt gehst du die Unterschiede zwischen den Versionen an laufenden Systemen durch und siehst dabei, welche der verschärften Vorgaben in eurer Umgebung tatsächlich etwas ändern würden.
Passt dazu
- Inplace-Upgrade oder Neuaufbau: den Weg auf Windows Server 2025 wählen
- Windows Server 2016 läuft aus: Bestand aufnehmen und den Umstieg planen
- Windows Server lizenzieren: Kerne, CALs und die Wahl zwischen Standard und Datacenter
- Domänen- und Gesamtstruktur-Funktionsebene anheben: Voraussetzungen und Reihenfolge