Was passiert nach dem Ende der Unterstützung wirklich?
Der Server läuft weiter. Nichts schaltet sich ab, keine Sperre greift, und genau das macht die Sache gefährlich: Der Zustand ändert sich an dem Tag äußerlich überhaupt nicht. Was aufhört, sind die Sicherheitsupdates – und damit wächst die Zahl der bekannten, offenen Lücken von diesem Tag an stetig.
Das ist kein theoretisches Risiko. Angriffe auf Unternehmensnetze nutzen weit überwiegend Lücken, für die es längst Korrekturen gibt. Ein System ohne Updates ist deshalb nicht nur unsicher, sondern das bevorzugte Ziel – es ist berechenbar verwundbar.
Dazu kommt die praktische Seite: Neue Fachanwendungen werden für ältere Serverfassungen nicht mehr freigegeben, und im Störfall lehnt der Hersteller die Unterstützung ab. Der Weiterbetrieb kostet also nicht nur Sicherheit, sondern irgendwann auch Handlungsfähigkeit.
Was bedeutet das rechtlich für ein Unternehmen?
Wer personenbezogene Daten verarbeitet, muss nach Art. 32 DSGVO angemessene technische Maßnahmen treffen. Ein Server ohne Sicherheitsupdates ist im Schadensfall schwer als angemessen zu begründen – die Aufsichtsbehörden sehen den Stand der Technik als Maßstab, und der schließt ein gepflegtes System ein.
Für Betriebe, die unter die Anforderungen des BSIG fallen, kommt die Pflicht zum Risikomanagement dazu. Auch dort ist ein System ohne Unterstützung kein Detail, sondern ein dokumentationspflichtiges Risiko.
Und unabhängig von beidem: Eine Versicherung gegen Cyberschäden fragt im Antrag nach dem Stand der Systeme. Eine falsche Angabe an dieser Stelle kann den Versicherungsschutz kosten – genau dann, wenn er gebraucht wird.
Im Betrieb: Die Frage im Fragebogen lautet nie „läuft alles?“, sondern „werden alle Systeme mit Sicherheitsupdates versorgt?“. Wer sie mit ja beantwortet, obwohl ein Server 2012 im Keller steht, hat ein größeres Problem als den Server.
Was tun, wenn eine Fachanwendung die alte Fassung verlangt?
Das ist der häufigste Grund, warum alte Server stehen bleiben, und er ist ernst zu nehmen. Der Ausweg ist nicht, das System weiter offen zu betreiben, sondern es einzugrenzen: eigener Netzbereich, nur die Verbindungen erlaubt, die die Anwendung wirklich braucht, kein Internetzugang, kein Zugriff auf die allgemeinen Ablagen.
Damit wird aus einem offenen Risiko ein eingegrenztes und dokumentiertes. Das ist nicht dasselbe wie eine Lösung, aber es ist ein vertretbarer Zustand – und er ist gegenüber einem Prüfer erklärbar.
Parallel gehört die Frage an den Hersteller der Anwendung: Was ist die freigegebene Fassung, was kostet der Wechsel, und bis wann wird die alte Version betreut? Diese Rechnung wird oft nie aufgemacht, weil sie unangenehm ist – und fällt regelmäßig anders aus als vermutet.
Häufige Anschlussfragen
Was ist der Unterschied zwischen allgemeiner und erweiterter Unterstützung?
In der allgemeinen Phase gibt es Sicherheitsupdates, Fehlerkorrekturen und neue Funktionen. In der erweiterten Phase gibt es nur noch Sicherheitsupdates. Für den Betrieb ist vor allem das Ende der erweiterten Phase entscheidend – ab dort ist Schluss.
Kann ich von Server 2016 direkt auf 2025 aktualisieren?
Nicht in einem Schritt. Der Hersteller unterstützt den Sprung über in der Regel höchstens zwei Fassungen; darüber hinaus sind Zwischenschritte nötig. In der Praxis ist eine Neuinstallation mit Übernahme der Rollen meist der sauberere und oft der schnellere Weg – besonders bei einem System, das über Jahre gewachsen ist.
Gibt es kostenpflichtige Sicherheitsupdates nach dem Ende?
Für einige Fassungen bietet der Hersteller zeitlich begrenzte, kostenpflichtige Verlängerungen an. Sie sind als Brücke gedacht, nicht als Dauerlösung, und sie werden von Jahr zu Jahr teurer. Als Überbrückung für ein laufendes Ablöseprojekt sinnvoll, als Ersatz dafür nicht.
Wie finde ich heraus, welche Fassungen bei uns laufen?
Über eine Abfrage aller Server, die Fassung und Installationsdatum ausgibt. Das dauert Minuten und beantwortet nebenbei eine Frage, die bei jeder Sicherheitsbetrachtung gestellt wird. Wichtig ist, auch die Geräte mitzunehmen, an die niemand denkt: das Gerät unter dem Schreibtisch, die virtuelle Maschine für eine Altanwendung, das Testsystem von vor drei Jahren.
Dazu passt