Der Oktober 2026 ist ein ungewöhnlich dichter Monat im Microsoft-Kalender. Am 13. Oktober endet der erweiterte Sicherheitsupdate-Zeitraum für Windows Server 2012 und 2012 R2, am selben Tag läuft der Support für Office 2021 und Office LTSC 2021 aus. Zum 31. Oktober enden die erweiterten Sicherheitsupdates für Exchange Server 2016 und 2019. Und im selben Monat beginnt die stufenweise Abschaltung der Exchange Web Services in Exchange Online, die 2027 abgeschlossen sein soll.
Drei Monate später, am 12. Januar 2027, folgt Windows Server 2016. Wer diese Termine getrennt behandelt, führt vier Projekte. Wer sie zusammen betrachtet, führt eines.
Die Termine im Einzelnen
- Windows Server 2012 und 2012 R2, 13. Oktober 2026: Mit dem Oktober-Patchday erscheint das letzte Update des kostenpflichtigen ESU-Programms. Es war auf drei Jahre angelegt und ist damit ausgeschöpft.
- Office 2021 und Office LTSC 2021, 13. Oktober 2026: Der Support endet ohne ein Programm für erweiterte Sicherheitsupdates. Als Nachfolger kommen Office LTSC 2024 oder die Abonnement-Versionen von Microsoft 365 infrage.
- Exchange Server 2016 und 2019, 31. Oktober 2026: Die zweite und letzte ESU-Periode endet. Microsoft hat erklärt, dass es keine weitere Verlängerung geben wird.
- Exchange Web Services in Exchange Online, ab 1. Oktober 2026: Die Schnittstelle wird standardmäßig abgeschaltet. Wer sie noch braucht, muss sie über eine Liste freigegebener Anwendungen ausdrücklich zulassen. Ab 1. April 2027 ist sie für alle Mandanten endgültig abgeschaltet, ohne Ausnahme.
- Windows Server 2016, 12. Januar 2027: Ende des erweiterten Supports. Microsoft bietet auch hier kostenpflichtige erweiterte Sicherheitsupdates an, unter anderem über Azure Arc – eine Brücke auf Zeit, kein Ziel.
Zwei weitere Termine gehören in dieselbe Inventur. Wer Windows-10-Arbeitsplätze über das kostenpflichtige ESU-Programm weiterbetreibt, erreicht am 13. Oktober 2026 das Ende des ersten ESU-Jahres; ein zweites Jahr muss eigens beschafft werden. Und bereits am 14. Juli 2026 endete der Support für SQL Server 2016 sowie für SharePoint Server 2016 und 2019. Gerade eine SQL-Datenbank dieser Generation arbeitet oft unauffällig unter Warenwirtschaft, Zeiterfassung oder Dokumentenablage.
Was ein Support-Ende praktisch bedeutet
Die Systeme laufen weiter. Sie bekommen nur keine Sicherheitsupdates mehr. Der Unterschied zeigt sich erst, wenn eine neue Lücke bekannt wird – und dann sofort: Angreifer arbeiten Listen bekannter, ungepatchter Systeme ab. Hinzu kommt die versicherungs- und haftungsrechtliche Seite. Ein bekannt unsicheres System im Betrieb ist im Schadensfall schwer zu erklären.
Ein zweiter Mechanismus wird oft unterschätzt. Jeder Patchday für die noch unterstützten Versionen zeigt, an welcher Stelle nachgebessert wurde. Ob ältere Versionen dieselbe Schwachstelle enthalten, lässt sich daraus häufig ableiten – nur kommt für sie keine Korrektur mehr. Das Risiko eines nicht mehr gepflegten Systems wächst also mit jedem Monat, nicht auf einen Schlag. Für Unternehmen im Anwendungsbereich von NIS2 kommt hinzu, dass sich ein Risikomanagement nach dem Stand der Technik mit bewusst ungepatchten Systemen kaum begründen lässt.
Exchange: drei Wege und ihre Voraussetzungen
Für Exchange 2019 ist der kürzeste Weg das direkte Upgrade auf Exchange Server Subscription Edition, das Microsoft ab dem Stand CU14 oder CU15 auf den vorhandenen Servern unterstützt. Für Exchange 2016 gibt es diesen Weg nicht; hier führt die Migration über neue Server, entweder direkt zur Subscription Edition oder mit Exchange 2019 als Zwischenschritt. Die dritte Möglichkeit ist der Umzug nach Exchange Online.
Welcher Weg passt, entscheidet sich weniger an der Technik als an drei Fragen: wo die Postfächer aus Gründen der Vertraulichkeit liegen sollen, welche Zusatzprogramme auf den Mailserver zugreifen und wie viel Betrieb das Haus selbst leisten will. Wer nach Exchange Online wechselt, sollte die EWS-Frage im selben Zug klären – sonst tauscht er ein Support-Problem gegen ein Schnittstellenproblem. Als Ersatz für EWS sieht Microsoft die Schnittstelle Microsoft Graph vor; welche Anwendungen EWS im eigenen Mandanten noch nutzen, lässt sich über die Nutzungsberichte im Microsoft-365-Admin-Center ermitteln.
Eine typische Situation im Mittelstand: Auf einem Server mit Windows Server 2012 R2 läuft die Warenwirtschaft mit einer älteren SQL-Datenbank. Deren Hersteller unterstützt ein neueres Serverbetriebssystem erst ab einer neueren Programmversion, die ihrerseits eine neuere Datenbank voraussetzt. Der Multifunktionsdrucker legt Scans über die Exchange Web Services direkt in Postfächern ab. Keiner dieser Schritte ist schwierig, aber sie hängen in einer festen Reihenfolge voneinander ab – und wer sie erst während des Umzugs entdeckt, verliert Wochen.
Der Fahrplan
- Inventur bis Ende September: Welche Systeme sind betroffen, welche Anwendungen hängen daran?
- Exchange zuerst: Ein Mailserver ohne Sicherheitsupdates ist unmittelbar aus dem Internet erreichbar.
- Anwendungen prüfen, bevor der Server umzieht – nicht umgekehrt. Altsoftware ist der häufigste Stolperstein.
- EWS-Nutzung aufspüren: Ältere Zusatzprogramme und Scanner nutzen die Schnittstelle oft unbemerkt.
- Migration mit dem ohnehin fälligen Hardware-Ersatz verbinden, statt zweimal anzufassen.
- Office-Lizenzmodell vor dem 13. Oktober entscheiden: Kauflizenz mit festem Supportende oder Abonnement mit laufender Pflege.
- Für jedes System, das den Termin nicht schafft, eine befristete Übergangslösung festlegen – ESU, wo angeboten, sonst Abschottung im Netz ohne direkten Internetzugang –, jeweils mit Enddatum und benannter Zuständigkeit.
Der Aufwand liegt selten in der Installation, sondern in der Abhängigkeitsprüfung. Wer im September mit der Inventur beginnt, hat bis Januar Zeit für einen geordneten Umzug. Wer im Oktober beginnt, hat sie nicht mehr.
Verwandte Themen: Wer hier weiterdenkt, liest bei Windows 10, Exchange und Windows Server weiter.
Quellen
- Windows Server 2012 R2 - Microsoft Lifecycle · Microsoft
- Office 2021 - Microsoft Lifecycle · Microsoft
- Announcing Exchange 2016 / 2019 Extended Security Update program · Microsoft
