Windows Server 2016: Supportende

Am 12. Januar 2027 stellt Microsoft die Sicherheitsupdates für Windows Server 2016 ein. Der Server im Abstellraum läuft am nächsten Morgen weiter, sichtbar kaputt geht also nichts. Der Unterschied: Jede Sicherheitslücke, die nach diesem Datum entdeckt wird, bleibt auf dieser Maschine dauerhaft offen.

In Monaco wiegt das schwerer, als viele Inhaber vermuten. Zahlreiche Büros im Fürstentum arbeiten noch mit einem kleinen Server, der vor acht oder zehn Jahren eingerichtet wurde, oft unter Windows Server 2016 oder der Essentials-Edition. Darauf liegen gemeinsame Ordner und Mandantenakten, die Buchhaltungs- oder Immobiliensoftware, der Fernzugriff per Remotedesktop oder unauffällig eine ältere Website oder ein Intranet. Für die Entscheidung bleiben rund zehn Wochen, und wegen der Feiertage sind es real eher sieben.

Was genau endet und was nicht

Laut Microsofts Lifecycle-Seite endet der erweiterte Support für Windows Server 2016 (Datacenter, Standard, Essentials und MultiPoint Premium) am 12. Januar 2027, pazifischer Zeit. Der Mainstream-Support ist bereits im Januar 2022 ausgelaufen. Ab Januar 2027 gibt es keine kostenlosen Sicherheitspatches, keine Fehlerbehebungen und keinen technischen Support mehr.

Microsoft hat angekündigt, dass Organisationen, die nicht rechtzeitig migrieren können, bis zu drei Jahre lang Extended Security Updates (ESU) kaufen können. ESU umfasst nur kritische und wichtige Sicherheitskorrekturen, ohne neue Funktionen und ohne Support. Die bisher berichteten Preise werden pro Prozessorkern berechnet und weichen je nach Quelle voneinander ab. Holen Sie deshalb ein schriftliches Angebot Ihres Lizenzpartners ein, bevor Sie damit planen.

Zwei verwandte Produkte sind bereits ohne Support: Exchange Server 2016 seit Oktober 2025 und SQL Server 2016 seit Juli 2026. Läuft eines davon auf Ihrem Server, ist die Frist faktisch schon verstrichen.

Warum Unternehmen in Monaco das priorisieren sollten

Auf diesen Servern liegen meist Ihre sensibelsten Daten. Bei Family Offices, Treuhändern, Kanzleien, Immobilienmaklern oder Yachtbrokern enthält der Dateiserver typischerweise Ausweiskopien, Verträge, Bankdaten und Korrespondenz mit sehr vermögenden Kunden. Genau das suchen Angreifer, und alte Windows-Server mit offenem Remotedesktop gehören zu ihren bevorzugten Einfallstoren.

Ihre rechtlichen Pflichten machen keine Pause. Monacos Gesetz Nr. 1.565 vom 3. Dezember 2024, über dessen Einhaltung die APDP wacht, verlangt risikogerechte Sicherheitsmaßnahmen und bringt Meldepflichten bei Datenpannen mit sich. Nach einem Vorfall lässt sich kaum vertreten, dass man von der veralteten Software wusste und sie trotzdem weiterlaufen ließ. Wir sind keine Juristen; lassen Sie Ihre konkreten Pflichten von einer qualifizierten Fachperson bestätigen. Den größeren Rahmen beschreibt unsere Seite zum APDP-Datenschutz.

Monaco nimmt ungepatchte Software ernst. Im Oktober 2026 nahmen Regierung, Fürstenpalast und Mairie ihre eigenen Websites vorsorglich vom Netz, als kritische PHP-Lücken (PHP2Shell) bekannt wurden, statt sie ungepatcht weiterzubetreiben. Das ist ein guter Maßstab dafür, wie eine sorgfältige Organisation handelt. Automatisierte Angriffe durchsuchen das gesamte Internet und fragen nicht nach der Größe Ihres Unternehmens.

Schritt eins: wissen, was Sie tatsächlich betreiben

Viele Inhaber wissen nicht, ob sie überhaupt Windows Server 2016 nutzen, vor allem wenn die Einrichtung von einem Dienstleister stammt, der nicht mehr da ist. Bitten Sie Ihren IT-Partner um eine einseitige Antwort auf fünf Fragen:

1. Welche Server haben wir, physisch oder virtuell, im Büro oder bei einem Hoster, und mit welcher Windows-Server-Version?
2. Wofür wird jeder genutzt? Dateifreigaben, Buchhaltung, CRM-Datenbank, Remotedesktop, Drucken, Backups oder eine Website bzw. ein Intranet auf IIS.
3. Ist er aus dem Internet erreichbar? Remotedesktop, VPN-Gateways und Webserver bergen das größte Risiko.
4. Wo liegen die Backups, und wann wurde zuletzt eine Wiederherstellung getestet?
5. Wer hat Administratorrechte, auch Personen, die nicht mehr für Sie arbeiten?

Achten Sie besonders auf Websites. Ältere ASP.NET-Seiten und Kundenportale laufen oft auf dem firmeneigenen Windows-Server. Ist das bei Ihnen der Fall, gehört das Betriebssystem zur Sicherheit Ihrer Website und ist keine separate IT-Frage.

Vier realistische Optionen

1. Auf eine unterstützte Windows-Server-Version wechseln. Ist die Hardware aktuell genug und Ihre Branchensoftware zertifiziert, ist ein Upgrade auf Windows Server 2022 oder 2025 der direkteste Weg. Prüfen Sie vorher die Kompatibilität mit den Herstellern, besonders bei Buchhaltungs- und Immobiliensoftware.

2. In die Cloud umziehen. In vielen kleinen Büros in Monaco dient der Server vor allem der Dateiablage und dem E-Mail-Betrieb. Microsoft 365 mit SharePoint und OneDrive kann das vollständig übernehmen, und im Abstellraum muss nichts mehr gepatcht werden. Wo der Speicherort der Daten zählt, wie häufig bei regulierten oder besonders vertraulichen Kundendaten, sollten Sie Hosting-Angebote im Fürstentum prüfen, bevor Sie ein Rechenzentrum im Ausland für geeignet halten.

3. Den Server stilllegen. Manchmal lautet die ehrliche Antwort, dass der Server nur noch eine vergessene Anwendung und ein paar alte Ordner beherbergt. Archivieren Sie sauber, verschieben Sie, was noch gebraucht wird, und schalten Sie die Maschine ab.

4. ESU als Übergang kaufen. Sinnvoll, wenn eine geschäftskritische Anwendung nicht vor Januar umziehen kann und ein datierter Ablöseplan existiert. Nicht sinnvoll, um die Entscheidung zu vertagen: Sie steht ein Jahr später wieder an, dann teurer.

Hostet der Server auch Ihre Website, ist ein Umzug auf modernes, verwaltetes Hosting meist günstiger und sicherer als der Eigenbetrieb. Unser Team für Webentwicklung übernimmt solche Migrationen regelmäßig, und eine laufende Website-Wartung hält die neue Plattform aktuell, ohne dass jemand daran denken muss.

Ein Zeitplan, der die Feiertage übersteht

• Bis Mitte November: Bestandsaufnahme abschließen und für jeden Server die Option festlegen.
• Ende November bis Mitte Dezember: Hardware oder Lizenzen bestellen, migrieren, Wiederherstellungen testen. Lieferzeiten und Verfügbarkeit verschlechtern sich in der zweiten Dezemberhälfte.
• Vor Weihnachten: Zugriffe aus dem Internet (vor allem Remotedesktop) auf jedem Server sperren, der im Januar noch unter Windows Server 2016 läuft.
• Erste Januarwoche: bestätigen, dass die Migration abgeschlossen oder ESU aktiv ist, und die Entscheidung bei Ihren übrigen Compliance-Unterlagen dokumentieren.

Das ist auch ein guter Anlass für den Blick aufs Ganze: Von welchen Systemen hängen Sie ab, wer pflegt sie, was kostet jedes einzelne? Unsere Projekte zur digitalen Strategie beginnen oft genau mit einer solchen Bestandsaufnahme, und sie fördert regelmäßig Einsparungen ebenso zutage wie Risiken.

Sie wissen nicht, ob Ihre Website oder Ihr Kundenportal noch an einem alten Windows-Server hängt? Kontaktieren Sie uns: Wir sagen Ihnen, was bei Ihnen läuft und wie Sie es vor dem 12. Januar sicher umziehen.