Windows-10-Restbestände brauchen jetzt eine saubere Trennung aus Upgrade, Austausch und ESU

Viele Unternehmen haben den größten Teil ihrer Clients zwar schon modernisiert, aber ein kleiner, hartnäckiger Rest läuft noch immer auf Windows 10. Genau dieser Rest wird nach dem Supportende schnell zum Managementproblem. Denn jetzt reicht es nicht mehr, Geräte einfach im Bestand mitzuziehen und auf die nächste Beschaffungsrunde zu hoffen. Wer weiter mit Windows-10-Restbeständen arbeitet, braucht eine klare Trennung zwischen sofort upgradefähigen Geräten, austauschpflichtiger Hardware und eng begrenzten Ausnahmen für Extended Security Updates, kurz ESU.

Gerade in größeren Gerätelandschaften ist das wichtig, weil der verbliebene Windows-10-Anteil meist nicht zufällig entstanden ist. Dahinter stecken oft Spezialhardware, lokale Peripherie, Altanwendungen, ausgelastete Außendienstgeräte oder Beschaffungsstaus. Deshalb ist ein pauschales „wir verlängern einfach noch ein wenig“ gefährlich. Es vermischt strategisch unterschiedliche Fälle und macht aus einem beherrschbaren Migrationsrest eine dauerhafte Grauzone im Endpoint-Portfolio.

Der erste Fehler ist fehlende Triage

Die sinnvollste erste Entscheidung lautet nicht „ESU ja oder nein“, sondern: In welche Gruppe fällt jedes verbliebene Gerät? Microsoft empfiehlt für Windows 11 zunächst eine saubere Eignungsprüfung des Bestands. Dazu gehören Hardware-Voraussetzungen wie TPM 2.0, UEFI mit Secure Boot, mindestens 4 GB RAM, 64 GB Speicher und ein kompatibler 64-Bit-Prozessor. Praktisch heißt das: Ein Teil der verbliebenen Windows-10-Geräte kann relativ direkt auf Windows 11 gehoben werden, ein zweiter Teil ist wirtschaftlich oder technisch austauschreif, und nur ein dritter Teil rechtfertigt überhaupt eine befristete ESU-Ausnahme.

Ohne diese Triage laufen Unternehmen in zwei typische Fallen. Erstens werden upgradefähige Geräte unnötig lange auf Windows 10 gehalten, weil niemand die letzte Hardware- und Applikationsfreigabe sauber nachgezogen hat. Zweitens landen nicht upgradefähige Geräte zu schnell in einer allgemeinen Verlängerungslogik, obwohl ein Hardwaretausch die bessere Entscheidung wäre. Beides treibt Kosten, Risiko und Supportaufwand in die falsche Richtung.

Windows 11 ist kein reines Imaging-Projekt

Microsoft beschreibt die Windows-11-Einführung ausdrücklich als Planungs- und Servicing-Thema, nicht nur als klassisches OS-Rollout. Wer das ernst nimmt, prüft nicht nur Images und Richtlinien, sondern auch Readiness-Kriterien, Infrastruktur, Managementwerkzeuge, Anwendungsfreigaben und die spätere Servicing-Strategie. Für IT-Organisationen ist das relevant, weil der verbleibende Windows-10-Bestand oft genau dort hängenbleibt, wo lokale Ausnahmen, unsaubere Ownership oder ungeklärte Gerätekohorten anfangen.

Deshalb sollte jedes Restgerät heute an einer verantwortlichen Entscheidung hängen: Wer ist der Owner des Geräts oder der Gerätekohorte? Welche Anwendung oder Peripherie blockiert den Umstieg? Gibt es einen bestätigten Migrationspfad? Und bis wann wird die Ausnahme beendet? Sobald diese Fragen offenbleiben, wird ESU schnell zum Platzhalter für fehlende Portfoliosteuerung.

Austauschfälle brauchen Beschaffungslogik statt Sicherheitsromantik

Ein Teil des Bestands wird Windows 11 nicht mehr sauber tragen. Gerade ältere Geräte scheitern an TPM-2.0-Anforderungen, fehlendem Secure Boot oder nicht mehr unterstützten Prozessoren. Diese Geräte künstlich zu halten, nur weil sie funktional noch „irgendwie laufen“, ist meist die teuerste Variante. Sie binden Service-Desk-Zeit, erzeugen Sondertests, verlängern Ersatzteil- und Treiberrisiken und erschweren ein einheitliches Endpoint-Management.

Hier muss IT-Management den Windows-10-Rest explizit in die Beschaffungs- und Lifecycle-Planung übersetzen. Das betrifft nicht nur Standard-Notebooks, sondern auch Kiosk-Geräte, Laborplätze, Fertigungsnähe, Filial- oder Außendiensthardware. Für diese Kohorten braucht es keine diffuse Übergangsdebatte, sondern klare Entscheidungen über Austauschfenster, Budget, Lieferzeiten und gegebenenfalls Zwischenarbeitsplätze oder Cloud-PC-Szenarien.

ESU ist nur für begrenzte Ausnahmegruppen sinnvoll

Microsoft positioniert ESU selbst als temporäre Brücke, nicht als Langzeitstrategie. Genau so sollte die Maßnahme intern auch gesteuert werden. Sinnvoll ist ESU vor allem für Geräte, die aus nachvollziehbaren Gründen noch eine befristete Restlaufzeit brauchen: etwa wegen kritischer Altsoftware, lokaler Schnittstellen, externer Herstellerabhängigkeiten oder geplanter Ablösungen in den nächsten Quartalen.

Dabei wird oft unterschätzt, dass ESU operativ mehr verlangt als eine Budgetfreigabe. Für Windows 10 müssen bestimmte Voraussetzungen erfüllt sein, unter anderem der Stand auf Version 22H2, aktuelle Updates sowie das Lizenzvorbereitungspaket. Hinzu kommen Aktivierungslogik, Rollen im Microsoft-365-Admin-Center und die technische Fähigkeit, die Schlüssel auf den betroffenen Geräten kontrolliert auszurollen. Wer diese Geräte nicht sauber inventarisiert hat, bekommt auch die Verlängerung nicht sauber in den Betrieb.

Hinzu kommt der Kostendruck: Microsoft beschreibt ESU als kumulatives, jährlich teurer werdendes Programm. Wer erst später einsteigt, zahlt die früheren Jahre mit. Genau deshalb darf ESU nicht als bequeme Standardoption in die Fläche kippen. Es muss an ein Enddatum, eine verantwortliche Fach- oder IT-Rolle und einen dokumentierten Exit-Pfad gebunden sein.

Die Microsoft-365-Frage ändert die Prioritäten, aber nicht das Zielbild

Ein wichtiger Sonderpunkt betrifft Microsoft 365 Apps. Microsoft liefert für diese Apps auf Windows 10 noch bis zum 10. Oktober 2028 Sicherheitsupdates weiter, obwohl Windows 10 selbst schon aus dem regulären Support heraus ist. Das klingt auf den ersten Blick entlastend, wird aber häufig falsch interpretiert. Denn diese Verlängerung bedeutet nicht, dass der Client damit wieder ein normal unterstützter Arbeitsplatz wäre.

Microsoft macht zugleich klar, dass Geräte mit Microsoft 365 Apps auf Windows 10 auf Windows 11 umziehen sollen. Wenn Probleme nur auf Windows 10 auftreten und auf Windows 11 nicht, verweist der Support vorrangig auf die Migration. Für IT-Management heißt das: Die weiter gepflegten Office-Apps nehmen kurzfristig Druck aus einzelnen Nutzungsszenarien, sie legitimieren aber keine breite Fortsetzung von Windows 10 im Standardbetrieb.

Cloud-PCs können einen Teil des Restbestands entschärfen

Für bestimmte Nutzergruppen kann ein Cloud-Pfad sinnvoller sein als eine weitere lokale Sonderbehandlung. Microsoft verweist auf Windows 365 und Azure Virtual Desktop als Wege, Windows 11 auch auf älterer oder geteilter Hardware bereitzustellen. Zusätzlich sind Windows-10-Geräte, die auf Windows-11-Cloud-PCs über Windows 365 zugreifen, laut Microsoft automatisch für die nötigen Sicherheitsupdates auf dem zugreifenden Windows-10-Gerät abgedeckt.

Das ist kein Universalrezept, aber ein interessanter Ausweg für Schichtbetrieb, gemeinsam genutzte Geräte oder Übergangsarbeitsplätze. Strategisch wichtig ist dabei: Der lokale Altclient bleibt dann nicht wegen seiner eigenen Stärke im Feld, sondern als bewusst befristetes Zugangsendgerät zu einem moderneren Zielarbeitsplatz. Genau diese Perspektive hält die Exit-Logik intakt.

Worauf IT-Management jetzt konkret achten sollte

• Den Restbestand in drei Gruppen zerlegen: upgradefähig, austauschpflichtig, befristete ESU-Ausnahme.
• Jede Ausnahme mit Owner und Enddatum versehen: kein Windows-10-Gerät ohne verantwortliche Entscheidung.
• Hardware- und App-Blocker getrennt dokumentieren: sonst wird jede Verzögerung pauschal als Technikproblem etikettiert.
• ESU nur für inventarisierte Kohorten aktivieren: inklusive Update-Stand, Lizenzpfad und Aktivierungsprozess.
• Microsoft-365-Apps nicht mit vollem Arbeitsplatz-Support verwechseln: Office-Sicherheitsupdates ersetzen keinen gesunden Client-Lifecycle.
• Beschaffung, Service Desk und Security gemeinsam einbinden: sonst entstehen Parallelwelten zwischen Projektplan, Ticketrealität und Compliance-Bericht.

Fazit

Windows-10-Restbestände sind 2026 kein gewöhnlicher Altbestand mehr, sondern ein steuerungsrelevanter Sonderfall im Endpoint-Portfolio. Gute IT-Organisationen behandeln ihn deshalb nicht als Sammelkategorie, sondern als Entscheidungsbaum. Upgradefähige Geräte gehören zügig auf Windows 11, nicht mehr tragfähige Hardware in den Austausch, und ESU bleibt auf klar begrenzte Ausnahmegruppen beschränkt.

Wer diese Trennung sauber zieht, reduziert Risiko und Kosten gleichzeitig. Wer sie vermeidet, verlängert nicht nur Windows 10, sondern auch unklare Ownership, inkonsistente Supportmodelle und teure Sonderpfade. Genau deshalb ist jetzt weniger eine Verlängerungslogik gefragt als eine präzise Exit-Logik für den verbliebenen Gerätepark.

Quellen

• Microsoft Learn: Windows 10 – release information
• Microsoft Learn: Plan for Windows 11
• Microsoft Learn: Windows 11 requirements
• Microsoft Learn: Enable Windows 10 Extended Security Updates (ESU)
• Microsoft Learn: Windows 10 end of support and Microsoft 365 Apps
• Microsoft Tech Community: When to use Windows 10 Extended Security Updates
• Microsoft Tech Community: Plan for Windows 10 EOS with Windows 11, Windows 365, and ESU