Windows Server 2016: Supportende am 12. Januar 2027 und ESU über Azure Arc

Windows Server 2016 bekommt nach dem 12. Januar 2027 keine regulären Sicherheitsupdates mehr. An diesem Tag endet der erweiterte Support, wie die Lifecycle-Seite von Microsoft zeigt. Wer mehr Zeit für den Umstieg braucht, kann Extended Security Updates (ESU) über Azure Arc buchen. heise online hat zusammengefasst, was Administratoren jetzt planen müssen.

Bis zum Stichtag bleiben knapp drei Monate.

Am 12. Januar 2027 endet der erweiterte Support

Windows Server 2016 folgt der festen Lifecycle-Richtlinie von Microsoft. Der Mainstream-Support endete bereits im Januar 2022. Seitdem gab es nur noch Sicherheitsupdates im Rahmen des erweiterten Supports. Betroffen sind laut Microsoft die Editionen Datacenter, Essentials, MultiPoint Premium und Standard. Container, die mit Windows Server 2016 erschienen sind, folgen denselben Daten.

Mit dem Betriebssystem fallen laut heise weitere Produkte aus dem Support. Dazu gehören Hyper-V Server 2016, Windows Storage Server 2016, die Windows Server Update Services, Windows Defender, IIS 10 und .NET Framework 4.6.2. Die System-Center-2016-Familie endet einen Tag früher.

ESU verlängern die Sicherheitsupdates bis 2030

Extended Security Updates sind für Systeme gedacht, die nach dem Supportende weiterlaufen müssen. Microsoft selbst nennt das Programm in der ESU-Übersicht den letzten Ausweg und empfiehlt das Upgrade auf eine aktuelle Version.

Für Windows Server 2016 liefern die ESU laut der Azure-Arc-Dokumentation bis zu drei Jahre lang Sicherheitsupdates der Stufen „kritisch“ und „wichtig“, also bis 2030. Neue Funktionen und Fehlerbehebungen ohne Sicherheitsbezug sind nicht enthalten. Unterstützt werden die Editionen Standard und Datacenter.

Seit dem 3. August 2026 lassen sich die ESU im Azure-Portal einrichten. Abgerechnet wird ab dem 13. Januar 2027. Die Server müssen dafür mit Azure Arc verbunden sein. Azure Arc bindet Server außerhalb von Azure an die Azure-Verwaltung an. Auf jedem Server läuft dazu der Azure Connected Machine Agent, für Windows Server 2016 in Version 1.62 oder neuer. Die Anmeldung zu den ESU erfolgt über das Azure-Portal oder per Azure Policy. Abgerechnet wird als monatliches Abonnement über Azure. Produktschlüssel sind dabei nicht nötig.

ESU über Azure Arc setzen Software Assurance voraus

ESU über Azure Arc gibt es nicht für jede Lizenz. Laut Microsoft brauchen Sie Software Assurance aus einem Volumenlizenzprogramm wie dem Enterprise Agreement oder Open Value. Alternativ reicht eine Lizenzierung über ein Server-Abonnement. Heise weist darauf hin, dass Azure Arc das Problem für Kunden mit OEM-Lizenzen ohne Software Assurance nicht löst. Einen öffentlichen Preis für die ESU von Windows Server 2016 nennt heise nicht.

Auch das Netzwerk muss passen. Die Server brauchen eine Verbindung zu Azure, entweder direkt, über einen Proxy oder über Private Link bzw. ExpressRoute. Microsoft listet in der Arc-Dokumentation die Endpunkte, die für reine ESU-Nutzung freigegeben sein müssen. Für abgeschottete Netze ist laut heise eine eigene Planung nötig. Für virtuelle Desktops (VDI) sieht Microsoft einen anderen Weg vor, dort kommen die ESU per Mehrfachaktivierungsschlüssel (MAK).

Ob ESU in Azure kostenlos sind, sollten Sie vorher klären

Laut der ESU-Übersicht von Microsoft sind die Updates für Server, die in Azure laufen, ohne Aufpreis enthalten. Die Arc-Dokumentation nennt außerdem Maschinen in Azure VMware Solution und virtuelle Maschinen auf Azure Local als berechtigt für kostenlose ESU. Heise hat allerdings widersprüchliche Angaben gefunden. In der Dokumentation zu Azure Local steht Windows Server 2016 als kostenpflichtig. Heise rät deshalb, die Kosten für den jeweiligen Zielort bestätigen zu lassen.

Windows Server 2025 ist das empfohlene Ziel

Microsoft empfiehlt in seinem Blogbeitrag „Planning ahead for Windows Server 2016 end of support“ den Wechsel auf Windows Server 2025. Laut Lifecycle-Seite läuft der Mainstream-Support dieser Version bis November 2029 und der erweiterte Support bis November 2034.

Seit Windows Server 2025 kann ein In-Place-Upgrade mehrere Versionen überspringen. Bei Servern ohne Cluster sind laut Microsoft bis zu vier Versionen auf einmal möglich. Heise warnt, dass dabei Altlasten in der Konfiguration erhalten bleiben können. Ein getestetes Backup und ein Wartungsfenster gehören deshalb dazu. Für Domänencontroller rät Microsoft laut heise, neue Server aufzusetzen statt das bestehende System zu aktualisieren. Die Funktionsebene von Gesamtstruktur und Domäne muss vor dem Wechsel auf 2025 mindestens Windows Server 2016 sein.

So bereiten Sie die Entscheidung vor

Heise empfiehlt, mit einer Bestandsaufnahme zu beginnen. Dazu gehören:

• Hardware und Speichertreiber
• Anwendungen, vor allem solche, die auf .NET Framework 4.6.2 angewiesen sind
• Serverrollen wie die Remotedesktopdienste
• Agenten für Backup und Monitoring

Danach klären Sie die Lizenzlage. Erst sie entscheidet, ob ESU überhaupt in Frage kommen oder nur die Migration bleibt. Planen Sie dann rückwärts vom 12. Januar 2027 aus. Wer ESU per MAK bezieht, sollte laut heise einrechnen, dass der Schlüssel nach dem Kauf drei bis fünf Werktage brauchen kann.

Wer Terminalserver mit Microsoft 365 Apps betreibt, sollte noch einen Punkt kennen. Laut heise bekommen die Desktop-Apps auf Windows Server 2016 noch bis zum 10. Oktober 2028 Sicherheitsupdates. Ohne ESU erhält ein solcher Server ab Januar 2027 also Office-Patches, aber keine Patches mehr für das Betriebssystem.

Wobei wir helfen können

Im Rahmen unserer Managed Server kümmern wir uns um Betrieb und Updates von Servern. Wir gehen mit Ihnen durch, welche Systeme noch auf Windows Server 2016 laufen und welche Dienste davon abhängen. Ob ESU für Ihre Lizenzen möglich sind, klären Sie am besten mit Ihrem Microsoft-Lizenzpartner.

Wenn Sie den Umstieg vor dem 12. Januar 2027 planen möchten, melden Sie sich bei uns.