Windows Server 2016 Support Ende: diese 6 Schritte bis 12. Januar 2027 planen

Das Windows Server 2016 Support Ende ist der 12. Januar 2027: An diesem Patchday erscheint das letzte reguläre Sicherheitsupdate. Ab Februar 2027 bleibt jede Lücke, die Microsoft monatlich für jüngere Versionen schließt, auf Ihren 2016-Servern offen.

Im Alltag fällt das nicht auf, denn die Server laufen einfach weiter: Fileserver, Domain-Controller, ERP-Datenbank, Terminalserver. Gerade deshalb werden sie zum bevorzugten Einstiegspunkt für Ransomware. Dieser Leitfaden zeigt sechs Schritte zur Migration. Er erklärt auch, wie Sie Server ohne Updates übergangsweise schützen. Schutzlösungen für Server und Clients finden Sie in der Kategorie Endpoint Security.

Was passiert nach dem 12. Januar 2027 mit Windows Server 2016?

Windows Server 2016 läuft nach dem 12. Januar 2027 technisch unverändert weiter, erhält aber keine Sicherheitsupdates und keinen technischen Support mehr von Microsoft. Später entdeckte Schwachstellen bleiben auf Ihren Servern offen. Weitere Sicherheitsupdates gibt es nur noch kostenpflichtig über Extended Security Updates (ESU) für die Editionen Standard und Datacenter.

Betroffen sind laut Microsoft alle Editionen: Datacenter, Standard, Essentials und MultiPoint Premium. Der Mainstream-Support mit Funktionserweiterungen und allgemeinen Fehlerkorrekturen endete bereits im Januar 2022. Die verbindlichen Daten stehen in der Lebenszyklus-Übersicht von Microsoft.

Welche Zielversion? Support-Daten von Windows Server 2016 bis 2025

Die Wahl der Zielversion entscheidet, wann Sie dieses Projekt wiederholen müssen. Die Daten stammen aus dem Microsoft-Lebenszyklus (Stand Oktober 2026).

Ein Sprung auf Windows Server 2019 ist selten sinnvoll: In gut zwei Jahren stünde dasselbe Projekt wieder an. Für die meisten Umgebungen ist Windows Server 2025 die naheliegende Wahl, sofern die Fachanwendungen dafür freigegeben sind.

Die 6 Schritte bis Januar 2027 im Überblick

1. Inventar erstellen: alle 2016-Instanzen erfassen, auch VMs, Hyper-V-Hosts und vergessene Testserver.
2. Abhängigkeiten klären: welche Rolle, welche Anwendung, welcher Softwarehersteller hängt an jedem Server?
3. Migrationsweg festlegen: In-Place-Upgrade, Neuinstallation mit Datenumzug oder Ablösung durch einen Cloud-Dienst.
4. Reihenfolge nach Risiko planen: aus dem Internet erreichbare Systeme und Domain-Controller als Erstes.
5. Übergangslösung für Restsysteme wählen: ESU über Azure Arc oder strikte Isolation.
6. Restsysteme absichern und abschalten: Server-Schutz, Segmentierung, Backup – und ein festes Abschaltdatum.

Schritt 1 und 2: Windows-Server-2016-Inventar und Abhängigkeiten

Im Active Directory liefert ein einziger PowerShell-Befehl eine erste Liste: Get-ADComputer -Filter 'OperatingSystem -like "*Server 2016*"' -Properties OperatingSystem | Select-Object Name,OperatingSystem. Server außerhalb der Domäne, etwa in der DMZ, fehlen darin. Gleichen Sie die Liste deshalb mit der Virtualisierung und dem Netzwerkscan ab.

Notieren Sie pro Server die Rolle und den Ansprechpartner. Fragen Sie bei jedem Softwarehersteller schriftlich nach, ob die Anwendung unter Windows Server 2022 oder 2025 freigegeben ist. Diese Antworten bestimmen den Zeitplan stärker als die Technik.

Schritt 3 und 4: Migration von Server 2016 auf 2025 planen

Ein In-Place-Upgrade (Aktualisierung auf dem bestehenden System, ohne Neuinstallation) ist laut Microsoft von 2016 direkt auf 2025 möglich – für Server ohne Cluster und per Installationsmedium. Failover-Cluster dürfen beim Rolling Upgrade nur eine Version pro Schritt springen. Für Domain-Controller hat sich bewährt, frische Controller aufzusetzen, die Rollen zu übertragen und die alten Systeme herabzustufen. Bei Datei- und Druckservern ist eine Neuinstallation mit Datenumzug meist sauberer.

Denken Sie an die Lizenzen: Windows Server wird pro Prozessorkern lizenziert. Die Client-Zugriffslizenzen (CALs) müssen mindestens der Version des Servers entsprechen, für einen Server unter 2025 reichen 2016-CALs also nicht. Beginnen Sie mit Systemen, die aus dem Internet erreichbar sind, etwa Terminalserver oder Webserver. Danach folgen Domain-Controller, als Letztes interne Anwendungsserver.

Schritt 5: ESU über Azure Arc als Übergangslösung

Nicht jeder Server lässt sich bis Januar ablösen. Für diese Fälle bietet Microsoft Extended Security Updates an. Laut Microsoft-Dokumentation gelten für Windows Server 2016 diese Eckpunkte:

• Bereitstellung über Azure Arc (Microsoft-Dienst, der lokale Server an das Azure-Portal anbindet); die Server bleiben im eigenen Rechenzentrum.
• Kritische und wichtige Sicherheitsupdates für bis zu drei Jahre, also bis 2030 – keine Funktionen, keine sonstigen Fehlerkorrekturen.
• Einrichtung im Azure-Portal seit dem 3. August 2026 möglich, Abrechnung ab dem 13. Januar 2027, monatlich nach Nutzung.
• Voraussetzung ist Software Assurance (Wartungsvertrag zur Volumenlizenz), alternativ eine Lizenzierung über SPLA (Lizenzmodell für Hoster) oder ein Server-Abonnement.
• Unterstützt werden nur Standard und Datacenter. Für Essentials gibt es diesen Weg nicht.

Die Server brauchen dafür den Azure Connected Machine Agent ab Version 1.62 und ausgehende Verbindungen zu Azure. Lassen Sie sich die Kosten für Ihre Kernzahl konkret berechnen. ESU kauft Zeit, ersetzt aber keine Migration.

Schritt 6: Restliche 2016-Server schützen und segmentieren

Für Restsysteme gilt: so wenig Angriffsfläche wie möglich. Drei Maßnahmen senken das Risiko spürbar.

Server-Schutz mit Verhaltenserkennung: Ein klassischer Virenscanner erkennt bekannte Schadsoftware. EDR (Endpoint Detection and Response) erkennt verdächtige Abläufe, nicht nur bekannte Dateien. So fällt auch auf, wenn ein Angreifer eine ungepatchte Lücke ausnutzt und sich im Netz bewegt.

WatchGuard Endpoint Security for Servers unterstützt laut Produktdaten Windows Server 2012 R2 bis 2025 und gängige Linux-Distributionen. Alternativen sind Sophos Endpoint Protection für Server und SentinelOne Complete pro Server. Prüfen Sie vor dem Kauf die Kompatibilitätsliste des Herstellers für Ihre genaue Version. Alle Optionen bündelt die Kategorie Server Protection.

Segmentierung: Legen Sie die verbliebenen 2016-Server in ein eigenes Netzsegment. Erlauben Sie nur die Verbindungen, die die Anwendung wirklich braucht, und sperren Sie den Internetzugang. Wie das ohne Komplettumbau gelingt, beschreibt der Beitrag Netzsegmentierung im Mittelstand.

Backup und Abschaltdatum: Sichern Sie Restsysteme täglich auf ein vom Netz getrenntes Ziel und testen Sie die Wiederherstellung. Legen Sie für jeden Server ein verbindliches Abschaltdatum fest und dokumentieren Sie die Ausnahme schriftlich. Das hilft auch, wenn Kunden, Prüfer oder Ihr Cyberversicherer nach nicht unterstützten Systemen fragen.

Einen Anbietervergleich für den Server-Schutz finden Sie im Ratgeber Endpoint Security für Server 2026.

FAQ zum Windows Server 2016 Support Ende

Wann endet der Support für Windows Server 2016 genau?

Der erweiterte Support endet am 12. Januar 2027. Das Update vom Patchday an diesem Tag ist das letzte reguläre Sicherheitsupdate für alle Editionen.

Welche Version ersetzt Windows Server 2016 am besten?

Windows Server 2025 hat mit Support bis 14. November 2034 den längsten Zeitraum. Windows Server 2019 endet bereits am 9. Januar 2029.

Kann ich Windows Server 2016 direkt auf 2025 aktualisieren?

Ja, für Server ohne Cluster und per Installationsmedium. Cluster gehen nur Version für Version. Bei Domain-Controllern ist eine Neuinstallation mit Rollenübertragung meist die sicherere Wahl.

Bekomme ich ESU für Windows Server 2016 Essentials?

Nein. Extended Security Updates gibt es laut Microsoft nur für die Editionen Standard und Datacenter. Essentials-Server sollten Sie migrieren oder ablösen.

Ersetzt ein Server-Schutz die fehlenden Updates?

Nein. Ein EDR-Schutz erkennt Angriffe und kann sie stoppen, schließt aber keine Schwachstellen im Betriebssystem. Er überbrückt die Zeit bis zur Migration, mehr nicht.

Darf ich Windows Server 2016 nach Januar 2027 weiter betreiben?

Technisch ja, die Lizenz bleibt gültig. Ohne Updates steigt das Risiko jedoch mit jedem Monat. Ob das mit Ihren Pflichten etwa aus NIS2 oder Kundenverträgen vereinbar ist, sollten Sie im Einzelfall prüfen.

Ihr nächster Schritt

Bis zum 12. Januar 2027 bleiben nur noch wenige Wochen. Starten Sie diese Woche mit dem Inventar, dann wissen Sie, wie viele Server eine Übergangslösung brauchen. Für die Absicherung der Restsysteme zeigen wir Ihnen gern passende Lizenzen, etwa aus dem Sortiment von WatchGuard. Nutzen Sie den Produktberater oder schreiben Sie uns über das Kontaktformular: Wie viele Ihrer Server laufen noch auf 2016?