ESU für Windows Server 2016: Lohnt sich das wirklich?

Am 12. Januar 2027 endet der Extended Support für Windows Server 2016. Für viele IT-Verantwortliche klingt die Antwort darauf zunächst verlockend einfach: Extended Security Updates kaufen, Zeit gewinnen, das Thema Migration auf später verschieben. Doch diese Rechnung geht in den meisten Fällen nicht auf – zumindest nicht so, wie man es sich erhofft.

ESU ist kein Upgrade. ESU ist kein Sicherheitsnetz. ESU ist eine kostenpflichtige Verlängerung des Status quo – mit steigenden Preisen, bleibendem Compliance-Risiko und ohne einen einzigen Schritt in Richtung moderner Infrastruktur. Ob das für Ihre Situation trotzdem die richtige Entscheidung ist, hängt von konkreten Faktoren ab. Dieser Artikel liefert die ehrliche Grundlage für diese Entscheidung.

Was sind Extended Security Updates (ESU)?

Extended Security Updates sind ein kostenpflichtiges Microsoft-Programm, das nach dem offiziellen Support-Ende eines Betriebssystems weiterhin kritische Sicherheitsupdates liefert. Für Windows Server 2016 bedeutet das: Ab dem 12. Januar 2027 können Unternehmen ESU erwerben und erhalten damit bis zu drei Jahre lang – also bis Januar 2030 – weiterhin Sicherheitspatches.

Was ESU nicht liefert, ist mindestens genauso wichtig: Keine neuen Features. Keine Bugfixes außerhalb kritischer Sicherheitslücken. Kein technischer Support von Microsoft. Keine Kompatibilitätsgarantien für neue Software oder Hardware. Das System bleibt eingefroren – lediglich die dringlichsten Sicherheitslücken werden noch gestopft.

ESU ist damit konzeptionell eine Überbrückungslösung, keine Dauerstrategie. Microsoft selbst bezeichnet die Migration auf eine aktuelle Plattform als den empfohlenen Weg. ESU ist das, was übrig bleibt, wenn eine sofortige Migration nicht möglich ist.

Wichtig für die Planung: ESU muss vor dem EOS-Datum aktiviert werden. Wer erst nach dem 12. Januar 2027 einsteigt, zahlt rückwirkende Gebühren (Back Billing Costs) für alle Monate seit dem Support-Ende – die effektiven Kosten steigen damit von Anfang an.

Kosten-Analyse: Was ESU wirklich kostet

Die Preisstruktur

Microsoft hat ab April 2026 ein standardisiertes Preismodell für ESU eingeführt. Für Windows Server 2016 gilt eine kernbasierte Lizenzierung – analog zur regulären Server-Lizenzierung. Die Kosten steigen dabei progressiv: Jahr 2 kostet doppelt so viel wie Jahr 1, Jahr 3 kostet viermal so viel wie Jahr 1. Wer alle drei Jahre ESU nutzt, zahlt das Siebenfache des Jahres-1-Preises in der Summe.

Als Orientierungswert aus aktuellen Marktdaten: Für einen physischen Server mit 16 Kernen (Standard-Konfiguration) entstehen durch ESU monatliche Kosten von rund 70 Euro – das entspricht ca. 840 Euro pro Jahr für Jahr 1. Über drei Jahre summiert sich das auf rund 2.500 Euro pro Server – ohne die progressiven Preissteigerungen für Jahr 2 und 3 vollständig einzurechnen.

Beispielrechnung: 20 Server, 3 Jahre ESU

Hinweis: Microsoft hat die finalen Listenpreise für Windows Server 2016 ESU zum Zeitpunkt dieser Veröffentlichung noch nicht vollständig publiziert. Die Werte basieren auf aktuellen Marktdaten und dem etablierten ESU-Preismodell. Wir aktualisieren die Tabelle, sobald offizielle Preise vorliegen.

ESU vs. Migration: Der TCO-Vergleich

Zum Vergleich: Eine professionell durchgeführte Migration von 20 Servern auf Windows Server 2025 – inklusive Planung, Testumgebung, Durchführung und Stabilisierung – liegt erfahrungsgemäß im Bereich von 30.000 bis 60.000 Euro, abhängig von Komplexität, Hardware-Zustand und Migrationsweg (On-Premises, Cloud oder Hybrid).

Das bedeutet: Bereits im zweiten ESU-Jahr übersteigen die kumulierten ESU-Kosten in vielen Szenarien die Investition in eine vollständige Migration – ohne dass dabei auch nur ein einziger Server modernisiert, ein einziges Sicherheitsfeature hinzugewonnen oder ein einziges Compliance-Risiko beseitigt wurde.

Hinzu kommen die versteckten Kosten, die in keiner ESU-Preisliste auftauchen:

• Weiterhin veraltete Hardware mit steigendem Ausfallrisiko und hohem Stromverbrauch
• Keine Nutzung moderner Security-Features (TPM 2.0, Secured-Core, Credential Guard)
• Wachsendes Compliance-Risiko gegenüber Auditoren und Versicherern
• Technische Schulden, die bei der späteren Migration teurer zu bereinigen sind

Das Fazit der Rechnung ist eindeutig: ESU ist in den meisten Standardszenarien ab dem zweiten Jahr teurer als eine Migration – und liefert dabei deutlich weniger.

Wann ESU trotzdem sinnvoll ist

ESU ist keine per se schlechte Entscheidung. Es gibt konkrete Szenarien, in denen der Einsatz von ESU als Übergangslösung wirtschaftlich und strategisch vertretbar ist.

Szenario 1: Legacy-Software ohne Upgrade-Pfad

Das klassische Argument für ESU: Eine geschäftskritische Anwendung läuft ausschließlich auf Windows Server 2016 und der Hersteller hat noch keinen zertifizierten Upgrade-Pfad auf Windows Server 2025 veröffentlicht. Das ist keine Seltenheit – insbesondere bei spezialisierten Branchenlösungen, ERP-Systemen älterer Generation oder medizinischen Informationssystemen (KIS, PACS).

In diesem Fall ist ESU die einzig verantwortungsvolle Wahl: Das System läuft weiter, bleibt durch Sicherheitspatches zumindest minimal geschützt, und die Migration erfolgt, sobald der Hersteller-Support für die neue Plattform vorliegt. Wichtig dabei: ESU schützt das Betriebssystem, nicht die Anwendung. Wer eine nicht mehr unterstützte Branchensoftware auf einem ESU-gesicherten Server betreibt, hat weiterhin ein Sicherheits- und Compliance-Risiko – nur auf einer anderen Ebene.

Szenario 2: Komplexe Migration braucht mehr als ein Jahr

Manche Migrationen lassen sich nicht in acht Monaten abschließen. Umgebungen mit mehreren Standorten, hunderten von Servern, komplexen AD-Forest-Strukturen oder KRITIS-Anforderungen brauchen Vorlaufzeit – manchmal mehr, als bis zum EOS-Datum verbleibt. In diesem Fall ist ESU für die Systeme, die nicht rechtzeitig migriert werden können, eine legitime Überbrückung.

Die Voraussetzung: Es gibt einen konkreten Migrationsplan mit definierten Meilensteinen. ESU als Dauerlösung ohne Migrationsplan ist keine Strategie – es ist das Aufschieben eines unvermeidlichen Problems bei gleichzeitig steigenden Kosten.

Szenario 3: Kurzfristiger Budget-Engpass

Manchmal ist die Entscheidung schlicht eine Frage der Liquidität: Das Budget für eine vollständige Migration ist im laufenden Geschäftsjahr nicht verfügbar, wird aber für das Folgejahr geplant. In diesem Fall kann ESU für Jahr 1 eine vertretbare Überbrückung sein – sofern die Migration im darauffolgenden Jahr tatsächlich startet.

Auch hier gilt: ESU-Jahr 1 ist noch halbwegs überschaubar. Wer in ESU-Jahr 2 und 3 hineinläuft, zahlt progressiv mehr – und hat das Migrationsproblem nur aufgeschoben, nicht gelöst.

Wann ESU keine sinnvolle Option ist

Standard-Infrastruktur ohne zwingende Abhängigkeiten

Wer File-Server, DNS-Server, DHCP-Server oder Standard-Domain-Controller auf Windows Server 2016 betreibt, hat keinen validen Grund für ESU. Diese Rollen sind auf Windows Server 2025 vollständig unterstützt, die Migration ist technisch unkompliziert, und der Aufwand ist überschaubar. Hier ist ESU reine Kostenverschwendung – Geld, das direkt in die Migration investiert werden sollte.

ESU ist eine Sackgasse, keine Lösung

Das grundlegende Problem mit ESU: Es löst nichts. Nach drei Jahren ESU – also im Januar 2030 – steht man vor exakt demselben Problem, nur mit einer noch älteren Infrastruktur, noch höheren Migrationskosten und noch größerem technischen Rückstand. ESU kauft Zeit, aber es kauft keine Zukunft.

Das Compliance-Risiko bleibt bestehen

Dieser Punkt wird häufig unterschätzt: Auch mit aktivem ESU gilt Windows Server 2016 in vielen Compliance-Frameworks als Out-of-Support-System. Auditoren, Cyber-Versicherungen und Zertifizierungsstellen bewerten nicht nur, ob Sicherheitsupdates eingespielt werden – sie bewerten, ob das System überhaupt noch vom Hersteller vollständig unterstützt wird.

Unter NIS2 ist der Betrieb von Systemen, die nicht mehr dem „Stand der Technik" entsprechen, ein messbares Compliance-Risiko. ESU ändert daran nichts Grundlegendes: Windows Server 2016 ist kein aktuell unterstütztes Betriebssystem mehr – unabhängig davon, ob Sicherheitspatches noch fließen. Wer im nächsten Audit gefragt wird, warum noch 2016-Server im Einsatz sind, wird mit „wir haben ESU" keine befriedigende Antwort liefern können.

Die Azure-Alternative: 3 Jahre ESU kostenlos

Wer den Schritt in Richtung Cloud erwägt, sollte einen entscheidenden Vorteil kennen: Für Windows Server 2016-Instanzen, die als Azure Virtual Machines betrieben werden, sind ESU kostenlos – für alle drei Jahre, ohne Aufpreis.

Das bedeutet: Ein Lift-and-Shift – also die 1:1-Übertragung bestehender Server als Azure VMs – liefert automatisch kostenlosen ESU-Schutz bis Januar 2030. In vielen Szenarien ist der TCO-Vergleich damit eindeutig zugunsten von Azure:

Der Lift-and-Shift ist dabei kein Allheilmittel – er löst keine Anwendungskompatibilitätsprobleme und ist nicht für jede Workload die optimale Lösung. Aber er ist ein legitimer Weg, um Zeit zu gewinnen, ohne dafür die progressiv steigenden On-Premises-ESU-Kosten zu zahlen.

Wichtig: Die Migration zu Azure muss vor dem 12. Januar 2027 abgeschlossen sein, damit die kostenlosen ESU greifen.

Fazit: ESU als Brücke – aber nur mit Ausstiegsplan

ESU für Windows Server 2016 ist kein Fehler. Es ist ein legitimes Werkzeug für spezifische Situationen: Legacy-Abhängigkeiten, komplexe Migrationen mit langem Vorlauf, kurzfristige Budget-Engpässe. In diesen Fällen ist ESU die verantwortungsvolle Überbrückung.

In allen anderen Fällen – und das ist die Mehrheit der Umgebungen – ist ESU teurer als die Migration, löst keine einzige der strukturellen Herausforderungen und kauft lediglich Zeit, die man ohnehin besser in die Planung einer echten Migration investieren sollte.

Die entscheidende Frage ist nicht „ESU oder nicht?", sondern: „Haben wir einen konkreten Migrationsplan – und wenn ja, wann starten wir?"