Dieser Beitrag enthält Werbung in Form von Amazon-Partnerlinks. Sie sind als solche gekennzeichnet.
Im Oktober 2026 stehen zwei Termine im Kalender, die auf den ersten Blick wenig miteinander zu tun haben und doch beide dieselbe Gerätegruppe treffen: ältere Windows-Flotten in kleinen und mittleren Unternehmen. Am 13. Oktober endet das erste ESU-Jahr, am 19. Oktober läuft ein Zertifikat ab, das seit 2011 jeden Windows-Bootvorgang absichert. Der erste Termin ist eine kaufmännische Entscheidung, der zweite eine technische. Verwechselt werden sie trotzdem ständig, auch in Fachartikeln.
Dieser Beitrag trennt beide sauber, nennt die belegten Zahlen statt der kursierenden, liefert dir einen Prüfbefehl für die Flotte und rechnet vor, ab wann sich der Austausch gegen gebrauchte Hardware mehr lohnt als die nächste Verlängerung.
Die kurze Antwort
Am 13. Oktober 2026 schaltet nichts ab. Es endet das erste von drei möglichen ESU-Jahren für Unternehmen. Wer weitermachen will, lizenziert Jahr 2, und zwar zum doppelten Preis. Am 19. Oktober 2026 läuft das Zertifikat Windows Production PCA 2011 aus. Auch dann bootet jedes Gerät weiter, aber der Boot-Pfad friert ein: keine neuen Boot-Manager, keine neuen Sperrlisten, keine Gegenmaßnahmen für künftige Bootkit-Lücken. Beide Termine zusammen sind der beste Anlass des Jahres, eine ehrliche Bestandsaufnahme zu machen.
Frist 1: Das ESU-Jahr endet, nicht das Betriebssystem
Das Extended-Security-Updates-Programm für Windows 10 startete am 14. Oktober 2025 und läuft in drei Jahresscheiben. Microsofts Lifecycle-Dokumentation nennt als Endtermine den 13. Oktober 2026 für Jahr 1, den 12. Oktober 2027 für Jahr 2 und den 10. Oktober 2028 für Jahr 3. Danach ist endgültig Schluss, eine vierte Verlängerung ist nicht vorgesehen.
Zwei Details werden dabei regelmäßig übersehen, und beide kosten Geld.
Die Lizenzen sind kumulativ. Wer Jahr 2 kaufen will, muss Jahr 1 ebenfalls erworben haben. Das gilt auch rückwirkend: Steigst du erst 2027 ein, zahlst du trotzdem für Jahr 1 mit. Die Vorstellung, man könne ein Jahr aussetzen und später wieder einsteigen, geht nicht auf.
Der Preis verdoppelt sich jährlich. Microsoft nennt für Jahr 1 einen Listenpreis von 61 US-Dollar pro Gerät und die Regel, dass sich dieser Betrag in jedem Folgejahr verdoppelt. Daraus ergeben sich rechnerisch 122 US-Dollar für Jahr 2 und 244 US-Dollar für Jahr 3. Wichtig für die eigene Kalkulation: Diese beiden Folgebeträge stehen so auf keiner Microsoft-Preisseite, sie folgen nur aus der Verdopplungsregel. Den verbindlichen Listenpreis nennt dir dein Volume-Licensing- oder CSP-Partner.
Für Privatnutzer gilt inzwischen etwas anderes
Hier ist die Nachrichtenlage besonders unübersichtlich, weil viele Artikel aus dem Jahr 2025 stammen und nie aktualisiert wurden. Der Stand: Ende Juni 2026 hat Microsoft das kostenlose ESU für Privatnutzer im Europäischen Wirtschaftsraum bis zum 12. Oktober 2027 verlängert. Wer mit einem Microsoft-Konto angemeldet bleibt, zahlt dafür nichts. Alle Quellen, die für Privatgeräte weiterhin den Oktober 2026 als Endtermin nennen, sind schlicht veraltet.
Für dich als Admin heißt das vor allem eins: Die Frage „Wann ist bei uns Schluss?" hat je nach Gerät eine andere Antwort. Das Notebook im Homeoffice, das privat lizenziert läuft, hat ein Jahr mehr Luft als der Firmenrechner daneben.
Frist 2: Secure Boot verliert sein Fundament
Die zweite Frist ist technischer Natur und betrifft Geräte unabhängig davon, ob sie Windows 10 oder Windows 11 fahren. Die Zertifikate, mit denen Secure Boot seit 2011 arbeitet, laufen 2026 gestaffelt aus. Zwei Termine sind bereits vorbei: Das Microsoft Corporation KEK CA 2011 endete am 24. Juni 2026, das Microsoft UEFI CA 2011 am 27. Juni 2026. Am 19. Oktober 2026 folgt das Windows Production PCA 2011, also genau das Zertifikat, mit dem der Windows-Boot-Manager signiert ist.
Was dann passiert, formuliert Microsoft selbst erfreulich nüchtern: Die Geräte starten und arbeiten normal weiter, und auch die regulären Windows-Updates laufen weiter. Es gibt keinen Stichtag, an dem ein Rechner plötzlich stehenbleibt. Was wegfällt, ist die Pflege des frühen Bootvorgangs. Ohne die 2023er-Nachfolgezertifikate bekommt ein Gerät keinen aktualisierten Boot-Manager mehr, keine neuen Einträge in den Secure-Boot-Datenbanken und vor allem keine neuen DBX-Sperrlisten, mit denen Microsoft bekannt gewordene Bootkits aussperrt.
Das ist kein akutes Feuer, aber es ist ein Ablaufdatum für einen Schutzmechanismus, den viele Firmen in ihren Sicherheitskonzepten als gegeben voraussetzen. Wer Secure Boot in einer Richtlinie oder gegenüber einem Auditor als Maßnahme führt, sollte wissen, auf welchem Stand die Flotte tatsächlich ist.
So prüfst du den Stand, ohne zu raten
Seit April 2026 zeigt Windows den Zertifikatsstatus direkt in der Oberfläche an, unter Windows-Sicherheit, Gerätesicherheit, Sicherer Start. Im Mai 2026 kamen zusätzliche Benachrichtigungen außerhalb der App dazu. Für ein einzelnes Gerät reicht das. Für eine Flotte brauchst du etwas Skriptbares.
Zuerst die Grundfrage, ob Secure Boot überhaupt aktiv ist:
Confirm-SecureBootUEFILiefert der Befehl True, ist Secure Boot eingeschaltet. Den eigentlichen Zertifikatsstand liest du anschließend aus der Signaturdatenbank aus:
Get-SecureBootUEFI -Name db -DecodedDie Ausgabe enthält Subject, Gültigkeitszeitraum und Seriennummer im Klartext. Gesucht ist ein Eintrag mit CN=Windows UEFI CA 2023. Findest du ihn, ist das Gerät auf dem neuen Stand.
Ein Stolperstein, der in vielen Anleitungen fehlt: Der Schalter -Decoded kam erst mit den kumulativen Updates vom 14. April 2026 dazu. Auf einem Gerät mit älterem Patchstand schlägt der Befehl fehl, und zwar ohne dass das an Secure Boot läge. Für die Inventur über viele Rechner dokumentiert Microsoft ohnehin den direkteren Weg über die Registry, nämlich den Wert UEFICA2023Status unter HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing. Das ist der saubere Ansatz für ein Intune- oder GPO-Inventar.
Eine Warnung zum verbreitetsten Einzeiler im Netz: Die Variante, die die Rohbytes der Datenbank in ASCII wandelt und per -match nach der Zeichenkette sucht, kursiert in Foren und Community-Blogs, steht aber auf keiner Microsoft-Dokumentationsseite. Sie funktioniert oft, ist aber nicht die dokumentierte Methode. Wenn du sie nutzt, dann bewusst als Behelf für Systeme ohne April-Update, nicht als Referenz.
Ein BIOS- oder UEFI-Update verändert die Messwerte im TPM. BitLocker wertet das als Veränderung der Plattform und fordert beim nächsten Start den Wiederherstellungsschlüssel an. Wer ihn nicht hat, kommt an die Daten nicht mehr heran. Prüfe deshalb nicht nur, ob der Schlüssel im Active Directory oder in Entra ID hinterlegt ist, sondern ob du ihn dort auch tatsächlich abrufen kannst, und zwar bevor du das erste Gerät anfasst.
Der Störfall, der beides überlagert: der September-Patchday 2026
Wenn du gerade planst, im Oktober größere Update-Wellen zu fahren, gehört ein aktuelles Problem in dieselbe Planung. Nach dem Update vom 8. September 2026 verlieren Windows-11-Clients der Versionen 24H2, 25H2 und 26H1 die Vertrauensstellung zur Domäne, Anmeldungen schlagen fehl. Ursache ist die aktivierte Machine Identity Isolation im Zusammenspiel mit Credential Guard, die erst ab der Domänenfunktionsebene Windows Server 2025 vollständig unterstützt wird.
Wichtig für die Planung: Die Out-of-Band-Updates vom 15. September 2026 beheben Probleme mit Remotedesktopdiensten, USB-Audio und Hyper-V, nicht aber diesen Domänenfehler. Als Behelf kursiert das Zurücksetzen des zuständigen Registry-Werts auf 0, ein Neustart und anschließend das Reparieren des sicheren Kanals:
Test-ComputerSecureChannel -Repair -Credential (Get-Credential)Für den Oktober heißt das: Plane die Fristen-Arbeiten nicht in dieselbe Woche wie das Ausrollen der Domänen-Fixes. Zwei parallele Baustellen an derselben Flotte sind der schnellste Weg zu einem Fehlerbild, das niemand mehr zuordnen kann.
Rechenbeispiel: ESU verlängern oder Hardware tauschen
Die eigentliche Entscheidung, die im Oktober ansteht, ist eine kaufmännische. Nehmen wir einen typischen Fall: zehn Arbeitsplätze, die noch auf Windows 10 laufen, alle mit ESU-Jahr 1 lizenziert.
| Weg | Kosten für 10 Geräte | Was du danach hast |
|---|---|---|
| ESU Jahr 2 (rechnerisch 122 USD pro Gerät) | 1.220 USD | Ein weiteres Jahr Sicherheitsupdates, gleiche Hardware |
| ESU Jahr 3 (rechnerisch 244 USD pro Gerät) | 2.440 USD | Das letzte mögliche Jahr, danach zwingend Austausch |
| Summe Jahr 2 und 3 | 3.660 USD | Zwei Jahre Aufschub, danach steht dieselbe Entscheidung erneut an |
| Austausch gegen gebrauchte Business-Mini-PCs | ca. 1.850 bis 2.800 Euro | Windows-11-taugliche Geräte, TPM 2.0, Support bis weit über 2028 hinaus |
Die Rechnung fällt in vielen kleinen Umgebungen eindeutig aus: Zwei weitere ESU-Jahre kosten mehr als der Austausch, und am Ende der zwei Jahre steht die Ersatzbeschaffung trotzdem an. Der Austausch ist keine Sparmaßnahme, sondern schlicht die Variante, bei der das Geld in etwas fließt, das danach noch da ist.
Ein Einwand gehört allerdings dazu, und er ist derzeit gewichtig: Neuware ist gerade ungewöhnlich teuer, weil die Speicherpreise seit Sommer 2025 massiv gestiegen sind. Warum das so ist und welche Komponenten du jetzt besser nicht kaufst, haben wir im Beitrag zur Speicherkrise 2026 aufgeschlüsselt. Genau diese Lage macht den Gebrauchtmarkt für diese Migration attraktiver als sonst.
Womit der Austausch praktisch funktioniert
Für den Windows-11-Wechsel brauchst du eine CPU von Intels achter Generation oder neuer sowie TPM 2.0. Beides erfüllen gebrauchte Business-Geräte zuverlässig, weil dort fTPM beziehungsweise Intel PTT ab Werk vorhanden und im BIOS nur zu aktivieren ist.
Dell OptiPlex 3060 Micro, generalüberholt
- i5-8500T steht auf Microsofts offizieller CPU-Liste für Windows 11
- Winziger Formfaktor, passt hinter jeden Monitor
- Pro Gerät günstiger als ein einziges weiteres ESU-Jahr in Stufe 3
- Achte Generation ist die unterste noch unterstützte Stufe, der Puffer nach oben ist entsprechend klein
HP EliteDesk 800 G4 Mini, generalüberholt
- 16 GB RAM und 512 GB SSD ab Werk, kein Nachrüsten nötig
- Gerade günstiger als die schwächer bestückte Variante derselben Baureihe
- Bestand bei Refurbished-Händlern wechselt schnell, Konfiguration vor dem Kauf prüfen
Brauchst du mobile Arbeitsplätze statt Mini-PCs, sind gebrauchte Business-Notebooks die passende Entsprechung, etwa ein HP EliteBook 840 G6 mit vPro und TPM 2.0 ab Werk oder ein Lenovo ThinkPad T590 mit 15,6-Zoll-Display.
Wann ein TPM-Modul sinnvoll ist, und wann nicht
Rund um Windows 11 hat sich der Reflex eingebürgert, bei fehlendem TPM sofort ein Steckmodul zu bestellen. In den allermeisten Fällen ist das überflüssig. Business-Geräte ab der achten Intel-Generation bringen Intel PTT mit, AMD-Systeme fTPM, und beides ist eine reine BIOS-Einstellung. Schau also zuerst ins BIOS, bevor du Geld ausgibst.
Bleibt tatsächlich ein Board ohne Firmware-TPM übrig, gilt eine wichtige Einschränkung: TPM-Header sind nicht standardisiert. Es gibt 14-1-Pin bei ASUS, 12-1-Pin bei Gigabyte, 14-Pin LPC bei MSI und ASRock sowie SPI-Varianten auf neueren Boards. Ein Modul kann mechanisch passen und elektrisch trotzdem inkompatibel sein. Kaufe deshalb ausschließlich das Modul des Board-Herstellers zur konkreten Board-Revision, etwa das ASUS TPM-M R2.0 für ASUS-Boards oder das Gigabyte GC-TPM2.0 für Gigabyte-Boards.
Die Checkliste für den Oktober
| Schritt | Womit | Aufwand | Bis wann |
|---|---|---|---|
| Bestand erfassen: Welche Geräte laufen noch auf Windows 10? | Inventarisierung, Intune oder WSUS | ca. 1 Std. | sofort |
| Je Gerät klären: Firmenlizenz oder Privatgerät im EWR? | Lizenzübersicht | ca. 1 Std. | vor dem 13.10. |
| ESU-Jahr 2 beim Lizenzpartner anfragen, Listenpreis bestätigen lassen | VL- oder CSP-Partner | kurz | vor dem 13.10. |
| Secure-Boot-Zertifikatsstand der Flotte auslesen | Get-SecureBootUEFI -Name db -Decoded oder Registry-Inventar | ca. 2 Std. | vor dem 19.10. |
| BitLocker-Wiederherstellungsschlüssel prüfen und probeweise abrufen | AD oder Entra ID | ca. 1 Std. | vor dem ersten Firmware-Update |
| Image-Backup der betroffenen Clients anlegen | externe SSD oder Backup-Server | je Gerät ca. 20 Min. | vor dem Update |
| Firmware-Updates gestaffelt ausrollen, nicht parallel zum Domänen-Fix | Herstellertools | je Gerät ca. 30 Min. | Oktober |
| Austauschgeräte beschaffen, wo ESU-Jahr 3 absehbar teurer wird | Refurbished-Handel | projektabhängig | Q4 2026 |
Für den Schritt mit dem Image-Backup lohnt eine robuste externe SSD, auf der mehrere komprimierte Client-Images nebeneinander Platz finden.
Samsung Portable SSD T7 Shield, 2 TB
- Genug Kapazität für mehrere Voll-Images einer Rollout-Welle
- Staub- und spritzwassergeschützt, hält den Außendiensteinsatz aus
- Preis liegt krisenbedingt deutlich über dem Niveau der Vorjahre
Für die Firmware-Updates selbst genügt ein einfacher USB-Stick mit 64 GB, auf den Recovery-Medium und mehrere Firmware-Pakete nebeneinander passen. Wer regelmäßig an fremder Hardware arbeitet, findet die passende Grundausstattung in unserem Werkzeugkoffer für IT-Techniker.
Image-Backups, die nicht auf einer Schreibtischplatte liegen
Eine externe SSD ist für die Rollout-Woche in Ordnung, als dauerhafte Sicherung taugt sie nicht. Unser Managed Proxmox Backup Server übernimmt die geplante, geprüfte Sicherung inklusive Rücksicherungstests.
Managed Backup ansehenWann sich das alles nicht lohnt
Nicht jede Umgebung braucht im Oktober ein Projekt. Es gibt Fälle, in denen die ehrlichste Antwort lautet: nichts tun.
Geräte ohne Netzwerkanbindung. Die Steuerungs-PCs an einer Maschine, die in einem isolierten Segment ohne Internetzugang stehen, sind vom Ende der Updateversorgung weit weniger betroffen als ein Arbeitsplatz im Büronetz. Hier ist die Segmentierung die eigentliche Schutzmaßnahme, nicht die Lizenz.
Geräte, die ohnehin im nächsten Jahr ersetzt werden. Wenn der Austausch für Frühjahr 2027 geplant und budgetiert ist, kann ESU-Jahr 2 als Überbrückung die günstigere Variante sein. Die Rechnung oben kippt erst mit Jahr 3.
Privatgeräte im EWR. Sie haben bis Oktober 2027 Zeit und gehören schlicht nicht in dieselbe Dringlichkeitsstufe.
Ein TPM-Steckmodul auf Verdacht. Wie oben beschrieben: erst ins BIOS schauen. Der häufigste Fall ist, dass das TPM längst da ist und nur deaktiviert war.
Was das für kleine Umgebungen bedeutet
Die beiden Oktober-Termine treffen vor allem Firmen, bei denen Clientpflege nebenbei läuft. Genau dort ist die Versuchung groß, den einfachsten Weg zu gehen und ESU zu verlängern, weil das eine Rechnung ist statt eines Projekts. Diese Rechnung wird aber jedes Jahr doppelt so hoch, und sie endet 2028 zwangsläufig.
Die gute Nachricht: Die Arbeit, die jetzt ansteht, ist überschaubar und größtenteils Inventur. Wer im Oktober weiß, welche Geräte auf welchem Zertifikatsstand sind, wo BitLocker aktiv ist und welche Rechner die Windows-11-Kriterien erfüllen, hat die eigentliche Entscheidung schon zur Hälfte getroffen. Wie ein strukturierter Sicherheitsstatus in kleinen Umgebungen aussieht, zeigt unsere IT-Security-Checkliste, und zur Absicherung der Datenbestände passt die 3-2-1-Backup-Strategie.
Häufige Fragen
Schaltet Windows 10 am 13. Oktober 2026 ab?
Nein. An diesem Tag endet nur das erste ESU-Jahr für Unternehmen. Die Geräte laufen weiter, bekommen aber nur dann weiterhin Sicherheitsupdates, wenn Jahr 2 lizenziert wird. Für Privatnutzer im EWR läuft das kostenlose ESU noch bis zum 12. Oktober 2027.
Was passiert am 19. Oktober 2026 mit Secure Boot?
Das Zertifikat Windows Production PCA 2011 läuft ab. Die Geräte starten und arbeiten normal weiter, auch die regulären Windows-Updates laufen weiter. Ohne die 2023er-Zertifikate erhalten sie aber keine aktualisierten Boot-Manager, keine neuen Einträge in den Secure-Boot-Datenbanken und keine DBX-Sperrlisten mehr.
Wie prüfe ich, ob ein Gerät die neuen Zertifikate hat?
Mit Confirm-SecureBootUEFI prüfst du, ob Secure Boot aktiv ist. Den Zertifikatsstand liest du mit Get-SecureBootUEFI -Name db -Decoded aus und suchst nach Windows UEFI CA 2023. Der Parameter -Decoded existiert erst ab dem kumulativen Update vom April 2026. Für die Flotteninventur ist der Registry-Wert UEFICA2023Status der bessere Weg.
Was kostet ESU für Unternehmen wirklich?
Microsoft nennt 61 US-Dollar pro Gerät für Jahr 1 und die Regel der jährlichen Verdopplung. Rechnerisch ergeben sich 122 US-Dollar für Jahr 2 und 244 US-Dollar für Jahr 3. Diese beiden Beträge stehen auf keiner offiziellen Preisseite, lass sie dir vom Lizenzpartner bestätigen.
Kann ich ESU-Jahr 1 überspringen und erst Jahr 2 kaufen?
Nein. Die Lizenzen sind kumulativ. Wer Jahr 2 erwerben will, muss Jahr 1 ebenfalls erworben haben, auch rückwirkend.
Muss ich vor einem BIOS-Update etwas beachten?
Ja, den BitLocker-Wiederherstellungsschlüssel. Ein Firmware-Update verändert die TPM-Messwerte, woraufhin BitLocker den Schlüssel anfordert. Prüfe vorher, ob du ihn tatsächlich abrufen kannst.
Fazit
Zwei Termine, zwei völlig verschiedene Baustellen. Der 13. Oktober ist eine Kostenfrage mit einer Uhr, die jedes Jahr doppelt so laut tickt. Der 19. Oktober ist eine technische Frage, die niemanden sofort umwirft, aber einen Schutzmechanismus einfriert, den viele für selbstverständlich halten.
Der sinnvollste Schritt für beide ist derselbe und kostet nichts: eine saubere Bestandsaufnahme. Welche Geräte, welcher Zertifikatsstand, welche Lizenz, welche Windows-11-Tauglichkeit. Danach ist die Entscheidung zwischen Verlängern und Tauschen in den meisten kleinen Umgebungen keine Glaubensfrage mehr, sondern eine Zeile in einer Tabelle.
Preise und Verfügbarkeit auf Amazon prüfen, Stand der Angaben ist der 18. September 2026. Als Amazon-Partner verdienen wir an qualifizierten Verkäufen, für dich entstehen dadurch keine Mehrkosten.
