Windows 10 ohne Support: Migration auf Windows 11 für KMU (ESU, alte Hardware, TPM)

Am 14. Oktober 2025 hat Microsoft den Support für Windows 10 beendet. Seitdem erhalten Geräte ohne Extended Security Updates (ESU) keine Sicherheitsupdates mehr. Für IT-Verantwortliche in kleinen und mittleren Unternehmen stellt sich je Gerät dieselbe Frage: direkt auf Windows 11 aktualisieren, mit ESU befristet absichern oder ersetzen? Diese Anleitung führt Sie durch Inventur, Entscheidung und Umsetzung und stützt sich ausschließlich auf Angaben von Microsoft.

Voraussetzungen

• Liste aller Windows-10-Geräte mit Edition und Version (Active Directory, Intune, Configuration Manager oder RMM-Werkzeug)
• Lokale Administratorrechte für die Inventurbefehle; Get-Tpm und Confirm-SecureBootUEFI brauchen eine erhöhte PowerShell
• Für ESU: Microsoft-Volumenlizenzvertrag, ein Entra-ID-Konto mit der Rolle Product Key Reader oder VL Administrator im Microsoft 365 Admin Center und Internetzugang der Geräte zu den Microsoft-Aktivierungsservern
• Ein aktuelles Backup jedes Geräts vor Upgrade oder Partitionsumbau
• Eine Liste der Fachanwendungen mit Herstellerfreigabe für Windows 11

Schritt 1: Geräte auf Windows-11-Tauglichkeit prüfen

Microsoft nennt als Mindestanforderungen: 64-Bit-Prozessor mit mindestens zwei Kernen und 1 GHz aus der Liste unterstützter Prozessoren, 4 GB RAM, 64 GB Speicher, UEFI mit Secure-Boot-Fähigkeit, TPM 2.0, DirectX 12 mit WDDM-2.0-Treiber und ein Display ab 720p und 9 Zoll. Welche CPUs unterstützt sind, steht in den Microsoft-Listen für Intel und AMD.

Für die Einzelprüfung reichen drei Befehle in einer erhöhten PowerShell:

Get-Tpm | Select-Object TpmPresent, TpmReady
Get-CimInstance -Namespace root\cimv2\Security\MicrosoftTpm -ClassName Win32_Tpm | Select-Object SpecVersion
Confirm-SecureBootUEFI

SpecVersion beginnt bei tauglichen Geräten mit 2.0. Confirm-SecureBootUEFI liefert True bei aktivem Secure Boot, False bei deaktiviertem und meldet „Cmdlet not supported on this platform“ auf Geräten im BIOS-Modus (Legacy).

Für viele Geräte nutzen Sie das Microsoft-Skript HardwareReadiness.ps1 (Download über aka.ms/HWReadinessScript). Es prüft Speicher, RAM, CPU, TPM und Secure Boot und gibt ein JSON-Objekt aus. Verteilen Sie es per Intune, Configuration Manager oder Gruppenrichtlinie und sammeln Sie die Ausgaben zentral:

powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\HardwareReadiness.ps1

Laut Skript bedeutet returnCode 0 „tauglich“, 1 „Anforderung nicht erfüllt“ (Grund in returnReason), -1 „nicht ermittelbar“ und -2 „Skript lief nicht“. Die Ausführung mit Bypass gilt nur für diesen einen Prozess.

Verifizieren: Für jedes Gerät liegt ein returnCode vor. Geräte mit -1 oder -2 prüfen Sie einzeln mit den drei Befehlen oben nach, bis jedes Gerät eindeutig als tauglich oder nicht tauglich eingestuft ist.

Schritt 2: Je Gerät eine Strategie festlegen

Ordnen Sie jedes Gerät genau einer Kategorie zu. Die Tabelle fasst die Wege zusammen, die Microsoft unterstützt:

Planen Sie für jede Kategorie ein Zieldatum. ESU ist laut Microsoft auf höchstens drei Jahre nach Supportende begrenzt; ein Gerät, das 2028 noch läuft, braucht also spätestens dann einen anderen Weg.

Verifizieren: Jedes Gerät Ihrer Inventurliste hat genau eine Kategorie, einen Verantwortlichen und ein Zieldatum.

Schritt 3: ESU für Überbrückungsgeräte aktivieren

Die Bedingungen des kommerziellen ESU-Programms laut Microsoft:

• Nur Windows 10, Version 22H2, mit KB5066791 oder neuer; danach muss das ESU Licensing Preparation Package KB5072653 installiert sein.
• Kauf über Volume Licensing, Mindestmenge eine Lizenz, nur ganze Jahre. Jahr 1 beginnt im November 2025. Wer später einsteigt, bezahlt die Vorjahre mit, weil ESU kumulativ ist. Der Preis verdoppelt sich laut Microsoft mit jedem Folgejahr.
• Höchstens drei Jahre nach Supportende. ESU enthält nur kritische und wichtige Sicherheitsupdates, keine Funktionen und keinen allgemeinen technischen Support.
• Windows 10 LTSB/LTSC hat eigene Lebenszyklen und ist nicht Teil des ESU-Programms.
• Windows-10-VMs in Windows 365, Azure Virtual Desktop, Azure-VMs und Azure Local erhalten ESU ohne Zusatzkosten.

Die aktuellen Preise nennt Microsoft auf der ESU-Seite bei Microsoft Learn. Prüfen Sie zuerst die Version:

(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').DisplayVersion
Get-HotFix -Id KB5066791, KB5072653 -ErrorAction SilentlyContinue

Den Mehrfachaktivierungsschlüssel (MAK) finden Sie im Microsoft 365 Admin Center unter Abrechnung > Ihre Produkte > Volumenlizenzierung > Verträge anzeigen > Produktschlüssel anzeigen. Installieren und aktivieren Sie ihn in einer erhöhten Eingabeaufforderung. Die Aktivierungs-ID hängt vom ESU-Jahr ab:

slmgr.vbs /ipk <ESU-MAK>
rem Jahr 1: f520e45e-7413-4a34-a497-d2765967d094
rem Jahr 2: 1043add5-23b1-4afb-9a0f-64343c8f3f8d
rem Jahr 3: 83d49986-add3-41d7-ba33-87c7bfb5c0fb
slmgr.vbs /ato <Aktivierungs-ID>
slmgr.vbs /dlv

Im November 2026 beginnt ESU-Jahr 2. Für jedes Jahr ist die passende Aktivierungs-ID zu aktivieren. Geräte ohne Internetzugang aktivieren Sie telefonisch, wie Microsoft es in der Anleitung zur ESU-Aktivierung beschreibt.

Hinweis für Privatgeräte im Betrieb: Das Verbraucher-ESU-Programm endet laut Microsoft am 12. Oktober 2027 und ist für Geräte ausgeschlossen, die einer Active-Directory-Domäne oder Entra ID beigetreten oder in einem MDM wie Intune registriert sind.

Verifizieren: slmgr.vbs /dlv zeigt das ESU-Programm des aktuellen Jahres mit dem Lizenzstatus „Lizenziert“ (Licensed). In Windows Update erscheinen danach die monatlichen Sicherheitsupdates für Windows 10.

Schritt 4: Kompatible Geräte auf Windows 11 aktualisieren

Ein direktes Upgrade setzt laut Microsoft Windows 10 ab Version 2004 mit einem Sicherheitsupdate ab September 2021 voraus. Das In-Place-Upgrade erhält Anwendungen, Daten und Einstellungen. Verwaltete Geräte aktualisieren Sie mit Ihren vorhandenen Werkzeugen, etwa Intune, Configuration Manager oder Windows Update for Business.

Läuft ein taugliches Gerät noch im BIOS-Modus mit MBR-Datenträger, wandeln Sie den Systemdatenträger mit dem Microsoft-Werkzeug MBR2GPT ohne Datenverlust in GPT um. Erstellen Sie vorher ein Backup und setzen Sie BitLocker aus; Microsoft verlangt danach, die Schlüsselschutzvorrichtungen zu löschen und neu anzulegen.

manage-bde -protectors -disable C:
mbr2gpt /validate /disk:0 /allowFullOS
mbr2gpt /convert /disk:0 /allowFullOS

Stellen Sie anschließend in der Firmware auf UEFI um, deaktivieren Sie das Compatibility Support Module (CSM) und aktivieren Sie Secure Boot. Virtuelle Maschinen brauchen für Windows 11 Generation 2 mit Secure Boot und virtuellem TPM; ein In-Place-Upgrade einer Generation-1-VM ist laut Microsoft nicht möglich. Legen Sie dafür eine neue VM an, siehe Hyper-V: Virtuelle Maschinen und Checkpoints.

Verifizieren: winver zeigt Windows 11, Confirm-SecureBootUEFI liefert True, BitLocker ist wieder aktiv (manage-bde -status C:), und die Fachanwendungen des Geräts starten ohne Fehler.

Schritt 5: Nicht taugliche Geräte ersetzen oder anders absichern

Für Geräte, die die Anforderungen nicht erfüllen, nennt Microsoft drei unterstützte Wege: ESU als Überbrückung (Schritt 3), einen neuen Windows-11-Rechner oder Windows 365. Windows-10-Endgeräte, die sich mit einem Windows-365-Cloud-PC verbinden, erhalten bei aktivem Windows-365-Abonnement bis zu drei Jahre ESU.

Für fest verbaute Spezialgeräte wie Kassen, Messplätze oder Maschinensteuerungen kann Windows 10 IoT Enterprise LTSC 2021 passen: Microsoft führt den Extended Support bis 14. Januar 2032. Die normale Windows 10 Enterprise LTSC 2021 endet dagegen am 13. Januar 2027. Beide Editionen sind nicht für gewöhnliche Büroarbeitsplätze gedacht; klären Sie die Lizenzierung mit Ihrem Händler.

Installationen von Windows 11 auf nicht unterstützter Hardware lehnt Microsoft ab: Solche Geräte gelten als nicht unterstützt, haben keinen Anspruch auf Updates und zeigen ein Wasserzeichen. Für Unternehmen ist das deshalb keine Alternative zu ESU oder Ersatz. Inoffizielle Werkzeuge und abgespeckte Abbilder aus dem Internet gehören aus demselben Grund nicht auf Firmengeräte.

Verifizieren: Für jedes nicht taugliche Gerät steht in Ihrer Liste ein Austauschtermin oder eine ESU-Lizenz mit Enddatum. Kein Gerät läuft mehr mit Windows 10 ohne ESU oder mit Windows 11 auf nicht unterstützter Hardware.

Typische Fehler

• ESU-Updates kommen nicht an, obwohl der Schlüssel installiert ist: Das Gerät läuft nicht auf 22H2 oder KB5066791 bzw. KB5072653 fehlt. Version und Updates wie in Schritt 3 prüfen, danach slmgr.vbs /ato wiederholen.
• Falsche Aktivierungs-ID: Für das laufende ESU-Jahr ist eine eigene ID nötig. slmgr.vbs /dlv zeigt, welches Jahr aktiv ist.
• MAK im Admin Center nicht sichtbar: Dem Konto fehlt die Rolle Product Key Reader oder VL Administrator.
• ESU für LTSC-Geräte gekauft: LTSB/LTSC ist nicht Teil des Programms; dort gilt der eigene Lebenszyklus.
• MBR2GPT bricht bei der Prüfung ab: Das Werkzeug wandelt nur Systemdatenträger um und verlangt laut Microsoft höchstens drei primäre Partitionen, keine erweiterte Partition und eine aktive Systempartition. Die Meldungen von /validate zeigen den Grund; sonst Neuinstallation im UEFI-Modus.
• Gerät startet nach Umschalten auf UEFI nicht: Der Datenträger ist noch MBR. In der Firmware zurück auf BIOS-Modus, dann MBR2GPT ausführen.

Häufige Fragen

Hören Windows-10-Geräte ohne ESU auf zu funktionieren?

Nein. Sie laufen weiter, erhalten aber laut Microsoft seit dem 14.10.2025 weder Sicherheits- noch Qualitätsupdates und keinen technischen Support.

Wie lange gibt es ESU für Unternehmen?

Höchstens drei Jahre nach Supportende, also bis Oktober 2028. Gekauft wird jahresweise, und ein späterer Einstieg schließt die Vorjahre ein.

Gilt ESU auch für Geräte mit Windows 10 21H2?

Nein. Microsoft setzt Version 22H2 voraus. Aktualisieren Sie solche Geräte zuerst auf 22H2.

Kann ich Windows 11 ohne TPM 2.0 installieren?

Microsoft unterstützt das nicht. Solche Installationen haben keinen Anspruch auf Updates und sind im Unternehmen ungeeignet.

Wie verwalte ich die Umstellung zentral?

Upgrades und Updates steuern Sie über Intune, Configuration Manager oder Windows Update for Business, den ESU-MAK verteilen Sie wie jeden anderen Produktschlüssel per Skript. Den Update-Weg beschreibt Windows Updates, WSUS und Update for Business.

Fazit

Mit einer sauberen Inventur entscheiden Sie je Gerät auf belastbarer Grundlage: Taugliche Geräte gehen auf Windows 11, nicht taugliche bekommen ESU mit festem Austauschtermin oder werden ersetzt. ESU ist eine Brücke bis spätestens Oktober 2028, kein Dauerzustand. Planen Sie Beschaffung und Rollout deshalb jetzt und nutzen Sie danach Gruppenrichtlinien und Intune mit Windows Autopilot für die einheitliche Verwaltung.

Weiterführende Anleitungen und Quellen

• Windows Updates, WSUS und Update for Business
• Gruppenrichtlinien (GPO): Grundlagen und Praxis
• Intune: Windows-Geräte per Autopilot ausrollen
• Zwei-Faktor-Authentifizierung einführen
• Microsoft Learn: Extended Security Updates (ESU) program for Windows 10
• Microsoft Learn: Enable Windows 10 Extended Security Updates
• Microsoft Support: Windows 10 Consumer ESU program
• Microsoft Learn: Windows 11 requirements
• Microsoft Support: Installing Windows 11 on devices that don't meet minimum system requirements
• Microsoft Learn: MBR2GPT
• Microsoft Lifecycle: Windows 10 Enterprise LTSC 2021
• Microsoft Lifecycle: Windows 10 IoT Enterprise LTSC 2021