Windows 10 ESU Jahr 1 ist ausgelaufen: zweites Jahr kaufen, umstellen oder verkaufen?

Kurz gesagtAm 13. Oktober 2026 ist das erste Jahr der bezahlten Sicherheitsupdates für Windows 10 ausgelaufen, ohne zweites Jahr gibt es seitdem keine Updates mehr. Kaufen Sie das zweite Jahr (laut Microsoft 122 US-Dollar je Gerät) nur für Geräte mit festem Grund und Enddatum, stellen Sie taugliche Geräte auf Windows 11 um und verkaufen Sie den Rest nach geprüfter Löschung.

Seit dem 14. Oktober 2025 bekommt Windows 10 keine kostenlosen Sicherheitsupdates mehr. Wer sich mit dem bezahlten Programm für erweiterte Sicherheitsupdates (ESU) ein Jahr Zeit gekauft hat, hat am 13. Oktober 2026 dessen Ende erreicht. Für jedes Gerät steht jetzt dieselbe Frage wieder an, zum doppelten Preis. Geräte, für die das zweite Jahr nicht aktiviert ist, erhalten seit dem 14. Oktober 2026 keine Sicherheitsupdates mehr.

Was das ESU-Programm leistet und was nicht

ESU ist ein Abonnement, das Microsoft jahresweise verkauft. Eingeschriebene Geräte erhalten weiter die Sicherheitsupdates, die Microsoft als kritisch oder wichtig einstuft. Neue Funktionen, Fehlerbehebungen ohne Sicherheitsbezug und allgemeinen technischen Support schließt Microsoft aus. In den eigenen FAQ nennt Microsoft ESU eine Notlösung und eine vorübergehende Brücke bis zum Umstieg, keine Dauerlösung.

Berechtigt sind laut Microsoft die Editionen Enterprise, Education und Pro im gewerblichen Einsatz, jeweils in der letzten Version 22H2. Die Langzeitversionen LTSB und LTSC gehören nicht dazu (dazu unten mehr).

Was das zweite Jahr kostet und wie lange es läuft

Microsoft nennt für Unternehmen 61 US-Dollar je Gerät für das erste Jahr. Der Preis verdoppelt sich in jedem weiteren Jahr, höchstens drei Jahre lang. Die Enddaten stehen in Microsofts Lebenszyklus-FAQ:

Drei Regeln machen einen späteren Einstieg nicht billiger. ESU gibt es nur für ganze Jahre, nicht für einige Monate. Die Jahre bauen aufeinander auf: Wer erst im zweiten Jahr einsteigt, bezahlt das erste mit. Und nach dem dritten Jahr ist Schluss, eine vierte Verlängerung bietet Microsoft nicht an.

Ein Beispiel mit Microsofts Listenpreis: Für hundert Notebooks kostet allein das zweite Jahr 12.200 US-Dollar. Dafür erhalten die Geräte ein weiteres Jahr Sicherheitsupdates, an der Hardware ändert sich nichts. Wer ein drittes Jahr einplant, rechnet für dieselben hundert Geräte mit weiteren 24.400 US-Dollar.

Was das zweite Jahr für Ihre IT bedeutet

Das zweite Jahr verlängert sich nicht von selbst. Microsoft führt für jedes ESU-Jahr eine eigene Aktivierungs-ID. Den Schlüssel (Multiple Activation Key) sieht im Microsoft 365 Admin Center nur, wer die Rolle Product Key Reader oder VL Administrator hat. Er steht unter Abrechnung, Ihre Produkte, Volumenlizenzierung, bei den Produktschlüsseln des Vertrags. Klären Sie sofort, wer diese Rolle hat, denn bis zur Aktivierung bleiben die Geräte ohne Updates.

Auf jedem Gerät sind drei Befehle in einer Eingabeaufforderung mit Administratorrechten nötig:

1. slmgr.vbs /ipk <ESU-Schlüssel> installiert den Schlüssel.
2. slmgr.vbs /ato <Aktivierungs-ID> aktiviert das zweite Jahr. Nehmen Sie die ID aus Microsofts Anleitung „Enable Windows 10 Extended Security Updates“, Zeile „Win10 ESU Year2“ (beginnt mit 1043add5). Sie gilt für alle berechtigten Editionen.
3. slmgr.vbs /dlv zeigt das Ergebnis. Beim ESU-Programm des zweiten Jahres muss der Lizenzstatus „Licensed“ lauten.

Voraussetzung ist Windows 10 Version 22H2 mit dem Update KB5066791 oder neuer und danach dem Vorbereitungspaket KB5072653. Geräte ohne Internetzugang lassen sich per Telefon oder mit dem Volume Activation Management Tool aktivieren. Das kostet Zeit, gerade bei Rechnern in Produktion oder Lager. Planen Sie diesen Aufwand mit ein, wenn Sie Kosten vergleichen.

Welche Geräte auf Windows 11 wechseln können

Das Upgrade auf Windows 11 kostet keine ESU-Gebühr. Ob ein Gerät es schafft, entscheidet die Hardware. Microsoft verlangt unter anderem:

• einen kompatiblen 64-Bit-Prozessor mit mindestens zwei Kernen und 1 GHz
• 4 GB Arbeitsspeicher und 64 GB Speicherplatz
• UEFI-Firmware mit Secure Boot
• ein Trusted Platform Module (TPM) in Version 2.0

Wenn Sie Ihre Geräte mit Microsoft Intune verwalten, müssen Sie das nicht einzeln prüfen. Der Bericht „Windows Feature Update Device Readiness“ zeigt je Gerät, welche Anforderung für die gewählte Windows-11-Version fehlt, etwa Prozessorfamilie, TPM oder Secure Boot. Geräte mit dem Status „Replace device“ können diese Version laut Microsoft nicht installieren. Sie finden den Bericht im Intune Admin Center unter Berichte, Geräteverwaltung, Windows-Updates. Er beruht auf den Diagnosedaten der Geräte, die Microsoft mit bis zu etwa 52 Stunden Verzögerung bereitstellt.

Für Geräte, die eine Anforderung nicht erfüllen und sich nicht nachrüsten lassen, bleiben zwei Wege: weiter ESU bezahlen oder ersetzen.

Sonderfälle: LTSC, Windows 365, Microsoft 365 Apps, Leasing

LTSC-Versionen. Die Langzeitversionen von Windows 10 finden Sie zum Beispiel an Kassen, Messplätzen oder Produktionsrechnern. Sie sind laut Microsoft nicht Teil des ESU-Programms und haben eigene Lebenszyklen. Für diese Geräte zählt das Datum aus deren Lebenszyklus, nicht das ESU-Jahr.

Windows 365 und Azure Virtual Desktop. Für virtuelle Windows-10-Maschinen in diesen und weiteren Azure-Diensten gibt es ESU ohne Aufpreis. Außerdem nennt Microsoft eine Regel für die Hardware am Arbeitsplatz: Windows-10-Geräte, die sich mit einem Windows 365 Cloud-PC verbinden, haben bei aktivem Windows-365-Abonnement bis zu drei Jahre Anspruch auf ESU. Prüfen Sie diese Variante, bevor Sie Schlüssel kaufen.

Microsoft 365 Apps. Word, Excel und Outlook erhalten auf Windows 10 laut Microsoft noch bis zum 10. Oktober 2028 Sicherheitsupdates, aber ab Version 2608 keine neuen Funktionen mehr. Das schützt die Programme, nicht das Betriebssystem darunter. Ein Grund, Windows 10 ohne ESU weiterzubetreiben, ist es nicht.

Geleaste Geräte. ESU gibt es nur für ganze Jahre. Endet der Leasingvertrag nach wenigen Monaten, zahlen Sie das volle zweite Jahr für eine kurze Restlaufzeit. Klären Sie früh, ob Sie die Geräte zurückgeben oder ablösen und verkaufen. Worauf es ankommt, steht unter Leasingende und im Beitrag Leasingende: Rückgabe oder Ablösen.

Welcher Weg für welches Gerät

Entscheiden Sie je Gerät, nicht für den ganzen Bestand. Die Tabelle ordnet typische Lagen einem Weg zu.

Beim Weg „Ersetzen“ gehört auch in die Rechnung, was das Altgerät beim Verkauf bringt. Holen Sie dafür ein Angebot für die konkreten Geräte ein, bevor Sie die neuen bestellen.

Warum Lagern keine Lösung ist

Werden die alten PCs abgebaut und in den Keller gestellt, ist die Entscheidung nur vertagt. Zwei Dinge laufen in dieser Zeit weiter.

Das Gerät altert. In den Restwert fließt unter anderem das Alter ein, und das wächst im Lager weiter. Zugleich bleibt die Frage nach dem Betriebssystem offen: Ohne zweites ESU-Jahr erhält ein Windows-10-Gerät seit dem 14. Oktober 2026 keine Sicherheitsupdates mehr. Vor jeder neuen Nutzung und vor einem Verkauf müssen Sie also ohnehin über Windows 11 oder die Löschung entscheiden.

Die Daten bleiben. Ein abgebauter PC enthält alles, was beim letzten Herunterfahren auf dem Datenträger lag. Ist BitLocker aktiv, sind diese Daten verschlüsselt, gelöscht sind sie nicht. Wer Zugang zum Lager hat, hat damit auch Zugang zu den Datenträgern. Legen Sie deshalb beim Abbau fest, wer die Löschung beauftragt, und vermerken Sie den Lagerplatz je Seriennummer in Ihrer Geräteliste.

Verschlüsselt heißt nicht gelöscht

BitLocker verschlüsselt ganze Laufwerke. Microsoft nennt als Zweck den Schutz vor Datendiebstahl bei verlorenen, gestohlenen oder unsachgemäß ausgemusterten Geräten. Für die Abgabe reicht das allein nicht. Die verschlüsselten Daten liegen weiter auf dem Datenträger, und der Wiederherstellungsschlüssel kann laut Microsoft in Microsoft Entra ID, im Active Directory oder in einem Microsoft-Konto gesichert sein. Wer diesen Schlüssel hat, kann die Daten lesen. Solange Daten und Schlüssel existieren, sind die Daten nicht weg.

Bei SSDs kommt hinzu, dass einfaches Überschreiben nicht jeden Speicherbereich erreicht. NIST SP 800-88 beschreibt deshalb Verfahren je Datenträgertyp, deren Ergebnis geprüft wird. Mehr dazu unter SSD, kryptografisches Löschen und im Beitrag Formatiert ist nicht gelöscht.

Haben Geräte ohne Windows 11 noch einen Wert?

Das hängt vom einzelnen Gerät ab. Ein Notebook, das die Anforderungen von Windows 11 nicht erfüllt, ist technisch nicht kaputt. Es kann mit einem anderen Betriebssystem weiterlaufen oder Ersatzteile liefern. Was es bringt, hängt von Modell und Ausstattung ab, außerdem von Zustand und Menge. Klarheit schafft ein Angebot für die konkreten Seriennummern. Wie sich ein Preis zusammensetzt, erklärt der Beitrag Wie ein fairer Ankaufspreis entsteht.

Bevor ein Gerät weiterverkauft wird, müssen die Daten nachweisbar gelöscht sein, eine Neuinstallation reicht dafür nicht. Das übernehmen wir: Sie können die Geräte mit Daten übergeben, mit Vertrag zur Auftragsverarbeitung und Löschprotokoll je Gerät. Wie eine sichere Löschung abläuft, steht auf unserer Seite zur sicheren Datenlöschung.

Was Sie jetzt tun sollten

1. Bestand erfassen. Eine Liste aller Windows-10-Geräte mit Modell, Seriennummer, Edition (Pro, Enterprise, LTSC) und Standort. Die Inventarisierung ist die Grundlage für jede weitere Entscheidung.
2. Windows-11-Tauglichkeit prüfen. In Intune den Bericht „Windows Feature Update Device Readiness“ für Ihre Windows-11-Zielversion erzeugen und exportieren. Alle Geräte mit „Replace device“ kommen auf eine eigene Liste, mit dem Grund aus der Spalte der Systemanforderungen.
3. Jedes Gerät einem Weg zuordnen. Nach der Tabelle oben. ESU Jahr 2 nur dort, wo ein fester Grund und ein Enddatum eingetragen sind.
4. ESU Jahr 2 aktivieren und kontrollieren. Für die Geräte, die bleiben: Schlüssel installieren, mit der Aktivierungs-ID des zweiten Jahres aktivieren (Befehle oben) und mit slmgr.vbs /dlv den Status „Licensed“ prüfen. Halten Sie das Ergebnis je Seriennummer in Ihrer Geräteliste fest.
5. Angebot für die Altgeräte einholen, bevor Sie neue bestellen. So steht der Erlös in der Kalkulation des Wechsels.
6. Geräte freigeben. Aus Intune und Autopilot entfernen (Autopilot-Deregistrierung), BitLocker-Schlüssel aufbewahren, bis die Löschung bestätigt ist. Die Checkliste zur IT-Ausmusterung hilft dabei.
7. Löschung belegen lassen. Für jedes Gerät ein Löschprotokoll mit Seriennummer.

So helfen wir beim Wechsel

Wir kaufen ausgemusterte Notebooks und PCs an, vom einzelnen Gerät bis zum ganzen Lager. Sie bekommen ein Angebot mit einem Preis je Gerät, die Abzüge stehen einzeln daneben, bezahlt wird der geprüfte Ist-Zustand. Die Abholung läuft bundesweit per versichertem Versandlabel, Spedition oder direkter Abholung, auf Wunsch löschen wir vorher bei Ihnen vor Ort. Gelöscht wird in Deutschland mit Securaze nach NIST SP 800-88 Purge, jedes Gerät bekommt sein Protokoll. Mehr zum Ablauf beim Hardware-Wechsel.

Keine Rechtsberatung. Stand der Angaben: 15. Oktober 2026.