Windows Server 2016 EOL: Migrationsoptionen für KMU

Am 12. Januar 2027 endet der erweiterte Support (Extended Support) für Windows Server 2016. Ab diesem Tag liefert Microsoft keine Sicherheitsupdates mehr aus — weder über Windows Update noch über WSUS. Für KMU bedeutet das: Wer den Stichtag verpasst, betreibt produktive Systeme ohne Patches und verletzt damit in der Regel sowohl die eigene IT-Richtlinie als auch Anforderungen aus DSGVO, NIS2 und der Cyberversicherung.

Die gute Nachricht: Es gibt mehr als nur einen Weg. Wir sehen in der Praxis drei realistische Migrationspfade, die wir hier sachlich gegeneinander stellen — mit Kosten, Aufwand und typischen Stolperfallen.

Was endet konkret — und was nicht

Vom End-of-Life betroffen sind alle Editionen von Windows Server 2016 (Standard, Datacenter, Essentials) sowie die parallel laufenden Rollen wie Active Directory Domain Services, DHCP, DNS, Druckserver, IIS und die Hyper-V-Hosts dieser Generation. Auch der zugehörige System Center 2016 läuft Anfang 2027 aus.

Nicht betroffen, aber häufig verwechselt: Windows Server 2016 IoT (separate Lifecycle), SQL Server 2016 (Support endete bereits 2026) und Exchange Server 2016, dessen Support 2025 abgelaufen ist. Wer noch Exchange 2016 on-prem fährt, hat ein eigenes — akuteres — Problem.

In den nächsten Monaten sollten Sie zunächst eine vollständige Inventur fahren: Welche VMs laufen unter 2016? Welche Applikationen sind daran gebunden? Welche Lizenzen besitzen Sie wirklich (OEM, Volumenlizenz, Software Assurance)? Ohne diese Datenbasis lässt sich keine seriöse Migrationsentscheidung treffen.

Option 1: In-Place- oder Side-by-Side-Upgrade auf Server 2022/2025

Der naheliegende Weg führt zu Windows Server 2025, das seit November 2024 verfügbar ist und bis 2034 (Mainstream) bzw. 2039 (Extended) Support erhält. Server 2022 ist ebenfalls noch eine valide Option, läuft aber bereits bis Oktober 2031 nur noch im Extended Support.

Ein direktes In-Place-Upgrade von 2016 auf 2025 wird offiziell nicht unterstützt. Sie müssen den Weg 2016 -> 2019 -> 2022 -> 2025 gehen oder — was wir fast immer empfehlen — saubere Neuinstallationen als Side-by-Side-Migration aufsetzen. Bei Domain Controllern ist das ohnehin Pflicht: Neuen DC promoten, FSMO-Rollen übertragen, alten DC demoten.

Wichtig bei der Planung: Windows Server 2025 setzt für Active Directory ein Functional Level von mindestens 2016 voraus, bringt aber neue Features wie 32k-Datenbankseiten und verbesserte Kerberos-Kryptografie (AES SHA-256), die einen DFL-Lift auf 2025 sinnvoll machen — sobald alle DCs migriert sind.

Option 2: Workloads auf Linux verlagern

Viele Rollen, die historisch auf Windows Server laufen, lassen sich kostengünstig und stabil auf Linux abbilden. Das spart Lizenzkosten und reduziert den Patch-Aufwand spürbar. Typische Kandidaten:

• Datei- und Druckdienste — Samba 4.20+ liefert SMB3 mit Multichannel, Verschlüsselung und ACL-kompatiblen Freigaben.
• Active Directory — Samba AD DC ist seit Jahren produktiv einsetzbar und unterstützt FSMO-Rollen, Group Policies und LDAP-Replikation gegen Windows-DCs.
• Webdienste/Reverse Proxy — Nginx oder Caddy ersetzen IIS in den meisten Fällen 1:1.
• DHCP/DNS — ISC Kea und BIND9 oder dnsmasq sind in homogenen Netzen schneller als der Windows-Stack.

Ein gemischter Betrieb funktioniert ebenfalls: Samba-DC als zweiter DC neben einem Windows Server, gleichzeitige LDAP-Replikation. So lassen sich Migrationen über mehrere Monate strecken. Für die Storage-Schicht setzen wir typischerweise TrueNAS ein, das SMB-Freigaben mit ZFS-Snapshots, Replikation und Active-Directory-Anbindung kombiniert.

# Beispiel: Samba 4.20 als Mitgliedsserver in bestehende AD einbinden
sudo apt install samba winbind libpam-winbind libnss-winbind
sudo samba-tool domain join firma.local MEMBER \
  -U "administrator" --realm=FIRMA.LOCAL
# Anschließend nsswitch.conf um winbind ergänzen und kerberos.keytab erzeugen

Option 3: Azure Extended Security Updates (ESU)

Wer eine bestimmte Applikation auf 2016 weiterbetreiben muss — etwa weil der Hersteller die Zertifizierung für neuere OS-Versionen nicht nachgereicht hat — kann ESU buchen. Damit erhalten Sie nach Januar 2027 für maximal drei Jahre weiterhin sicherheitsrelevante Patches.

Es gibt zwei Liefermodelle: ESU via Azure (kostenlos für VMs, die in Azure laufen oder via Azure Arc verbunden sind, jedoch nur die Patches — die Azure-Infrastruktur kostet getrennt) und ESU on-prem mit kostenpflichtigem Add-on über Volumenlizenz. Letzteres ist deutlich teurer und endet spätestens nach Jahr 3.

ESU ist ein Übergangswerkzeug, keine Strategie. Wer die drei Jahre nicht aktiv für eine echte Migration nutzt, steht 2030 vor demselben Problem — mit weniger Druck im Hersteller-Ökosystem, das die Modernisierung weiter erschweren kann.

Kostenvergleich für einen typischen KMU-Standort

Beispielszenario: 3 physische Hosts, 12 VMs unter Server 2016, 50 User mit AD-Anbindung, Datei- und Druckdienste, 1 Terminalserver. Die Werte sind grobe Richtwerte (netto, ohne Migrationsdienstleistung):

Option	Lizenzkosten Jahr 1	Folgekosten/Jahr	Migrationsaufwand	Lifecycle bis
Upgrade auf Server 2025 (Standard, 16 Cores)	ca. 1.000 EUR pro Host	Patches inklusive	mittel (Side-by-Side)	2034
Datacenter-Edition (>2 VMs/Host)	ca. 6.300 EUR pro Host	Patches inklusive	mittel	2034
Linux + Samba AD (z.B. Debian 13)	0 EUR	optional Support 300—800 EUR	hoch (Schulung, Tooling)	rollierend
Azure ESU on-prem	ca. 75 % der aktuellen Lizenz/Jahr	steigt jährlich	gering	01/2030
Workload in Azure VM + kostenlose ESU	Compute + Storage je Last	Compute laufend	mittel	01/2030

Die reinen Lizenzkosten sind nur ein Teil der Rechnung. Hinzu kommen Hardware (Server 2025 setzt höhere Mindestanforderungen), CALs, ggf. neue Backup-Agents und der zeitliche Aufwand für Tests und Rollout. Wir kalkulieren bei realistischen KMU-Projekten 8—25 Personentage je nach Komplexität.

Active-Directory-Migration: Stolperfallen aus der Praxis

Unabhängig vom gewählten Pfad ist die AD-Migration meist der heikelste Teil. Punkte, die in Projekten regelmäßig auftauchen:

• Functional Level prüfen — Steht der Forest noch auf 2008 R2 (gar nicht so selten), muss vorher gehoben werden.
• SYSVOL-Replikation — Falls noch FRS statt DFSR aktiv ist, vor dem ersten neuen DC migrieren (dfsrmig).
• DNS-Aliase und SPNs — Beim Umbenennen alter Server gehen leicht Kerberos-Tickets und Datei-Shares verloren.
• Gruppenrichtlinien — ADMX-Templates der neuen OS-Version in den Central Store einspielen, alte Policies auf Kompatibilität prüfen.
• Time-Sync — Der PDC-Emulator muss eine valide externe Zeitquelle haben, sonst scheitert Kerberos.
• Druckserver — Beim Wechsel kommt der gute Anlass, den Druckmigrations-Assistenten zu nutzen und Treiber-Inventar zu bereinigen.

Für die parallel laufende Virtualisierungsschicht ersetzen viele Kunden Hyper-V 2016 ohnehin durch Proxmox VE, was zusätzlich Lizenzkosten spart und mit ZFS-Replikation eine elegante Disaster-Recovery-Option mitbringt.

Empfehlung: Jetzt entscheiden, in Q3/Q4 2026 migrieren

Wer im Januar 2027 nicht abgeschnitten sein will, sollte spätestens im dritten Quartal 2026 die Migration anstoßen. Die Reihenfolge in unseren Projekten:

1. Inventur und Lizenz-Audit (1—2 Wochen)
2. Zielarchitektur und Entscheidung Pfad 1/2/3 (Workshop)
3. Test-Migration in isolierter Umgebung
4. Produktive Migration in Wellen, beginnend mit unkritischen Diensten
5. Demoten/Abschalten der 2016-Systeme, Lizenz-Recycling

Mit etwas Vorlauf ist die EOL kein Drama — sondern die passende Gelegenheit, gewachsene Strukturen zu entrümpeln, Backup- und Monitoring-Konzepte zu modernisieren und Lizenzkosten neu zu sortieren.

---

DATAZONE unterstützt KMU im Großraum Neuburg/Donau, Ingolstadt und Augsburg bei der Planung und Umsetzung von Server-Migrationen — vom Lizenz-Audit über die AD-Modernisierung bis zur Ablösung durch Linux-basierte Dienste. Sprechen Sie uns an, wenn Sie für Ihre 2016-Server eine belastbare Roadmap brauchen.