Was sich mit dem Datum ändert
Am 12. Januar 2027 bleibt nichts stehen. Der Server startet, die Dateien öffnen sich, die Anwendung läuft. Was aufhört, sind die Sicherheitsupdates: Microsofts Lebenszyklus für Windows Server 2016 endet an diesem Tag, und jede Lücke, die danach gefunden wird, bleibt auf dieser Maschine offen. Dauerhaft.
Damit wird aus einem funktionierenden Server eine wachsende Angriffsfläche, und ein Befund. Cyberversicherer fragen, ob Sie Systeme ohne Herstellersupport betreiben, und bepreisen die Antwort. Die Fragebögen Ihrer Mandanten und Kunden fragen dasselbe. Wer unter Aufsichtsregeln zum IT-Risiko arbeitet, muss ablösen, was der Hersteller nicht mehr pflegt. Ein Server ohne Support im Netz ist das Erste, was ein Prüfer aufschreibt, weil es das Erste ist, was er findet.
Und es ändert, wie ein Vorfall verläuft. Ein Server, der keine Updates mehr bekommt, ist der, den ein Angreifer sich vornimmt, sobald er drin ist, und der, nach dem Ihr Versicherer hinterher fragt. Das Datum ist nicht der Tag, an dem das Risiko beginnt. Es ist der Tag, ab dem man es nicht mehr abstreiten kann.
Wo ein 2016er Server meist noch steht
In Unternehmen mit 30 bis 150 Mitarbeitenden erreichen vor allem die Server dieses Alter, die niemand anfasst, weil sie laufen:
- der Dateiserver, oft die älteste Maschine im Haus, mit zehn Jahren Akten, Projekten oder Mandantendaten darauf
- der Domänencontroller, der jedes Konto und jedes Passwort hält und entscheidet, wer sich anmelden darf
- ein Anwendungsserver für die eigene Fachsoftware: Kanzleisoftware, Dokumentenmanagement, Buchhaltung, Zeiterfassung, ein Lizenzserver für CAD
- ein Druckserver, ein Terminalserver, auf den sich die Leute von zu Hause verbinden, ein Backup-Ziel
- ein Server, den es nur gibt, weil eine alte Sache darauf läuft: ein Scan-Workflow, ein Faxgateway, eine Datenbank, die vor Jahren jemand gebaut hat
Der erste Schritt ist keine Entscheidung, sondern eine Bestandsaufnahme: Welche Server laufen mit 2016 oder älter, was läuft auf jedem, und was hängt daran? Die Abhängigkeiten zählen mehr als die Liste. Ein Dateiserver ist leicht ersetzt, bis man die Anwendung findet, die unter seinem alten Namen auf eine Freigabe schreibt.
Die drei Wege
Den Server ablösen
Was er tut, dorthin bringen, wo es hingehört, und ihn abschalten. Dateien nach SharePoint, geordnet nach Akte, Mandant oder Projekt. Identitäten nach Microsoft Entra ID; die lokale Domäne bleibt nur, wo eine Anwendung sie noch braucht, oder geht ganz, sobald nichts mehr an ihr hängt. Drucken in einen Cloud-Druckdienst. Die Anwendung in die gehostete Version des Herstellers, wo es eine gibt, und die meisten Kanzlei- und Buchhaltungshersteller haben inzwischen eine.
Für ein Unternehmen, das ohnehin in Microsoft 365 arbeitet, ist das auf Dauer der günstigste Weg: Es bleibt kein Server, der gepatcht, gesichert und in sieben Jahren wieder ersetzt werden muss, und keine Lizenz, die dafür verlängert wird. Es ist zugleich der Weg, der für die Leute am meisten ändert, und braucht deshalb vor allem einen Plan für die Dateien: was umzieht, was archiviert wird, was gelöscht wird, und wer das entscheidet.
Den Server ersetzen
Ein neuer Windows Server 2025, auf eigener Hardware oder als virtuelle Maschine in Azure, und die Rollen ziehen um. Das ist der Weg, wenn die Anwendung ein Server bleiben muss: ein Lizenzserver für CAD-Software, der einen Maschinennamen prüft, eine Kanzleisoftware, die nur auf Windows Server läuft, eine Datenbank, die der Hersteller nicht hostet, ein Scanner, der nur mit einer lokalen Freigabe spricht.
Zwei Dinge entscheiden hier über die Kosten. Das eine ist die Lizenz: Windows Server wird pro Kern lizenziert, dazu kommen Zugriffslizenzen für die Nutzer, und ein Server, der 2016 mit seiner Hardware gekauft wurde, hat selten Unterlagen, die sich sauber übertragen lassen. Das andere ist die Hardware: Ein Server, der zehn Jahre gelaufen ist, sollte auf denselben Platten kein neues Betriebssystem bekommen. In Azure entfällt die Hardwarefrage, und die Lizenz kann mit der virtuellen Maschine kommen.
Den Server überbrücken
Microsoft bietet für Windows Server 2016 Extended Security Updates an, bereitgestellt über Azure Arc: Der Server wird bei Azure registriert und bekommt seine Updates von dort, auch wenn er in Ihrem Haus stehen bleibt. Sie kosten Geld, und sie sind eine Brücke, kein Ziel: für die eine Anwendung, die vor Januar nicht umziehen kann, während der Umzug geplant und terminiert wird. Ein Server mit Extended Security Updates gilt in den meisten Fragebögen weiter als ohne Support; die Brücke kauft Zeit, keine saubere Antwort.
Direkt aktualisieren oder umziehen?
Die Frage kommt bei jedem Server, deshalb die Antwort vorweg: Die Rollen auf einen frischen Server umzuziehen ist fast immer der bessere Weg. Ein Upgrade von 2016 auf 2025 an Ort und Stelle schleppt zehn Jahre Einstellungen, Treiber und Reste in das neue System, und wenn es auf halbem Weg scheitert, haben Sie weder den alten Server noch den neuen. Ein frischer Server lässt sich neben dem alten testen, und der alte bleibt, bis der neue ein paar Wochen gelaufen ist.
Die Ausnahme ist der kleine Server mit einem einzigen Zweck, dessen Software der Hersteller ohnehin neu installiert. Dort kann das Upgrade an Ort und Stelle der schnellste Weg sein, mit einem vollständigen Backup und einer geprüften Wiederherstellung, bevor es beginnt.
Was außer Windows noch auf dem Server liegt
Das Betriebssystem ist selten das Einzige, das sein Ende erreicht. Prüfen Sie, was darauf läuft:
- Ein alter SQL Server unter der Kanzleisoftware oder der Buchhaltung hat einen eigenen Lebenszyklus, und die Anwendung braucht ohnehin meist eine neuere Version.
- Ein Exchange Server auf derselben Maschine, falls die Post nie nach Microsoft 365 umgezogen ist, zieht als Erstes um, weil er aus dem Internet erreichbar ist.
- Die Funktionsebene der Domäne, wenn der Server der letzte Domänencontroller ist, begrenzt, was ein neuer kann, bis sie angehoben wird.
- Zertifikate, geplante Aufgaben, Skripte und Druckertreiber, die seit dem Aufbau des Servers niemand angesehen hat. Das sind die Dinge, die am Tag nach dem Umzug brechen.
Wie wir das angehen würden
- Bestandsaufnahme und Abhängigkeiten: Was tut der Server, wer spricht mit ihm, welches Backup deckt ihn ab, wer nutzt ihn zu welchen Zeiten?
- Eine Entscheidung je Rolle, nicht eine je Server: Die Dateien werden abgelöst, die Anwendung ersetzt, das Drucken zieht um, die Domäne bleibt oder geht.
- Eine geprüfte Wiederherstellung, bevor irgendetwas angefasst wird. Ein Umzug, den man nicht rückgängig machen kann, ist keiner.
- Der neue Server oder der neue Ort wird neben dem alten aufgebaut, jede Rolle einzeln umgezogen und geprüft, während der alte noch läuft.
- Der Wechsel selbst in einem Zeitfenster abseits Ihrer Fristen: Abgabetermine, Angebotsfristen, Monatsabschluss, die Woche, in der eine Prüfung ansteht.
- Hypercare in den Wochen danach, mit dem alten Server abgeschaltet, aber noch nicht gelöscht, damit eine vergessene Abhängigkeit in Minuten wieder eingeschaltet werden kann.
- Der alte Server gelöscht und dokumentiert, der neue in Ihrer Nachweismappe: was wo läuft, wer die Admin-Konten hält, wann zuletzt gepatcht und wann das Backup zuletzt wiederhergestellt wurde.
Die Fragen, die Sie jetzt stellen sollten
Wer Ihre IT betreibt, sollte diese Fragen noch diese Woche beantworten können:
- Welche unserer Systeme laufen mit Windows Server 2016 oder älter, und was läuft darauf?
- Was ist der Plan und der Termin für jedes einzelne?
- Was passiert beim Umzug mit unseren Backups, und wurde eine Wiederherstellung geprüft?
- Wer hält die Admin-Konten des neuen Servers, und wo steht das?
- Was wird im Fragebogen des Versicherers im Februar über unsere Server stehen?
Sind die Antworten vage, ist das Datum nicht das erste Problem.
Wenn der Januar zu nah ist
Beginnen Sie mit der Angriffsfläche, nicht mit der Größe: Ein Server, der aus dem Internet erreichbar ist (Remotedesktop, VPN, eine Webanwendung, die Post), zieht zuerst um, dann der Domänencontroller, dann der Rest. Was noch nicht umziehen kann, wird so abgeschottet, dass es nur noch mit dem spricht, womit es muss: kein Internetzugang, keine Anmeldung von außen, keine Admin-Konten, die auch anderswo benutzt werden. Für diese eine Anwendung kaufen Sie die Brücke, und der Umzug steht mit Datum und Namen im Plan für das erste Quartal.
Fragen, die wir dazu hören
Bleibt der Server am 12. Januar 2027 stehen?
Nein. Er läuft genau so weiter wie vorher. Er bekommt keine Sicherheitsupdates mehr, und das ist eine andere Art von Problem: am Tag selbst unsichtbar, und jeden Monat danach größer.
Wir nutzen den Server nur als Dateiserver. Ist das trotzdem ein Risiko?
Ja, und oft das größte. Auf dem Dateiserver liegen die Daten, die ein Angreifer will, und Ransomware ist genau für diese Maschine geschrieben. Zugleich ist er der Server, der sich am leichtesten ablösen lässt, weil SharePoint und OneDrive seine Arbeit ganz ohne Server erledigen.
Können wir einfach Extended Security Updates kaufen und ihn stehen lassen?
Können Sie, für begrenzte Zeit und gegen Geld, und nur über Azure Arc. Die Updates kommen dann weiter; der Server gilt deshalb bei Versicherern und Mandanten nicht als unterstützt, und die Hardware wird nicht jünger. Nehmen Sie es als Brücke für eine Anwendung, die noch nicht umziehen kann, mit dem Umzug im Kalender.
Wie lange dauert ein Umzug?
Bei einem Unternehmen dieser Größe von der Bestandsaufnahme bis zum abgeschalteten alten Server meist einige Wochen Kalenderzeit mit wenigen Tagen echter Arbeit, die meiste davon in Planung und Prüfung. Der Umzug selbst ist oft ein Abend oder ein Wochenende. Was ihn in die Länge zieht, ist eine Anwendung, deren Hersteller mitarbeiten muss, oder Dateien, über die niemand entscheidet.
Gilt das auch für Windows Server 2019?
Noch nicht: Windows Server 2019 wird bis Januar 2029 unterstützt. Wer jetzt einen 2016er ablöst, sollte sich die 2019er im selben Projekt ansehen, denn die Arbeit ist dieselbe, und der nächste Termin ist näher, als er aussieht.