Windows 11 ohne Sicherheitsupdates: Welche Risiken für den Mittelstand real sind

Stellen Sie sich vor, ein Buchhalter öffnet morgens eine E-Mail, klickt auf einen Anhang — und nichts passiert. Zumindest nicht das, was er sieht. Im Hintergrund nutzt Schadsoftware eine Schwachstelle im Betriebssystem aus, für die es längst einen Patch gäbe. Den hat das Unternehmen aber nie eingespielt, weil niemand bemerkt hat, dass die verwendete Windows-Version keinen Update-Support mehr erhält.

Dieses Szenario ist keine Ausnahme. Es ist das Standardmuster bei einem erheblichen Teil der Sicherheitsvorfälle in mittelständischen Unternehmen. Und es wird konkreter: Am 10.11.2026 endet für Windows 11, Version 23H2, in den Editionen Enterprise, Education und Enterprise Multi-Session der monatliche Sicherheits-Update-Support. Danach liefert Microsoft keine Patches mehr für diese Version aus. Der letzte reguläre Patchday ist der November 2026.

Wer bis dahin nicht auf eine unterstützte Version umgestiegen ist, betreibt seine Clients in einer Lage, die sich von Monat zu Monat verschlechtert — weil neue Schwachstellen entdeckt werden, für die es schlicht keine Korrekturen mehr gibt.

---

Was das Ende des Update-Supports konkret bedeutet

Der Begriff „End of Updates" klingt technisch und abstrakt. Tatsächlich ist der Vorgang einfach: Microsoft veröffentlicht für Windows monatlich sogenannte Cumulative Updates, die bekannte Sicherheitslücken schließen. Diese Updates erscheinen für jede Version separat. Endet der Support für eine Version, stoppt auch dieser Patch-Lieferdienst.

Für Windows 11, Version 23H2 in den betroffenen Business-Editionen gilt laut der Microsoft-Seite „Windows release health" der 10.11.2026 als „end of updates". Die ergänzende Microsoft-Lifecycle-Seite für Windows 11 Enterprise and Education nennt als exaktes „End Date" den 11.11.2026 um 6:59:59 Uhr Pacific Time — das ist dasselbe technische Datum, von der Zeitzone abweichend formuliert.

Wichtig: Home- und Pro-Editionen von 23H2 haben diesen Punkt bereits am 11.11.2025 erreicht. Wer also auf 23H2 Pro läuft, ist seit Ende 2025 ohne monatliche Patches. Enterprise-Kunden hatten ein Jahr mehr Zeit — diese Frist läuft jetzt ab.

Welche Windows-11-Versionen weiterhin Patches erhalten

Für Unternehmen, die auf eine unterstützte Version wechseln möchten, stehen laut Microsoft-Lifecycle-Seite diese Optionen zur Verfügung (mit jeweiligem Support-Ende):

Version	Verfügbar seit	Support bis (Enterprise/Education)
24H2	01.10.2024	13.10.2027
25H2	30.09.2025	11.10.2028
26H1	10.02.2026	14.03.2029
26H2	29.09.2026	09.10.2029

Microsoft empfiehlt, berechtigte Geräte auf eine dieser weiterhin unterstützten Versionen zu aktualisieren. Welche davon im Einzelfall am sinnvollsten ist, hängt unter anderem davon ab, wie aktuell die vorhandenen Geräte sind und ob alle Versionen von der vorhandenen Hardware unterstützt werden. Die Angabe, welche Version Microsoft explizit als bevorzugtes Upgrade-Ziel empfiehlt, lässt sich der Release-Health-Seite nicht entnehmen — dort heißt es nur: eine weiterhin unterstützte Version.

---

Das Windows 11 ohne Sicherheitsupdates Risiko im Betriebsalltag

Viele IT-Verantwortliche gehen davon aus, dass ihre Firewall oder ihr Virenschutz den Betrieb veralteter Betriebssystemversionen kompensiert. Das stimmt in einem sehr begrenzten Sinn — und ist gleichzeitig eine der häufigsten Fehleinschätzungen bei der Risikobewertung.

Eine Firewall filtert Netzwerkverkehr auf Basis von Regeln. Sie kann verhindern, dass ein Gerät unerlaubt kontaktiert wird. Sie kann aber nicht eingreifen, wenn ein Nutzer selbst eine bösartige Datei öffnet, ein Browser eine manipulierte Webseite lädt oder ein Dienst eine bekannte Betriebssystem-Schwachstelle ausnutzt — Angriffsvektoren, die alle auf Anwendungsebene oder im Kernel selbst ansetzen. Genau dort liefern monatliche Sicherheitspatches den Schutz.

Wie ungepatchte Systeme zum Angriffsziel werden

Sicherheitslücken, die Microsoft in einem Patch beschreibt, werden damit öffentlich dokumentiert. Angreifer lesen dieselben Bulletins wie Administratoren — und wissen danach genau, welche Schwachstelle in ungepatchten Systemen offen bleibt. In der Security-Praxis ist dieses Fenster zwischen Patch-Veröffentlichung und tatsächlicher Ausnutzung (n-day exploit) oft kürzer als der nächste Wartungszyklus eines Unternehmens.

Konkret heißt das: Wer im Dezember 2026 noch auf Windows 11 23H2 läuft, betreibt ein System, für das die erste Lücke nach dem letzten Patch bereits bekannt und öffentlich beschrieben ist — ohne dass eine Korrektur kommt.

Compliance und Haftung

Aus einer IT-Sicherheits-Einschätzung heraus lässt sich sagen: Wer personenbezogene Daten auf ungepatchten Systemen verarbeitet, kann im Fall eines Vorfalls nur schwer argumentieren, angemessene technische Maßnahmen getroffen zu haben — wie es Art. 32 DSGVO verlangt. Der Betrieb eines Clients, dessen Hersteller keine Patches mehr liefert und für den kein kompensierendes Schutzkonzept existiert, ist eine bekannte und vermeidbare Schwachstelle.

Dasselbe gilt für branchenspezifische Sicherheitsanforderungen, interne Richtlinien oder die Anforderungen von Cyber-Versicherungen: Viele Policen schließen Schäden aus, die auf dem Betrieb nicht mehr unterstützter Software beruhen. Ob das im Einzelfall zutrifft, klärt sich oft erst im Schadensfall — zu spät.

---

Ein typisches Szenario: Was passiert, wenn nichts passiert

Nehmen wir als hypothetisches Beispiel ein mittelständisches Unternehmen mit 40 Arbeitsplätzen. Die IT wird nebenbei vom Office-Manager betreut, Windows-Updates laufen halbautomatisch, aber niemand prüft systematisch, ob die verwendete Version noch im Support-Zyklus liegt. 23H2 Enterprise läuft seit dem Rollout problemlos — warum sollte sich etwas ändern?

Am 10.11.2026 ändert sich technisch nichts sichtbares. Die Rechner starten, Outlook öffnet sich, alles scheint normal. Nur dass Microsoft ab dem nächsten Patchday keine Korrekturen mehr für diese Installation ausliefert. Wenn im Februar 2027 eine kritische Kernel-Schwachstelle veröffentlicht wird, erhalten Geräte mit 23H2 keinen Fix. Jedes System, das weiterhin auf dieser Version läuft, bleibt dauerhaft anfällig — nicht nur kurzzeitig.

Das Unternehmen merkt das womöglich erst, wenn ein Vorfall passiert. Oder wenn ein Prüfer, ein Auftraggeber oder eine Versicherung nach dem Patch-Stand fragt.

---

Was „Hardware-Eignung vorab prüfen" in der Praxis bedeutet

Ein In-Place-Upgrade auf eine neuere Windows-11-Version ist kein aufwendiges Projekt — wenn die Hardware passt. Ob das der Fall ist, lässt sich nicht pauschalisieren, weil bestimmte Systemvoraussetzungen erfüllt sein müssen, die Microsoft für Windows 11 generell vorschreibt. Da diese Voraussetzungen in diesem Beitrag nicht an einer Microsoft-Primärquelle verifiziert wurden, benennen wir hier keine konkreten Schwellen.

Was sich aber sagen lässt: Geräte, die Windows 11 23H2 bereits erfolgreich ausführen, erfüllen grundsätzlich einen Teil der Mindestanforderungen. Ob ein Upgrade auf 24H2, 25H2 oder eine neuere Version ohne Probleme durchläuft, hängt dennoch von Treiber-Kompatibilität, BIOS-Konfiguration und möglichen Software-Abhängigkeiten ab — und sollte nicht ungetestet in der Produktion ausgerollt werden.

Für Unternehmen mit mehr als zehn Geräten empfiehlt sich eine strukturierte Vorgehensweise:

1. Inventar erstellen: Welche Geräte laufen auf Windows 11 23H2, in welcher Edition?
2. Kompatibilität prüfen: Ist das Ziel-Release für alle Gerätemodelle freigegeben?
3. Pilotgruppe auswählen: Upgrade auf einem oder wenigen Geräten testen, bevor der Rollout beginnt.
4. Rollout planen: Wartungsfenster festlegen, Kommunikation an Nutzer sicherstellen.
5. Nachkontrolle: Verifizieren, dass alle Geräte die neue Version installiert haben und Patches wieder eingehen.

Wer diesen Ablauf nicht strukturiert steuert, riskiert nach dem Stichtag ein unvollständiges Bild: Einige Geräte sind aktualisiert, andere nicht — und genau die letzten 10 oder 15 Prozent sind die, die im schlimmsten Fall das Einfallstor bilden.

---

Extended Security Updates: Übergangslösung mit offenem Preisschild

Ob Microsoft für Windows 11 23H2 Enterprise/Education nach dem 10.11.2026 kostenpflichtige Extended Security Updates (ESU) anbieten wird, konnte in diesem Beitrag nicht an einer Microsoft-Primärquelle verifiziert werden. Es ist deshalb nicht als gegeben zu behandeln. Für die Planungen von Unternehmen bedeutet das: Wer auf eine Übergangslösung durch ESU hofft, sollte dies aktiv bei Microsoft oder einem Lizenzpartner erfragen — und sich nicht darauf verlassen, dass ein solches Programm automatisch verfügbar oder zu vertretbaren Konditionen buchbar ist.

Selbst wenn ESU verfügbar wären, handelt es sich erfahrungsgemäß um eine befristete und in der Regel kostenpflichtige Übergangslösung, die das eigentliche Upgrade nicht ersetzt, sondern nur zeitlich verschiebt. Das Problem des veralteten Systemstands bleibt bestehen; es wird nur bezahlbar aufgeschoben.

---

Wie ein sinnvoller Umgang mit dem Stichtag aussieht

Vom Stichtag am 10.11.2026 sind Unternehmen unterschiedlich betroffen. Wer bereits auf 24H2 oder einer neueren Version läuft, hat keinen Handlungsbedarf durch diesen konkreten Termin. Wer auf 23H2 Pro oder Home läuft, ist seit November 2025 ohne Patches — also seit einem Jahr. Wer auf 23H2 Enterprise läuft, hat noch bis zum letzten Patchday im November 2026 Zeit.

Die eigentliche Frage ist nicht, ob ein Upgrade sinnvoll ist. Die Frage ist, ob das Unternehmen einen klaren Überblick hat: Welche Geräte laufen auf welcher Version? Gibt es Geräte, die das Upgrade nicht unterstützen? Gibt es geschäftskritische Anwendungen, deren Kompatibilität mit einer neueren Windows-Version nicht geprüft ist?

Wer diesen Überblick hat, kann eine fundierte Entscheidung treffen. Wer ihn nicht hat, betreibt Sicherheitspolitik im Blindflug.

---

Was der Einwand „Wir haben eine Firewall" wirklich bedeutet

Dieser Einwand begegnet uns in Gesprächen regelmäßig — und er ist nicht falsch, er ist nur unvollständig. Eine Firewall ist eine Schicht in einem Sicherheitsmodell, das aus mehreren unabhängigen Ebenen besteht. Endpoint-Sicherheit ist eine eigene Schicht darunter.

Das Prinzip dahinter heißt Defense in Depth: Kein einzelnes Schutzwerkzeug ist allein ausreichend. Firewalls schützen den Netzwerkperimeter. Antivirensoftware erkennt bekannte Schadroutinen. Betriebssystem-Patches schließen die Schwachstellen, bevor Schadsoftware sie überhaupt ausnutzen kann. Fehlt eine dieser Schichten, reduziert das die Gesamtwirkung der anderen erheblich — es hebt sie aber nicht auf.

Das heißt nicht, dass ein Unternehmen ohne Firewall besser dastände. Es heißt, dass eine Firewall kein Argument dafür ist, auf Betriebssystem-Updates zu verzichten. Beides zusammen ist die Basis; keines allein reicht.

---

Risikolage einschätzen lassen — bevor ein Vorfall das übernimmt

Für viele mittelständische IT-Verantwortliche ist der eigentliche Engpass nicht das Wissen über das Support-Ende, sondern die Zeit und Systematik, um den tatsächlichen Zustand der Windows-Flotte vollständig zu erfassen. Welche Geräte laufen noch auf 23H2? Welche Edition? Gibt es daneben noch ältere Versionen im Netz, etwa 22H2 Enterprise, deren Support bereits am 15.10.2025 endete?

Dieser Überblick lässt sich herstellen — mit den richtigen Werkzeugen und einer strukturierten Inventarisierung. SW Business Solutions bewertet auf Wunsch die Risikolage Ihrer Windows 10/11-Clients und hilft dabei, betroffene Geräte zu identifizieren und nach Priorität zu sortieren. Der erste Schritt ist dabei kein großes Projekt, sondern eine klare Einschätzung: Wo stehen Sie, und was ist dringend?

Wenn Sie wissen möchten, wie es um Ihre Clients steht, bevor ein Vorfall diese Frage beantwortet: Lassen Sie die Risikolage Ihrer Windows-Flotte einschätzen.

→ Jetzt unverbindliches Erstgespräch buchen

---

Zusammenhang mit dem größeren Bild: Support-Enden als Betriebsrisiko

Windows 11 23H2 ist kein Einzelfall. Support-Enden sind ein strukturelles Merkmal moderner Software — und betreffen gleichzeitig mehrere Ebenen der IT-Infrastruktur eines Unternehmens. Windows Server 2016 erreicht sein End of Life am 13.01.2027, also nur zwei Monate nach dem hier besprochenen Client-Stichtag. Wer beide Fristen im Blick hat, erkennt, dass sich hier ein Zeitfenster schließt, das aktives Handeln erfordert.

Dieselbe Logik gilt für andere Softwarekomponenten: PHP 8.2 hat sein End of Life hinter sich, ungepatchte Webanwendungen tragen dieselbe strukturelle Schwäche wie ungepatchte Betriebssysteme. Das Muster ist überall gleich: Ohne Patches werden bekannte Schwachstellen dauerhaft ausnutzbar.

Für Unternehmen, die eine verlässliche IT-Systembetreuung suchen, die Support-Enden aktiv nachverfolgt und rechtzeitig handelt, bieten wir das im Rahmen unserer Managed IT-Services an — nicht als Reaktion auf Vorfälle, sondern als vorausschauende Steuerung.