Windows 10 ESU, Jahr zwei: zahlen, tauschen oder zentralisieren

/01Was am 14. Oktober 2026 passiert

Windows 10 ist seit dem 14. Oktober 2025 ohne regulären Support. Wer seine Geräte danach weiter mit Sicherheitsupdates versorgen wollte, hat Extended Security Updates gekauft, und dieses erste ESU-Jahr läuft am 13. Oktober 2026 ab. Am Tag darauf beginnt Jahr zwei. Microsoft schreibt dazu auf Microsoft Learn zwei Sätze, die den Rest dieses Artikels tragen: Der Preis verdoppelt sich in jedem Folgejahr, höchstens drei Jahre lang, und ESU ist kumulativ. Wer Jahr zwei kauft, zahlt Jahr eins mit, ob er es genutzt hat oder nicht.

Wir haben das Preismodell im Juli in unserem Beitrag zu den ESU-Kosten für Unternehmen ausgerechnet. Dieser Artikel wiederholt das nicht, sondern setzt dort an, wo die Entscheidung jetzt steht: Das erste Jahr war ein Aufschub. Das zweite ist eine Investitionsentscheidung, weil 122 USD je Gerät plus 244 USD im dritten Jahr zusammen die Größenordnung eines Gerätetauschs erreichen.

Zwei Abgrenzungen, bevor gerechnet wird. Erstens gilt alles Folgende für Windows 10 in der Version 22H2, denn nur diese Version nimmt ESU an; ältere Stände müssen vorher aktualisiert werden. Zweitens sind LTSB- und LTSC-Ausgaben nicht Teil des ESU-Programms, sie haben eigene Lebenszyklen. Ein Kassen- oder Maschinenrechner mit Windows 10 IoT Enterprise LTSC fällt also aus dieser Rechnung heraus.

Eine Änderung hat sich seit Juli ergeben, und sie ist für den Mittelstand eine Falle. Microsoft hat das Verbraucherprogramm verlängert: Consumer-ESU läuft inzwischen bis zum 12. Oktober 2027, für einmalig 30 USD, 1.000 Rewards-Punkte oder kostenlos mit eingeschalteter Einstellungssynchronisierung. Das klingt nach einem Ausweg für die Firmenflotte. Es ist keiner. Microsoft schließt Geräte in einer Active-Directory-Domäne, in Microsoft Entra und unter einer Geräteverwaltung ausdrücklich aus. Ein Firmen-Notebook, das per Consumer-ESU versorgt wird, ist entweder falsch lizenziert oder aus der Domäne gefallen. Beides wollen Sie nicht.

/02Die ESU-Rechnung für Jahr zwei und drei

Der Listenpreis über Volume Licensing beträgt 61 USD je Gerät im ersten Jahr. Die Zahlen für Jahr zwei und drei nennt Microsoft nicht als Betrag, sondern als Regel: Verdopplung je Folgejahr. Daraus ergeben sich 122 und 244 USD, kumuliert 427 USD je Gerät bis zum Programmende im Oktober 2028. Eine Variante ist im Windows IT Pro Blog dokumentiert: Wer seine Geräte über Intune oder Windows Autopatch verwaltet, zahlt im ersten Jahr 45 USD statt 61, rund ein Viertel weniger; wir nehmen an, dass die Verdopplungsregel auch auf diesen Einstiegspreis wirkt, belegt ist das für die Folgejahre nicht.

Für die Entscheidung im Oktober zählt nicht der Einzelpreis, sondern die Restsumme. Wer heute in Jahr zwei einsteigt, hat ab jetzt noch 366 USD je Gerät vor sich, sofern er bis zum Ende durchhält. Wer nach Jahr zwei aussteigt, hat 183 USD ausgegeben und muss die Geräte im Oktober 2027 trotzdem ablösen. Ehrlich: Jahr zwei kauft man für Geräte, deren Ablösung schon terminiert ist und lediglich nicht vor dem 14. Oktober fertig wird. Für alle anderen ist es das teuerste Jahr, weil man am Ende trotzdem tauscht.

Ob ein Gerät überhaupt schon ESU trägt und in welchem Jahr, zeigt der Lizenzstatus. Microsoft führt je ESU-Jahr eine eigene Aktivierungs-ID; die Abfrage funktioniert auf jedem Windows 10 22H2 ohne Zusatzwerkzeug:

# ESU-Lizenzstatus je Programmjahr (Activation-IDs laut Microsoft Learn)
cscript //nologo %windir%\system32\slmgr.vbs /dlv f520e45e-7413-4a34-a497-d2765967d094   # Jahr 1
cscript //nologo %windir%\system32\slmgr.vbs /dlv 1043add5-23b1-4afb-9a0f-64343c8f3f8d   # Jahr 2

# Windows-11-Tauglichkeit des Geräts in PowerShell
Get-Tpm | Select-Object TpmPresent, TpmReady, ManufacturerVersion
Confirm-SecureBootUEFI
(Get-CimInstance Win32_Processor).Name
(Get-CimInstance Win32_PhysicalMemory | Measure-Object Capacity -Sum).Sum / 1GB

Die vier unteren Zeilen sind der Schnelltest für den nächsten Abschnitt. Fehlt das TPM oder meldet Confirm-SecureBootUEFI einen Fehler, weil das Gerät im Legacy-BIOS-Modus bootet, ist Windows 11 ohne Eingriff nicht möglich. Für Flotten ab fünfzig Geräten gehört die Abfrage in Intune oder ein Skript über die Domäne, nicht in eine Excel-Liste.

/03Warum der Gerätetausch 2026 teurer ist als geplant

Die Mindestanforderungen für Windows 11 stehen fest und haben sich nicht bewegt: ein 64-Bit-Prozessor mit mindestens zwei Kernen und 1 GHz aus Microsofts Kompatibilitätsliste, 4 GB Arbeitsspeicher, 64 GB Speicherplatz, UEFI mit Secure Boot und TPM 2.0. Ein Gerät, das an einem dieser Punkte scheitert, wird durch Zuwarten nicht tauglich. Die Prozessorliste ist dabei die häufigere Hürde als das TPM: Viele Geräte der Baujahre 2016 und 2017 haben ein TPM 2.0, aber eine CPU, die Microsoft nicht führt.

Der Plan vieler Betriebe lautete deshalb: Jahr eins ESU, dann im Sommer 2026 in Ruhe neue Geräte kaufen. Dieser Sommer ist anders verlaufen. Wir haben die Lage in unserem Beitrag zu den Speicherpreisen 2026 zusammengetragen: Laut TrendForce stiegen die Vertragspreise für konventionelles DRAM im ersten Quartal 2026 um 93 bis 98 Prozent gegenüber dem Vorquartal, im zweiten um weitere 58 bis 63 Prozent; NAND-Flash zog im zweiten Quartal um 70 bis 75 Prozent an. Dell, Lenovo und HPE haben ihre Listenpreise seit Ende 2025 um rund 10 bis 17 Prozent angehoben. Die Zahlen beziehen sich auf Server-Speicher und Server-Listen, die Client-Preise folgen derselben Rohstoffkurve mit Verzögerung.

In der Praxis heißt das: Das Business-Notebook, das im Juli 2025 noch kalkuliert war, kostet heute mit 16 GB RAM und 512 GB SSD spürbar mehr, und die Lieferzeiten haben sich verlängert. Wer 80 Geräte tauschen will, bekommt sie nicht mehr in drei Wochen. Damit kippt die alte Rechnung: Die 122 USD für Jahr zwei sind nicht mehr „ein Fünftel eines neuen Geräts", sondern weniger, und der Tausch verschiebt sich von „billiger als ESU" zu „irgendwann unvermeidlich, aber gerade zum schlechtesten Zeitpunkt".

/04Der dritte Weg: den Arbeitsplatz zentralisieren

Zentralisieren heißt: Das Windows, in dem gearbeitet wird, läuft im Rechenzentrum, und das Gerät am Schreibtisch zeigt nur noch das Bild an. Der Windows-11-Desktop entsteht als Sitzung auf einem Terminalserver oder als eigene virtuelle Maschine. Das alte Gerät wird zum Zugriffsgerät, und dafür braucht es weder TPM 2.0 noch einen gelisteten Prozessor. Es braucht einen Remote-Desktop-Client, ein Netz und einen Bildschirm.

Drei Ausprägungen kommen für den Mittelstand in Frage. Der Terminalserver, also Remote Desktop Services auf Windows Server 2025, teilt einen Server unter vielen Sitzungen und ist die günstigste Form für Office-Arbeitsplätze. Desktop as a Service gibt jedem Nutzer eine eigene VM mit Desktop-Betriebssystem, betrieben durch einen Dienstleister; das ist teurer je Sitz, aber ohne die Kompatibilitätsgrenzen des Mehrbenutzerbetriebs. Und Windows 365 ist Microsofts eigener Cloud-PC aus Azure, mit einer Sonderregel, die man kennen muss.

Diese Sonderregel steht auf Microsoft Learn: Windows-10-VMs in Windows 365, Azure Virtual Desktop und weiteren Azure-Diensten erhalten ESU ohne Aufpreis, und ein lokales Windows-10-Gerät, das auf einen Windows-365-Cloud-PC zugreift, ist bis zu drei Jahre lang von der ESU-Gebühr befreit. Die Bedingungen lesen sich im Detail enger: Das gilt für Windows 365 Enterprise und für Windows 365 Flex im dedizierten Modus, das lokale Gerät muss Entra joined oder Entra hybrid joined sein, der Nutzer muss sich mindestens alle 22 Tage mit demselben Entra-Konto am physischen Gerät anmelden, und eine Intune-Richtlinie muss den Schalter EnableESUSubscriptionCheck setzen. Ein Gerät, das nur in der lokalen Domäne steht, ist nicht berechtigt. Und der Windows-365-Business- Plan, der auf der US-Preisseite ab 36 USD je Nutzer und Monat für 2 vCPU, 8 GB RAM und 128 GB Speicher beginnt, ist in dieser Liste nicht enthalten.

Wer also mit Windows 365 die ESU-Gebühr sparen will, braucht den Enterprise- Plan, Entra-Beitritt der Altgeräte und Intune. Für einen Betrieb, der heute ein klassisches Active Directory ohne Entra-Hybrid fährt, ist das kein Häkchen, sondern ein Identitätsprojekt. Wir schreiben das so deutlich, weil die Aussage „mit Windows 365 ist ESU kostenlos" im Vertrieb kursiert und in dieser Kurzform falsch ist.

/05Terminalserver auf Windows Server 2025: die CAL-Logik

Der Terminalserver ist die älteste und am häufigsten unterschätzte Form der Zentralisierung. Auf einem Windows Server 2025 mit der Rolle Remote Desktop Session Host arbeiten je nach Anwendungsprofil einige Dutzend Nutzer in parallelen Sitzungen. Die Lizenzierung ist dreistufig, und an jeder Stufe wird in Projekten gespart, bis das Audit kommt. Der Preis dieser Bündelung zeigt sich, wenn ein Sammelupdate den Sitzungshost trifft: Der Terminalserver hängt nach dem Update beschreibt den Fall vom September 2026 und den Rückweg.

Erstens die Serverlizenz. Windows Server 2025 Standard wird nach Kernen lizenziert, Microsofts Preisseite nennt 1.176 USD als empfohlenen Listenpreis für 16 Kerne; Datacenter liegt bei 6.771 USD und lohnt sich erst bei vielen VMs je Host. Zweitens die Windows-Server-CAL je Nutzer oder Gerät, die für jeden Zugriff auf einen Windows Server ohnehin fällig ist. Drittens die RDS-CAL, ebenfalls je Nutzer oder je Gerät, zusätzlich zur Server-CAL. Preise für beide CAL-Arten stehen nicht auf der öffentlichen Preisseite, sie kommen vom Lizenzhändler und hängen vom Vertragsprogramm ab.

Die RDS-CAL ist die Stufe mit den meisten Fehlern. Microsoft Learn regelt die Kompatibilität eindeutig: Eine CAL öffnet Sessionhosts ihrer eigenen und älterer Versionen, nie neuerer. Wer 2022er RDS-CALs im Schrank hat und einen 2025er Sessionhost baut, hat keine gültige Lizenz. Umgekehrt geht es: 2025er CALs gelten auch für 2022, 2019 und 2016.

Per-User oder Per-Device ist die zweite Entscheidung. Per-Device-CALs werden vom Lizenzserver durchgesetzt, sind an das Gerät gebunden, zu 20 Prozent widerrufbar und passen zu Schichtbetrieb mit geteilten Rechnern. Per-User-CALs werden nicht technisch erzwungen; der Lizenzserver zählt nur, und die Verantwortung für die Zahl liegt beim Administrator. Für Nutzer mit Notebook, Thin Client und Heimarbeitsplatz ist Per-User fast immer richtig. Und die 120-Tage-Kulanzfrist, in der ein Sessionhost ohne Lizenzserver läuft, ist eine Frist für den Aufbau, kein viertes Lizenzmodell. Nach Tag 120 verweigert der Server die Anmeldung.

Technisch läuft der Sessionhost bei uns als VM auf Proxmox VE, gesichert mit dem Proxmox Backup Server, mit Live-Migration zwischen den Knoten für Wartungsfenster ohne Sitzungsabbruch; auf Hyper-V oder VMware gelten dieselben Lizenzregeln. Der Zugriff erfolgt über ein RD-Gateway mit MFA oder durch ein VPN, nie über einen offenen Port 3389.

/06DaaS aus dem deutschen Rechenzentrum

Desktop as a Service unterscheidet sich vom Terminalserver in einem Punkt, aus dem alle anderen folgen: Jeder Nutzer hat eine eigene virtuelle Maschine mit Windows 11 oder Linux, keine Sitzung auf einem geteilten Windows Server. Was das für Anwendungen, Administratorrechte und Grafik bedeutet, haben wir in unserem Grundlagenartikel zu Desktop as a Service beschrieben; hier geht es um die Rolle in der ESU-Entscheidung.

Für die Windows-10-Flotte hat DaaS drei Eigenschaften, die der Terminalserver nicht hat. Anwendungen, die im Mehrbenutzerbetrieb nicht laufen oder vom Hersteller dafür nicht freigegeben sind, laufen in der eigenen VM wie auf einem PC. Grafiklast lässt sich über NVIDIA-vGPU-Profile bedienen; unsere Plattform arbeitet mit A40 und L40 und weist je Arbeitsplatz zwischen 1 und 16 GB Grafikspeicher zu. Und die VM des Nutzers lässt sich einzeln sichern, zurücksetzen und in ein anderes Netzsegment stellen, was bei Prüfungen nach ISO 27001 oder unter NIS2 den Nachweis je Arbeitsplatz vereinfacht.

Der Preis ist der Nachteil, und wir nennen hier bewusst keine Zahl: Unsere DaaS-Konditionen richten sich nach Zahl der Arbeitsplätze und Grafikprofil und stehen erst nach der Bedarfsklärung fest. Als öffentlichen Anker gibt es Windows 365 Business mit 36, 56 und 108,80 USD je Nutzer und Monat für die drei Größen; DaaS aus einem deutschen Rechenzentrum mit dediziertem Speicher, eigener Netztrennung und Betrieb liegt in einer anderen Struktur, weil dort kein Azure-Rabatt, dafür aber Betrieb, Sicherung und Support enthalten sind. Wer die beiden vergleicht, vergleicht Listenpreis gegen Angebot. Das ist erlaubt, wenn man es weiß.

Der Datenort ist der zweite Unterschied. Bei DaaS aus Coburg mit Ausweichstandort Neustadt liegen Profil, Dateien und Anwendungsdaten in Deutschland unter einem deutschen Vertrag; der CLOUD Act greift nicht. Für Kanzleien, Arztpraxen und Betriebe mit Kundenverträgen, die den Speicherort vorschreiben, ist das häufig der Grund, warum Windows 365 aus der Auswahl fällt, bevor der Preis überhaupt zählt.

/07Die Rechnung je Arbeitsplatz über drei Jahre

Die folgende Rechnung legt die Logik offen, nicht das Ergebnis für Ihren Betrieb. Belegte Werte sind Microsofts Listenpreise in USD; alles andere ist als Annahme markiert und in Ihrer Kalkulation zu ersetzen. Wir rechnen USD und Euro der Einfachheit halber eins zu eins, was zum Stand September 2026 den Euro benachteiligt und die Aussage nicht ändert. Zeitraum: 14. Oktober 2026 bis Oktober 2029, also die zwei verbleibenden ESU-Jahre plus ein Jahr, in dem die ESU-Geräte ohnehin ersetzt sein müssen.

Drei Dinge fallen aus der Tabelle heraus. Erstens ist „ESU Jahr 2 und 3" nie der billigste Weg, weil am Ende dieselbe Hardwareinvestition steht, nur zwei Jahre später und um 366 USD teurer. Zweitens ist der Terminalserver der einzige Weg, dessen Stückkosten mit der Zahl der Sitzungen fallen; bei zwanzig Nutzern trägt jeder ein Zwanzigstel des Servers, bei achtzig ein Achtzigstel, während die CALs linear bleiben. Drittens hat DaaS die geringste Kapitalbindung und den höchsten Monatsbetrag; ob das über drei Jahre günstiger ist als der Gerätetausch, entscheidet die Nutzungsdauer, die Sie den Geräten zutrauen.

Die Rechnung hat eine Lücke, die wir nicht schließen können: Sie enthält nicht die Arbeitszeit für Rollout, Image-Pflege und Anwendungstests. Ein Gerätetausch bei 80 Arbeitsplätzen ist ein Projekt von Wochen; ein Terminalserver mit sauberem Anwendungspaket ist es auch, aber danach ist jeder weitere Arbeitsplatz eine Kontoanlage. Belastbare Zahlen dafür liefert nur die Inventur Ihrer Anwendungen, nicht eine Tabelle.

/08Wann Terminalserver und DaaS die falsche Wahl sind

Zentralisierung löst das ESU-Problem, aber nicht jedes Arbeitsplatzproblem. Vier Fälle, in denen wir davon abraten oder zumindest bremsen:

• CAD, Simulation und Bildbearbeitung auf dem Terminalserver. Der Sessionhost hat keine GPU je Sitzung, und Konstruktionssoftware ist für den Mehrbenutzerbetrieb meist nicht freigegeben. Hier bleibt nur DaaS mit vGPU-Profil oder eine echte Workstation. Wer ein Konstruktionsbüro mit acht Plätzen hat, kauft acht Workstations, wenn die Anwendung lokal laufen muss, und rechnet DaaS mit vGPU erst ab einer Latenz unter 30 ms und einer Bandbreite von 15 bis 25 Mbit/s je Platz, wie im Grundlagenartikel beschrieben.
• Außendienst ohne verlässliches Netz. Eine Sitzung im Rechenzentrum braucht eine Verbindung. Monteure in Kellern, Vertreter im Zug und Prüfer in Hallen ohne Empfang arbeiten mit einer Remote-Sitzung schlechter als mit einem lokalen Windows 11 auf einem neuen Gerät. Für diese Gruppe ist der Gerätetausch richtig, und sie ist meist klein genug, um ihn zu bezahlen.
• Office und Microsoft 365 Apps auf dem Terminalserver. Das ist die Lizenzfalle, die am häufigsten übersehen wird. Microsoft 365 Apps auf einem Sessionhost setzen die Aktivierung für gemeinsam genutzte Computer voraus, und die ist nicht in jedem Plan enthalten; klassische Office-Kauflizenzen folgen eigenen Regeln für Terminalserver. Wir sind IT-Dienstleister und keine Lizenzkanzlei: Prüfen Sie die Produktbestimmungen Ihres Plans, bevor der Sessionhost gebaut wird, nicht danach. Ein Betrieb mit dem falschen Plan zahlt nach der Umstellung mehr für Office als vorher für ESU.
• Fachanwendungen mit Dongle, serieller Schnittstelle oder lokalem Datenbankdienst. Ein USB-Kopierschutz lässt sich in eine Sitzung durchreichen, eine RS-232-Waage nur mit Zusatzsoftware, und eine lokale Access- Datenbank mit zwanzig gleichzeitigen Sitzungen wird zum Flaschenhals. Diese Arbeitsplätze inventarisieren Sie zuerst; sie entscheiden, ob es ein Terminalserver für alle oder eine gemischte Landschaft wird.

Dazu kommt ein Nachteil, den beide Wege teilen: Der Ausfall trifft alle. Ein defektes Notebook betrifft einen Mitarbeiter, ein Sessionhost ohne Sicherung und Zweitknoten betrifft vierzig. Wer zentralisiert, braucht eine Verfügbarkeitsplanung mit RTO und RPO, die im SLA steht, und eine zweite Internetleitung am Standort. Das ist keine Formsache. Es ist der Preis dafür, dass die Hardware am Schreibtisch nichts mehr wert sein darf.

/09Unsere Empfehlung bis zum 13. Oktober

Die Entscheidung fällt je Gerätegruppe, nicht je Flotte. In der Praxis teilen wir den Bestand in vier Gruppen und behandeln jede anders.

• Windows-11-taugliche Geräte, die noch auf Windows 10 stehen: In-Place-Upgrade vor dem 14. Oktober, kein ESU. Das ist die größte Gruppe in den meisten Betrieben und der einzige Weg, der nichts kostet außer Zeit.
• Untaugliche Geräte an Office-Arbeitsplätzen mit festem Standort: Terminalserver auf Windows Server 2025 mit 2025er RDS-CALs, das Altgerät als Zugriffsgerät weiterverwenden, bei Ausfall gegen einen Thin Client oder einen schlanken Linux-Client tauschen. Ab etwa zwanzig gleichartigen Arbeitsplätzen ist das der günstigste Weg; darunter frisst der Aufbau den Vorteil.
• Untaugliche Geräte mit Grafiklast, Sonderanwendungen oder Speicherortpflicht: DaaS aus dem deutschen Rechenzentrum, mit vGPU-Profil wo nötig. Ein Pilot mit fünf bis zehn Plätzen vor dem Vertrag, damit Latenz und Anwendungen gemessen sind und nicht geschätzt.
• Untaugliche Geräte, deren Ablösung terminiert ist, aber nicht vor dem 14. Oktober fertig wird: ESU Jahr zwei, und nur für diese. Mit Enddatum im Projektplan, nicht als Dauerzustand. Wer für diese Gruppe schon Intune einsetzt, prüft die 45-USD-Variante.

Was wir nicht empfehlen: ESU für die gesamte Flotte kaufen und die Entscheidung ins dritte Jahr schieben. 244 USD je Gerät für zwölf Monate Aufschub im Jahr 2027, mit anschließend zwingendem Tausch zu Speicherpreisen, die niemand kennt, ist die teuerste Kombination in dieser Rechnung. Und was wir zugeben: Ob DaaS oder Terminalserver über drei Jahre günstiger ist als der Tausch, hängt an Ihrer Anwendungsliste und an Ihrem Office-Plan. Beides sehen wir uns an, bevor eine Zahl im Angebot steht.

/10Häufige Fragen