Windows 11 23H2 Enterprise: Ende am 10. November, Upgrade per Richtlinie

/01Wen das Ende am 10. November trifft — und wen nicht

Microsoft führt Windows 11 nach der Modern Lifecycle Policy: Jede Version hat ein festes Ende, und das Ende ist je Edition verschieden. Am 10. November 2026 endet es für „Windows 11 Enterprise and Education, Version 23H2" und für „Windows 11 IoT Enterprise, Version 23H2". So steht es in der Microsoft-Übersicht „Ending Support in 2026", die zuletzt am 19. August 2026 aktualisiert wurde. Auf der Release-Health-Seite zu 23H2 formuliert Microsoft es für die Enterprise- und Education-Editionen als „end of updates": Danach erhalten diese Geräte keine monatlichen Sicherheitsupdates mehr.

Dieselbe Seite hält fest, was für Home und Pro gilt: Windows 11 Home und Pro in Version 23H2 haben ihr Ende bereits am 11. November 2025 erreicht. Wer in der Buchhaltung oder im Außendienst Notebooks mit Pro-Lizenz hat, ist von der Meldung vom 10. November also nicht betroffen — er hatte das Problem vor einem Jahr, oder er hat es mit einer neueren Version nicht. Zwei Datumsangaben werden in der Praxis ständig verwechselt, deshalb nebeneinander:

Die Unterscheidung ist keine Haarspalterei. Ein Betrieb mit gemischtem Bestand — ein Teil der Geräte über den Volumenlizenzvertrag auf Enterprise gehoben, der Rest als Pro gekauft — hat zwei Stichtage und muss beide aufräumen. Die Pro-Geräte auf 24H2 sind bereits draußen; die Enterprise-Geräte auf 23H2 folgen in dieser Woche. Dieser Beitrag behandelt den zweiten Fall, die Maßnahme gilt für beide.

Was dieser Beitrag nicht behandelt: Windows 10. Dessen Weg hat eigene Fristen und eigene Kosten und steht im Beitrag zu Windows 10 ESU Jahr 2. Und es geht nicht um Server — Terminalserver und Windows Server haben einen anderen Lebenszyklus.

/02Welche Windows-11-Versionen noch Updates bekommen

Für das Ziel der Aktualisierung zählt die Lifecycle-Tabelle für Enterprise und Education (Microsoft Learn, Seite zuletzt aktualisiert am 6. Oktober 2026). Sie nennt Beginn und Ende je Version:

Zwei Hinweise zum Lesen. Erstens: Die Lifecycle-Seite gibt die Daten als Zeitstempel in amerikanischer Pazifikzeit an; bei einzelnen Einträgen weicht das angezeigte Datum um einen Tag von der Meldung auf „Ending Support in 2026" ab. Für 23H2 nennen sowohl die Release-Health-Seite als auch die Übersicht den 10. November, deshalb gilt in diesem Beitrag der 10. November. Für die späteren Versionen sind die Tage nur als Richtwert zu lesen; geplant wird ohnehin in Monaten, nicht auf den Tag. Zweitens: Die Lifecycle-Seite enthält auch eine Version 26H1. Deren Hardwarebezug haben wir nicht geprüft, sie bleibt deshalb außen vor.

Als Ziel kommen damit 25H2 und 26H2 in Frage. Wir empfehlen für Bestände ohne Eile 25H2 und für Bestände mit gutem Pilotbefund 26H2. Das ist eine Empfehlung, keine Herstellerangabe: 25H2 hat ein Jahr Praxis hinter sich, und 26H2 verschafft ein Jahr mehr Laufzeit. Wer jetzt auf 24H2 aktualisiert, hat das nächste Datum schon im Oktober 2027 vor sich und macht dieselbe Arbeit in elf Monaten noch einmal.

/03Was „Ende des Supports" auf einem Arbeitsplatz bedeutet

Microsoft beschreibt das Ende in der Übersicht nüchtern: Es gibt danach keine neuen Sicherheitsupdates, keine Nicht-Sicherheitsupdates, keine kostenlosen oder bezahlten Support-Optionen und keine Aktualisierung der technischen Online-Inhalte. Das Gerät läuft weiter, Outlook startet, Excel rechnet. Es gibt keinen Abschaltknopf.

Genau deshalb wird das Datum oft übersehen. Der Unterschied zeigt sich nicht am 11. November, sondern am Patchday danach. Windows bekommt jeden Monat korrigierte Schwachstellen (CVE); wie sich die Menge im Jahr 2026 entwickelt hat und wie man damit umgeht, steht im Beitrag CVE-Rekordjahr 2026. Ein Gerät auf 23H2 bleibt bei dem Stand stehen, den es am Stichtag hat. Jede Lücke, die danach bekannt wird, bleibt dort offen.

Für die tägliche Arbeit hat das drei Folgen. Erstens: Ob eine offene Lücke ausgenutzt wird, weiß vorher niemand; nach dem Stichtag bleibt gegen einen Ransomware-Angriff über das Betriebssystem nur der Schutz um das Gerät herum — Endpoint Detection, Segmentierung, eine geprüfte Sicherung. Das ist kein Ersatz für ein Update, sondern ein Notbehelf. Zweitens: Bei einem Audit oder einem Versicherungsfragebogen lässt sich die Frage, ob Betriebssysteme innerhalb der Herstellerfrist aktualisiert werden, für diese Geräte nur noch mit Nein beantworten. Wie sich das auf ISO/IEC 27001-Nachweise auswirkt, entscheidet der Geltungsbereich Ihres Managementsystems. Drittens: Jede Ausnahme muss begründet, befristet und dokumentiert sein, sonst ist sie keine Ausnahme, sondern der neue Normalzustand.

Die gute Nachricht an diesem Termin: Er ist bekannt. Anders als bei einer akuten Lücke gibt es keine Überraschung, sondern eine Liste, die man abarbeiten kann. Die Frage ist nur, ob die Liste vollständig ist.

/04Bestand feststellen: Welche Geräte laufen noch auf 23H2?

Vollständig wird die Liste aus dem Gerätebestand, nicht aus der Erinnerung. Es gibt drei Wege, in der Reihenfolge ihrer Verlässlichkeit.

1. Intune-Bericht, wenn die Geräte bereits verwaltet werden

Wer Geräte in Intune führt, findet den Stand im Bericht „Windows feature updates (Organizational)". Microsoft beschreibt den Aufruf im Zusammenhang mit der Co-Management-Umstellung: Reports, dann Windows Updates, Registerkarte „Reports", „Feature Updates report". Der Bericht zeigt je Gerät Version und Zustand. Wer die Daten automatisiert auswerten will, kann nach Microsofts Hinweis auf der Release-Health-Seite die Windows-Updates-API in Microsoft Graph nutzen; für einen Bestand dieser Größe lohnt das selten, für mehrere Mandanten schon.

2. Einzelgeräte und Gruppenrichtlinien-Welt: Registry

Für Geräte ohne Intune bleibt die Abfrage am Gerät. Die angezeigte Version steht in der Registry unter HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion im Wert DisplayVersion; dieselbe Angabe zeigt winver.

# Version am Gerät auslesen (liefert z. B. 23H2)
(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').DisplayVersion

# Dasselbe auf mehreren Rechnern per PowerShell-Remoting
Invoke-Command -ComputerName PC01,PC02 -ScriptBlock {
    (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').DisplayVersion
}

Hinweis zur Prüfung: Diese Befehle sind nicht getestet (unsere Entwicklungsumgebung läuft unter Linux), die Registry-Quelle entspricht der bekannten Anzeige von winver. Probieren Sie den Aufruf auf einem Gerät aus, bevor Sie ihn über den Bestand laufen lassen.

3. Das Inventar-Blatt, das niemand pflegt

Die dritte Quelle ist die Excel-Liste. Sie hilft beim Auffinden von Geräten, die in keinem Verwaltungssystem auftauchen — Maschinen in der Fertigung, ein Messplatz, der Rechner am Empfang. Das sind genau die Geräte, die später auffallen, wenn sie nach einem Update nicht mehr starten oder nach dem Stichtag zum Einfallstor werden. Nehmen Sie diese Geräte in die Liste auf, auch wenn sie nicht per Richtlinie erreichbar sind: Für sie braucht es einen eigenen Termin.

/05Das Upgrade per Intune: Feature-Update-Richtlinie Schritt für Schritt

Eine Feature-Update-Richtlinie legt fest, welche Windows-Version ein Gerät angeboten bekommt, und hält diese Version, bis die Richtlinie geändert oder gelöscht wird. Sie ist nach Microsofts Dokumentation (Stand 9. April 2026) das vorgesehene Werkzeug dafür, Geräte auf eine Zielversion zu heben oder auf einer Version zu halten. Was sie nicht tut: Sie stuft keine Geräte zurück. Läuft ein Gerät bereits auf einer neueren Version als der Zielversion, bleibt die Richtlinie wirkungslos. Und wenn das Update installiert wird, bringt es das aktuelle monatliche Qualitätsupdate gleich mit.

Voraussetzungen, die Microsoft nennt

Nach der Tabelle ist klar, weshalb die Richtlinie in Beständen mit Home-Editionen oder mit lokalen Konten nicht greift: Diese Geräte sind nicht Teil der unterstützten Matrix. Home steht nicht in der Liste der Editionen, und ohne Entra-Join gibt es keine Zuordnung in der Cloud. Für solche Geräte bleibt nur der manuelle Weg, oder besser der Austausch.

Die Richtlinie anlegen

Die Schritte laut Dokumentation, in der Reihenfolge der Oberfläche: Im Intune Admin Center „Devices", dann „Windows", „Windows updates", Registerkarte „Feature updates", „Create profile". Unter „Deployment settings" geben Sie Namen und optional eine Beschreibung an und wählen unter „Feature update to deploy" die Zielversion. Die Liste zeigt nur Versionen, die noch im Support sind — 23H2 ist dort ab dem Stichtag keine Auswahl mehr. Danach legen Sie fest, ob das Update als Pflicht ("required") oder als optionales Update bereitsteht; die optionale Variante setzt eine Windows-Autopatch-Lizenz voraus. Es folgen die Rollout-Optionen, die Zuweisung an Gerätegruppen und die Prüfung.

Zwei Verhaltensregeln, die man vor dem Zuweisen kennen sollte: Jede Richtlinie bezieht sich auf genau eine Version. Wird ein Gerät von mehreren Richtlinien erfasst, bietet Windows Update immer die neueste anwendbare Version an. Wer eine Zuweisung rückgängig machen will, löscht die Richtlinie — das nimmt sie von den Geräten, startet aber keinen Rückweg.

/06Rollout in Wellen: Was bei kleinen Beständen trägt

Intune kennt drei Arten, ein Update freizugeben: sofort („as soon as possible"), zu einem bestimmten Datum und gestuft. Die gestufte Freigabe nennt sich „Make update available gradually" und arbeitet mit Angebotsgruppen. Sie legen den Termin der ersten Gruppe, den Termin der letzten Gruppe und den Abstand in Tagen fest; Windows Update errechnet daraus die Gruppenzahl. Microsofts Beispiel: Start 1. Januar, Ende 10. Januar, Abstand drei Tage ergibt vier Gruppen mit Angeboten am 1., 4., 7. und 10. Januar.

Für den Alltag zwei Einschränkungen, die in der Dokumentation stehen. Der erste Termin muss mindestens zwei Tage in der Zukunft liegen, damit Windows Update die Geräte zuordnen kann. Und die Gruppen werden zufällig und gleichmäßig befüllt, mit mindestens 100 Geräten je Gruppe.

Daraus folgt eine Schlussfolgerung, die wir ziehen, nicht Microsoft: Für Bestände unter 100 Geräten ist die gestufte Freigabe keine Pilotierung, weil es keinen Raum für mehrere Gruppen gibt. Wer etwa 40 oder 80 Geräte hat, pilotiert besser selbst, mit zwei Richtlinien auf zwei Gerätegruppen:

• Pilotgruppe: wenige Geräte aus der IT, aus der Buchhaltung und mit der speziellsten Fachanwendung. Richtlinie auf „as soon as possible".
• Rest: die zweite Richtlinie mit demselben Ziel, aber einem Starttermin nach der Pilotphase, festgelegt über „on a specific date".
• Abnahme: Erst wenn die Pilotgruppe ein bis zwei Patchtage ohne Beschwerden hinter sich hat, gibt das Datum der zweiten Richtlinie die Masse frei.

Für den akuten Fall gilt: Wer die Richtlinie am Montag, dem 9. November, anlegt, kann mit der gestuften Freigabe frühestens am 11. November beginnen. Am Stichtag selbst ist nur „as soon as possible" schnell genug. Das ist kein Grund zur Panik, sondern ein Grund, den Pilot jetzt zu starten und die Masse in den Wochen danach zu bewegen.

Wer Windows Autopatch nutzt, kann „Intelligent rollouts" einschalten. Dabei wählt Autopatch für die erste Gruppe Geräte mit möglichst unterschiedlicher Hardware- und Treiberlage aus, so dass sie als Pilotring wirkt. Voraussetzung ist ein Profil im Einstellungskatalog mit dem Wert „Allow WUfB Cloud Processing" auf „Enabled". Das lohnt ab Beständen, in denen die 100-Geräte-Grenze erreicht ist.

/07Wo es hakt: Safeguard Holds, Telemetrie, Update-Ringe

Die meisten Fehlschläge einer Feature-Update-Richtlinie liegen nicht an der Richtlinie, sondern an einem Randfall im Bestand. Die häufigsten, mit der Quelle der Aussage:

• Safeguard Holds: Ein Gerät installiert die Zielversion nicht, wenn Microsoft dafür einen Schutz-Block („safeguard hold") gesetzt hat, weil ein Problem bekannt ist. Sobald das Problem behoben ist, fällt der Block. Das ist gewollt, und man kann es nur beobachten: Der Windows-Release-Health-Dienst zeigt offene Probleme je Version.
• Update-Ringe mit Zurückstellung: Wenn ein Gerät zusätzlich einem Update-Ring mit „Feature update deferral period" folgt, verzögert oder blockiert das die Richtlinie. Microsoft empfiehlt, die Zurückstellung im Ring auf 0 zu setzen, sobald Richtlinien im Einsatz sind. Die Reihenfolge ist wichtig: Erst die Feature-Update-Richtlinie anlegen und warten, bis die Geräte im Bericht den Zustand „OfferReady" zeigen, dann die Zurückstellung im Ring auf 0 setzen. Windows Update braucht typischerweise zehn Minuten, um die Richtlinie auszuwerten, in manchen Fällen länger.
• Ein pausierter Ring: Ein Update-Ring kann Feature-Updates bis zu 35 Tage anhalten. Microsoft verlangt für Geräte mit Feature-Update-Richtlinie, dass Feature-Updates im Ring nicht pausiert sind. Prüfen Sie Pausen, bevor Sie nach Fehlern suchen.
• Autopilot: Feature-Update-Richtlinien greifen nicht während der Autopilot-OOBE, sondern beim ersten Windows-Update-Scan nach der Bereitstellung. Neue Geräte kommen also mit dem Auslieferungsstand und werden danach angehoben.
• Co-Management: Wer die Windows-Update-Last von Configuration Manager nach Intune verschiebt, riskiert, dass Geräte für kurze Zeit auf eine spätere Version springen als gewünscht. Deshalb zuerst die Richtlinie anlegen und im Bericht „OfferReady" abwarten, dann umschalten.
• Offline-Geräte: Richtlinien wirken erst beim nächsten Check-in. Das Notebook, das seit Oktober im Schrank liegt, kommt erst bei der Rückkehr ans Netz an die Reihe.

Rückweg einplanen

Ein Rückgang auf die alte Version ist in Intune Sache des Update-Rings, nicht der Feature-Update-Richtlinie. Dort lässt sich ein „feature update uninstall period" von zwei bis 60 Tagen einstellen; innerhalb dieser Zeit kann der Administrator das Feature-Update zurückrollen, danach sind die Dateien weg. Das gilt nur für Updates, die nicht per Enablement-Package eingespielt wurden. Der Rückweg ist ein Notnagel, kein Betriebsmodell: Wer die Richtlinie nach einem Rollback nicht ändert, bekommt dasselbe Update bei der nächsten Gelegenheit wieder.

Ein Beispiel für den Pilotbefund

Auf der Release-Health-Seite zu 23H2 stand zum Stand 3. November 2026 ein offenes Problem: Nach dem Sicherheitsupdate vom 8. September 2026 (KB5122880) können einzelne USB-Audio-Geräte der Klasse 1.0 den Dienst verweigern; Microsoft führt es als „Mitigated", die Mehrkanal-Ausfälle behebt das außerplanmäßige Update KB5129242 vom 14. September. Für ein Callcenter mit USB-Headsets wäre das ein Pilotbefund, der den Rest des Rollouts aufhält. Genau dafür ist die Pilotgruppe da.

/08Wann Intune nicht der richtige Weg ist

Die Feature-Update-Richtlinie ist das passende Werkzeug für einen verwalteten Bestand. Für einen unverwalteten ist sie es nicht. Die Entscheidung folgt dem Ausgangszustand:

Dazu eine Absage, die wir an Mittelständler richten, die diesen Beitrag aus Neugier lesen: Wer eine Handvoll Rechner hat, von denen zwei auf Enterprise stehen, braucht keine Intune-Einführung wegen dieses Datums. Ein halber Tag mit den beiden Rechnern am Schreibtisch ist billiger als das Projekt. Intune lohnt sich dort, wo das Thema jedes Jahr wiederkommt: Das 23H2-Ende ist ein Termin von vielen. 24H2 folgt im Oktober 2027, 25H2 im Oktober 2028. Wer das jedes Jahr von Hand macht, macht es irgendwann nicht mehr.

Auch die Cloud-Anbindung ist eine Entscheidung. Wer Entra ID einführt, bindet Geräte an die Cloud-Identität; wer das aus Compliance-Gründen nicht will, bleibt in der Domäne und verteilt Updates anders. Beides ist zulässig. Beides ist aber nur dann sicher, wenn jemand den Stand kontrolliert.

/09Die nächsten zehn Arbeitstage

Die Reihenfolge, in der wir einen Bestand angehen, der jetzt noch Geräte auf 23H2 hat:

• Montag, 9. November: Bestand aus dem Intune-Bericht ziehen, Geräte ohne Verwaltung dazuschreiben. Zielversion festlegen (25H2 oder 26H2).
• Dienstag, 10. November: Pilotgruppe bilden, Richtlinie mit „as soon as possible" für die Pilotgeräte anlegen. Vorher ein Backup für Geräte mit lokalen Daten prüfen.
• Mittwoch bis Freitag: Update-Ringe prüfen (Zurückstellung auf 0, kein pausierter Ring), Geräte im Bericht auf „OfferReady" kontrollieren, erste Pilotgeräte beobachten.
• Folgewoche: Pilotbefund auswerten: Fachanwendungen, Drucker, Headsets, VPN-Client. Zweite Richtlinie für die Masse mit festem Datum anlegen.
• Ende der Folgewoche: Masse läuft. Nachzügler (Notebooks im Schrank, Geräte ohne Verbindung) in eine Liste mit Name und Termin schreiben.
• Danach: Das Datum 13. Oktober 2027 für 24H2 und 11. Oktober 2028 für 25H2 in den Kalender eintragen, mit der Frage „welche Version ist unser Ziel?" als wiederkehrende Aufgabe.

Ein Punkt gehört noch in die Liste, ohne dass wir ihn lösen können: Endpoint-Schutz und Patch-Management sind zwei Disziplinen, die sich nicht ersetzen. Wer das Betriebssystem aktuell hält, hat noch keinen Zero-Trust-Zugriff; wer Zugriffe absichert, hat noch kein aktuelles Betriebssystem. Die Prüfpunkte dazu stehen in unserer Endpoint-Security-Checkliste. Und wer den Ablauf als Runbook festhält, hat beim nächsten Stichtag nicht wieder Zeitdruck.

/10Häufige Fragen