Windows 10 ohne Updates: Wann alte Systeme zum DSGVO-Verstoß werden

Inhalt in Kürze

• Windows 10 hat am 14. Oktober 2025 den regulären Support verloren. Ohne Extended Security Updates (ESU) gibt es seitdem keine Sicherheitsupdates mehr.
• Ein ungepatchtes Betriebssystem erfüllt den Maßstab „Stand der Technik” aus Art. 32 DSGVO nicht. Bei einer Datenpanne ist das der erste Prüfpunkt der Aufsichtsbehörde.
• Das erste ESU-Jahr endet am 13. Oktober 2026. Die Entscheidung über Jahr 2 — rund 122 US-Dollar je Gerät — muss im September fallen, sonst reißt die Update-Kette.
• Microsoft 365 Apps bekommen unter Windows 10 noch bis Oktober 2028 Sicherheitsupdates. Das schützt Office, nicht das Betriebssystem darunter.

Fast ein Jahr ist das Support-Ende jetzt her, und in vielen Serverräumen stehen die Geräte noch. Meistens nicht aus Nachlässigkeit, sondern weil eine Fachanwendung nicht mitzieht oder das Budget für den Austausch von 40 Rechnern fehlte. Die Frage ist nur: Wie erklären Sie das, wenn es knallt?

Was am 14. Oktober 2025 wirklich passiert ist

Microsoft hat den regulären Support für Windows 10 beendet. Seitdem gibt es keine kostenlosen Sicherheitsupdates, keine Fehlerkorrekturen und keinen technischen Support mehr. Die Rechner laufen weiter — sie werden nur mit jeder neu entdeckten Schwachstelle angreifbarer. Microsoft dokumentiert die Lifecycle-Daten auf der Seite zum Support-Ende.

Für Unternehmen gibt es die Hintertür der Extended Security Updates. Über die Volumenlizenzprogramme lassen sich Sicherheitsupdates für bis zu drei weitere Jahre kaufen. Details zum Programm stehen in der Microsoft-Learn-Dokumentation zu ESU.

Die ESU-Kostenkurve

Das Programm ist bewusst so gebaut, dass Aussitzen teuer wird. Der Preis verdoppelt sich jedes Jahr.

Bei 40 Geräten sind das im dritten Jahr rund 9.800 US-Dollar — für ein Betriebssystem, das dann acht Jahre alt ist. Danach ist endgültig Schluss: Nach Oktober 2028 gibt es auch gegen Geld keine Updates mehr.

Der Punkt, an dem es datenschutzrechtlich wird

Es gibt kein Gesetz, das Windows 10 verbietet. Es gibt aber Art. 32 DSGVO. Der verlangt technische und organisatorische Maßnahmen, die „unter Berücksichtigung des Stands der Technik” ein angemessenes Schutzniveau gewährleisten.

Ein Betriebssystem, für das der Hersteller keine Sicherheitsupdates mehr liefert, ist per Definition nicht auf dem Stand der Technik. Das ist keine Auslegungsfrage — es ist eine Tatsachenfeststellung.

Dieselbe Logik greift bei Art. 25 DSGVO (Datenschutz durch Technikgestaltung) und bei jedem Cyberversicherer, der vor der Regulierung nach dem Patch-Stand fragt. Wer hier ein veraltetes System einräumen muss, diskutiert im schlechtesten Moment über Obliegenheitsverletzungen.

Aus der Praxis

Das häufigste Muster im Mittelstand ist nicht der komplett vergessene Rechner, sondern die eine Maschine, an der die Produktionssteuerung hängt. Die läuft seit 2016, der Hersteller ist insolvent, und niemand traut sich, sie anzufassen. Das ist auch völlig in Ordnung — solange sie in einem eigenen Segment steht, kein Internet sieht und das schriftlich dokumentiert ist. Kritisch wird es erst, wenn dieselbe Maschine im Büronetz hängt und der Kollege daran seine Mails liest.

Jens HagelGeschäftsführer & Mitgründer frag.hugo

Die vier Wege — und was sie wirklich kosten

1. Umstieg auf Windows 11. Der sauberste Weg. Hindernis ist meist nicht die Lizenz, sondern die Hardware-Anforderung: Ohne TPM 2.0 und unterstützten Prozessor bleibt nur der Gerätetausch. Rechnen Sie mit Beschaffungszeit statt mit Installationszeit.
2. ESU kaufen und den Umstieg planen. Sinnvoll als Brücke über ein Geschäftsjahr. Nur mit festem Ablösedatum — sonst kaufen Sie 2027 das doppelt so teure Jahr 2 und stehen vor demselben Problem.
3. Isolieren. Für Geräte an Maschinen, Messtechnik oder Altsoftware. Eigenes VLAN, kein Internetzugang, minimale Freigaben, dokumentierte Begründung. Das ist eine legitime kompensierende Maßnahme nach Art. 32 — aber nur, wenn sie tatsächlich umgesetzt und nachweisbar ist.
4. Ersetzen der Anwendung. Wenn eine Fachsoftware der einzige Grund für Windows 10 ist, gehört die Ablösung ins Budget des Folgejahres. Der Herbst ist der richtige Zeitpunkt, das in die Planung 2027 zu heben.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand” (47 Seiten, 2026-Edition) ausführlich behandelt. Jetzt herunterladen →

Was Sie jetzt dokumentieren sollten

Selbst wenn Sie noch nicht umstellen können: Der Nachweis, dass Sie das Risiko kennen und steuern, ist der Unterschied zwischen einem gesteuerten Restrisiko und einer Nachlässigkeit.

• Bestandsliste. Welche Geräte laufen noch unter Windows 10, mit welcher Aufgabe und welchem Datenbezug? Ohne Liste keine Bewertung.
• ESU-Status je Gerät. Lizenziert oder nicht — und bis wann. Der 13. Oktober 2026 gehört als Termin in den Kalender, nicht in den Hinterkopf.
• Kompensierende Maßnahmen. Segmentierung, Zugriffsbeschränkung, Entzug von Adminrechten, Deaktivierung von Wechselmedien — je Gerät festhalten, was tatsächlich greift.
• Ablösetermin. Ein Datum, keine Absichtserklärung. Damit wird aus dem Altsystem ein Projekt mit Ende.
• Aufnahme ins TOM-Dokument. Die Bewertung gehört in Ihre technisch-organisatorischen Maßnahmen — Beispiele dafür finden Sie im Beitrag zu TOM nach Art. 32 DSGVO.

Fazit: Ihr nächster Schritt

Windows 10 im Betrieb zu halten ist kein Skandal. Es ohne Plan, ohne Segmentierung und ohne Dokumentation zu tun, ist eines. Der Unterschied kostet Sie ein paar Stunden Arbeit — und entscheidet im Schadensfall darüber, ob Sie ein gesteuertes Restrisiko erklären oder ein Versäumnis rechtfertigen.

Der konkrete Anlass im September 2026: Das erste ESU-Jahr endet am 13. Oktober. Wer weitermachen will, muss jetzt beschaffen. Wer umsteigen will, hat noch genau ein Quartal Vorlauf. Eine strukturierte Bestandsaufnahme liefert unser Beitrag zum IT-Sicherheitskonzept für KMU; für den Blick von außen auf Ihre erreichbaren Systeme gibt es den kostenlosen Scanner Hugo Check.

Häufige Fragen (FAQ)

Ist der Betrieb von Windows 10 nach dem Support-Ende verboten?

Nein, verboten ist er nicht. Aber Art. 32 DSGVO verlangt Schutzmaßnahmen nach dem Stand der Technik. Ein Betriebssystem ohne Sicherheitsupdates erfüllt diesen Maßstab nicht mehr. Kommt es zu einer Datenpanne auf einem solchen Gerät, ist die fehlende Aktualisierung der erste Punkt, den die Aufsichtsbehörde prüft.

Was kosten die Extended Security Updates für Unternehmen?

Microsoft bietet die Extended Security Updates über die Volumenlizenzprogramme für bis zu drei Jahre an. Der Listenpreis startet bei rund 61 US-Dollar je Gerät im ersten Jahr und verdoppelt sich in jedem Folgejahr – also rund 122 US-Dollar im zweiten und rund 244 US-Dollar im dritten Jahr. Spätestens im Oktober 2028 endet das Programm endgültig.

Bis wann muss ich mich für das zweite ESU-Jahr entscheiden?

Das erste ESU-Jahr läuft bis zum 13. Oktober 2026. Wer danach weiter Sicherheitsupdates erhalten will, braucht die Lizenz für das zweite Jahr. Da Beschaffung, Lizenzzuweisung und Rollout Vorlauf brauchen, ist der September 2026 der realistische Entscheidungszeitpunkt.

Laufen Microsoft 365 Apps auf Windows 10 weiter?

Ja. Microsoft liefert für Microsoft 365 Apps unter Windows 10 noch bis zum 10. Oktober 2028 Sicherheitsupdates. Neue Funktionen gibt es aber nicht mehr, und das schützt nur die Office-Anwendungen – nicht das darunter liegende Betriebssystem.

Reicht ein Virenscanner als Ersatz für fehlende Betriebssystem-Updates?

Nein. Ein Endpoint-Schutz erkennt bekannte Schadsoftware, schließt aber keine Lücke im Betriebssystem. Wird eine Schwachstelle im Kernel oder in einer Systemkomponente ausgenutzt, hilft die Erkennung erst, wenn der Angreifer bereits im System ist. Der Virenscanner ist eine Ergänzung, kein Ersatz für Patches.

Was tun, wenn Fachsoftware nur unter Windows 10 läuft?

Isolieren statt ignorieren. Das Gerät kommt in ein eigenes Netzsegment ohne Internetzugang, bekommt nur die unbedingt nötigen Freigaben und wird dokumentiert – inklusive Begründung und geplantem Ablösetermin. Diese Dokumentation ist der Nachweis, dass Sie das Risiko bewusst gesteuert und nicht übersehen haben.