Windows 10 ist am Ende: Windows 11 ist das Minimum, nicht der Plan
Der Support endete im Oktober 2025. Ob ein Gerätebestand schon auf Windows 11 läuft, für Extended Security Updates zahlt oder schlicht ungeschützt ist, die Entscheidung darunter ist dieselbe: die PCs tauschen, oder den erzwungenen Umzug nutzen, um den Arbeitsplatz dahinter zu modernisieren. Das ist das Wie, mit den Befehlen für Intune, Autopilot und Azure, und der Grund, warum dasselbe Windows 10 in der Cloud kostenlos am Leben bleibt.
Windows 10 erreichte am 14. Oktober 2025 das Support-Ende. Version 22H2 war die letzte, und das Update, das an jenem Tag erschien, war das letzte kostenlose Sicherheitsupdate, das es je erhalten wird. Dieses Datum liegt jetzt hinter uns, nicht vor uns. Ein Bestand, der heute noch Windows 10 fährt, ist an einem von drei Orten: schon auf Windows 11, für Extended Security Updates zahlend, um Zeit zu kaufen, oder ohne Patches und auf gut Glück. Nur eines davon ist ein Plan.
Wir begleiten Organisationen bei diesem Umzug seit Langem, von globalen Farms bei der Europäischen Kommission bis zu Fortune-500-Beständen, und der Fehler ist fast immer derselbe: ihn als PC-Austausch zu behandeln statt als die Arbeitsplatz-Entscheidung, die er tatsächlich ist. Dieser Artikel ist das Wie, mit den Befehlen, samt dem Teil, den ein reiner Geräteaustausch oft übersieht: dasselbe Windows 10, das auf einem Schreibtisch Geld kostet, bleibt in Azure kostenlos am Leben.
Die Uhr blieb nicht stehen, sie bekam einen Preis
Die Windows-10-Maschinen starten weiter. Genau das ist das Problem. Am 15. Oktober bricht nichts; das Risiko ist leise, und es summiert sich. Um weiter Kritische und Wichtige Sicherheitsupdates zu erhalten, muss ein physisches Gerät nun im kostenpflichtigen Programm Extended Security Updates (ESU) angemeldet sein, das Microsoft mit 61 US-Dollar pro Gerät im ersten Jahr veranschlagt, mit Verdopplung in jedem weiteren Jahr, bis zu höchstens drei Jahren, bis Oktober 2028. ESU ist eine Brücke, die man zum Überqueren bezahlt, kein Ort zum Wohnen.
Die Microsoft 365 Apps trüben das Bild weiter. Word und Outlook erhalten unter Windows 10 weiter Sicherheitsupdates bis zum 10. Oktober 2028, frieren aber auf Version 2608 ein: keine neuen Funktionen, und wenn Sie einen Support-Fall für ein Problem öffnen, das nur unter Windows 10 auftritt, lautet die Antwort, auf Windows 11 zu wechseln. Sie zahlen am Ende dafür, stehen zu bleiben, auf zwei getrennten Zählern.
Windows 11 ist eine Hardware-Hürde, kein Download
Der Grund, warum das kein Ein-Klick-Update ist, ist die Hardware-Latte. Windows 11 verlangt TPM 2.0 und UEFI Secure Boot, auf einem Prozessor aus einer freigegebenen Liste. Diese beiden Anforderungen schließen viel der vor 2018 gekauften Hardware aus, und keine Menge RAM ändert das. Die erste echte Zahl im Projekt ist also keine Lizenzzählung, sondern wie viel des Bestands überhaupt infrage kommt.
# Per device: the two gates that stop most pre-2018 hardware.
(Get-Tpm).TpmPresent -and (Get-Tpm).TpmReady # TPM 2.0 present and ready
Confirm-SecureBootUEFI # True only on UEFI with Secure Boot on
Zuerst den Bestand kennen
Man plant nicht, was man nicht gezählt hat. Wenn die Geräte bereits in Intune sind, gibt eine Abfrage mit dem Microsoft Graph PowerShell SDK die Aufteilung zwischen Windows 10 und Windows 11, und die genauen Builds, über den ganzen Bestand auf einmal:
# Who is still on Windows 10, and on which build?
# 10.0.19045 = Windows 10 22H2; 10.0.22000 and above = Windows 11.
Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"
Get-MgDeviceManagementManagedDevice -All -Filter "operatingSystem eq 'Windows'" |
Group-Object osVersion | Sort-Object Count -Descending |
Select-Object Count, Name
Diese eine Tabelle entscheidet die Form des Projekts: wie viele Maschinen Windows 11 an Ort und Stelle aufnehmen, wie viele ersetzt werden müssen, und wie viele Kandidaten für einen Cloud PC sind.
Autopilot: Maschinen nicht mehr von Hand bauen
Der alte Weg, Windows auszurollen, war ein Master-Image zu bauen und es bei jeder Änderung neu zu bauen. Windows Autopilot beendet das. Das Gerät wird geliefert, der Nutzer schaltet es ein und meldet sich mit seinem Arbeitskonto an, und das Gerät tritt Entra ID bei, meldet sich in Intune an, installiert seine Anwendungen, wendet seine Konfiguration an (BitLocker, Windows Hello) und wird auf Konformität geprüft, alles aus der Cloud. Eine Enrollment Status Page hält den Desktop zurück, bis die Maschine wirklich bereit ist, in zwei Phasen: einer Geräte- und einer Nutzerphase.
Es gibt zwei Varianten. Klassisches Autopilot registriert jedes Gerät zuerst über seinen Hardware-Hash, damit der Dienst es beim ersten Start erkennt:
# Once per device (or done by the OEM): harvest the hardware hash and upload it to Intune.
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -Online # asks for an Intune Administrator sign-in, then uploads
Das neuere Autopilot device preparation lässt den Hardware-Hash-Schritt weg: Sie weisen einer Nutzergruppe eine Vorbereitungsrichtlinie zu, und jedes Gerät, an dem sich dieser Nutzer während der Einrichtung anmeldet, tritt Entra ID bei, meldet sich in Intune an, erhält seine Anwendungen und Skripte, und kann den Nutzer sogar automatisch aus der Gruppe der lokalen Administratoren nehmen. Für einen Windows-10-Bestand, der ohnehin neu aufgesetzt wird, ist es der kürzeste Weg zu einer sauberen, verwalteten Windows-11-Maschine.
Die Richtlinien, die man einmal festlegt
Autopilot stellt das Gerät unter Verwaltung. Was es sicher hält, ist eine Handvoll Richtlinien, einmal festgelegt und Gruppen zugewiesen, nie Maschine für Maschine geklickt:
- ein Autopilot-Bereitstellungsprofil, Entra-Join mit einer Enrollment Status Page, damit der erste Start bereits konfiguriert ankommt;
- eine Konformitätsrichtlinie, die BitLocker aktiviert, Microsoft Defender laufend und einen Mindest-Build verlangt, damit ein abweichendes Gerät auffällt;
- eine Conditional-Access-Richtlinie, die nur konforme Geräte zulässt und Multi-Faktor-Authentifizierung verlangt, damit Identität und Gerätezustand zusammen geprüft werden, nicht getrennt;
- eine Windows-Update-Funktionsupdate-Richtlinie, die infrage kommende Geräte in Ringen auf Windows 11 hebt, nach einem Zeitplan, den Sie steuern, nicht alle auf einmal.
Diese vier sind der Unterschied zwischen einem Bestand, der zufällig Windows 11 fährt, und einem, der wirklich verwaltet ist. Die Frist ist der Grund, sie jetzt einzuführen, solange jede Maschine ohnehin geöffnet wird.
Der Azure-Blickwinkel: dasselbe Windows 10 bleibt in der Cloud kostenlos am Leben
Hier ist der Teil, der die Rechnung ändert, und es ist der Teil, den ein reiner Geräteaustausch nie sieht. Diese 61 Dollar pro Gerät, die sich jedes Jahr verdoppeln, gelten für physische Maschinen. Für Windows 10, das als virtuelle Maschine in Azure läuft, sind die Extended Security Updates kostenlos, und automatisch. Keine Schlüssel, keine Anmeldung, keine Konfiguration: Azure erkennt die Maschine an ihren eigenen Metadaten. Das gilt für virtuelle Azure-Maschinen, für Azure Virtual Desktop (Einzel- und Multisession), für Azure Dedicated Host, für Azure Local, für die Azure-Stack-Familie, und für Windows 365 Cloud PCs.
# Azure: list your Windows VMs to find the Windows 10 ones. ESU is already free here.
az vm list -d \
--query "[?storageProfile.osDisk.osType=='Windows'].{name:name, rg:resourceGroup, image:storageProfile.imageReference.sku}" \
-o table
Das dreht die Entscheidung für zwei Gruppen von Maschinen. Der Bestand, der Windows 10 auf Azure Virtual Desktop fährt, muss nicht aus einem Kostenrisiko gerettet, sondern nach vorne gebracht werden: verlagern Sie die Sitzungshosts in Ihrem eigenen Tempo auf Windows 11 Multisession, im Wissen, dass die Sicherheitsupdates in der Zwischenzeit kostenlos weiterlaufen. Ein Vorbehalt, bereits in Kraft: das Windows-10-22H2-AVD-Image, das mit den Microsoft 365 Apps geliefert wurde, wurde im April 2026 aus dem Azure Marketplace entfernt; nur das Image ohne die Microsoft 365 Apps bleibt, bis 2028, sodass Hosts, die aus dem alten gebaut wurden, als Erste dran sind.
Und die physischen Maschinen, die durch die Hardware-Prüfung fielen, werden nicht zu Abfall. Ein Windows 365 Cloud PC gibt ihren Nutzern einen verwalteten Windows-11-Desktop, auf die alte Hardware gestreamt, die ihn als Thin Client fährt. Das alte Gerät bleibt sogar abgedeckt: ein Windows-10-Gerät, das sich mit einem lizenzierten Cloud PC verbindet, hat selbst Anspruch auf ESU, ohne Zusatzkosten, bis zu drei Jahre. Der Schreibtisch, der wie eine Rechnung aussah, wird zum Zugang.
Der Boden, nicht das Ziel
Das Ende von Windows 10 ist im Grunde keine Windows-Geschichte. Es ist der Moment, in dem die Branche aufhörte, Organisationen den Modern Workplace aufschieben zu lassen. Windows 11 ist nicht das Ziel, es ist der Boden, auf dem man Identität, Verwaltung und Sicherheit baut, ob dieser Boden nun ein mit Autopilot an Entra angebundener Laptop ist oder ein Cloud PC in Azure. Die einzige Frage, die die Frist im Oktober 2025 wirklich stellte, war, ob Sie diesen Boden bewusst legen würden, oder unter Druck.
