Support-Ende Windows Server 2012 R2 und 2016: was im Mittelstand wirklich zu tun ist

In jedem zweiten polnischen Unternehmen mit 20 bis 50 Mitarbeitenden, das wir betreten, läuft der Schlüsselserver noch mit Windows Server 2012 R2. Er beherbergt die Comarch-Optima- oder Subiekt-Datenbank, Dateifreigaben, den Domänencontroller, manchmal einen Netzwerkdrucker und den Fiskaldruck. Er läuft. Niemand will ihn anfassen, denn „warum, es funktioniert doch".

Das Problem: Seit Oktober 2023 liefert Microsoft keine Sicherheitspatches mehr für dieses System aus, und Windows Server 2016 verliert im Januar 2027 den Support. Jeder Monat auf dem alten System ist ein wachsendes Loch, das kein Antivirenprogramm im Dashboard meldet. Der Cyberversicherer merkt es erst im Schadensfall — und lehnt dann die Auszahlung ab.

Dieser Text handelt davon, was man wirklich tun kann, wenn man gerade auf einem dieser Systeme sitzt. Ohne Angstmacherei, ohne Enterprise-Angebot für eine halbe Million.

Was genau endete und was endet

Drei Daten muss man kennen:

• Windows Server 2012 R2 — Mainstream-Support endete am 9. Oktober 2018, Extended Support am 10. Oktober 2023. Heute bekommt das System Patches nur noch über das kostenpflichtige ESU-Programm (Extended Security Updates) — für die Standard-Edition typischerweise mehrere hundert Dollar pro Jahr und Instanz, mit jährlicher Preissteigerung.
• Windows Server 2016 — Mainstream endete am 11. Januar 2022, Extended endet am 12. Januar 2027. Das sind weniger als sechs Monate (Stand dieses Textes), bis auch dort entweder gezahlt oder migriert werden muss.
• SQL Server 2012 und SQL Server 2014 — wenn zusammen mit Windows Server 2012 R2 eine alte Comarch-Optima-Datenbank auf SQL 2012 läuft (das kommt oft vor), bekommt auch diese keine Patches mehr. SQL Server 2016 verliert den Support im Juli 2026.

„Das System läuft" ist nicht dasselbe wie „das System ist sicher". Neue Schwachstellen in Windows Server 2012 R2 tauchen jeden Monat auf — sie werden ohne kostenpflichtiges ESU einfach nicht mehr für Sie geschlossen.

Warum das kein Problem ist, das man aussitzen kann

Drei Dinge passieren gleichzeitig, wenn Sie auf einem nicht unterstützten System bleiben:

Der Cyberversicherer zahlt nicht mehr. In Cyberpolicen für den Mittelstand, die wir seit 2024 sehen, ist eine Klausel Standard, die Schäden ausschließt, wenn der Versicherte nach einem Stichtag „ein vom Hersteller nicht mehr unterstütztes Betriebssystem oder eine solche Datenbank" einsetzt. Ransomware, die durch eine SMB-Lücke in 2012 R2 eindringt, ist für den Versicherer kein Zufall mehr — sondern das Ergebnis einer bewussten Unterlassung. Im letzten Jahr haben wir drei solche Ablehnungen gesehen, jede im Bereich von 200.000 bis 400.000 PLN.

Das Sicherheitsaudit beim Konzernkunden geht nicht durch. Ein immer häufigeres Szenario: ein KMU verkauft an einen Konzern, der Konzern schickt einen Sicherheitsfragebogen (oft durch DORA, NIS2 oder interne Richtlinien getrieben), eine der ersten Zeilen fragt nach Betriebssystemversionen. „Windows Server 2012 R2" in diesem Feld bedeutet praktisch, dass der Auftrag gefährdet ist. Wir haben einen Logistikdienstleister gesehen, der einen Dreijahresvertrag über 1,2 Mio. PLN pro Jahr verlor, weil er einen Server für 30.000 PLN nicht migrieren wollte.

Neue Versionen der Geschäftssoftware lassen sich nicht mehr installieren. Comarch zertifiziert seit 2024 die neuesten Optima-Versionen nicht mehr auf Windows Server 2012 R2. enova365 genauso. Subiekt GT installiert noch, aber die neuen Versionen brauchen zunehmend ein neueres .NET, das auf 2012 R2 nicht mehr existiert. In der Praxis zieht Sie das gleichzeitig beim Betriebssystem und bei der Anwendung, mit der Sie tatsächlich arbeiten, zurück.

Die Kombination dieser drei Dinge bedeutet: „Aussitzen" ist keine Strategie. Es ist eine Verzögerung, die jeden Monat mit steigender ESU-Rechnung (Microsoft erhöht den Preis jährlich), steigendem Risiko und einer wachsenden Zahl geschlossener Türen bezahlt wird.

Konkret: Verpackungshersteller, 25 Personen

Einer unserer Kunden — ein 25-Personen-Hersteller von Kartonverpackungen — betrieb bis zum letzten Jahr die gesamte IT auf einem einzigen Windows-Server-2012-R2-Rechner. Der Server hostete Comarch Optima in einer Version von 2019, Dateifreigaben, den Active-Directory-Domänencontroller und die Druckerausgabe. Die physische Hardware war 8 Jahre alt, SATA-Platten im RAID 1, 32 GB RAM. Backup auf ein NAS einmal täglich, Off-Site-Kopie einmal wöchentlich auf einer externen Platte, die der Chef mit nach Hause nahm.

„Alles läuft" — sagte der Chef, als wir auf Wunsch eines neuen Konzernkunden ein Audit machten. Der Kunde verlangte das Ausfüllen eines Cybersicherheits-Fragebogens. Ihn ehrlich auszufüllen bedeutete, „Betriebssystem ohne Herstellersupport" anzukreuzen, was in diesem Konzern automatisch bedeutet: Lieferant disqualifiziert.

Wir schlugen drei Varianten vor:

• Variante 1 — neuer physischer Server, Windows Server 2022, Migration von Optima auf die neueste Version, einmalige Kosten Hardware + Arbeit: rund 38.000 PLN, plus die bisherigen Betriebskosten.
• Variante 2 — Verlagerung von Comarch Optima in die Comarch-Cloud (SaaS), Freigaben in SharePoint, Abschaltung des physischen Servers: rund 12.000 PLN einmalig + 2.100 PLN/Monat Abonnement (netto ca. 1.200 PLN/Monat mehr als bisher).
• Variante 3 — hybrides Modell: Optima in der Comarch-Cloud, aber ein eigener kleiner Server (Windows Server 2022 Essentials) für Dateifreigaben, Druck und AD, Kosten: rund 22.000 PLN einmalig + 1.600 PLN/Monat.

Der Kunde wählte Variante 2. Die Migration dauerte 6 Wochen, davon 1 Wochenende für den eigentlichen Cutover (Freitagabend bis Sonntagabend). Am Montagmorgen loggten sich 25 Personen in Optima in der Cloud ein und arbeiteten. Der physische Server wurde nach zwei Wochen Beobachtung abgebaut. Der Konzernvertrag wurde einen Monat später unterschrieben.

Wichtig: Für dieses Unternehmen hätte „nichts tun" den Verlust dieses Vertrags bedeutet (600.000 PLN/Jahr über 3 Jahre) plus ein erhöhtes Risiko eines nicht versicherten Ransomware-Schadens. Variante 2 hat sich im ersten Monat des neuen Vertrags amortisiert.

Drei Migrationswege, zwischen denen der Mittelstand wählt

Es gibt keine einzelne richtige Antwort. Es gibt drei typische Wege, und die Wahl hängt davon ab, wie viel Sie On-Prem haben, wie stabil Ihre Internetleitung ist und wie stark Sie einen eigenen Serverschrank wollen.

Weg A: Neuer On-Prem-Server (Windows Server 2022 oder 2025). Sie kaufen einen neuen physischen Server (oder eine zweite VM auf einem bestehenden Hyper-V-/Proxmox-Host), installieren aktuellen Windows Server, migrieren die Rollen. Hardware für 20-50 Nutzer: 20.000-45.000 PLN. Lizenz Windows Server 2022 Standard: 5.000-7.000 PLN. Migrationsarbeit: 15.000-25.000 PLN. Dieser Weg ergibt Sinn, wenn Sie eine vernünftige Backup-Leitung, einen klimatisierten Serverraum und wirklich On-Prem-Bedarf haben (z. B. große CAD-Dateien, eine schwere Optima-Datenbank mit über 50 GB).

Weg B: In die Cloud mit dem Anwendungshersteller. Comarch, enova, InsERT — sie alle bieten SaaS-/Cloud-Versionen ihrer Systeme an. Sie migrieren keinen Server, sondern verlagern Anwendung und Daten in die Umgebung des Herstellers. Monatliches Modell pro Nutzer, keine eigene Hardware. Sinnvoll für Firmen, die ihren Serverraum loswerden wollen und eine gute Internetleitung haben. Risiko: Abhängigkeit von der Hersteller-Cloud (Lock-in), erschwerte eigene Integrationen, höhere Kosten auf 5-Jahres-Sicht.

Weg C: Hybrid — Public Cloud (Azure/AWS) plus SharePoint. Den Anwendungsserver (Optima, SQL Server) betreiben Sie als VM in Azure, Dateien auf SharePoint/OneDrive, Identität in Entra ID (früher Azure AD). Dieser Weg gibt Flexibilität und volle Kontrolle, verlangt aber IT-Kompetenz (intern oder vom Partner). Kosten beginnen bei 1.500-3.000 PLN/Monat allein für die Azure-Infrastruktur eines 20-Personen-Unternehmens.

In der Praxis landen die meisten von uns beratenen KMU bei einer Kombination aus B und C: die Buchhaltungs- und Lageranwendung in der Hersteller-Cloud, Identität und Dateien in Microsoft 365, kein physischer Server vor Ort. Das ist meist operativ am einfachsten und über 3 Jahre am günstigsten.

Was man nicht tun sollte, obwohl es intuitiv erscheint

Ein paar Entscheidungen, die auf den ersten Blick vernünftig aussehen und schlecht enden:

• ESU „für immer" kaufen. ESU war als Brücke gedacht. Der Preis steigt jedes Jahr (typisch um 100 % im zweiten, 100 % im dritten Jahr). Nach zwei Jahren kostet ESU mehr als die Migration. Das ist eine Brücke, kein Ziel.
• „Bei Gelegenheit" ohne Termin migrieren. Wir haben fünf Firmen gesehen, die seit 2023 die Migration „geplant" hatten und sie 2025 immer noch nicht erledigt hatten. Ohne konkretes Datum im Kalender (und einem Budget für ein bestimmtes Quartal) passiert es einfach nicht.
• In-Place-Upgrade von 2012 R2 auf 2019/2022 machen. Microsoft unterstützt das nur eingeschränkt (2012 R2 → 2016 → 2019 → 2022, Schritt für Schritt), und jeder Schritt kann etwas kaputt machen. Eine saubere Neuinstallation von 2022 auf neuer Hardware mit Rollenmigration ist billiger und zuverlässiger als drei In-Place-Upgrades.
• Annehmen, Backup reiche als Plan. Backup schützt vor Datenverlust. Es schützt nicht vor Schwachstellen im Code des Betriebssystems, durch die gerade jemand eindringt. Backup und aktueller Herstellersupport sind zwei verschiedene Verteidigungsschichten.
• Den Server migrieren, aber die alten Windows-10-Arbeitsplätze lassen. Windows 10 verliert den Support im Oktober 2025. Wenn Sie ohnehin an einer Servermigration arbeiten, planen Sie gleich ein zweites Projekt für die Arbeitsplätze — dasselbe Team, derselbe Moment, um die Hardware aufzuräumen.

Womit diese Woche anfangen

Wenn Sie nach diesem Text denken „wir haben wohl 2012 R2 oder 2016, sind uns aber nicht sicher", tun Sie in dieser Reihenfolge:

1. Prüfen Sie, was Sie haben. Loggen Sie sich am Server ein (oder bitten Sie Ihren Administrator), führen Sie in der Eingabeaufforderung winver aus — es zeigt Version und Build. Notieren Sie es.
2. Prüfen Sie, was darauf läuft. Welche Version von Comarch Optima? Welche Version von SQL Server? AD-Domänencontroller? Dateifreigaben? Druck? Erstellen Sie eine einfache Liste auf Papier — drei Zeilen Text, aber entscheidend für das weitere Gespräch.
3. Prüfen Sie die Cyberpolice. Falls Sie eine haben — lesen Sie die Klauseln zu „nicht unterstützten Systemen". Falls die Formulierung unklar ist, fragen Sie den Makler schriftlich: „Deckt unsere Police Ransomware-Schäden ab, wenn unser Windows Server 2012 R2 kein aktives ESU hat?". Bewahren Sie die Antwort schriftlich auf.
4. Nehmen Sie die Migration ins Budget 2026 auf. Auch wenn Sie noch nicht wissen, welchen Weg Sie wählen, reservieren Sie eine Spanne von 30.000-60.000 PLN für das Migrationsprojekt. Ohne Budget-Reservierung passiert nichts.
5. Bitten Sie um ein Vergleichsangebot für alle drei Wege (A, B, C oben). Sie müssen nicht sofort entscheiden — der Vergleich der Grundzahlen und der Fünfjahreskosten weist meist selbst auf die Antwort.

Die Migration eines alten Servers ist ein langweiliges Projekt. Kein Ruhm, kein KI, nichts, womit man auf LinkedIn prahlen kann. Aber es ist eines der Projekte, deren Fehlen die Firma aus Verträgen, aus Versicherungen und — früher oder später — aus dem Netz wirft, weil jemand versehentlich ihre Dateien verschlüsselt. Machen Sie es, bevor jemand anderes es zu einem ungünstigen Zeitpunkt für Sie tut.

Wenn Sie besprechen möchten, welcher Weg zu Ihrer Situation passt — Hardware, Anwendungen, Leitung, Menschen — dauert das erste Gespräch 30 Minuten und ist kostenlos.

Ein Server, der „läuft", aber keine Patches mehr bekommt, ist ein Server, der genau bis zu dem Moment läuft, in dem jemand durch die Tür kommt.

← Zurück zum Blog