IT-Wissen · IT-Wissen

Microsoft 365 Apps auf Windows 10: Übergang absichern

Kurz zusammengefasst: Microsoft 365 Apps können auf Windows 10 zunächst weiterarbeiten, doch Windows 10 ist seit dem 14. Oktober 2025 aus dem regulären Support. Für Unternehmen ist der Weiterbetrieb daher eine befristete Übergangslösung und kein dauerhaft unterstützter Standard. Microsoft stellt Sicherheitsupdates für Microsoft 365 Apps auf Windows 10 noch bis zum 10. Oktober 2028 bereit. Windows 10 selbst erhält nach dem Supportende keine regulären Sicherheits- oder Qualitätsupdates mehr. Kleine Unternehmen und der Mittelstand sollten deshalb Gerätebestand, Hardware, Anwendungen, Identitäten und Arbeitsabläufe gemeinsam betrachten und einen dokumentierten Übergangsplan umsetzen.

Nutzen und Einordnung

Eine kontrollierte Übergangsphase schafft Zeit für Kompatibilitätstests, Hardwarebeschaffung und geordnete Benutzerkommunikation. Sie kann helfen, ungeprüfte Upgrades oder ungeplante Gerätewechsel zu vermeiden.

Wichtig ist die Trennung zwischen Anwendung und Betriebssystem: Microsoft 365 Apps können unter Windows 10 weiter ausgeführt werden. Microsoft stellt dafür Sicherheitsupdates bis zum 10. Oktober 2028 bereit. Der Support für Microsoft 365 Apps auf Windows 10 ist jedoch seit dem 14. Oktober 2025 eingeschränkt. Wenn ein Problem nur in dieser Kombination auftritt und unter Windows 11 nicht besteht, kann Microsoft zur Umstellung auf Windows 11 auffordern.

Windows 10 selbst hat am 14. Oktober 2025 das reguläre Supportende erreicht. Für die regulär betroffenen Editionen entfallen damit technische Unterstützung sowie reguläre Sicherheits- und Qualitätsupdates. Der Weiterbetrieb sollte deshalb als Risikoreduzierung mit einem festen Endpunkt geplant werden. Ziel bleibt der Wechsel auf unterstützte Windows-11-Geräte oder eine dokumentierte Ersatzlösung für einzelne Sonderfälle.

1. Bestand und Abhängigkeiten erfassen

Am Anfang steht eine belastbare Inventarisierung. Für jedes Gerät sollten mindestens Windows-Edition und Version, Hardwareeignung für Windows 11, Microsoft-365-App-Version und Updatekanal, Gerätemanagement, Benutzerzuordnung sowie geschäftskritische Zusatzsoftware dokumentiert werden.

Besondere Aufmerksamkeit verdienen Fachanwendungen, Makros, Add-ins, Drucker, Scanner, VPN-Clients, Kartenleser und branchenspezifische Treiber. Ein Office-Test allein genügt nicht, wenn beispielsweise ein Excel-Makro, ein Outlook-Add-in oder ein Dokumentenworkflow vom Betriebssystem oder von einem Treiber abhängt.

Die Geräte lassen sich anschließend in drei Gruppen einteilen: direkt auf Windows 11 aktualisierbar, mit Austauschbedarf und vorübergehend nicht migrierbar. Für jede Gruppe braucht es einen Verantwortlichen, ein Ziel, ein geplantes Zeitfenster und ein überprüfbares Abnahmekriterium. Geräte ohne klare Zuordnung bleiben sonst leicht dauerhaft in der Übergangslösung.

Hardwareeignung und Windows-11-Voraussetzungen prüfen
Microsoft-365-Version und Updatekanal dokumentieren
Geschäftskritische Anwendungen und Peripherie testen
Ausnahmen mit Begründung, Verantwortlichem und Enddatum versehen

2. Microsoft 365 Apps kontrolliert betreiben

Die Microsoft-365-Apps sollten während der Übergangsphase weder unkontrolliert aktualisiert noch vollständig eingefroren werden. Sicherheitsupdates müssen über den vorgesehenen Updatekanal zuverlässig ankommen. Gleichzeitig sollte der Funktionsstand so stabil gehalten werden, dass Fachanwendungen und Add-ins getestet werden können.

Für Microsoft 365 Apps auf Windows 10 stellt Microsoft Featureupdates und Copilot-Unterstützung, soweit berechtigt, bis zur Veröffentlichung von Version 2608 bereit. Danach bleiben die Geräte auf Version 2608 und erhalten bis zum 10. Oktober 2028 nur noch Sicherheitsupdates. Diese Einschränkung ist für die Planung relevant, weil die Übergangsphase nicht mit dauerhaft gleichbleibender Office-Funktionalität verwechselt werden darf.

Unternehmen sollten einen kleinen Testkreis mit repräsentativen Arbeitsplätzen definieren. Nach erfolgreicher Prüfung werden weitere Geräte ausgerollt. Die Ergebnisse sollten nicht nur technisch, sondern auch fachlich dokumentiert werden: Start von Word und Outlook, Öffnen zentraler Vorlagen, Makro- und Add-in-Verhalten, Drucken, Teams- und OneDrive-Nutzung sowie Wiederherstellung nach einem Neustart.

Test-, Pilot- und Produktionsgruppe bilden
Updatefehler und ausstehende Neustarts regelmäßig auswerten
Office-Vorlagen, Makros und Add-ins mit realistischen Arbeitsabläufen prüfen
Problematische Änderungen nachvollziehbar zurückstellen und erneut testen

3. Windows-Updates und Gerätewechsel phasenweise steuern

Wenn Microsoft Intune eingesetzt wird, können Update-Ring-Richtlinien Installationszeitpunkte, Aufschubfristen, Neustartverhalten, Fristen, aktive Zeiten und Benutzerbenachrichtigungen steuern. Unterschiedliche Gerätegruppen ermöglichen einen gestaffelten Rollout mit Test, Pilot und Produktion.

Für den Wechsel auf Windows 11 können Feature-Update-Richtlinien eingesetzt werden. Sie zielen auf eine bestimmte Windows-Version und halten diese Vorgabe auf den zugewiesenen Geräten aufrecht, bis die Richtlinie geändert oder entfernt wird. Microsoft weist darauf hin, dass Update-Ringe und Feature-Update-Richtlinien unterschiedliche Aufgaben erfüllen. Werden Feature-Update-Verzögerungen und Feature-Update-Richtlinien unklar kombiniert, kann dies Updates verzögern oder blockieren.

Technisch sollte vor jedem breiteren Rollout ein Wiederanlaufplan vorhanden sein. Dazu gehören geprüfte Datensicherung, Wiederherstellungsweg, lokale Administratorregelung, verfügbare Installationsmedien oder Provisioning-Prozess sowie eine Liste der Anwendungen, die nach dem Upgrade geprüft werden. Ein erfolgreicher Upgrade-Status in Intune ersetzt keine fachliche Abnahme am Arbeitsplatz.

Geräte nach Risiko und Geschäftsrelevanz staffeln
Windows-11-Zielversion eindeutig festlegen
Richtlinienkonflikte zwischen Intune, Gruppenrichtlinien und Configuration Manager prüfen
Upgrade, Rückfall und Benutzerkommunikation vorab testen

4. Identitäten, Zugriffe und Daten absichern

Ein nicht mehr regulär unterstütztes Betriebssystem erhöht den Wert zusätzlicher Schutzmaßnahmen. Multifaktor-Authentifizierung sollte für Benutzer und besonders für Administrationskonten verpflichtend sein. Microsoft nennt Security Defaults als mögliche Ausgangsbasis für viele Organisationen. Bei höheren Anforderungen können Conditional-Access-Richtlinien eingesetzt werden, sofern die erforderliche Lizenzierung vorhanden ist.

Administrationskonten sollten getrennt von normalen Arbeitskonten verwendet werden. Notfallzugänge müssen dokumentiert, geschützt und regelmäßig kontrolliert werden. Gleichzeitig sollte geprüft werden, welche Geräte auf Microsoft-365-Daten zugreifen dürfen und ob private oder nicht verwaltete Geräte ausgeschlossen oder gesondert behandelt werden müssen.

Datensicherung bleibt eine eigene Aufgabe. OneDrive, SharePoint und Exchange sind keine pauschale Zusage für jede gewünschte Wiederherstellung. Für geschäftskritische Daten müssen Aufbewahrung, Wiederherstellung, Berechtigungen und Verantwortlichkeiten festgelegt und praktisch getestet werden.

MFA für Benutzer und Administratoren aktivieren
Separate Konten für Administration und tägliche Arbeit verwenden
Zugriffe verwalteter Geräte und Ausnahmen dokumentieren
Wiederherstellung geschäftskritischer Daten regelmäßig testen

5. Organisatorische Steuerung und Abschluss

Die Übergangsphase braucht einen kurzen, verbindlichen Beschluss: Welche Geräte dürfen vorübergehend auf Windows 10 bleiben, warum ist das erforderlich, welche Schutzmaßnahmen gelten und bis wann wird die Ausnahme beendet? Ohne diese Entscheidung wird aus einer Übergangslösung schnell ein unbefristeter Altbestand.

Für die Steuerung genügen wenige aussagekräftige Kennzahlen: Anzahl der Windows-10-Geräte, Anteil mit aktuellem Microsoft-365-Sicherheitsstand, offene Kompatibilitätsfälle, abgeschlossene Windows-11-Migrationen, Geräte mit ESU und überfällige Ausnahmen. Die Werte sollten einer verantwortlichen Person oder einem kleinen Steuerkreis zugeordnet werden.

Windows 10 ESU kann für geeignete geschäftlich genutzte Geräte zusätzliche kritische und wichtige Sicherheitsupdates ermöglichen. Für kommerzielle oder Bildungseinrichtungen ist der Zeitraum auf maximal drei Jahre nach dem Supportende begrenzt; Voraussetzung ist unter anderem Windows 10 Version 22H2. ESU umfasst keine neuen Funktionen, keine nicht sicherheitsrelevanten Updates und keinen allgemeinen Support. Es ist daher eine zeitlich begrenzte Schutzmaßnahme, die mit einem konkreten Migrations- oder Austauschplan verbunden werden sollte.

Ausnahmen schriftlich genehmigen und mit Enddatum versehen
Monatlichen Status zu Geräten, Updates und Migrationen führen
Benutzer frühzeitig über Zeitfenster und notwendige Aktionen informieren
Nach der Migration Altgeräte, lokale Daten und Berechtigungen geordnet außer Betrieb nehmen

Beispiel aus der Praxis

Beispiel: Ein mittelständischer Betrieb mit rund 40 Büroarbeitsplätzen stellt fest, dass mehrere ältere Notebooks die Windows-11-Anforderungen nicht erfüllen. Die Geräte werden zunächst inventarisiert und in drei Gruppen eingeteilt. Zehn aktuelle Notebooks werden in einer Pilotgruppe auf Windows 11 migriert. Dabei prüft der Betrieb Outlook-Add-ins, Excel-Makros, Druckvorlagen, VPN und die Verbindung zu den zentralen Dateien. Für die nicht migrierbaren Geräte wird eine befristete Ausnahme beschlossen. Diese Geräte erhalten, sofern Windows 10 Version 22H2 und die weiteren Voraussetzungen erfüllt sind, ESU, bleiben in der Geräteüberwachung und dürfen nur mit MFA und verwalteten Konten auf Unternehmensdaten zugreifen. Parallel bestellt der Betrieb Ersatzgeräte und legt für jede Ausnahme ein konkretes Austauschdatum fest. Die Geschäftsführung erhält monatlich den Status zu offenen Tests, bestellten Geräten und abgeschlossenen Migrationen. So bleibt der Windows-10-Betrieb nachvollziehbar begrenzt und wird nicht zum stillschweigenden Dauerzustand.

Chancen für Unternehmen

Die Übergangsphase ermöglicht gestaffelte Migrationen mit realistischen Tests statt eines riskanten Komplettwechsels.
Intune, Update-Ringe und Feature-Update-Richtlinien können die technische Steuerung und Nachvollziehbarkeit verbessern.
Die Überprüfung von MFA, Administrationskonten, Gerätezugriffen und Wiederherstellung stärkt die Sicherheitsorganisation über das konkrete Windows-10-Thema hinaus.
Ein aktuelles Inventar schafft eine verlässliche Grundlage für Budgetierung, Hardwareaustausch und Lizenzentscheidungen.

Grenzen und Prüfpunkte

Microsoft-365-Apps auf Windows 10 bleiben trotz Sicherheitsupdates in einer nicht vollständig unterstützten Betriebssystemkonfiguration.
ESU ersetzt weder allgemeine Windows-Unterstützung noch neue Funktionen oder einen Migrationsplan.
Intune-Richtlinien installieren keine fachliche Kompatibilität. Add-ins, Makros, Treiber und Spezialsoftware müssen am Arbeitsplatz geprüft werden.
Lizenzierung, Hardwareeignung, Netzwerkanbindung und bestehende Gruppenrichtlinien können die technische Umsetzung begrenzen und müssen je Umgebung geprüft werden.