SQL Server 2016:
der Support endet am 14. Juli

Am 14. Juli 2026 — kommenden Dienstag — veröffentlicht Microsoft den letzten Patch Tuesday, der SQL Server 2016 einschließt. Ab diesem Moment verlässt die Version den Extended Support: Jede danach entdeckte Schwachstelle bleibt ohne offizielle Korrektur. Kein Einzelfall: Es ist das jüngste Kapitel einer Reihe von Legacy-Produkten, die viele KMU noch produktiv einsetzen — oft ohne Plan. Sehen wir uns den vollständigen Kalender, die konkreten Optionen und die Planung der Umstellung an, ohne den Betrieb anzuhalten.

Der Kalender der Fristen

Die unmittelbare Frist betrifft SQL Server 2016, dessen Extended Support am 14. Juli 2026 endet. Das Bild ist jedoch breiter, denn ein Teil des Unternehmens-Softwarebestands ist bereits über der Linie: Windows 10 ist seit dem 14. Oktober 2025 ohne Support (22H2 war die letzte Version), und am selben Tag verloren auch Office 2016 und 2019, Exchange Server 2016 und 2019, Skype for Business Server sowie Visio und Project 2016/2019 den Support.

Für viele KMU bedeutet das: Das ERP läuft auf einer Datenbank, die in wenigen Tagen keine Patches mehr erhält, abgefragt von Windows-10-Arbeitsplätzen, die seit Monaten keine mehr bekommen — sofern sie nicht in die Programme für erweiterte Updates aufgenommen wurden. Die klassische „Legacy-Zeitbombe“: Alles funktioniert, nichts ist abgedeckt.

Was „Support-Ende“ wirklich bedeutet

Support-Ende heißt nicht, dass die Software aufhört zu funktionieren: Es heißt, dass sie aufhört, verteidigbar zu sein. Keine Sicherheitsupdates mehr, auch nicht für aktiv ausgenutzte kritische Schwachstellen; keine Fehlerkorrekturen; kein technischer Support des Herstellers. Jede nach dem Stichtag veröffentlichte CVE bleibt auf der nicht unterstützten Version für immer offen.

Hinzu kommt die Compliance-Ebene: Wer ein zertifiziertes ISO/IEC-27001-Managementsystem betreibt, hat das Management technischer Schwachstellen unter seinen Controls, und wer in den Anwendungsbereich der NIS2 fällt, hat explizite Pflichten zum Umgang mit Schwachstellen und zur Systemwartung. Ein Softwarebestand ohne Support und ohne dokumentierten Sanierungsplan ist im Audit eine fast automatische Feststellung — und nach einem Vorfall eine unangenehme Frage.

Die drei Wege für SQL Server 2016

• 1Upgrade auf SQL Server 2022 — der geradlinigste Weg für alle, die on-premise bleiben: moderne Engine, voller Support, aktuelle Sicherheitsfunktionen. Der Knoten ist die Anwendungskompatibilität: ERP-Systeme im Mittelstand sind oft nur für bestimmte Engine-Versionen zertifiziert, und das Upgrade muss mit dem Anwendungsanbieter validiert werden, bevor die Produktion angefasst wird. Ist der physische Server in die Jahre gekommen, ist es auch die Gelegenheit zu virtualisieren, statt neue Hardware zu kaufen.
• 2Migration zu Azure SQL — Azure SQL Managed Instance bietet hohe Kompatibilität mit SQL Server und delegiert Patching, Hochverfügbarkeit und Backup an die Plattform. Sinnvoll, wenn man das Management der Datenbank-Engine abgeben will, innerhalb eines breiteren Wegs der Cloud-Migration. Erfordert eine ernsthafte Bewertung von Anwendungsabhängigkeiten, Latenz zu den Standorten und Kostenmodell.
• 3Extended Security Updates über Azure Arc — für alle, die nicht sofort migrieren können, stellt Microsoft die ESU bis zum 17. Juli 2029 bereit: Die Server werden bei Azure Arc registriert, mit monatlicher Pay-as-you-go-Abrechnung, oder über Volume Licensing erworben (erfordert aktive Software Assurance). Instanzen von SQL Server 2016 auf virtuellen Azure-Maschinen erhalten die ESU direkt über die Plattform. Die richtige Wahl, wenn die Einschränkung die Anwendung ist, nicht die Infrastruktur.

Warum die ESU eine Brücke sind, kein Ziel

Extended Security Updates decken nur als kritisch und wichtig eingestufte Schwachstellen ab. Sie enthalten keine neuen Funktionen, keine Nicht-Sicherheits-Korrekturen und keinen regulären technischen Support. Währenddessen altert die Software: Inkompatibilitäten mit neuen Betriebssystemen, Treibern und Anwendungen häufen sich, und die Programmkosten sind so angelegt, dass sie Jahr für Jahr steigen — genau um zur Migration zu drängen. ESU kaufen Zeit — und das ist legitim, wenn nötig —, aber die Zeit muss genutzt werden, um einen Plan umzusetzen, nicht um ihn zu verschieben.

Windows 10: das parallele Kapitel

Für Windows 10 ist die Frist bereits verstrichen: Der Support endete am 14. Oktober 2025. Organisationen können dem ESU-Programm beitreten, das bis zu drei Jahre kritische und wichtige Sicherheitspatches abdeckt, mit jährlichem kumulativem Kauf (wer im zweiten Jahr einsteigt, zahlt auch das erste). Die Voraussetzungen: Version 22H2 mit installierten ESU-Vorbereitungspaketen; die Editionen LTSB/LTSC sind nicht Teil des Programms, da sie eigenen Lebenszyklen folgen. Die Aktivierung im Unternehmensumfeld erfolgt über Intune, Windows Autopatch oder Volume Licensing.

Auch hier gilt die Brückenlogik: Die ESU halten die Arbeitsplätze sicher, die noch nicht auf Windows 11 wechseln können — wegen Hardware- oder Anwendungseinschränkungen —, während die Erneuerung geplant wird. Für die Client-Flotte ist die Umstellung oft die Gelegenheit, das Modell zu überdenken: verwaltete Geräte mit Intune und standardisierten Profilen statt einzeln konfigurierter Maschinen, und Identitäten und Arbeitsplätze, die über Microsoft 365 gesteuert werden.

Das konkrete Risiko: Legacy ist das erste Ziel

Das ist keine Theorie. Der Operational Summary Mai 2026 des CSIRT Italia nennt als dominierende Angriffsvektoren die Verwendung gültiger, bereits kompromittierter Zugangsdaten und die Ausnutzung schlecht konfigurierter Fernzugriffsdienste — und meldet das verarbeitende Gewerbe unter den am stärksten von Ransomware betroffenen Sektoren. Eine ungepatchte SQL-Server-2016-Datenbank, erreichbar über einen schwachen Fernzugriff, mit Aufträgen, Kundendaten und Dokumenten, ist genau die Kombination, die ein Ransomware-Affiliate sucht: ein bekannter Einstiegspunkt, Daten, die ein Lösegeld wert sind, ein Unternehmen, das sich den Stillstand nicht leisten kann.

Die Verteidigung besteht nicht nur im Patchen: Sie besteht darin, neu starten zu können. Welchen Weg Sie für die Umstellung auch wählen, ein verifiziertes Backup mit getestetem Disaster Recovery ist die Voraussetzung — sowohl gegen Ransomware als auch als Sicherheitsnetz während der Migration selbst.

Wie man die Umstellung aufsetzt

• 1Inventar— alle SQL-Server-Instanzen erfassen (auch die „versteckten“ in Anwendungen) und die Windows-10-Arbeitsplätze, mit Versionen und Abhängigkeiten.
• 2Kompatibilitätsprüfung — für jede von SQL 2016 abhängige Anwendung den Anbieter fragen: zertifiziert für SQL 2022? Für Azure SQL? In welchem Zeitrahmen?
• 3Differenzierter Plan — was sofort migriert, was virtualisiert wird, was mit ESU abgedeckt bleibt, mit schriftlichem Ausstiegsdatum. Jedes System auf ESU braucht einen Verantwortlichen und eine Frist.
• 4Sicherheitsnetz — getestetes Backup vor jedem Schritt, definiertes Rollback-Fenster und verstärktes Monitoring auf den Systemen, die auf ESU bleiben.

Das ist die Arbeit, die wir jede Woche mit KMU machen: den realen Kontext bewerten — Anwendungen, Budget, Einschränkungen — und die technische Umstellung bauen, die trägt, on-premise oder in der Cloud. Wenn Sie der 14. Juli noch auf SQL Server 2016 antrifft, hat die Aktivierung der ESU-Abdeckung Priorität — zusammen mit einem Datum für den Migrationsplan.