Endgültiges Support-Ende von Windows 11 23H2: Was Unternehmen, Behörden und Bildungseinrichtungen jetzt wissen müssen

Am 10. November 2026 hat Microsoft das letzte Sicherheitsupdate KB5131087 für Windows 11 Version 23H2 veröffentlicht. Dieses kumulative Update stellt den finalen Patch für die Enterprise-, Education- und IoT-Editionen dar und markiert das offizielle Lebensende der Version. Ab diesem Datum erhalten die betroffenen Systeme keinerlei weitere Sicherheitskorrekturen mehr - weder im Rahmen eines regulären Monats-Patches noch über ein kostenpflichtiges Extended-Security-Update (ESU). Für Unternehmen, Behörden und Bildungseinrichtungen bedeutet das ein sofortiges Handlungs- und Planungsbedürfnis, um die Compliance zu wahren und Angriffsflächen zu schließen.

Ende des regulären Supports für Windows 11 23H2 Enterprise, Education und IoT

Der Support für die genannten Editionen endet mit dem Installieren des Sicherheitsupdates KB5131087 am 10. November 2026. Nach erfolgreicher Installation zeigt die System-Build-Nummer 22631.7711 (nachweisbar mittels winver ) an, dass das finale Update aktiv ist. Microsoft bietet für diese Zwischenversion keine kostenpflichtigen ESU-Programme an - im Unterschied zu Windows 10 besteht für Windows 11 23H2 kein Weg, nach dem Supportende noch Sicherheitsupdates zu erhalten, selbst gegen Bezahlung.

Technische Details des finalen Sicherheitsupdates KB5131087

KB5131087 schließt die zuletzt dokumentierten Sicherheitslücken und führt wichtige sicherheitsrelevante Parameter ein:

• Standardisierung der NTLM-Nachrichtensignierung für nicht-anonyme Verbindungen.
• Vorbereitung auf das Auslaufen älterer Secure-Boot-Zertifikate.
• Erforderliches Servicing-Stack-Update KB5132696, das die Installation des Updates unterstützt.

Die finale OS-Build-Nummer 22631.7711 wird ausschließlich durch die Kombination von KB5131087 und KB5132696 erreicht. Das Update ist das letzte kumulative Paket für die 23H2-Reihe.

Warum das Update kein Enablement Package ist - Plattformwechsel von Nickel zu Germanium

Die nachfolgenden Windows-11-Releases (24H2, 25H2, 26H2) basieren auf einer neuen gemeinsamen Plattform-Codebasis, intern als "Germanium" bezeichnet. Im Gegensatz dazu bleibt Version 23H2 auf der alten "Nickel-Architektur" (Build-Reihe 226xx). Ein reines Enablement Package, das lediglich ein paar Kilobyte groß ist, kann die zugrunde liegende Plattform nicht verändern. Deshalb erfordert ein Sprung von 23H2 zu einer neueren Version ein vollständiges OS-Feature-Update, das mehrere Gigabyte Datenvolumen umfasst (ca. 4-5 GB im Vergleich zu < 200 KB bei Enablement Packages).

Lifecycle und Support-Zeiträume im Überblick

• Enterprise/Education 23H2: 36 Monate Service-Laufzeit ab Verfügbarkeit am 31. Oktober 2023 (Microsoft Modern Lifecycle Policy).
• Home/Pro 23H2: 24 Monate Service-Laufzeit, Support endete bereits im November 2025.
• Enterprise 24H2: reguläres Support-Ende am 12. Oktober 2027.
• Enterprise 26H2: reguläres Support-Ende am 8. Oktober 2029.

Alle Angaben stammen aus den offiziellen Microsoft-Lifecycle-Dokumenten (S1, S2) sowie den Patch-Notes zu KB5131087 (S3).

Risiken bei Verzicht auf ein Upgrade

• Fehlendes ESU-Programm: Ohne ESU bleibt jede neue Schwachstelle dauerhaft ungepatcht, was ein erhebliches Sicherheits- und Haftungsrisiko für Unternehmen, Behörden und Bildungseinrichtungen darstellt.
• Compliance-Verlust: Viele regulatorische Vorgaben (z. B. DSGVO, ISO 27001) verlangen aktuelle Sicherheitspatches. Das Ausbleiben von Updates kann zu Verstößen führen.
• Erhöhte Netzwerklast: Ein vollständiges Feature-Upgrade erfordert das gleichzeitige Herunterladen von mehreren Gigabyte, was in großen Netzwerken ohne Delivery Optimization zu Engpässen führen kann.

Upgrade-Pfad: Wie Sie von 23H2 auf eine unterstützte Version wechseln

1. Versionsprüfung: Tastenkombination Win + R → winver. Beginnt die Build-Nummer mit 22631, läuft das System noch mit 23H2.
2. Intune-Richtlinie setzen: In Microsoft Intune die Richtlinie "Feature updates for Windows 10 and later" konfigurieren und die Ziel-Build-Nummer (z. B. 26200 für 25H2 oder 26300 für 26H2) festlegen. Das Upgrade wird dann automatisch im Hintergrund bezogen und installiert.
3. Manuelles Upgrade via Media Creation Tool: Wenn keine Intune-Steuerung vorhanden ist, das offizielle Media Creation Tool von Microsoft verwenden, um das passende ISO-Image (z. B. für 26H2) herunterzuladen und per USB- oder Netzwerk-Bereitstellung zu installieren.
4. Bandbreitenplanung: Da ein Feature-Update ca. 4-5 GB groß ist, sollten Unternehmen Bandbreitenreserven einplanen oder Technologien wie Delivery Optimization einsetzen.

Die ISO-Dateien stehen direkt im Microsoft-Download-Portal bereit. Nach erfolgreichem Upgrade erhalten Geräte Support bis mindestens 2027 (für 24H2) bzw. 2029 (für 26H2).

FAQ

Gibt es für Windows 11 23H2 kostenpflichtige Sicherheitsupdates wie bei Windows 10?Nein. Microsoft bietet für reguläre Windows-11-Versionen kein Extended-Security-Update-Programm (ESU) an; Sicherheitsupdates werden ausschließlich über den Wechsel auf eine aktuelle Version bereitgestellt.Welche Build-Nummer zeigt an, dass KB5131087 erfolgreich installiert wurde?Nach Installation des November-Patches lautet die vollständige Versionsnummer Windows 11 Build 22631.7711 (nachprüfbar über winver ).Können Administratoren Rechner über Microsoft Intune direkt auf neuere Versionen heben?Ja. Über die Intune-Richtlinie "Feature updates for Windows 10 and later" kann die Ziel-Version definiert werden, wodurch das vollständige Upgrade automatisch im Hintergrund durchgeführt wird.

Fazit

Der 10. November 2026 markiert das endgültige Ende des Supports für Windows 11 23H2 Enterprise, Education und IoT. Das finale Sicherheitsupdate KB5131087 (Build 22631.7711) ist das letzte verfügbare Patch-Paket - danach erhalten die Systeme keine weiteren Sicherheitspatches und kein kostenpflichtiges ESU-Programm steht zur Verfügung. Der technische Grund für ein vollständiges Feature-Upgrade liegt im Plattformwechsel von der Nickel- zur Germanium-Architektur, wodurch ein reines Enablement-Package nicht ausreicht. Unternehmen, Behörden und Bildungseinrichtungen müssen nun ein komplettes OS-Feature-Update (z. B. auf 24H2 oder 26H2) planen, Bandbreite und Deploy-Zeit berücksichtigen und sämtliche Compliance-Risiken adressieren. Durch die Nutzung von Intune-Richtlinien oder dem Media Creation Tool lassen sich die notwendigen Upgrades sicher und automatisiert durchführen, sodass die Systeme weiterhin geschützt und konform bleiben.