Die Migration auf Windows 11 ist weit mehr als ein einfaches Betriebssystem-Update — sie erfordert eine sorgfältige Planung, Hardwareprüfung und eine durchdachte Rollout-Strategie, um den Geschäftsbetrieb nicht zu gefährden.
Ausgangslage — Warum die Migration jetzt dringend ist
Am 14. Oktober 2025 endet der erweiterte Support für Windows 10. Ab diesem Datum erhält das Betriebssystem keine Sicherheitsupdates mehr — weder für bekannte Schwachstellen noch für neu entdeckte Zero-Day-Lücken. Unternehmen, die Windows 10 nach diesem Stichtag weiterbetreiben, setzen sich einem erheblichen Sicherheitsrisiko aus: Jede veröffentlichte CVE wird zum offenen Einfallstor für Angreifer, ohne dass ein Patch verfügbar ist. Zwar bietet Microsoft das Extended Security Update (ESU)-Programm an, das für bis zu drei weitere Jahre kostenpflichtige Sicherheitsupdates bereitstellt, doch die Kosten steigen jährlich erheblich — im ersten Jahr rund 61 USD pro Gerät, im zweiten Jahr das Doppelte und im dritten Jahr das Vierfache. Für größere Flotten summiert sich das schnell auf sechsstellige Beträge, die besser in neue Hardware und die eigentliche Migration investiert werden.
Ein zentrales Problem bei der Windows-11-Migration ist die veränderte Hardwareanforderung. Im Gegensatz zu früheren Versionen setzt Windows 11 zwingend einen TPM-2.0-Chip (Trusted Platform Module) sowie UEFI mit Secure Boot voraus. Geräte, die vor 2018 angeschafft wurden, erfüllen diese Anforderungen häufig nicht. Das bedeutet in der Praxis: Ein erheblicher Teil des bestehenden Geräteparks muss ersetzt werden, bevor die Software-Migration überhaupt beginnen kann. Eine frühzeitige Inventarisierung mit Tools wie dem Microsoft PC Health Check oder über Intune Endpoint Analytics ist daher der allererste Schritt, um den Umfang des Hardware-Refreshs zu quantifizieren und das Budget realistisch zu planen.
Darüber hinaus stellt die Migration viele Unternehmen vor organisatorische Herausforderungen. Fachabteilungen arbeiten mit spezialisierten Anwendungen, die möglicherweise nicht mit Windows 11 kompatibel sind. Treiber für ältere Peripheriegeräte — Drucker, Scanner, Laborgeräte — sind unter dem neuen Betriebssystem nicht immer verfügbar. Und schließlich müssen Gruppenrichtlinien, Sicherheitsbaselines und Deployment-Workflows angepasst werden. Wer diese Komplexität unterschätzt und die Migration auf die letzte Minute verschiebt, riskiert Betriebsunterbrechungen und Sicherheitslücken.
- End of Support: Ab dem 14. Oktober 2025 gibt es keine kostenlosen Sicherheitsupdates mehr für Windows 10. Das ESU-Programm verlängert den Support kostenpflichtig, ist aber keine Dauerlösung und wird jährlich teurer.
- TPM 2.0 Pflicht: Windows 11 erfordert ein Trusted Platform Module der Version 2.0. Dieses Sicherheitsmodul ermöglicht BitLocker-Vollverschlüsselung, Windows Hello for Business, Credential Guard und Measured Boot — Funktionen, die das Sicherheitsniveau erheblich erhöhen.
- Secure Boot & UEFI: Legacy-BIOS wird von Windows 11 nicht mehr unterstützt. Geräte müssen im UEFI-Modus mit aktiviertem Secure Boot betrieben werden, um Rootkits und Bootkits bereits vor dem Betriebssystemstart zu blockieren.
- Prozessoranforderungen: Nur CPUs ab der 8. Generation (Intel Coffee Lake) bzw. AMD Zen 2 und neuer werden offiziell unterstützt. Ältere Prozessoren können theoretisch kompatibel sein, erhalten aber keinen offiziellen Support und können bei Feature-Updates Probleme verursachen.
- Compliance-Druck: Frameworks wie ISO 27001, BSI IT-Grundschutz und NIS-2 verlangen den Einsatz unterstützter Software. Der Betrieb von End-of-Life-Betriebssystemen kann zu Abweichungen in Audits und im schlimmsten Fall zu Haftungsfragen führen.
Planung & Vorbereitung — Das Fundament einer erfolgreichen Migration
Eine gründliche Planungsphase ist der Schlüssel zum Erfolg jeder Betriebssystem-Migration. Bevor auch nur ein einziges Gerät aktualisiert wird, müssen drei Dimensionen systematisch erfasst werden: der Hardware-Bestand, die Anwendungskompatibilität und die Deployment-Infrastruktur. In der Praxis empfiehlt sich ein strukturierter Ansatz mit klar definierten Meilensteinen: Zuerst die vollständige Inventarisierung (Woche 1–2), dann die Kompatibilitätstests (Woche 3–6), anschließend die Pilotphase mit einer begrenzten Benutzergruppe (Woche 7–10) und erst danach der breite Rollout. Unternehmen, die diesen Prozess überspringen und direkt mit der Installation beginnen, riskieren hohe Nacharbeitskosten und frustrierte Anwender.
Die Hardware-Inventarisierung sollte über eine zentrale Endpoint-Management-Lösung erfolgen. Microsoft Intune bietet mit dem Windows 11 Readiness Report einen integrierten Bericht, der jedes verwaltete Gerät auf TPM-Version, Secure-Boot-Status, RAM, Speicherplatz und CPU-Kompatibilität prüft. Alternativ liefert der Microsoft Endpoint Configuration Manager (MECM/SCCM) über Hardware-Inventurdaten dieselben Informationen. Für Unternehmen ohne zentrales Management empfiehlt sich ein PowerShell-basierter Scan über alle Domänen-PCs, der TPM-Status (Get-Tpm), UEFI-Modus (Confirm-SecureBootUEFI), RAM und CPU-Modell abfragt und die Ergebnisse in eine zentrale CSV-Datei exportiert. Das Ergebnis dieser Inventarisierung ist eine klare Übersicht: Welche Geräte können migriert werden, welche benötigen ein BIOS-Update (TPM 2.0 per Firmware aktivierbar), und welche müssen ersetzt werden?
Die Anwendungskompatibilität ist erfahrungsgemäß der größte Risikofaktor. Standardsoftware wie Microsoft 365, Browser und gängige Business-Tools funktioniert unter Windows 11 in der Regel problemlos. Kritisch sind jedoch Fachanwendungen (ERP, CAD, Laborsteuerung), Eigenentwicklungen (Visual Basic, .NET Framework 3.5, 32-Bit-Anwendungen) und Hardware-abhängige Software (Treiber für Spezialgeräte, PLC-Verbindungen, medizinische Geräte). Microsoft stellt mit Test Base for Microsoft 365 eine Cloud-basierte Testplattform bereit, auf der Unternehmen ihre Anwendungen automatisiert gegen Windows-11-Builds testen können. Ergänzend sollte ein manueller User Acceptance Test (UAT) mit Fachbereichsvertretern durchgeführt werden, um auch funktionale Einschränkungen zu identifizieren, die automatisierte Tests nicht erkennen.
- Inventarisierung mit Intune: Der Windows 11 Readiness Report in Intune kategorisiert jedes Gerät als „Capable“, „Not Capable“ oder „Unknown“. Filtern Sie gezielt nach „Not Capable“-Geräten und prüfen Sie, ob ein TPM-Firmware-Update oder eine BIOS-Konfigurationänderung das Problem löst, bevor Sie Hardware-Ersatz planen.
- Applikationskompatibilität: Erstellen Sie ein vollständiges Anwendungsinventar mit Versionsnummern, Herstellerinformationen und Abhängigkeiten. Priorisieren Sie die Tests nach Geschäftskritikalität: Tier-1-Anwendungen (geschäftskritisch, kein Workaround) müssen vor dem Rollout validiert sein, Tier-2-Anwendungen (wichtig, aber Workaround verfügbar) können parallel migriert werden.
- Treiberprüfung: Fordern Sie von jedem Hardwarehersteller eine offizielle Windows-11-Treiberfreigabe an. Besonders häufig problematisch sind: Multifunktionsdrucker mit Scan-to-Folder, ältere Dockingstations (Thunderbolt/USB-C), Chipkartenleser für Signaturkarten und branchenspezifische USB-Geräte.
- Deployment-Planung mit SCCM/Intune: Definieren Sie Deployment-Ringe: Ring 0 (IT-Abteilung, 1–2 Wochen), Ring 1 (Early Adopter aus Fachabteilungen, 2–3 Wochen), Ring 2 (breite Masse, gestaffelter Rollout), Ring 3 (Sonderfälle und Ausnahmen). Jeder Ring enthält eine Feedback-Phase, bevor der nächste startet.
- Benutzerkommunikation: Informieren Sie die Mitarbeiter frühzeitig über den Migrationsplan, den Zeitrahmen und die zu erwartenden Änderungen. Erstellen Sie eine FAQ-Seite im Intranet, bieten Sie kurze Schulungsvideos zu den wichtigsten Neuerungen an (neues Startmenü, Snap Layouts, Widgets) und richten Sie einen dedizierten Supportkanal für Migrationsfragen ein.
- Backup-Strategie: Sichern Sie vor der Migration alle Benutzerdaten, Profile und Konfigurationen. Bei In-Place Upgrades werden Daten zwar übernommen, ein vollständiges Backup ermöglicht jedoch die schnelle Wiederherstellung bei unvorhergesehenen Problemen. Nutzen Sie USMT (User State Migration Tool) für die automatisierte Profilsicherung bei Clean Installs.
Rollout & Best Practices — Von der Pilotphase bis zur Flächenmigration
Der eigentliche Rollout sollte immer phasenweise erfolgen — niemals als Big-Bang-Migration aller Geräte gleichzeitig. Ein gestaffeltes Vorgehen in klar definierten Deployment-Ringen minimiert das Risiko, ermöglicht frühzeitiges Erkennen von Problemen und gibt dem IT-Support Zeit, Erfahrungen zu sammeln, bevor die breite Masse der Anwender betroffen ist. In der Praxis hat sich ein Vier-Ring-Modell bewährt: Ring 0 umfasst die IT-Abteilung selbst (Dogfooding), Ring 1 ausgewählte Early Adopter aus verschiedenen Fachabteilungen, Ring 2 den gestaffelten Rollout auf die gesamte Organisation und Ring 3 Sonderfälle wie Produktionsumgebungen, Labore oder Rechner mit speziellen Compliance-Anforderungen. Zwischen jedem Ring sollte eine Stabilisierungsphase von mindestens einer Woche liegen, in der Feedback gesammelt und eventuelle Probleme behoben werden.
Bei der Wahl der Migrationsmethode stehen drei Hauptoptionen zur Verfügung. Das In-Place Upgrade ist der schnellste Weg: Es aktualisiert Windows 10 direkt auf Windows 11, behält alle installierten Anwendungen, Einstellungen und Benutzerdaten bei und dauert pro Gerät typischerweise 60–90 Minuten. Der Nachteil: Altlasten wie unnötige Software, fragmentierte Registrierungsdatenbanken und kumulierte Konfigurationsfehler werden mitgenommen. Das Clean Install (Wipe and Load) bietet hingegen einen sauberen Neustart: Das Gerät wird vollständig gelöscht und mit einem standardisierten Windows-11-Image neu aufgesetzt. Benutzerprofile und -daten werden per USMT oder OneDrive Known Folder Move gesichert und nach der Installation wiederhergestellt. Für Neugeräte ist Windows Autopilot die bevorzugte Methode: Das Gerät wird beim Hersteller direkt mit der Hardware-ID in Autopilot registriert, und der Mitarbeiter erhält ein vorbereitetes Gerät, das sich beim ersten Start automatisch konfiguriert — Entra-ID-Join, Intune-Enrollment, Anwendungsinstallation und Richtlinienzuweisung erfolgen vollautomatisch.
Nach der eigentlichen Migration beginnt die Post-Migration-Phase, die häufig unterschätzt wird. In den ersten vier Wochen nach dem Rollout sollte ein verstärktes Monitoring stattfinden: Event-Logs auf Anwendungsfehler prüfen, Intune Compliance Reports auswerten, Helpdesk-Tickets kategorisieren und häufig gemeldete Probleme systematisch beheben. Gleichzeitig ist dies der richtige Zeitpunkt, um die Windows 11 Security Baseline von Microsoft zu implementieren, die strengere Standardeinstellungen für Credential Guard, BitLocker, SmartScreen und Windows Defender Application Control (WDAC) vorsieht. Unternehmen, die bereits auf Zero-Trust-Architekturen setzen, können die Migration als Gelegenheit nutzen, Conditional Access Policies, Passwordless Authentication (Windows Hello for Business, FIDO2) und Compliance-basierte Zugriffssteuerung flächendeckend auszurollen.
- In-Place Upgrade: Ideal für Szenarien, in denen Anwendungen und Benutzerprofile erhalten bleiben müssen. Steuerbar über SCCM Task Sequences oder Intune Feature Update Policies. Wichtig: Stellen Sie sicher, dass vor dem Upgrade genügend freier Speicherplatz (mindestens 20 GB) vorhanden ist und alle ausstehenden Windows-Updates installiert sind.
- Clean Install mit Imaging: Erstellen Sie ein standardisiertes Windows-11-Referenzimage mit dem Microsoft Deployment Toolkit (MDT) oder SCCM OSD. Integrieren Sie alle Treiber, Sicherheitsbaselines und Standardanwendungen direkt ins Image. Nutzen Sie USMT oder OneDrive Known Folder Move für die Benutzerdatenmigration.
- Windows Autopilot: Für Neugeräte die effizienteste Methode. Das Gerät wird direkt vom Hersteller (Dell, Lenovo, HP) in den Autopilot-Service registriert. Beim ersten Einschalten konfiguriert sich das Gerät selbstständig: Entra-ID-Join, Intune-Enrollment, Richtlinien und Anwendungen werden automatisch angewendet. Kein manuelles Imaging durch die IT-Abteilung erforderlich.
- Gruppenrichtlinien-Migration: Windows 11 bringt neue GPO-Einstellungen und ändert einige bestehende. Überprüfen Sie Ihre GPOs mit dem Group Policy Analytics Tool in Intune. Migrieren Sie wo möglich von klassischen GPOs zu Intune Configuration Profiles — besonders für hybride oder Cloud-only-Szenarien.
- Security Baseline implementieren: Die Microsoft Security Baseline für Windows 11 enthält über 300 empfohlene Einstellungen. Aktivieren Sie mindestens: BitLocker-Festplattenverschlüsselung, Credential Guard, Attack Surface Reduction (ASR) Rules, Windows Defender Application Control und Network Protection. Nutzen Sie das Security Compliance Toolkit (SCT) zum Import in GPO oder Intune.
- Post-Migration-Monitoring: Richten Sie Dashboards in Intune oder SCCM ein, die den Migrationsstatus aller Geräte in Echtzeit anzeigen: Erfolgreich migriert, ausstehend, fehlgeschlagen. Überwachen Sie in den ersten Wochen gezielt Bluescreen-Ereignisse (BSOD), Anwendungsabstürze und Treiberprobleme über Windows Event Forwarding oder Microsoft Sentinel.
- Fallback-Strategie: Definieren Sie für jeden Deployment-Ring einen klaren Rollback-Plan. Bei In-Place Upgrades bietet Windows 11 eine 10-tägige Frist für die Rückkehr zu Windows 10 (über
Einstellungen → System → Wiederherstellung). Verlängern Sie diese Frist per Registrierungswert oder GPO auf 30 oder 60 Tage, um ausreichend Testzeit zu gewährleisten.
Windows 11 Migration für Ihr Unternehmen?
Von der Hardware-Inventarisierung über die Kompatibilitätsprüfung bis zum gestaffelten Rollout — wir begleiten Ihre Windows-11-Migration von A bis Z. Profitieren Sie von unserer Erfahrung aus zahlreichen Enterprise-Rollouts und vermeiden Sie typische Fallstricke.
Jetzt Beratung anfragen →
