Security Timeline

Fristen, die nicht warten

Alle Microsoft- und Active-Directory-Sicherheitsfristen auf einen Blick. Deprecations, Enforcement-Phasen und kritische Deadlines von 2020 bis 2027.

2029
9. Januar 2029 · Nächste Phase
Windows Server 2019 — SupportendeAktiv

Extended Support für Windows Server 2019 endet Januar 2029. Danach nur noch kostenpflichtige ESU.

End of LifeWindows Server 20195 Phasen →
2027
~2027 · Nächste Phase
VBScript DeprecationAktiv

VBScript wird schrittweise aus Windows entfernt. Ab ~Oktober 2025 nicht mehr standardmäßig installiert, vollständige Entfernung ~2027.

VBScriptWindows 11 24H2+3 Phasen →
12. Januar 2027 · Nächste Phase
Windows Server 2016 — SupportendeAktiv

Extended Support für Windows Server 2016 endet Januar 2027. Danach nur noch kostenpflichtige ESU.

End of LifeWindows Server 20165 Phasen →
2026
2025–2026 · Nächste Phase
LDAP Signing & Channel BindingAktiv

LDAP-Signing in Server 2025 erzwungen. Channel Binding auf „When supported“ gesetzt, vollständige Erzwingung für alle DCs angekündigt.

LDAPWindows Server 2016Windows Server 2019+24 Phasen →
Oktober 2026 · Nächste Phase
NTLM DeprecationAktiv

NTLMv1 in Windows 11 24H2 deaktiviert und in Server 2025 entfernt. NTLMv2-Abschaltung für zukünftige Windows-Versionen angekündigt.

NTLMWindows Server 2016Windows Server 2019+4Artikel5 Phasen →
13. Oktober 2026 · Nächste Phase
Windows Server 2012/2012 R2 — SupportendeAktiv

Extended Security Updates für Windows Server 2012 und 2012 R2 enden im Oktober 2026. Danach keine Sicherheitsupdates mehr.

End of LifeWindows Server 2012Windows Server 2012 R25 Phasen →
13. Oktober 2026 · Nächste Phase
Windows 10 — SupportendeAktiv

Windows 10 Support endet Oktober 2025. Extended Security Updates kostenpflichtig — Consumer 1 Jahr, Enterprise bis 3 Jahre.

End of LifeWindows 104 Phasen →
Juli 2026 · Nächste Phase
Kerberos RC4 KDC EnforcementAktiv

Microsoft erzwingt schrittweise das Ende von RC4-HMAC bei Kerberos-Service-Ticket-Ausstellung. Accounts ohne AES-Konfiguration werden nur noch AES-verschlüsselt bedient.

KerberosWindows Server 2012Windows Server 2012 R2+4Artikel3 Phasen →
1. Juli 2026 · Nächste Phase
Entra Connect Sync Pflicht-UpgradeAktiv

Alle Entra Connect Sync-Installationen müssen auf Version 2.5.79.0+ aktualisiert werden. Synchronisierung stoppt bei älteren Versionen.

Entra ConnectMicrosoft Entra Connect Sync3 Phasen →
Juni 2026 · Nächste Phase
Secure Boot UEFI CA 2023 MigrationAktiv

Microsoft Secure Boot-Zertifikate von 2011 laufen ab. Migration auf Windows UEFI CA 2023 erforderlich.

Secure BootWindows 10Windows 11+4Artikel4 Phasen →
Heute — Juni 2026
2026
14. April 2026 · Erzwungen seit
WDS Hands-Free Deployment HardeningErzwungen

Windows Deployment Services sichert die automatische Bereitstellung ab. Unattend.xml über unsichere Kanäle wird blockiert.

WDSWindows Server 2016Windows Server 2019+32 Phasen →
~Januar 2026 · Erzwungen seit
Secure Boot BlackLotus RevocationsErzwungen

Schrittweise Revokation verwundbarer Windows Boot Manager durch Aktualisierung der Secure Boot Forbidden List (DBX).

Secure BootWindows 10Windows 11+4Artikel3 Phasen →
2025
TBD · Nächste Phase
Windows LAPSAktiv

Windows LAPS ersetzt Legacy LAPS (Microsoft LAPS). Nativ in Windows integriert seit April 2023, erweiterte Features in Server 2025.

LAPSWindows Server 2019Windows Server 2022+33 Phasen →
14. Oktober 2025 · Erzwungen seit
Kerberos NTAuth Store EnforcementErzwungen

Zertifikatsbasierte Kerberos-Authentifizierung erfordert, dass die ausstellende CA im NTAuth-Store registriert ist.

KerberosWindows Server 2016Windows Server 2019+23 Phasen →
September 2025 · Erzwungen seit
PowerShell 2.0 EntfernungErzwungen

PowerShell 2.0 Engine wird aus Windows 11 und Server 2025 entfernt. Skripte fallen auf PowerShell 5.1 zurück.

PowerShellWindows 11 24H2Windows Server 2025 RTM3 Phasen →
9. September 2025 · Erzwungen seit
KB5014754 — Certificate Strong MappingErzwungen

Zertifikatsbasierte Authentifizierung gegen Active Directory erfordert Strong Mapping. Zertifikate ohne SID-Extension werden seit Februar 2025 abgelehnt.

ZertifikateWindows Server 2016Windows Server 2019+24 Phasen →
April 2025 · Erzwungen seit
PAC Signature Validation 2024Erzwungen

Zusätzliche PAC-Signaturvalidierung für Kerberos ab April 2024, vollständig erzwungen seit April 2025.

KerberosWindows Server 2016Windows Server 2019+43 Phasen →
2024
November 2024 · Erzwungen seit
SMB1 EntfernungErzwungen

Schrittweise Entfernung des veralteten SMB1-Protokolls aus Windows. In Server 2025 nur noch als optionales Feature verfügbar.

SMBWindows Server 2016Windows Server 2019+45 Phasen →
November 2024 · Erzwungen seit
SMB Signing Required by DefaultErzwungen

SMB-Signing für alle Verbindungen in Windows 11 24H2 und Server 2025 standardmäßig erzwungen.

SMBWindows Server 2025Windows 11 24H23 Phasen →
November 2024 · Erzwungen seit
TLS 1.0/1.1 in WindowsErzwungen

TLS 1.0 und 1.1 in Windows 11 24H2 und Server 2025 standardmäßig deaktiviert. TLS 1.3 für alle Server-Rollen aktiviert.

TLSWindows Server 2025Windows 11 24H23 Phasen →
November 2024 · Erzwungen seit
Credential Guard & VBS Standardmäßig AktiviertErzwungen

VBS, HVCI und Credential Guard werden in Windows 11 22H2+ und Server 2025 standardmäßig auf kompatiblen Geräten aktiviert.

VBS/HVCIWindows 11 22H2+ (Enterprise/Education)Windows Server 20252 Phasen →
Oktober 2024 · Erzwungen seit
RC4 in Kerberos — AES EnforcementErzwungen

RC4-HMAC als Kerberos-Verschlüsselungstyp wird schrittweise durch AES ersetzt. In neuen Installationen von Windows 11 24H2 und Server 2025 bereits deaktiviert.

KerberosWindows Server 2016Windows Server 2019+4Artikel2 Phasen →
Oktober 2024 · Erzwungen seit
SMB Guest Access BlockedErzwungen

Gast-Fallback für SMB-Verbindungen in Windows 11 24H2 standardmäßig blockiert.

SMBWindows 11 24H21 Phasen →
31. Oktober 2024 · Erzwungen seit
TLS 1.0/1.1 in Microsoft 365 & AzureErzwungen

TLS 1.0 und 1.1 in Microsoft 365, Exchange Online und Azure-Diensten vollständig deaktiviert.

TLSExchange OnlineMicrosoft 365+13 Phasen →
2023
10. Oktober 2023 · Erzwungen seit
Kerberos PAC ValidationErzwungen

Schrittweise Erzwingung der PAC-Signaturvalidierung für Kerberos-Tickets. Registry-Key zum Deaktivieren seit Oktober 2023 entfernt.

KerberosWindows Server 2008 R2Windows Server 2012+84 Phasen →
11. Juli 2023 · Erzwungen seit
Netlogon RPC SealingErzwungen

RPC-Sealing auf dem Netlogon Secure Channel vollständig erzwungen. Samba < 4.17.5 verliert Domänenmitgliedschaft.

NetlogonWindows Server 2016Windows Server 2019+23 Phasen →
14. März 2023 · Erzwungen seit
DCOM HardeningErzwungen

DCOM Authentication Level dauerhaft angehoben. Registry-Key zum Deaktivieren seit März 2023 entfernt.

DCOMWindows Server 2016Windows Server 2019+33 Phasen →
2022
Oktober 2022 · Erzwungen seit
Exchange Online Basic AuthErzwungen

Basic Authentication für Exchange Online dauerhaft deaktiviert seit Oktober 2022. OAuth 2.0 / Modern Auth ist Pflicht.

ExchangeExchange Online2 Phasen →
2021
9. Februar 2021 · Erzwungen seit
ZerologonErzwungen

Secure RPC für Netlogon vollständig erzwungen seit Februar 2021. Betrifft alle Konten einschließlich Nicht-Windows.

NetlogonWindows Server 2008 R2Windows Server 2012+42 Phasen →