Die jüngsten Windows-Updates: Was sie für Arztpraxen bedeuten

In den letzten Monaten ist auf den Windows-Systemen vieler Praxen mehr passiert als der gewohnte Klick auf „Jetzt neu starten“. Zwei Dinge fallen zusammen: Windows 10 hat sein Support-Ende erreicht, und bei Windows 11 hat der Patchday im Juni 2026 sicherheitskritische Lücken geschlossen, zugleich aber Nebenwirkungen, die direkt in den Praxisalltag durchschlagen. Hier die nüchterne Einordnung, was für Arztpraxen zählt.

Windows 10 ist seit dem 14. Oktober 2025 ohne reguläre Sicherheitsupdates

Microsoft hat den Support für Windows 10 am 14.10.2025 eingestellt. Die Rechner laufen weiter, erhalten ohne das ESU-Programm aber keine Sicherheits-, Funktions- oder Qualitätsupdates mehr. Ohne laufende Sicherheitsupdates steigt das Risiko durch bekannte, nicht mehr geschlossene Schwachstellen.

Für Praxen als Betriebe ist der vorgesehene Übergangspfad das kommerzielle ESU-Programm (Extended Security Updates): 61 USD pro Gerät im ersten Jahr, danach jährlich verdoppelt (122, dann 244 USD), maximal drei Jahre bis Oktober 2028, Voraussetzung ist Windows 10 Version 22H2. ESU liefert nur als kritisch oder wichtig eingestufte Sicherheitsupdates, keine Bugfixes und keinen technischen Support. Das Consumer-ESU kann persönliche, nicht organisatorisch verwaltete Geräte laut Microsoft bis zum 12. Oktober 2027 schützen; für Registrierung und Nutzung gelten die jeweils veröffentlichten Bedingungen. Für domänen- oder anderweitig verwaltete Praxis-PCs ist der kommerzielle Pfad maßgeblich. Microsoft kündigt Sicherheitsupdates für Microsoft-365-Apps auf Windows 10 bis zum 10. Oktober 2028 an.

ESU ist eine Brücke, kein Ersatz für die Migration. Ein Betriebssystem ohne reguläre Herstellerupdates erhöht das Risiko. Die KBV-IT-Sicherheitsrichtlinie verlangt, Komponenten ohne Sicherheitsupdates zu identifizieren und entweder auszumustern oder separiert zu betreiben; ob die konkrete Umgebung angemessen geschützt ist, hängt von den tatsächlich umgesetzten Maßnahmen ab.

Windows 11: Auch hier läuft eine Uhr

Wer bereits migriert hat, ist nicht automatisch dauerhaft auf der sicheren Seite. Windows 11 Version 24H2 (Home/Pro) erreicht ihr Support-Ende am 13.10.2026. Ob und wie ein Wechsel auf 25H2 ausgerollt werden kann, hängt von Edition, Gerätestand, Firmware und der unterstützten Microsoft-Bereitstellung ab und sollte zunächst an einem Referenzgerät geprüft werden. 25H2 entfernt allerdings PowerShell 2.0 und WMIC (WMIC lässt sich noch als optionales Feature nachinstallieren, PowerShell 2.0 nicht). Das betrifft ältere Geräte- oder Praxisskripte, die im Hintergrund noch darauf zugreifen.

Das Juni-Update 2026: zeitnah, aber kontrolliert einspielen

Microsofts Hinweis zu KB5094126 dokumentiert Sicherheitskorrekturen und eine bekannte OLE-Nebenwirkung bei einzelnen Drittanbieter-Anwendungen. Parallel werden die Secure-Boot-Zertifikate von 2011 auf die Generation 2023 umgestellt. Geräte ohne diese Aktualisierung können laut Microsoft weiterhin starten und normale Windows-Updates erhalten; betroffen sein kann jedoch der Schutz künftiger früher Startkomponenten. Prüfen Sie deshalb Update-, Firmware- und Secure-Boot-Status und rollen Sie Änderungen zuerst auf einer repräsentativen Testgruppe aus.

Updates, die Praxis-Software ausbremsen können

Ein Sicherheitspatch kann Arbeitsabläufe stören. Für KB5094126 dokumentiert Microsoft eine OLE-Nebenwirkung: Einzelne Drittanbieter-Anwendungen können Office-Anwendungen nicht starten. Ob das eigene PVS oder angebundene Programme betroffen sind, muss anhand der Herstellerfreigaben und eines Referenzgeräts geprüft werden. Nicht primär belegte Fehlercodes oder Forenberichte sind keine belastbare Grundlage für eine allgemeine Praxisempfehlung.

Die Lehre daraus ist nicht „Updates aufschieben“, sondern „Updates kontrolliert ausrollen“: vorher an einem Referenzgerät testen, eine Rückfall-Lösung und ein geprüftes Backup bereithalten.

Nicht verwechseln: Windows-Update ist nicht die TI-Umstellung

Die Meldungen zur TI-Verschlüsselungsumstellung von RSA auf ECC betrafen unter anderem den Ersatz nicht ECC-fähiger Konnektoren. RSA-only-Konnektoren sind seit dem 1. Januar 2026 ohne TI-Zugang. Das ist ein eigenständiges Thema, nicht das Windows-10-Support-Ende. Der Handlungsdruck durch nicht mehr nutzbare TI-Komponenten bleibt bestehen, gehört aber getrennt vom Betriebssystem geplant.

Was das rechtlich bedeutet

Die aktualisierte KBV-IT-Sicherheitsrichtlinie nach § 390 SGB V gilt seit April 2025; ihre neuen Anforderungen an das Patch- und Änderungsmanagement sind seit dem 01.10.2025 verbindlich. Anlage 1 verlangt unter anderem, Updates zeitnah zu installieren (Nr. 14), Komponenten ohne Sicherheitsupdates zu identifizieren (Nr. 16) und sie auszumustern oder in ein eigenes Netzsegment zu separieren (Nr. 17). Das gilt genau für Windows-10-Altgeräte. Hinzu kommt Art. 32 DSGVO: Ob der konkrete Betrieb die geforderten technischen und organisatorischen Maßnahmen erfüllt, hängt von der gesamten Schutzkonzeption ab. Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt. Ob eine konkrete Umgebung die Anforderungen aus Art. 32 DSGVO und der KBV-IT-Sicherheitsrichtlinie erfüllt, hängt von den dokumentierten technischen und organisatorischen Maßnahmen ab; aus einem einzelnen veralteten Gerät folgt weder automatisch Konformität noch automatisch eine bestimmte Sanktion.

Was eine Praxis jetzt tun sollte

Verschaffen Sie sich zuerst einen Überblick: Welche Rechner laufen noch unter Windows 10, welche Windows-11-Version ist installiert, welche Geräte erreichen wann ihr Support-Ende. Auf dieser Basis gilt: Windows-10-Geräte auf Windows 11 heben oder, wenn das kurzfristig nicht geht, über das kommerzielle 22H2-ESU absichern und bis zur Ablösung in ein separates Netzsegment isolieren. Bei Windows 11 die monatlichen Sicherheitsupdates kontrolliert ausrollen, getestet, mit geprüftem Backup und Rückfall-Lösung, und den Secure-Boot-Status prüfen.

Diese Aufgabe lässt sich nach § 390 SGB V an einen IT-Dienstleister delegieren; die Gesamtverantwortung bleibt bei der Praxis. Genau dafür ist ein Systemhaus mit Healthcare-Erfahrung da: Wir inventarisieren die Geräte, prüfen Windows- und PVS-Kompatibilität und planen Testgerät, Wartungsfenster, Backup und Rückfallweg. Ziel ist, Unterbrechungen möglichst kurz zu halten; ausschließen lassen sie sich bei Betriebssystem- und Hardwaremigrationen nicht. Anschließend richten wir ein Patch-Management ein, das Sicherheit und PVS-Stabilität zusammenbringt. Wenn Sie wissen möchten, wo Ihre Praxis steht, sprechen Sie uns für eine kurze Bestandsaufnahme an.