Support-Ende 2026–2027 für .NET 8, PHP 8.2 und Windows Server 2016: So gelingt die Legacy-Modernisierung

Kurze Antwort: Die drei kritischen Termine für 2026–2027 sind der 10. November 2026 für .NET 8 und .NET 9, der 31. Dezember 2026 für PHP 8.2 und der 12. Januar 2027 für Windows Server 2016 und .NET Framework 4.6.2. An diesen Tagen wird kein System abgeschaltet; Server und Anwendung laufen weiter. Was endet, sind die Sicherheitspatches für neu entdeckte Lücken. Eine gute Legacy-Modernisierung richtet sich nicht nach dem Stichtag, sondern nach einer klaren Reihenfolge: Inventar, Abhängigkeitskette, eine eigene Entscheidung für jedes System (Upgrade, Migration, Refactoring, Strangler Fig, Neuentwicklung oder Stilllegung) und eine schrittweise Umstellung mit Rollback-Plan. Microsofts ESU-Programm ist auf diesem Weg eine an Bedingungen geknüpfte Brücke für höchstens drei Jahre, nicht das Ziel.

Dieser Leitfaden richtet sich an IT-Verantwortliche, CTOs sowie Inhaberinnen und Inhaber von Unternehmen mit On-Premises- oder Hybrid-Infrastruktur, an Teams, die PHP-/Laravel- oder .NET-Anwendungen warten, und an alle, die das IT-Budget 2027 planen – im Mittelstand ebenso wie in Unternehmen, die mit türkischen Partnern arbeiten oder in die Türkei verkaufen. Die Termine haben wir anhand der Lifecycle-Seiten und offiziellen Ankündigungen der Hersteller überprüft; Preise nennen wir nicht, und eine rechtliche Bewertung nehmen wir nicht vor. Dieser Beitrag gibt den Stand vom 31. Oktober 2026 wieder.

Support-Ende-Kalender 2026–2027: Welche Software erhält ab wann keine Patches mehr?

Hinweis zu den Daten: Microsofts Lifecycle-Seiten geben das Ende in Pacific Time und als 06:59:59 Uhr des Folgetags an (für Windows Server 2016 „1/13/2027 6:59:59 AM“); in der Tabelle verwenden wir die Tage, die Microsoft in seinen Ankündigungen nennt. In türkischer Zeit (UTC+3) endet der Support für Windows Server 2016 am 13. Januar 2027 um 17:59:59 Uhr. Künftige Termine der Open-Source-Projekte haben Plancharakter; für Python 3.11 steht bislang nur der Monat fest.

Was bedeutet End of Support, und was ist ein Legacy-System?

Legacy-System: Software oder Infrastruktur, die nach wie vor kritische Geschäftsprozesse trägt, deren Technologie, Versionsstand oder zugehöriges Wissen jedoch veraltet ist, die sich nur noch schwer ändern lässt und deren Herstellersupport häufig bereits ausgelaufen ist oder bald ausläuft.

End of Support (Support-Ende): Der Tag, an dem der Hersteller für eine Version Sicherheitsupdates, Fehlerbehebungen und technischen Support einstellt. Die Software läuft weiter; neue Sicherheitslücken werden jedoch nicht mehr geschlossen.

Bei Produkten, die der Fixed-Lifecycle-Richtlinie von Microsoft unterliegen, endet zuerst der Mainstream-Support; im erweiterten Support (Extended Support) gibt es Sicherheitsupdates weiterhin ohne Zusatzkosten. Der eigentliche Bruch kommt mit dem Ende des erweiterten Supports: Danach sind Sicherheitsupdates nur noch über das ESU-Programm (Extended Security Updates) erhältlich, das Microsoft lediglich für einige Produkte anbietet. Bei Open-Source-Projekten entspricht dem das EOL-Datum (End of Life): php.net schreibt, dass Nutzer einer EOL-Version ungepatchten Sicherheitslücken ausgesetzt sein können und so bald wie möglich aktualisieren sollten. Noch deutlicher wird Microsofts Support-Richtlinie für .NET: „Es wird dringend empfohlen, keine Software zu verwenden, die nicht mehr unterstützt wird.“

Nicht verwechseln: Der Mainstream-Support für Windows Server 2022 endete am 13. Oktober 2026, Sicherheitspatches gibt es aber noch bis Oktober 2031.

Warum kann „Never touch a running system“ teuer werden?

Sicherheit: Die beiden unter dem Namen PHP2Shell bekannten Lücken (CVE-2026-109618 und CVE-2026-109619; CVSS-v4.0-Score 9.2, Remote-Code-Ausführung ohne Authentifizierung) wurden am 21. Oktober 2026 in allen unterstützten Zweigen mit offiziellen Releases geschlossen. Für die nicht mehr unterstützten Zweige 7.4, 8.0 und 8.1 stellte das PHP-Sicherheitsteam wegen der Schwere der Lücken ausnahmsweise nur minimale Quellcode-Patches bereit (Details in unserem Beitrag zu PHP2Shell). Dass es bei der nächsten Lücke wieder so kommt, ist nicht garantiert.

Datenschutz (KVKK): Artikel 12 des türkischen Datenschutzgesetzes Nr. 6698 (KVKK) verpflichtet den Verantwortlichen, „alle erforderlichen technischen und organisatorischen Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus“ zu treffen (eigene Übersetzung). Auch der Leitfaden zur Sicherheit personenbezogener Daten der türkischen Datenschutzbehörde (ebenfalls KVKK abgekürzt) hält fest, dass insbesondere ältere Versionen einiger weit verbreiteter Programme dokumentierte Sicherheitslücken aufweisen, und zählt Patch-Management und Software-Updates zu den wichtigen Elementen. Die rechtliche Bewertung ist Sache Ihrer Rechtsberatung; technisch gilt: Auf einem System, für das keine Patches mehr erscheinen, ist kein Patch-Management möglich.

Hersteller: Der Support für Microsoft 365 Apps unter Windows Server 2016 endete am 14. Oktober 2025; Installationen auf diesen Servern sind auf Version 2602 eingefroren und erhalten bis 10. Oktober 2028 nur noch Sicherheitsupdates. Wer Office über einen Remotedesktop-Server (RDS) mit dieser Windows-Server-Version bereitstellt, sollte Betriebssystem und Office gemeinsam planen.

Erster Schritt der Legacy-Modernisierung: Wie erstellen Sie das Inventar in 5 Arbeitstagen?

Wir empfehlen, das Inventar in einer Arbeitswoche zu erstellen: Ziel ist keine perfekte Asset-Liste, sondern eine einzige Tabelle, die Entscheidungen ermöglicht. Halten Sie für jedes System Folgendes fest:

• Server und Betriebssystem: Version, physisch oder virtuell, wo das System läuft.
• Laufzeitumgebung und Framework: Versionen von PHP, .NET, .NET Framework, Node.js, Python und Laravel; Paketabhängigkeiten.
• Datenbank: Version von SQL Server, MySQL/MariaDB oder PostgreSQL.
• Hosting: cPanel/CloudLinux, IIS, eigener Server im Haus oder Cloud.
• Integrationen: ERP, e-Fatura-Integrator (Dienstleister für die türkische E-Rechnung), virtuelles POS (Online-Kartenzahlung), Versanddienstleister, Marktplätze.
• Lizenzen: Gibt es aktive Software Assurance, ein Abonnement oder SPLA? Davon hängt ab, ob Sie ESU für On-Premises-Systeme beziehen können.
• Fachverantwortung: Welcher Prozess steht still, wenn das System ausfällt, und wer trifft die Entscheidung?
• Testabdeckung: Wer prüft ein Upgrade, und wie?
• Backup und Rollback: Wann wurde die Wiederherstellung zuletzt getestet?

Bewerten Sie anschließend jedes System auf zwei Achsen: Dringlichkeit (Ist der Support schon beendet, oder bleiben noch 6 Monate, 12 Monate oder mehr?) und geschäftliche Auswirkung (Umsatz, Betrieb, gesetzliche Pflichten). Systeme mit hohen Werten auf beiden Achsen bilden die erste Welle; alle anderen erhalten einen festen Platz im Zeitplan.

Nicht ein Termin, sondern eine Abhängigkeitskette: Welches Upgrade zieht welches nach sich?

Ein Upgrade löst oft ein weiteres aus; wer die Kette übersieht, muss innerhalb eines Jahres zweimal Hand an dasselbe System legen. Bei Datenbanken hängen die Upgrade-Regeln vom Hersteller ab: MySQL unterstützt beim Wechsel zwischen LTS-Serien kein Überspringen einer Serie, MariaDB dagegen den direkten Umstieg von älteren Versionen auf die neueste ohne Zwischenschritte.

Windows Server 2016 End of Support: .NET Framework 4.6.2 und SQL Server gehören zur selben Kette

Der Support für .NET Framework 4.6.2 endet am selben Tag wie der für Windows Server 2016. Für 4.7 bis 4.8.1 gibt es kein eigenes Enddatum: Diese Versionen gelten als Windows-Komponente und folgen dem Lebenszyklus des Betriebssystems, auf dem sie installiert sind. Auch 4.8 auf Windows Server 2016 verliert also am selben Tag den Support. Laut Microsoft sind 4.6.2 und spätere Versionen In-place-Updates; ältere 4.x-Anwendungen sollten ohne Neukompilierung laufen. Prüfen Sie das dennoch zuerst in einer Testumgebung. .NET Framework ist ein anderes Produkt als .NET 8. Liegt Ihre ERP-Datenbank auf SQL Server 2014 oder 2016, bestimmt die Supportliste Ihres ERP-Herstellers die Zielversion; Hersteller können zudem ihre Integrationsregeln ändern (wie beim Umstieg des türkischen ERP-Systems Mikro V17 auf die offizielle API).

.NET 8 End of Support: nicht auf .NET 9, sondern auf .NET 10

Weil Microsoft im September 2025 den STS-Support von 18 auf 24 Monate verlängert hat, endet auch .NET 9 am 10. November 2026; ein Umstieg auf .NET 9 bringt also keinen einzigen Tag. Ziel ist .NET 10 LTS mit Support bis 14. November 2028. Testen Sie die Kompatibilität der NuGet-Pakete, Breaking Changes und die Build- und Deployment-Pipeline gemeinsam.

PHP 8.2 EOL: Laravel 12 und die Hosting-Kette

Der Sicherheitssupport für Laravel 12 endet am 24. Februar 2027, und Laravel 13 setzt PHP 8.3 bis 8.5 voraus: Für eine Laravel-12-Anwendung auf PHP 8.2 bedeutet das zwei Upgrades innerhalb von zwei Monaten. Da Laravel 12 auch PHP 8.4 unterstützt, sollten Sie die Schritte trennen: zuerst PHP 8.4, dann Laravel 13. Unter cPanel/CloudLinux wird die PHP-Version meist pro Konto oder pro Domain gewählt; prüfen Sie vor dem Upgrade Composer-Abhängigkeiten, verschlüsselte (encoded) Module und PHP-Erweiterungen.

Neu schreiben oder refaktorieren? Sechs Wege der Legacy-Modernisierung und eine Entscheidungsmatrix

Welcher Weg der richtige ist, hängt vom Zustand des Systems ab und davon, wie viel Unterbrechung Ihr Geschäft verkraftet:

Vier Fragen bestimmen den Weg:

1. Gibt es Tests? Falls nicht, stehen am Anfang Charakterisierungstests, die das bestehende Verhalten festhalten.
2. Sind die Geschäftsregeln dokumentiert, und wer verfügt über Quellcode und Wissen? Undokumentierte Regeln, ein ausgeschiedener Dienstleister oder Module, deren Quellcode Ihnen nicht vorliegt, schränken die Optionen ein.
3. Wie viele Integrationen und wie viele Nutzer gibt es? Jede Integration bedeutet einen eigenen Migrationstest.
4. Welche Vorschriften gelten? In der Türkei beeinflussen etwa das Datenschutzgesetz KVKK und die Regeln zur E-Rechnung (e-Fatura), wie Daten während der Migration aufbewahrt werden.

Wenn der Server umziehen soll, gehört auch eine Cloud-Migration in die Entscheidung. Die Abwägung zwischen Standardprodukt und Individualentwicklung behandeln wir in unseren Beiträgen zur Frage Individualsoftware oder Standardsoftware und zu individueller ERP- und CRM-Software. Kennt niemand mehr das System, kann ein Fractional CTO den Entscheidungsprozess steuern.

Das Strangler-Fig-Muster: das System Stück für Stück erneuern, ohne es abzuschalten

Der Name geht auf ein Bild von Martin Fowler zurück: Die Würgefeige (Strangler Fig) keimt auf einem Baum, schlägt Wurzeln, wächst und tritt mit der Zeit an die Stelle ihres Wirtsbaums. Fowler beobachtet, dass Pläne, ein Altsystem eins zu eins neu zu schreiben, meistens scheitern: Die Details des bestehenden Verhaltens herauszuarbeiten ist schwierig, und ein erheblicher Teil dieses Verhaltens ist eigentlich gar nicht erwünscht. Der schrittweise Weg braucht eine Übergangsarchitektur, die nach getaner Arbeit wieder entfernt wird; nach Fowler überwiegen jedoch das geringere Risiko und der frühere Nutzen diese Kosten. Auch in Microsofts Architekturleitfaden wird zwischen Client und den beiden Systemen eine Fassade (Proxy) geschaltet; je mehr Funktionen umziehen, desto stärker verlagert sich das Routing auf das neue System. Ein hypothetisches Beispiel:

1. Vor ein altes Händlerportal auf PHP 8.2 wird ein API-Gateway geschaltet; der Traffic geht weiterhin an den alten Code.
2. Das heutige Verhalten der Bestell-API wird mit Charakterisierungstests festgehalten und in einem neuen Service implementiert.
3. Das Gateway gibt den Bestellpfad per Feature-Flag zunächst für Pilothändler frei; treten Probleme auf, wird das Flag deaktiviert und der Traffic läuft wieder zum alten Code.
4. Der schwierigste Teil sind die Daten: Beide Systeme müssen dieselben Bestellungen sehen. Die Synchronisation läuft über eine gemeinsame Datenbank oder Change Data Capture (CDC), die Konsistenz wird überprüft.
5. Die übrigen Module ziehen nacheinander um; das alte Portal wird als Letztes abgeschaltet.

Was ist ESU? Extended Security Updates – Brücke oder Falle?

Microsoft hat ESU für Windows Server 2016 am 25. Februar 2026 angekündigt; das Programm beginnt am 12. Januar 2027. Nach Microsofts eigener Definition ist ESU eine kostenpflichtige Option als letztes Mittel: keine Dauerlösung, sondern eine vorübergehende Brücke beim Wechsel auf eine neue Plattform. Laut ESU-FAQ gelten folgende allgemeine Bedingungen (die Seite beschreibt derzeit die Programme für Windows Server 2012/2012 R2 und Windows 10):

• Dauer und Umfang: höchstens drei Jahre nach Ende des erweiterten Supports; nur als „Kritisch“ und „Wichtig“ eingestufte Sicherheitsupdates, kein allgemeiner technischer Support.
• In Azure: auf virtuellen Azure-Maschinen kostenlos.
• On-Premises: kostenpflichtig, entweder nutzungsbasiert über Azure Arc (Pay-as-you-go) oder jährlich über die Volumenlizenzierung. Voraussetzung sind aktive Software Assurance, Abonnementlizenzen (einschließlich CSP) oder SPLA.
• Regeln: In der Volumenlizenzierung lassen sich das 2. und 3. Jahr nur erwerben, wenn die Vorjahre gekauft wurden; wer sich zu spät bei Azure Arc anmeldet, bekommt die versäumten Monate rückwirkend berechnet.

Jahresdaten, Preise und Bedingungen speziell für Windows Server 2016 stehen zum Zeitpunkt dieses Beitrags weder auf Microsofts Lifecycle-Seite noch in der ESU-FAQ; lassen Sie sie sich von Microsoft oder Ihrem Lizenzpartner bestätigen. Für .NET 8 sieht Microsofts Support-Richtlinie keine kostenpflichtige Verlängerung vor. PHP 8.2 wiederum erhält nach dem 31. Dezember keine Sicherheitskorrekturen mehr von php.net; php.net weist darauf hin, dass einige Linux-Distributionen und LTS-Anbieter für nicht mehr unterstützte Zweige zurückportierte Korrekturen (Backports) anbieten. Wenn Sie diesen Weg wählen, klären Sie Umfang und Laufzeit schriftlich mit Ihrem Anbieter.

Unsere Regel ist einfach: Koppeln Sie ESU an einen Migrationstermin. „Ein Jahr ESU, Migration am Tag X“ ist ein Plan; ESU ohne Datum ist eine aufgeschobene Modernisierungsrechnung.

90-Tage-Fahrplan für das IT-Budget 2027

1. November 2026: Schließen Sie das Inventar ab. Migrieren Sie .NET-8- und .NET-9-Anwendungen auf .NET 10; bei Anwendungen, die den 10. November nicht schaffen, haben die aus dem Internet erreichbaren Vorrang. Proben Sie das Upgrade von PostgreSQL 14 an einer Kopie.
2. Dezember 2026: Heben Sie PHP-8.2-Anwendungen auf 8.4 an (übergangsweise auf 8.3, falls die Abhängigkeiten noch nicht bereit sind), und nehmen Sie den Wechsel auf Laravel 13 in den Zeitplan auf. Entscheiden Sie über Windows Server 2016: Windows Server 2025, Umzug in die Cloud oder ESU in Verbindung mit einer terminierten Migration.
3. Januar 2027: Setzen Sie die Entscheidung vor dem 12. Januar um, oder melden Sie sich für ESU an. Planen Sie für SQL Server 2014 und 2016 ein Migrationsfenster mit der Zielversion, die Ihr ERP-Hersteller freigegeben hat.
4. Rest des Jahres 2027: im 1. Quartal Laravel 12; im 2. Quartal Visual Studio 2017, Node.js 22 und Ubuntu 22.04; im 3. Quartal das ESU-Ende für SQL Server 2014; im 4. Quartal Python 3.11, SQL Server 2017, PostgreSQL 15 und PHP 8.3.

Budgetposten: Inventar und Beratung; Testautomatisierung und CI/CD-Pipeline; Lizenzen (bei Bedarf ESU); doppelte Infrastruktur während des Parallelbetriebs; Backup und Disaster Recovery einschließlich Wiederherstellungstests.

Wie geht Partnerfy bei der Legacy-Modernisierung vor?

Wir behandeln Legacy-Modernisierung nicht als ein einziges Großprojekt, sondern als Folge von Entscheidungen, System für System. Wir beginnen mit Inventar und Risikobewertung anhand der Liste aus diesem Beitrag und legen Ihnen für jedes System den empfohlenen Weg samt Begründung und Risiken schriftlich vor. In der Umsetzung richten wir zuerst automatisierte Regressionstests und die CI/CD-Pipeline ein, erstellen vor jeder Umstellung ein Backup, proben die Rollback-Schritte und gehen schrittweise live. Den Leistungsumfang finden Sie auf unserer Seite zur Software-Modernisierung; für ein Gespräch über Ihr Inventar nehmen Sie Kontakt mit uns auf.

Quellen

• PHP: Supported Versions, Unsupported Branches, Archiv 2026
• .NET: Support Policy, STS-Ankündigung, .NET Framework, .NET-Framework-FAQ
• Windows Server: 2016, 2012, 2012 R2, 2022, 2025, Blog-Ankündigung
• Lebenszyklus und ESU: Fixed-Lifecycle-Richtlinie, ESU-Seite, ESU-FAQ
• SQL Server: 2014, 2016, 2017, 2022, 2025
• Weitere: Office 2021, Office LTSC 2021, Exchange 2016, Exchange 2019, SharePoint 2016, SharePoint 2019, Visual Studio 2017, Windows 10, Microsoft 365 Apps
• Datenbanken: MySQL 8.0, MySQL LTS, MariaDB, PostgreSQL
• Laufzeitumgebungen: Node.js, Python, Laravel, Ubuntu
• Hosting: cPanel MultiPHP Manager, CloudLinux PHP Selector
• Muster: Martin Fowler – Strangler Fig, Microsoft – Strangler-Muster
• KVKK (türkischer Datenschutz): Gesetz Nr. 6698 (auf Türkisch), Leitfaden zur Sicherheit personenbezogener Daten (auf Türkisch)

Häufig gestellte Fragen (FAQ)