SharePoint Server: Performance-Updates und Lizenz-Änderungen

Executive Summary

Der Termin ist durch. Seit dem 14. Juli 2026 sind SharePoint Server 2016 und 2019 offiziell aus dem Support. Kein Extended-Security-Updates-Programm, keine bezahlte Gnadenfrist, kein freundlich zugedrücktes Auge. Wenn nächste Woche jemand eine Lücke in der 2019er-Codebasis findet, bleibt die genau so lange offen, wie deine Farm läuft. Und SharePoint gehört, das haben die letzten Jahre eindrucksvoll gezeigt, zu den Zielen, die Angreifer wirklich mögen: gut erreichbar, randvoll mit Dokumenten, historisch gewachsen und ausgestattet mit Dienstkonten, die irgendwann mal jemand aus Bequemlichkeit in die Domänen-Admins gepackt hat.

Auf der anderen Seite läuft die Subscription Edition weiter im Halbjahrestakt. Das Feature Update 26H1 ist im Juni 2026 erschienen und wird über das Juni-CU ausgeliefert. Inhaltlich ist es kein Feuerwerk, sondern solide Reifearbeit: Modern People Card und Document Intelligence wandern vom Early Release in den Standard Release Ring, dazu kommt eine neue Konfiguration, mit der du den Everyone-Claim aus dem People Picker verbannen kannst. Klingt unspektakulär, verhindert aber exakt die Sorte Unfall, die dich sonst im nächsten Audit einholt.

Und dann ist da die Lizenzseite, die deutlich unlustiger geworden ist. Die Subscription Edition gibt es nicht mehr als Kauflizenz mit zehn Jahren Ruhe. Sie setzt aktive Software Assurance voraus, und zwar auf den Serverlizenzen und auf jeder einzelnen CAL. Läuft die SA aus, hast du kein Nutzungsrecht mehr, und die vertragliche Konsequenz heißt deinstallieren. Dazu kamen zum 1. Juli 2025 rund zehn Prozent Aufschlag auf die On-Premises-Serverprodukte und zum 1. August 2025 fünfzehn Prozent auf die Core CAL Suite sowie zwanzig Prozent auf die Enterprise CAL Suite. Wer seine Fünfjahresrechnung noch mit den alten Zahlen im Excel stehen hat: Die Rechnung ist Makulatur.

Worum geht es im Detail?

Fangen wir beim Servicing-Modell an, denn daran hängen fast alle Missverständnisse. Die Subscription Edition folgt der Modern Lifecycle Policy. Es gibt kein Produktenddatum mehr, das du dir in den Kalender schreiben kannst. Stattdessen ist jeder einzelne Public-Update-Build zwölf Monate ab Veröffentlichung supportet, und die Feature-Updates werden zweimal jährlich in genau diese monatlichen Updates hineingeliefert. Im Klartext: Patchen ist keine Fleißaufgabe mehr, sondern Voraussetzung für Support. Eine Farm, die seit vierzehn Monaten unverändert vor sich hin läuft, ist formal genauso wenig supportet wie deine alte 2019er-Kiste — nur dass du für dieses Vergnügen zusätzlich Software Assurance bezahlst.

Microsoft arbeitet dabei mit zwei Release-Ringen. Neue Funktionen erscheinen zuerst im Early Release Ring, wo du sie gezielt aktivieren und testen kannst, und wandern eine Runde später in den Standard Release Ring, wo sie für alle scharf geschaltet sind. Genau das ist bei 26H1 passiert: Modern People Card und Document Intelligence sind jetzt Standard. Im Early Ring hängen weiterhin die Unterstützung für JWE-verschlüsselte Tokens aus Entra ID, Drag-and-Drop für Web Parts auf Publishing-Seiten, die AMSI-Erweiterungen und die Verbesserungen am Text-Web-Part. Der praktische Nutzen dieser Ringe ist real: Du bekommst ein Zeitfenster, um deine Anpassungen gegen die neue Rendering-Pipeline zu testen, bevor die Anwender das für dich übernehmen.

Abbildung 1: Preise, Support-Ende und Feature-Takt auf einer Zeitachse — der graue Teil ist bereits Geschichte.

Zum Thema Performance: Erwarte keinen Schalter mit der Aufschrift „ab jetzt doppelt so schnell“. Was die Subscription Edition liefert, ist eine Sammlung kleiner, aber summierbarer Verbesserungen. Die AppFabric-Caching-Technik ist inzwischen direkt in den Distributed Cache integriert, die externe AppFabric-Installation fällt weg — allein das erspart dir eine der zuverlässigsten Fehlerquellen alter Farmen. Der Remote Share Provider erlaubt es, BLOBs per Remote BLOB Storage aus der teuren SQL-Datenbank auf günstigen SMB-Speicher auszulagern, was Content-Datenbanken kleiner und Backups schneller macht. Und SharePoint deaktiviert HTTP/2 und QUIC gezielt auf den IIS-Sites, auf denen Kerberos oder NTLM aktiv sind, weil diese Kombination sonst bei jeder Anmeldung einen Protokoll-Downgrade samt zusätzlicher Round-Trips erzwingt. Klingt nach Kleinkram, ist aber bei jedem einzelnen Authentifizierungsvorgang spürbar.

Dazu kommt die Editor-Modernisierung: Text- und Events-Web-Part laufen inzwischen auf CKEditor 5 statt auf dem längst abgekündigten CKEditor 4. Das ist gleichzeitig ein Sicherheits-, ein Performance- und ein Wartbarkeitsthema. Überhaupt hat Microsoft auf der Sicherheitsseite ordentlich nachgelegt: AMSI-Scan des kompletten Request-Bodies als Standardverhalten, Virenprüfung hoch- und heruntergeladener Dokumente über AMSI mit Defender oder einem beliebigen AMSI-kompatiblen Scanner, TLS 1.3 ab Windows Server 2022, Verschlüsselungseinstellungen pro Datenbank statt nur farmweit, automatische Rotation der Machine Keys und ein PowerShell-Cmdlet namens Test-DefenderAndAmsiWorkProperly, mit dem du prüfen kannst, ob der ganze Schutzapparat überhaupt läuft. Nutze es. Du wirst überrascht sein.

Die Neuerung in 26H1, über die zu wenig geredet wird, ist die Option, den Everyone-Claim aus dem People Picker auszublenden. Die Einstellung sitzt auf Web-Application-Ebene, ist standardmäßig deaktiviert, wird als persistierte Eigenschaft in der Konfigurationsdatenbank abgelegt und automatisch auf alle Server der Farm repliziert. Keine web.config-Bastelei, keine Skripte auf jedem Frontend. Zwei Zeilen PowerShell reichen: die Eigenschaft ExcludeEveryoneClaim in den PeoplePickerSettings auf true setzen, dann Update aufrufen. Danach kann kein Site Owner mehr aus Versehen die halbe Firma auf die Vorstandsbibliothek berechtigen. Bestehende Berechtigungen bleiben unverändert, es ändert sich ausschließlich, was der Picker vorschlägt. Das Risiko ist also minimal, der Effekt auf die Berechtigungshygiene erheblich.

Was sind Chancen? Was sind Risiken?

Die Chance ist banal und trotzdem gewaltig: Du hast jetzt einen Anlass, über den niemand mehr diskutieren kann. Jahrelang ist jedes Intranet-Modernisierungsprojekt an dem Satz „läuft doch“ gescheitert. Dieser Satz ist tot. Eine Farm ohne Sicherheitsupdates ist kein Betriebsthema mehr, sondern ein Compliance-Thema — und damit landet sie endlich bei Leuten, die Budget freigeben dürfen. Nutze dieses Fenster, bevor es sich wieder schließt, denn erfahrungsgemäß hält die Aufmerksamkeit für Infrastruktur ungefähr ein Quartal.

Die zweite Chance liegt im Aufräumen. Jede Migration ist eine Gelegenheit, den Müll einfach liegenzulassen. Nach meiner Erfahrung sind in einer zehn Jahre alten Farm zwischen dreißig und sechzig Prozent der Sites faktisch tot: Projekträume abgeschlossener Projekte, Testsammlungen von Kollegen, die längst in Rente sind, drei Varianten desselben Formulars und ein Wiki mit genau zwei Artikeln. Wenn du das eins zu eins in die Cloud schaufelst, hast du am Ende dieselbe Unordnung — nur teurer, und mit einem Copilot davor, der dir aus dem Chaos jetzt auch noch sehr verlässlich klingende Antworten generiert.

Abbildung 2: Die drei realistischen Zielbilder samt ehrlicher Bewertung — Hybrid ist eine Etappe, kein Zuhause.

Das größte Risiko ist finanzieller Natur und wird systematisch unterschätzt. Die Subscription Edition ist eben kein „SharePoint 2019 mit neuem Namen“. Ohne aktive Software Assurance auf Serverlizenzen und CALs verlierst du das Nutzungsrecht, und die Konsequenz ist unangenehm konkret. Rechne das für fünf Jahre durch, mit den seit 2025 gültigen Preisen und inklusive der CAL-Suite-Erhöhungen. Bei vielen Mittelständlern kippt die Rechnung dann deutlich in Richtung Cloud — nicht wegen der Technik, sondern weil sie am Ende zwei Lizenzwelten parallel bezahlen, obwohl ihre Anwender ohnehin schon Microsoft-365-Pläne haben.

Das zweite große Risiko ist technischer Natur und heißt Anpassung. Full-Trust-Farm-Solutions, InfoPath-Formulare, SharePoint Designer Workflows und selbstgebaute Web Parts mit Direktzugriff auf die Content-Datenbank überleben den Weg nach SharePoint Online nicht. Auf der Subscription Edition überleben sie formal, aber jedes Feature Update ist eine neue Gelegenheit, dass etwas davon kaputtgeht. Der Wechsel auf CKEditor 5 ist dafür ein hübsches Beispiel: Für Standardanwender ist das ein reines Upgrade mit besserer Tabellenbedienung und direktem Einfügen von Bildern. Für ein handgeschriebenes Skript, das sich damals in das Editor-DOM eingehängt hat, ist es das Ende.

Und drittens die Illusion, ein Plattformwechsel sei automatisch ein Adoptionsprojekt. Ist er nicht. Ein Intranet wird nicht dadurch gut, dass es in der Cloud steht. Es wird dadurch gut, dass jemand namentlich Verantwortung für Inhalte, Struktur und Aktualität trägt. Wenn du das nicht mitplanst, bekommst du eine hochverfügbare, KI-gestützte, hervorragend abgesicherte Ablage für Dokumente, die trotzdem niemand liest.

Was müssen wir jetzt schon vorbereiten?

Punkt eins, sofort und ohne Diskussion: Bestandsaufnahme. Welche Farmen laufen noch auf 2016 oder 2019, welche Web Applications sind von außen erreichbar, welche Anpassungen sind installiert, welches Dienstkonto hat welche Rechte. Das ist keine Fleißarbeit für später, sondern die Grundlage für die Risikobewertung, die deine Geschäftsführung ab jetzt sehen will. Und wenn eine ungepatchte Farm ins Internet schaut, dann ist die kurzfristig richtige Maßnahme nicht „Migrationsprojekt aufsetzen“, sondern „Zugriff einschränken, heute“.

Punkt zwei: Entscheide pro Inhalt, nicht pro Farm. Die Frage lautet nie „Cloud oder On-Prem“, sondern „welcher Teil wohin“. Klassische Zusammenarbeit, Dokumente, Intranet-Content und Teamsites gehören in aller Regel nach SharePoint Online — Skalierung, Suche und Copilot-Anbindung bekommst du dort mitgeliefert, das Farmpatching entfällt komplett. Was aus regulatorischen Gründen oder wegen tiefer Integration in Fachanwendungen im Haus bleiben muss, geht auf die Subscription Edition. Der Upgrade-Pfad ist dabei erfreulich pragmatisch: Datenbank-Attach direkt von 2016 oder 2019, beide Sprungweiten werden unterstützt. Wer noch auf 2013 oder älter sitzt, braucht dagegen einen Zwischenschritt und sollte sich die Frage stellen, ob sich der Aufwand für diese Inhalte überhaupt noch lohnt.

Abbildung 3: Kein Produktenddatum mehr, dafür ein rollierendes Fenster — wer nicht patcht, fällt einfach hinten heraus.

Punkt drei: Baue den Patch-Rhythmus in den Betrieb ein, bevor du migrierst, nicht danach. Vier feste Wartungsfenster im Jahr, ein Testsystem, das wirklich dieselben Anpassungen trägt wie die Produktion, und eine namentlich benannte Person, die jedes Feature Update im Early Release Ring prüft. Ohne diesen Prozess landest du innerhalb von zwei Jahren wieder exakt da, wo du heute stehst — nur mit einem teureren Vertrag und ohne die Ausrede, dass es damals ja niemand wissen konnte.

Punkt vier: Lizenzen sauber rechnen und früh mit dem Einkauf sprechen. Software-Assurance-Laufzeiten, CAL-Bestände, Microsoft-365-Pläne der Anwender, alles in eine Tabelle. Wenn die SA-Verlängerung ansteht, brauchst du die Zahlen vorher — nicht drei Tage vor Ablauf, wenn dir jede Verhandlungsposition fehlt.

Und dann der Teil, den man nicht automatisieren kann: die Anwender. Plane Adoption als eigenes Arbeitspaket mit eigenem Budget und eigenem Verantwortlichen, nicht als Fußnote im Migrationsplan. Benenne Redakteure pro Fachbereich, gib ihnen Vorlagen und feste Sprechzeiten, und lösche altes Zeug wirklich, statt es „vorsichtshalber“ mitzunehmen. Ein Intranet, das nach der Migration schneller lädt und weniger Inhalte hat, ist ein besseres Intranet. Das versteht wirklich jeder — man muss es nur einmal jemandem sagen, der es auch entscheiden darf.

Häufig gestellte Fragen

Was passiert konkret, wenn wir SharePoint Server 2019 einfach weiterlaufen lassen?

Die Farm funktioniert technisch weiter, bekommt aber seit dem 14. Juli 2026 keine Sicherheitsupdates mehr, und ein kostenpflichtiges Extended-Security-Updates-Programm gibt es für SharePoint Server nicht. Jede neu entdeckte Schwachstelle bleibt damit dauerhaft offen, was in den meisten Branchen spätestens dann ein Compliance-Verstoß ist, wenn das System von außen erreichbar ist.

Brauchen wir für die Subscription Edition wirklich zwingend Software Assurance?

Ja. Die Subscription Edition wird nicht mehr als Dauerlizenz verkauft, sondern setzt aktive Software Assurance beziehungsweise entsprechende Abonnementlizenzen auf den Serverlizenzen und auf allen CALs voraus. Läuft die Software Assurance aus, endet das Nutzungsrecht und die Software muss vertragsgemäß entfernt werden.

Können wir direkt von SharePoint Server 2016 auf die Subscription Edition upgraden?

Ja, sowohl von 2016 als auch von 2019 ist ein direktes Upgrade per Datenbank-Attach auf die Subscription Edition unterstützt. Für ältere Versionen wie SharePoint 2013 ist zuerst ein Zwischenschritt auf 2016 oder 2019 nötig, bevor der zweite Sprung möglich wird.

Wie oft müssen wir eine Subscription-Edition-Farm patchen, um im Support zu bleiben?

Jeder Public-Update-Build ist zwölf Monate ab seiner Veröffentlichung supportet, deshalb muss mindestens einmal jährlich aktualisiert werden. In der Praxis haben sich vier feste Wartungsfenster pro Jahr bewährt, weil die Feature-Updates halbjährlich in die normalen Cumulative Updates hineingeliefert werden und man Puffer für Tests braucht.

Bringt der Umzug nach SharePoint Online spürbar bessere Performance?

Für typische Zusammenarbeit und Dokumentenzugriff in der Regel ja, weil Speicher, Suche und Frontends dort elastisch skalieren und nicht an der Kapazität der eigenen Hardware hängen. Der spürbarste Effekt entsteht allerdings meist nicht durch die Infrastruktur, sondern dadurch, dass bei der Migration alte Inhalte und überladene Seitenstrukturen konsequent aussortiert werden.