Was Microsoft Windows Server ist

Windows Server ist das Server-Betriebssystem von Microsoft. Es stellt Rollen wie Verzeichnisdienst, Dateiserver, Virtualisierung und Webserver bereit und wird mit grafischer Oberfläche oder als Server Core installiert. Windows Server 2025 ist seit November 2024 verfügbar und erhält Sicherheitsupdates bis November 2034.

Lizenziert wird je Prozessorkern, dazu kommen Zugriffslizenzen je Benutzer oder Gerät. Standard ist für wenig virtualisierte Umgebungen gedacht, Datacenter für stark virtualisierte. Neu sind unter anderem ein vorinstallierter OpenSSH-Server und Hotpatching für Server, die mit Azure Arc verbunden sind.

Wofür es eingesetzt wird

Unternehmen und Verwaltungen betreiben auf Windows Server Verzeichnisdienste, Dateiablagen, Datenbanken, Fachanwendungen und virtuelle Maschinen. Viele Branchenprogramme setzen Windows Server voraus.

Die Daten bleiben im eigenen Haus. Für einige neue Funktionen wie Hotpatching oder nutzungsabhängige Abrechnung ist eine Verbindung zu Azure nötig; der Grundbetrieb kommt ohne sie aus.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Betrieb von Windows Server 2025 mit unbefristeter Volumenlizenz im eigenen Rechenzentrum; Fragen zum Rechtsraum und zu Nachweisen sind für lokal betriebene Software sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Vertragspartner in der EU ist die Microsoft Ireland Operations Limited mit Sitz in Dublin; Konzernmutter ist die Microsoft Corporation in Redmond, USA. Der von einem Händler wiedergegebene Microsoft Customer Agreement nennt die irische Gesellschaft als Vertragspartner. Beleg: Microsoft 365 – Informationen zu rechtlichen Asp… · Microsoft Customer Agreement, ohne Versionsangabe
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Auslegung: Im Selbstbetrieb liegen Server und gespeicherte Daten beim Betreiber; eine Herausgabeanordnung gegen Microsoft erfasst sie nicht unmittelbar. Daten, die an Microsoft fließen (Diagnosedaten, Aktivierung, Supportfälle), unterliegen über die US-Konzernmutter dem CLOUD Act, der eine Herausgabe unabhängig vom Speicherort vorsieht. Beleg: 18 U.S.C. § 2713 (CLOUD Act) · Configure Windows diagnostic data in your organi… · Microsoft 365 – Informationen zu rechtlichen Asp…
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	ja	Im Selbstbetrieb liegen Server, Daten und Schlüssel beim Betreiber. Aktivierung ist über Active-Directory-basierte Aktivierung ohne Kontakt zu Microsoft möglich, virtuelle Maschinen lassen sich per AVMA auch ohne Netzverbindung aktivieren. Funktionen mit Azure-Arc-Anbindung wie Hotpatching sind optional. Beleg: License and activate Windows Server · Enable Hotpatch for Azure Arc-enabled servers · Configure Windows diagnostic data in your organi…
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Microsoft Corporation ist im GLEIF-Register (LEI INR2EJN1ERAN0W5ZP974, Washington, USA) eingetragen; als oberste konsolidierende Muttergesellschaft ist keine andere Gesellschaft gemeldet (Ausnahme „NON_CONSOLIDATING“), Microsoft ist börsennotiert. Ein Kontrollwechsel zwischen 05.11.2024 und 05.11.2026 ist nicht bekannt. Der Sitz in den USA wird unter 1.1 bewertet. Beleg: LEI-Datensatz Microsoft Corporation (INR2EJN1ERA… · Microsoft Corporation, Meldeausnahme oberste Mut…

Datenhoheit eingeschränkt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: Im Selbstbetrieb bestimmt der Betreiber den Speicherort der Kundendaten (Daten auf dem Server) und der Backups. Microsoft nimmt Daten in lokal betriebener Software ausdrücklich aus der EU Data Boundary aus, weil Microsoft nicht kontrolliert, was in den lokalen Umgebungen der Kunden geschieht. Diagnose- und Supportdaten zählen nach v1.2 nicht zu dieser Frage (siehe 2.3 und 4.5). Beleg: EU Data Boundary transfers for all services
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	Windows Server 2025 wird mit unbefristeter Lizenz auf eigener Hardware oder als virtuelle Maschine betrieben, im eigenen Rechenzentrum oder bei einem Dienstleister. Die Aktivierung kann lokal über Active-Directory-basierte Aktivierung ohne Kontakt zu Microsoft erfolgen; ein KMS-Host muss sich einmalig bei Microsoft aktivieren. Beleg: Windows Server 2025 Pricing (Lizenzmodell) · License and activate Windows Server · Key Management Services (KMS) client activation…
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Windows Server bietet die Stufe „Diagnostic data off“ (Security); dann werden laut Microsoft keine Windows-Diagnosedaten gesendet, auch keine Absturzdaten. Microsoft empfiehlt für Windows Update mindestens die Stufe „Required“. Andere Verbindungen zu Microsoft (z. B. Windows Update, Zertifikatsprüfungen) sind keine Diagnosedaten; die Anleitung zu ihrer Abschaltung nennt nur Windows Server 2016 und 2019, CRL- und OCSP-Abfragen lassen sich nicht abschalten. Bewertet als „teilweise“, weil die Abschaltung der Empfehlung für Windows Update widerspricht und nicht alle Verbindungen zu Microsoft abschaltbar sind. Beleg: Configure Windows diagnostic data in your organi… · Manage connections from Windows operating system…
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	Auslegung: Im Selbstbetrieb verbleiben Daten auf dem Server beim Betreiber. Windows Server sendet jedoch Diagnosedaten an Microsoft, solange der Betreiber nicht „Diagnostic data off“ einstellt; Microsoft ist dafür Verantwortlicher nach seiner Datenschutzerklärung, die die Verwendung von Daten zum Training eigener KI-Modelle vorsieht. Ein vertraglicher Ausschluss ohne Zutun des Kunden ist nicht belegt. Beleg: Configure Windows diagnostic data in your organi… · Datenschutzerklärung (Microsoft Privacy Statement)

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Windows Server ist proprietäre Software, lizenziert je Prozessorkern mit Zugriffslizenzen (CALs). Der Quellcode steht nicht unter einer OSI-Lizenz. Beleg: Windows Server 2025 Pricing (Lizenzmodell)
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Windows Server ist selbst der proprietäre Pflichtbestandteil: Der Betrieb setzt Lizenzen je Kern und Zugriffslizenzen voraus. Das System muss nach der Installation aktiviert werden, eine Kulanzfrist gibt es laut Microsoft nicht. Beleg: Windows Server 2025 Pricing (Lizenzmodell) · License and activate Windows Server
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	ja	Auslegung: Bewertet wird die unbefristete Volumenlizenz. Microsoft bezeichnet sie als herkömmliche unbefristete Lizenzierung; die Alternative ist ein nutzungsabhängiges Abonnement über Azure Arc. Sicherheitsupdates gibt es nach Lebenszyklus bis 15. November 2034, unabhängig von einem laufenden Vertrag. Hotpatching ist an eine Azure-Arc-Verbindung und ein Azure-Abonnement gebunden und gehört nicht zum Grundumfang. Beleg: What's new in Windows Server 2025 · Windows Server 2025 Pricing (Lizenzmodell) · Windows Server 2025 – Microsoft Lifecycle

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	teilweise	Microsoft hat ein ISO-27001-Zertifikat, dessen Geltungsbereich laut Microsoft-Seite Cloud-Dienste umfasst; Windows Server und seine Entwicklung sind dort nicht genannt. Windows Server 2025 ist in der Liste der Common-Criteria-Zertifizierungen aufgeführt, einer Produktprüfung, die kein ISO- oder C5-Nachweis ist. Auslegung: Für lokal betriebene Software belegt das nur einen Teil der Frage. Beleg: ISO/IEC 27001 (Compliance Offering) · Common Criteria certifications (Windows-Plattform)
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Das Microsoft Security Response Center betreibt einen öffentlichen Meldeweg nach dem Prinzip der koordinierten Offenlegung. Sicherheitslücken werden im Security Update Guide mit CVE, Schweregrad, CVSS und betroffenen Produkten veröffentlicht, Updates erscheinen regelmäßig am zweiten Dienstag des Monats. Beleg: Coordinated Vulnerability Disclosure · Security Update Guide FAQs
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner ist die Microsoft Ireland Operations Limited (EU). Nach dem von einem Händler wiedergegebenen Microsoft Customer Agreement gilt irisches Recht; Gerichtsstand ist Irland bei Klagen gegen europäische Microsoft-Gesellschaften, bei Klagen gegen Gesellschaften außerhalb Europas King County (USA). Version des Vertragstexts und Standort des Supports für lokal betriebene Produkte sind nicht aus einer Primärquelle belegt. Beleg: Microsoft 365 – Informationen zu rechtlichen Asp… · Microsoft Customer Agreement, ohne Versionsangabe
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Auslegung: Daten auf dem Server verarbeitet Microsoft im Selbstbetrieb nicht. Diagnosedaten verarbeitet Microsoft als Verantwortlicher außerhalb des Auftragsverarbeitungsregimes; für Support-Daten gilt der DPA mit Liste im Service Trust Portal und Vorankündigung (sechs Monate bzw. 30 Tage). Ob diese Liste Standorte nennt und vollständig ist, war ohne Anmeldung nicht prüfbar. Beleg: Configure Windows diagnostic data in your organi… · Supplier management overview (Service Trust, Unt…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	ja	Auslegung: Betrieb und Administration liegen beim Betreiber; Microsoft hat in der bewerteten Ausprägung keinen eigenen Zugang zu den Systemen. Im Supportfall erhält Microsoft Daten nur, wenn der Kunde sie selbst übermittelt; die Bearbeitung kann dann laut Microsoft auch von außerhalb der EU Data Boundary erfolgen. Der einzige dokumentierte Fernzugriff von Microsoft auf Windows Server (Remote Support, nur über Azure Arc, Vorschau, nicht Teil der bewerteten Ausprägung) setzt einen Supportfall und die Zustimmung des Kunden mit Dauer und Umfang voraus. Beleg: EU Data Boundary transfers for all services · Remote support for Windows Server (Azure Arc, Vo…

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Daten auf dem Server lassen sich über offen spezifizierte Protokolle wie SMB 2/3 und NFS übertragen, virtuelle Festplatten liegen im offen spezifizierten Format VHDX. Für die Systemkonfiguration (Rollen, Registrierung, Gruppenrichtlinien) ist in der geprüften Doku kein herstellerunabhängiges Exportformat beschrieben. Beleg: [MS-SMB2]: Server Message Block (SMB) Protocol V… · Network File System overview · [MS-VHDX]: Virtual Hard Disk v2 (VHDX) File Format
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Windows Server nutzt Kerberos Version 5 nach IETF-Standard und LDAP über Active Directory; SMB ist als Microsoft Open Specification dokumentiert, NFS bis Version 4.1 wird unterstützt. Der OpenSSH-Server ist in Windows Server 2025 vorinstalliert. Beleg: Kerberos authentication overview · [MS-SMB2]: Server Message Block (SMB) Protocol V… · Network File System overview · What's new in Windows Server 2025
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	ja	Alle Daten liegen im Selbstbetrieb beim Betreiber und lassen sich mit Bordmitteln über SMB, NFS oder SSH kopieren, ohne Mitwirkung von Microsoft. Zusatzkosten des Anbieters für einen Export sind nicht vorgesehen. Beleg: Network File System overview · What's new in Windows Server 2025

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Ob für Support zu lokal betriebenen Produkten ein Datenstandort in der EU zugesagt wird. Die EU Data Boundary nennt nur Online-Dienste.
Welches Recht im Volumenlizenzvertrag (z. B. Enterprise Agreement) gilt. Eingesehen wurde nur eine Händlerwiedergabe des Microsoft Customer Agreement ohne Version.
Welche Verbindungen zu Microsoft Windows Server 2025 außer Diagnosedaten aufbaut. Die Anleitung dazu nennt nur Windows Server 2016 und 2019.
Wann der Nachfolger von Windows Server 2025 erscheint. Die Vorschau trägt noch keinen eigenen Namen.
Welche Diagnosedatenstufe Windows Server 2025 ab Werk eingestellt hat, weil die abgerufene Microsoft-Seite den Standard nur für die Azure Edition nennt.
Ob die Unterauftragsverarbeiter-Liste im Service Trust Portal Standorte je Dienstleister nennt, weil der Abruf eine Anmeldung erfordert.
Ob Microsoft für lokal betriebene Produkte ohne Azure Arc ein eigenes, vertraglich beschriebenes Verfahren für Fernsitzungen hat, weil dazu keine Primärquelle gefunden wurde (Secure File Exchange ist nur für Azure dokumentiert).

Fragen vor einer Entscheidung

Welche Diagnosedatenstufe ist auf Ihren Servern eingestellt, und wie werden Updates bezogen?
Nutzen Sie Funktionen, die eine Azure-Arc-Verbindung voraussetzen, etwa Hotpatching oder nutzungsabhängige Abrechnung?
Wie planen Sie den Wechsel vor dem Ende des erweiterten Supports im November 2034?
Welche Ihrer Anwendungen setzen Windows Server zwingend voraus?

Microsoft Windows Server