Mit dem offiziellen Support-Ende von Microsoft Office 2021 droht vielen kleineren Betrieben in Deutschland eine erhebliche Sicherheitslücke. Nach einer Erhebung des Anbieters Intra2net erhalten 82% der kleinen Unternehmen hierzulande mit dem Auslaufen der Software keine Sicherheits-Updates mehr für ihr Office-Paket. Nur jede zehnte Firma hat demnach in den letzten zwölf Monaten das eigene lokale Office-Paket aktualisiert.
Hohe Verbreitung veralteter Office-Versionen in Betrieben
Die Daten der Intra2net-KMU-Studie basieren auf einer Umfrage aus dem September 2026 unter 103 deutschen Unternehmen mit 10 bis 49 Mitarbeitern und insgesamt 1.592 PC-Arbeitsplätzen mit Microsoft Office. Berücksichtigt wurden ausschließlich Unternehmen, die weder Microsoft 365 Business noch Exchange Online einsetzen.
Die Untersuchung zeigt zudem, dass alte Softwareversionen weiterhin im Einsatz bleiben: Office 2010 und Office 2013 machen zusammen immer noch 7% der Unternehmen aus.
Gleichzeitig legte der Marktanteil von Office 2024 On-Premises spürbar zu und stieg von 8% im Jahr 2025 auf aktuell 18%. Dennoch verharrt der Großteil der Betriebe bei nicht mehr unterstützten Programmen.
Mehrere Microsoft-Produkte erreichen Lebenszyklusende
Der Stichtag betrifft eine Reihe etablierter Microsoft-Anwendungen. Mit dem Datum endet der Support für Microsoft Office 2021 Retail sowie Office LTSC 2021 für Access, Excel, Outlook, PowerPoint, Publisher und Word. Auch Visio LTSC 2021 und Project LTSC 2021 erhalten ab sofort keine Sicherheitsupdates mehr.
Wer sich mit dem Ende des Software-Supports und der Sicherheit seiner Daten befasst, sollte die richtigen Vorkehrungen gegen Cyberangriffe treffen. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen
Der Softwarehersteller empfiehlt betroffenen Kunden den Wechsel zu den Microsoft 365 Apps, etwa in den Plänen Business Standard, Business Premium oder E3, oder den Umstieg auf Office LTSC 2024, dessen Support bis Oktober 2029 reicht.
Parallel dazu laufen vier weitere Produktlebenszyklen bei Microsoft aus. Betroffen sind Exchange Server 2016 CU23 und Exchange Server 2019 CU14/CU15, für die mit CVE-2026-96940 (CVSS 8.8, Privilegieneskalation) ein letzter Patch erschien.
Zudem enden das dritte und letzte Jahr der erweiterten Sicherheitsupdates (ESU) für Windows Server 2012 sowie Windows Server 2012 R2, das Servicing für Windows 11 Home und Pro in der Version 24H2 sowie das ESU-Programm für Consumer unter Windows 10. Für Windows 10 wurde die ESU-Unterstützung im allgemeinen Rahmen hingegen um ein Jahr verlängert.
Akute Bedrohungslage durch Sicherheitslücken
Wie dringlich aktuelle Software-Updates sind, unterstrich der Microsoft-Patchday vom 13. Oktober 2026. Dieser umfasste insgesamt 1.413 Schwachstellen (laut Herstellerangaben 1.407 bis 1.414). Davon entfielen allein 134 auf Office-Komponenten. Excel stellte mit 69 Schwachstellen das am stärksten betroffene Einzelprodukt dar.
Insgesamt stufte Microsoft 78 Sicherheitslücken als kritisch ein – darunter 65 mit der Möglichkeit zur Remote-Code-Ausführung (RCE), 11 zur Privilegieneskalation und 2 im Bereich Spoofing. Weitere 1.329 Lücken wurden als wichtig klassifiziert.
Am selben Tag wurden drei aktiv relevante Zero-Day-Lücken bekannt: CVE-2026-96951 in der Windows Shell, die eine Umgehung der Mark-of-the-Web-Warnung ermöglicht, aktiv ausgenutzt wird (CVSS 8.8) und am 13. Oktober 2026 von der US-Behörde CISA in den KEV-Katalog aufgenommen wurde; CVE-2026-102866 in SharePoint (CVSS 8.1), die eine Kontoübernahme ohne Nutzerinteraktion erlaubt; sowie CVE-2026-108398 in .NET zur Umgehung der Windows Defender Application Control.
Angesichts der komplexen Bedrohungslage durch Sicherheitslücken in Büro-Software ist ein proaktiver Schutz für jedes Unternehmen unverzichtbar. Erfahren Sie in diesem kostenlosen Report, welche rechtlichen Pflichten und neuen Cyberrisiken Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report jetzt herunterladen
Auch alternative Office-Lösungen unter Zugzwang
Sicherheitsrisiken beschränken sich derweil nicht nur auf Microsoft-Umgebungen. Die Document Foundation behob am 5. Oktober 2026 mit Version 26.2.5 und 26.8.0 von LibreOffice die Schwachstelle CVE-2026-63277 in LibreOffice Calc, während das entsprechende Problem CVE-2026-59265 in Apache OpenOffice erst mit Version 4.1.17 behoben wird.
Auch ONLYOFFICE veröffentlichte in Version 10.0 über 40 Sicherheitsfixes, darunter für die hochkritische Lücke CVE-2026-110385 (CVSS 4.0: 8.7), die eine Befehlsausführung über den Document Builder ermöglichte.
Der Umgang mit Updates bleibt branchenweit eine Herausforderung: Eine weltweite Chainguard-Studie unter 1.300 Sicherheitsverantwortlichen aus dem September 2026 zeigte, dass 59% der befragten kleineren Firmen über Schwierigkeiten beim Testen von Patches klagen. Dennoch warnen IT-Experten vor den Risiken veralteter Softwarepakete und raten zu einem zügigen Schließen von Sicherheitslücken.
Mehr zum Thema bei Neowin: „Microsoft drops Office LTSC 2021 security updates on today’s Patch Tuesday“