Drupal 10 End of Life: Was das Support-Ende im Dezember 2026 bedeutet

Am 9. Dezember 2026 endet der Support für Drupal 10. Ab diesem Tag gibt es keine neuen Versionen und vor allem keine Sicherheitsupdates mehr. Wer eine Drupal-10-Website betreibt, sollte das Update auf Drupal 11 also jetzt planen und nicht erst dann, wenn die erste ungepatchte Sicherheitslücke bekannt wird.

In diesem Artikel geht es darum, was das Support-Ende konkret bedeutet, was passiert, wenn das Update erst 2027 kommt, und wie aufwendig der Umstieg in der Praxis ist. Ich habe in den letzten Jahren rund 20 Drupal-Websites auf Version 11 gebracht und teile hier, worauf es dabei ankommt.

Das Datum: 9. Dezember 2026

Die Drupal-Community hat den Termin verbindlich festgelegt. In derselben Woche erscheint Drupal 12. Die wichtigsten Punkte:

• Drupal 10.6 ist die letzte Version von Drupal 10. Sie erhält bis zum 9. Dezember 2026 Sicherheitsupdates.
• Drupal 10.5 und älter sind schon heute ohne Sicherheitsupdates. Für 10.5 endete der Support am 17. Juni 2026. Wer noch auf einer älteren Unterversion ist, hat also nicht bis Dezember Zeit, sondern ist bereits ungeschützt.
• Eine Verlängerung gibt es nicht. Drupal kennt keine Langzeitversion, die über das offizielle Datum hinaus gepflegt wird. Kostenpflichtige Support-Verlängerungen durch Drittanbieter, wie es sie für Drupal 7 gab, sind für Drupal 10 bisher nicht angekündigt.

Welche Drupal-Version läuft auf meiner Website?

Das lässt sich in einer Minute prüfen: Im Drupal-Backend unter Berichte → Statusbericht steht ganz oben die installierte Drupal-Version. Unter Berichte → Verfügbare Updates zeigt Drupal außerdem an, ob Sicherheitsupdates ausstehen.

Beginnt die Versionsnummer mit 10, betrifft Sie das Support-Ende. Steht dort 10.5 oder niedriger, besteht schon heute Handlungsbedarf.

Was nach dem Support-Ende konkret passiert

Zunächst einmal nichts Sichtbares. Die Website läuft am 10. Dezember genauso wie am Tag davor. Genau das macht das Thema tückisch. Was sich ändert, passiert im Hintergrund.

Sicherheitslücken werden nicht mehr geschlossen

Das Drupal-Sicherheitsteam veröffentlicht weiterhin Lücken, dann aber nur noch mit Updates für Drupal 11 und 12. Viele dieser Lücken stecken in Code, den Drupal 10 genauso enthält. Mit jeder Sicherheitsmeldung bekommen Angreifer also eine Beschreibung, wo sie bei Drupal-10-Websites ansetzen können, und es kommt kein Update, das die Lücke schließt.

Module werden nicht mehr für Drupal 10 gepflegt

Auch die Erweiterungen, die fast jede Drupal-Website nutzt, stellen nach und nach die Unterstützung für Drupal 10 ein. Fehlerbehebungen und Sicherheitsupdates gibt es dann nur noch für neuere Versionen.

Die technische Umgebung zieht weiter

Hoster aktualisieren ihre PHP-Versionen, Bibliotheken bekommen neue Anforderungen. Irgendwann passt die alte Website nicht mehr zu ihrer Umgebung, und dann muss oft unter Zeitdruck gehandelt werden.

Bekannte Lücken werden schnell ausgenutzt

Wie schnell das geht, hat Drupal schon erlebt: Bei der als „Drupalgeddon 2“ bekannten Lücke im Jahr 2018 liefen kurz nach Veröffentlichung eines Angriffscodes automatisierte Angriffe auf ungepatchte Drupal-Websites weltweit. Angreifer suchen sich ihre Ziele dabei nicht gezielt aus, sondern scannen das Netz nach verwundbaren Installationen.

Ich kenne selbst einen Fall, in dem ein nicht mehr aktualisiertes Drupal-7-Projekt gehackt wurde. So etwas möchte niemand erleben: Die Bereinigung kostet Zeit und Geld, und das Vertrauen der Besucher ist schnell verspielt.

Update erst 2027: Geht das?

Ehrlich gesagt: Ja, eine Drupal-10-Website wird auch 2027 noch laufen. Sie fällt nicht am 9. Dezember plötzlich aus.

Die Frage ist aber nicht, ob sie läuft, sondern welches Risiko man damit eingeht. Und dieses Risiko wächst mit jeder neu veröffentlichten Sicherheitslücke. Eine Website, die im Januar 2027 noch auf Drupal 10 läuft, trägt ein überschaubares Risiko. Im Herbst 2027 sieht das anders aus, weil sich bis dahin die bekannten, aber nicht geschlossenen Lücken summieren. Es ist ein Risiko, das nicht sein muss.

Es kommt auf die Website an

Wie schwer das wiegt, hängt stark von der Website ab. Eine einfache Informationsseite ohne Login ist weniger exponiert als eine Website mit Benutzerkonten, Formularen, Mitgliederbereich oder Schnittstellen zu anderen Systemen. Je nach Konfiguration kann es schlicht fahrlässig sein, ein solches System ohne Sicherheitsupdates weiter zu betreiben.

Dazu kommt die rechtliche Seite: Wer personenbezogene Daten verarbeitet, ist nach der DSGVO verpflichtet, diese nach dem Stand der Technik zu schützen. Eine Software ohne Sicherheitsupdates erfüllt diesen Anspruch nur schwer.

Mindestmaßnahmen, falls es nicht mehr vor Dezember klappt

Falls das Update aus guten Gründen nicht mehr vor Dezember möglich ist, sollten zumindest diese Punkte erfüllt sein:

• Die Website läuft auf der letzten Version 10.6 und allen verfügbaren Modul-Updates.
• Nicht genutzte Module sind deinstalliert und entfernt, denn jedes Modul ist eine mögliche Angriffsfläche.
• Es gibt regelmäßige, getestete Backups, die auch außerhalb des Servers liegen.
• Benutzerkonten mit Admin-Rechten sind auf das Nötigste reduziert.
• Der Update-Termin ist verbindlich eingeplant, nicht nur „irgendwann 2027“.

Das ist eine Überbrückung, keine Lösung.

Drupal 11 jetzt oder gleich Drupal 12?

Da Drupal 12 im Dezember erscheint, liegt der Gedanke nahe, einfach eine Version zu überspringen. Das funktioniert aber nicht: Ein direkter Sprung von Drupal 10 auf Drupal 12 ist nicht vorgesehen, der Weg führt immer über Drupal 11. Wer wartet, hat später also beide Schritte vor sich.

Drupal 11 wird voraussichtlich bis 2028 unterstützt. Das exakte Datum steht noch nicht fest, es hängt wie bei Drupal 10 vom Erscheinen der übernächsten Version ab. Drupal 12 würde ich erst angehen, wenn es sich etabliert hat, also wenn die wichtigsten Module dafür stabil verfügbar sind und die ersten Fehlerbehebungen erschienen sind.

Meine Faustregel für Drupal-Updates

Zu Beginn jedes geraden Kalenderjahres auf die dann aktuelle Drupal-Version wechseln. Neue Hauptversionen erscheinen im Zwei-Jahres-Rhythmus, jeweils in geraden Jahren (Drupal 10 im Jahr 2022, Drupal 11 im Jahr 2024, Drupal 12 im Jahr 2026). Wer zu Jahresbeginn 2026 auf Drupal 11 gewechselt ist, hatte eine ausgereifte Version und ein komfortables Polster bis zum Support-Ende von Drupal 10. Nach demselben Muster wäre Anfang 2028 der richtige Zeitpunkt für Drupal 12. Wer jetzt noch auf Drupal 10 ist, sollte den ersten Schritt also zügig nachholen.

Wie aufwendig ist das Update von Drupal 10 auf Drupal 11?

Das hängt fast vollständig davon ab, wie die Website in den letzten Jahren gepflegt wurde.

Im einfachen Fall: wenige Stunden

Module aktualisieren, Drupal-Kern aktualisieren, gründlich testen, live stellen. Gut gewartete Drupal-10-Websites, die regelmäßig Updates bekommen haben, lassen sich in der Regel ohne große Überraschungen umstellen.

Im schwierigen Fall: mehrere Tage

Die häufigsten Knackpunkte aus meiner Praxis:

• Kaum noch gewartete Erweiterungen. Module von Drittanbietern, die für Drupal 11 nicht offiziell angepasst wurden, müssen manuell überarbeitet oder durch Alternativen ersetzt werden. Das ist oft der größte Zeitfaktor.
• Veraltete Installationsprofile und Abhängigkeiten. Ich hatte Projekte mit einer Vielzahl veralteter Profile und verschachtelter Abhängigkeiten. Diese aufzulösen kann eine echte Herkulesaufgabe sein, bevor das eigentliche Update überhaupt beginnen kann.
• Eigene Themes und Module. Individuell entwickelter Code muss auf veraltete Funktionen geprüft und angepasst werden.
• Die Server-Umgebung. Drupal 11 setzt mindestens PHP 8.3 voraus. Nicht jeder Hoster bietet das an, gelegentlich ist ein Hosting-Wechsel Teil des Projekts.

Eine seriöse Aufwandsschätzung ist deshalb erst nach einem Blick ins System möglich.

Update oder Relaunch?

Nicht jede Drupal-10-Website sollte um jeden Preis aktualisiert werden. Bei einer gut gewarteten Installation ist das Update fast immer der wirtschaftlichste Weg.

Bei schwierigeren Fällen, etwa mit vielen veralteten Modulen und gewachsenen Abhängigkeiten, lohnt sich eine ehrliche Prüfung: Steht der Aufwand noch im Verhältnis zum Nutzen? Drupal spielt seine Stärken bei komplexen Websites mit vielen Inhaltstypen, Rollen und Schnittstellen aus. Eine Vereinsseite mit News und Fotogalerien braucht das oft nicht. Hier kann ein Relaunch auf Basis eines schlankeren Systems wie Contao mehr Sinn ergeben als ein aufwendiges Drupal-Update, und die Website wird dabei gleich modernisiert.

Diese Abwägung gehört für mich zu jeder Einschätzung dazu.

So gehe ich bei einem Drupal-Update vor

1. Einschätzung: Ich benötige einen Zugang zum Drupal-Backend und idealerweise die Codebasis. Damit lässt sich genau prüfen, welche Module, Anpassungen und Abhängigkeiten im Spiel sind.
2. Angebot: Auf dieser Grundlage erhalten Sie eine realistische Aufwandsschätzung, bei Bedarf mit einer Empfehlung, ob sich das Update oder ein Relaunch mehr lohnt.
3. Update auf einer Testumgebung: Das Update findet nicht auf der Live-Website statt, sondern auf einer Kopie. Dort wird alles angepasst und getestet.
4. Livegang: Erst wenn alles funktioniert, wird die aktualisierte Version live geschaltet.

Ein Hinweis zum Zeitplan: Zum Jahresende werden die Kapazitäten bei allen Dienstleistern knapp, denn viele Website-Betreiber haben dasselbe Datum im Kalender. Wer jetzt anfragt, hat mehr Spielraum bei der Terminplanung.

Häufige Fragen zum Support-Ende von Drupal 10

Läuft eine Drupal-10-Website nach dem 9. Dezember 2026 weiter?

Ja. Sie erhält aber keine Sicherheitsupdates mehr, und das Risiko steigt mit jeder neu bekannt gewordenen Lücke.

Ist ein direktes Update von Drupal 10 auf Drupal 12 möglich?

Nein. Das Update führt immer über Drupal 11.

Gibt es einen verlängerten Support für Drupal 10?

Offiziell nicht. Kostenpflichtige Angebote von Drittanbietern sind für Drupal 10 bisher nicht angekündigt (Stand: September 2026).

Übernimmt w3box auch Drupal-Websites, die eine andere Agentur gebaut hat?

Ja. Für eine Einschätzung genügen ein Backend-Zugang und idealerweise die Codebasis.

Wie lange dauert ein Update von Drupal 10 auf Drupal 11?

Bei gut gewarteten Websites wenige Stunden, bei veralteten Modulen und komplexen Abhängigkeiten mehrere Tage.

Drupal-10-Update anfragen

Sie betreiben eine Drupal-10-Website und möchten wissen, wie aufwendig das Update wird? Schreiben Sie mir. Ich sehe mir Ihr System an und gebe Ihnen eine ehrliche Einschätzung, auch dann, wenn ein Relaunch die bessere Wahl wäre.