Kommerzieller Langzeit-Support für ausgelaufene Frameworks: Wann er sich lohnt
PHP 7 läuft seit 2022 ohne Sicherheits-Updates. AngularJS wurde im selben Jahr eingestellt. Vue 2 folgte Ende 2023. Trotzdem läuft genau diese Software in vielen Unternehmen weiter. Jeden Tag, oft ohne dass die Geschäftsführung es überhaupt weiß.
Für diese Lage gibt es einen eigenen Markt. Anbieter verkaufen sogenannten Extended Lifecycle Support. Das sind bezahlte Sicherheitspatches für Software, deren eigentlicher Hersteller längst aufgehört hat, sie zu pflegen.
Die Frage, die uns Kunden stellen, ist einfach. Lohnt sich das? Oder zahlt man nur für ein Pflaster auf einer Wunde, die trotzdem weiterwächst? Dieser Artikel ordnet ein, für wen sich ein solches Angebot rechnet. Außerdem zeigt er, welche Fragen Sie dem Anbieter stellen sollten und wo die Grenzen liegen.
Was ist kommerzieller Langzeit-Support (Extended Lifecycle Support)?
End of Life bedeutet: Der Hersteller liefert keine neuen Funktionen mehr. Keine Bugfixes, keine Sicherheitspatches. Die Software bleibt, wie sie ist. Neu entdeckte Lücken bleiben offen.
Genau hier setzen spezialisierte Anbieter an. Sie analysieren weiterhin den Code der ausgelaufenen Version. Finden sie eine Lücke, schreiben sie selbst einen Patch. Diesen liefern sie exklusiv an zahlende Kunden.
Das Modell ist nicht neu. Microsoft nennt sein Programm für ausgelaufene Windows-Versionen "Extended Security Updates". Red Hat bietet etwas Ähnliches für ältere Linux-Versionen an. Für PHP, AngularJS oder alte .NET-Stände gibt es kleinere, spezialisierte Dienstleister. Das Prinzip ist immer gleich: Support kaufen, den der ursprüngliche Hersteller nicht mehr gibt.
Wichtig zu verstehen: Sie bekommen keinen offiziellen Support vom Original-Hersteller zurück. Sie kaufen Patches von einem Dritten. Dieser findet die Lücke selbst und schließt sie selbst.
Welche Konsequenzen hat es, wenn Sie gar nichts tun?
Ohne jeden Support, auch ohne kommerziellen, bleibt jede neu entdeckte Sicherheitslücke offen. Angreifer scannen das Internet automatisiert nach bekannten, ungepatchten Versionen. Ihr System muss dafür nicht gezielt angegriffen werden. Es reicht, gefunden zu werden.
Dazu kommt ein zweites Problem. Neue Bibliotheken und Plugins setzen oft eine aktuelle Version voraus. Wer auf PHP 7 oder AngularJS festsitzt, kann viele neue Werkzeuge nicht mehr einbinden. Die Weiterentwicklung der eigenen Anwendung gerät ins Stocken.
Und drittens: Bei einem Sicherheitsvorfall mit personenbezogenen Daten fragt die Aufsichtsbehörde nach. Sie will den Stand der Technik sehen. "Wir haben nichts gemacht" ist dabei die teuerste aller Antworten.
Für wen lohnt sich Extended Lifecycle Support?
Nicht für jeden. Das Modell ist sinnvoll, wenn Sie Zeit brauchen, aber nicht sofort migrieren können.
Das trifft typischerweise auf große, gewachsene Systeme zu. Ein Upgrade betrifft dort nicht nur Code, sondern auch Schnittstellen, Datenbanken und oft externe Partner. So ein Projekt braucht reale Planungszeit. Manchmal ein Jahr, manchmal mehr.
Für diese Fälle ist das Modell eine sinnvolle Brücke. Sie kaufen sich geschlossene Sicherheitslücken, während die eigentliche Migration im Hintergrund läuft.
Weniger sinnvoll ist das Modell bei kleinen, klar umgrenzten Systemen. Ein WordPress-Blog oder eine einfache PHP-Anwendung lässt sich meist in wenigen Tagen upgraden. Dort ist ein reguläres PHP-Upgrade fast immer günstiger als ein laufendes Abonnement für Langzeit-Support.
Woran erkennen Sie, dass Sie in genau dieser Situation sind?
Drei Fragen helfen bei der Einordnung. Gibt es bereits einen Migrationstermin, auch wenn er noch Monate entfernt liegt? Hängen an der ausgelaufenen Version viele eigene Erweiterungen oder Schnittstellen? Würde ein sofortiges Upgrade das laufende Geschäft stören?
Beantworten Sie mindestens zwei Fragen mit Ja, lohnt sich ein genauerer Blick auf Langzeit-Support. Beantworten Sie alle drei mit Nein, ist ein direktes Upgrade meist schneller und günstiger.
Diese Fragen sollten Sie dem Anbieter stellen
Ein solcher Vertrag bindet Sie oft für ein Jahr oder länger. Klären Sie deshalb vorher folgende Punkte:
- Welche konkreten CVEs (öffentlich dokumentierte Sicherheitslücken) wurden in den letzten zwölf Monaten geschlossen?
- Wie schnell reagiert der Anbieter nach Bekanntwerden einer neuen Lücke?
- Gilt der Support für die exakte Version, die Sie einsetzen, oder nur für ein enges Versions-Fenster?
- Was passiert, wenn der Anbieter selbst das Angebot einstellt?
- Wie weit lässt sich der Vertrag monatlich kündigen, falls die Migration schneller fertig wird als geplant?
Ein seriöser Anbieter beantwortet diese Fragen konkret und ohne Ausweichen. Vage Antworten sind ein Warnsignal.
Warum ist das keine Dauerlösung?
Kommerzieller Langzeit-Support verschiebt ein Problem. Er löst es nicht. Dafür gibt es drei Gründe.
Erstens steigt der Preis meist jährlich. Anbieter kalkulieren das Risiko für immer ältere Software höher ein. Zweitens schrumpft der Funktionsumfang mit der Zeit. Irgendwann deckt kein Anbieter die Version mehr ab. Drittens altern auch die Abhängigkeiten der eigenen Anwendung weiter. Das gilt selbst dann, wenn das Kernsystem abgesichert bleibt.
Man kann es mit einer Umschuldung vergleichen. Sie verschieben die Fälligkeit, aber die eigentliche Schuld bleibt bestehen. Oft wächst sie sogar weiter. Eine echte Software-Wartung mit geplanter Modernisierung löst das Problem dauerhaft. Ein verlängerter Patch-Vertrag kauft dafür nur Zeit.
Der Unterschied zwischen End of Life und End of Support wird hier wichtig. Das Modell ersetzt keinen der beiden Zustände. Es legt nur eine weitere, befristete Schicht darüber.
Fazit: Zeit kaufen ist kein Ersatz für Handeln
Kommerzieller Langzeit-Support ist kein Trick. Er ist auch keine Notlösung aus Verzweiflung. Für große Systeme mit echtem Migrationsplan ist er ein legitimes Werkzeug, das Risiko senkt, während die eigentliche Arbeit läuft.
Ohne Migrationsplan wird er jedoch schnell zu einem teuren Dauerzustand. Die Frage lautet nicht, ob Sie irgendwann upgraden müssen. Die Frage lautet, ob Sie das mit einem Plan tun oder ohne.
Sprechen Sie uns an. Das Erstgespräch ist kostenlos. Wir schauen uns Ihr System an. Dann sagen wir Ihnen ehrlich, ob Extended Lifecycle Support für Sie passt. Oder ob sich ein direktes Upgrade mehr lohnt.
