Warum „läuft noch" kein Wartungsplan ist – und wann es zu spät ist

Auf die Frage, ob die Software-Wartung vernachlässigt wurde, kommt in vielen Unternehmen eine Antwort: „Läuft noch." Manchmal mit echtem Stolz. Öfter mit einem Schulterzucken. Und meistens stimmt es sogar: Die Software läuft. Sie erledigt ihren Job. Niemand beschwert sich.

Das ist kein Grund zur Entspannung. Es ist ein Risiko, das sich still ansammelt.

Denn „läuft noch" beantwortet nicht die Fragen, die wirklich zählen: Ist das System sicher? Wer kümmert sich, wenn etwas schiefgeht? Und was passiert, wenn es eines Tages doch nicht mehr läuft?

Was sich ansammelt, wenn Software-Wartung ausbleibt

Software existiert nicht in einem Vakuum. Sie läuft auf Servern, die sich verändern. Sie nutzt Bibliotheken, die Sicherheitslücken entwickeln. Sie wurde gebaut, als andere Standards galten.

Was konkret passiert, wenn Software-Wartung vernachlässigt wird:

Sicherheitslücken bleiben offen. CVEs (Common Vulnerabilities and Exposures) sind öffentlich dokumentierte Sicherheitslücken in Software. Für aktiv gepflegte Systeme gibt es Patches. Für ungepflegte nicht. Jede bekannte Lücke ohne Patch ist ein offenes Fenster, das Angreifer kennen und gezielt nutzen.

Abhängigkeiten veralten. Moderne Software besteht aus vielen Komponenten: Bibliotheken, Frameworks und Plugins. Alle haben eigene Versionen und eigene Lebenszyklen. Werden sie nicht aktualisiert, stapeln sich die technischen Schulden leise im Hintergrund. Irgendwann sind einzelne Komponenten nicht mehr kompatibel miteinander.

Wissen geht verloren. Wer hat was wann warum gebaut? In einem System ohne aktive Betreuung verblasst dieses Wissen schnell. Wenn dann jemand einen Fehler beheben muss, braucht er länger. Und kostet entsprechend mehr.

Inkompatibilitäten entstehen unbemerkt. Hosting-Anbieter aktualisieren ihre Plattformen. PHP-Versionen laufen aus. Wenn niemand das System beobachtet, erfährt man die Konsequenzen oft erst durch einen unerwarteten Ausfall.

Warum das Risiko so lange unsichtbar bleibt

Das Tückische: Es passiert lange Zeit nichts Sichtbares. Die Software läuft. Der Betrieb läuft. Niemand beschwert sich.

Das gibt falsche Sicherheit.

Ein Vergleich: Ein Auto ohne Ölwechsel fährt auch noch. Bis der Motor stirbt. Dann ist es kein kleines Problem mehr.

Bei Software ist es ähnlich. Die Risiken wachsen still im Hintergrund. Angreifer suchen nicht gezielt einzelne Unternehmen. Sie scannen automatisiert das Internet nach bekannten Schwachstellen. Ein veraltetes, ungepatchtes System ist ein dokumentiertes Ziel, auch wenn es unscheinbar wirkt.

Das Heimtückische daran: Selbst ein erfolgreicher Angriff bleibt oft lange unbemerkt. Schadcode kann im System liegen und Monate später aktiv werden. Daten können abgeflossen sein, ohne dass jemand es sofort merkt.

Wann wird es wirklich kritisch?

Streng genommen gibt es kein definitives „zu spät". Solange das System noch läuft, lässt sich noch etwas tun. Aber es gibt Situationen, in denen die Kontrolle verloren geht.

Kritisch wird es, wenn:

• eine Sicherheitslücke bereits ausgenutzt wurde und Schadcode im System steckt
• die einzige Person, die das System kannte, das Unternehmen verlassen hat
• der Hosting-Anbieter die unterstützte PHP-Version einstellt und die Anwendung nicht mehr startet
• ein Prüfer der Datenschutzbehörde nach einem Vorfall fragt, warum keine regelmäßige Wartung stattfand

In diesen Momenten ist man nicht mehr in der Planungsphase. Man ist in der Krisenphase. Die kostet mehr, dauert länger und lässt sich schlechter steuern. Wer dann unter Druck handeln muss, hat weniger Optionen und weniger Zeit.

Was man mit wenig Aufwand konkret besser machen kann

Software-Wartung muss kein Großprojekt sein. Es gibt ein sinnvolles Minimum, das die größten Risiken abdeckt.

Versionen kennen. Welche PHP-Version läuft? Welche Datenbank? Welche Abhängigkeiten? Wann endet der jeweilige Support? Das lässt sich oft in wenigen Stunden herausfinden. Mit diesem Wissen kann man priorisieren.

Backup testen. Viele Systeme haben ein theoretisches Backup. Ob es im Ernstfall funktioniert, weiß selten jemand. Ein getestetes Backup ist das Minimum des Minimums.

Monitoring einrichten. Ein einfaches Uptime-Monitoring meldet, wenn das System nicht mehr erreichbar ist. Das kostet wenig und spart im Ernstfall viel Zeit.

Wissen dokumentieren. Auch eine grobe, unvollständige Übersicht ist besser als nichts. Wer betreut das System? Was tut es? Wo liegen die Zugangsdaten? Wenige Stunden Dokumentation können Wochen Einarbeitungszeit sparen.

Regelmäßige Betreuung sicherstellen. Auch wenn nichts akut brennt: Jemand sollte das System regelmäßig im Blick behalten. Sicherheitsmeldungen lesen. Updates beobachten. Den Status kennen.

Wenn das intern nicht leistbar ist, kann ein externer Dienstleister diese Aufgabe übernehmen. Mehr dazu lesen Sie auf unserer Seite zur Software-Wartung.

Keine Kleinigkeit: DSGVO und fehlende Wartung

Ein Punkt, der oft übersehen wird: Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Unternehmen dazu, personenbezogene Daten technisch angemessen zu schützen.

„Angemessen" bedeutet: Stand der Technik.

Software, die seit Jahren keine Sicherheits-Updates erhalten hat, entspricht nicht mehr dem Stand der Technik. Wer nach einem Datenschutzvorfall erklären muss, warum das System nicht gewartet wurde, steht vor einer unangenehmen Situation.

Bußgelder nach der DSGVO können erheblich sein. Auch für kleine und mittlere Unternehmen. Das Risiko ist real und wird von Behörden aktiv geprüft.

Was jetzt zu tun ist

Software-Wartung vernachlässigt zu haben ist keine Ausnahmesituation. Es ist die Realität in vielen Unternehmen, in denen Software als selbstverständliches Werkzeug gilt. Das ist verständlich. Und es ändert nichts an den Risiken.

Was sich über Jahre angesammelt hat, verschwindet nicht von selbst.

Wer wissen möchte, wie es um die eigene Legacy Software tatsächlich steht, dem helfen wir gerne. Keine Präsentation. Kein Verkaufsgespräch. Wir schauen uns das System an und sagen, was ist.

Fazit: „Läuft noch" ist eine Momentaufnahme

Software, die seit Jahren ohne Betreuung läuft, ist kein Beweis für Stabilität. Es ist ein Zeichen, dass noch kein größeres Problem aufgetreten ist.

Das kann sich schnell ändern. Eine bekannte Sicherheitslücke, ein kompromittiertes Plugin, ein Plattform-Update von außen: aus „läuft noch" wird „läuft nicht mehr".

Der richtige Zeitpunkt für Software-Wartung ist vor dem ersten Vorfall.

Sprechen Sie uns an. Das Erstgespräch ist kostenlos. Wir schauen uns an, was sich angesammelt hat, und sagen Ihnen ehrlich, wo Sie stehen und was als nächstes sinnvoll ist.