Keine Updates mehr vom Hersteller: wie man ein Altsystem trotzdem absichert
Support-Ende heißt nicht, dass ein System am nächsten Tag unsicher wird. Es heißt, dass die Sicherheitslage ab jetzt einfriert, während die Angriffsseite weiterläuft. Der Abstand wächst langsam und dann plötzlich — meist mit der Veröffentlichung einer Schwachstelle, für die es keinen Patch mehr gibt.
Nach dem Support-Ende bleiben bekannte Schwachstellen offen und der Patchstand-Nachweis entfällt. Wirksam sind fünf Maßnahmen: Netzsegmentierung mit definierten Zugriffspunkten, eine vorgelagerte Prüfschicht (Reverse Proxy mit Regelwerk, Eingabevalidierung, Ratenbegrenzung), Protokollauswertung für Anmeldeversuche, Zugriffe außerhalb der Geschäftszeiten und auffällige Datenmengen, eine Durchsicht der Schreibrechte sowie ein tatsächlich geprobter Wiederanlauf.
Was sich tatsächlich ändert
Drei Dinge. Bekannte Schwachstellen bleiben offen. Neue Angriffstechniken treffen auf eine Software, die sie nicht kennt. Und der Nachweis gegenüber Prüfern wird schwierig, weil „aktueller Patchstand" nicht mehr erreichbar ist. Der dritte Punkt trifft in der Praxis früher als die ersten beiden — meist beim nächsten Kundenaudit.
Maßnahme 1: Die Angriffsfläche verkleinern
Was nicht erreichbar ist, kann nicht angegriffen werden. Netzsegmentierung mit einer eigenen Zone für das Altsystem, Zugriff nur über definierte Sprungpunkte, ausgehende Verbindungen ausdrücklich freigeben statt pauschal erlauben. Das ist die wirksamste Einzelmaßnahme und die, die am seltensten konsequent umgesetzt wird.
Maßnahme 2: Vor das System stellen, was das System nicht kann
Eine vorgelagerte Prüfschicht — Reverse Proxy mit Regelwerk, Eingabevalidierung, Ratenbegrenzung — fängt einen großen Teil dessen ab, wogegen die Anwendung selbst nicht mehr gehärtet werden kann. Das ersetzt keinen Patch, verschiebt aber die Verteidigung an eine Stelle, die gepflegt wird.
Maßnahme 3: Sehen, was passiert
Ein System ohne Protokollauswertung ist ein System, in dem ein Angriff unbemerkt bleibt. Anmeldeversuche, Zugriffe außerhalb der Geschäftszeiten, ungewöhnliche Datenmengen — diese drei Signale reichen für den Anfang und lassen sich auch bei alten Anwendungen aus vorhandenen Protokollen ziehen.
Maßnahme 4 und 5: Rechte und Wiederanlauf
Rechte, die über Jahre gewachsen sind, sind fast immer zu weit. Eine Durchsicht der Konten mit Schreibrechten ist billig und findet regelmäßig Zugänge ausgeschiedener Personen und Dienstkonten mit Administratorrechten. Und ein getesteter Wiederanlauf ist bei Altsystemen kein Standardthema: Die Wiederherstellung wird selten geprobt, weil die Umgebung sich schwer nachbauen lässt — genau deshalb muss sie geprobt werden.
Die Maßnahme, die nur beruhigt
Ein Virenscanner auf dem Server und ein Häkchen im Fragebogen. Er schadet nicht, er findet nur nichts, was bei einem Altsystem tatsächlich das Risiko ausmacht — offene Schwachstellen in der Anwendung selbst und zu weite Rechte im Inneren.
Häufige Fragen
Wie lange kann man ein System ohne Updates betreiben?
Es gibt keine Frist, sondern eine Risikokurve. Entscheidend ist, ob das System aus dem Internet erreichbar ist, welche Daten es verarbeitet und wie gut es abgeschirmt ist. Ein segmentiertes, nur intern erreichbares System kann Jahre laufen; ein direkt erreichbares Portal ohne Patches ist eine Frage von Monaten.
Was sagt man dem Auditor, wenn es keine Patches gibt?
Die Wahrheit, mit den kompensierenden Maßnahmen daneben. Prüfer akzeptieren in der Regel eine dokumentierte Risikoabwägung mit wirksamen Ersatzmaßnahmen. Was nicht akzeptiert wird, ist ein leeres Feld oder die Behauptung, es sei alles aktuell.
Hilft eine Web Application Firewall?
Als Teil der vorgelagerten Schicht ja, als Alleinmaßnahme nein. Sie fängt bekannte Angriffsmuster ab und verschafft Zeit; gegen fachliche Schwachstellen in der Anwendungslogik hilft sie nicht. Sie ist ein Puffer, keine Lösung.
Sollte man erst absichern oder erst modernisieren?
Absichern, sofort und unabhängig. Die Maßnahmen kosten Tage bis Wochen, die Modernisierung Monate bis Jahre. Wer die Absicherung von einem Modernisierungsbeschluss abhängig macht, hat im Zweifel beides nicht.
Bringen Sie das System mit, das Ihnen Sorgen macht.
30 Minuten, kein Vertrieb. Wir sagen Ihnen, ob eine Discovery bei diesem System etwas bringt.
Legacy Discovery ansehen →
