Geräte ohne Sicherheitsupdates im Unternehmen: Weiter nutzen oder ersetzen?

Was bedeutet es, wenn ein Gerät keine Sicherheitsupdates mehr bekommt?

Ein Rechner, eine Firewall, ein NAS oder eine Maschinensteuerung kann technisch noch vollkommen zuverlässig funktionieren, obwohl der Hersteller längst keine Sicherheitsupdates mehr bereitstellt. Für den laufenden Betrieb fällt zunächst kaum ein Unterschied auf, weil Programme weiterhin starten, Dateien erreichbar bleiben und die Maschine genauso produziert wie am Tag zuvor. Das eigentliche Problem besteht darin, dass neu bekannt werdende Schwachstellen nicht mehr behoben werden und das System damit über die Jahre einen immer schlechter kontrollierbaren Sicherheitszustand erreichen kann.

Daraus folgt trotzdem nicht automatisch, dass jedes nicht mehr unterstützte Gerät sofort ersetzt werden muss. Ein alter Büro-PC, der täglich Internetzugang besitzt und auf zentrale Unternehmensdaten zugreift, ist anders zu bewerten als ein Rechner an einer Produktionsmaschine, der ausschließlich mit einem einzigen internen Server kommuniziert und sich technisch nur mit erheblichem Aufwand modernisieren lässt. Entscheidend ist deshalb nicht allein das Alter des Geräts, sondern seine Aufgabe, seine Erreichbarkeit und die Folgen eines möglichen Ausfalls oder Angriffs.

Supportende und technischer Defekt sind zwei verschiedene Dinge

Wenn ein Hersteller den Support beendet, bedeutet das nicht, dass das Gerät am nächsten Tag nicht mehr funktioniert. Häufig läuft die vorhandene Technik noch viele Jahre zuverlässig weiter, weshalb gerade in kleinen Unternehmen verständlicherweise die Frage entsteht, warum etwas ersetzt werden sollte, das seine Aufgabe scheinbar problemlos erfüllt.

Das Risiko entwickelt sich im Hintergrund, weil Fehler und Sicherheitslücken nicht mehr korrigiert werden und gleichzeitig moderne Anwendungen, Verschlüsselungsverfahren oder Verwaltungswerkzeuge möglicherweise irgendwann nicht mehr unterstützt werden. Ein System kann dadurch technisch weiterlaufen, während seine Integration in die übrige Unternehmens-IT immer schwieriger wird. Diese Entwicklung sollte bewusst bewertet werden, bevor aus einem heute noch gut beherrschbaren Altsystem später eine Komponente wird, an die sich niemand mehr herantraut.

Bei normalen Arbeitsplatzrechnern spricht meist wenig für einen dauerhaften Weiterbetrieb

Ein klassischer Büroarbeitsplatz besitzt regelmäßig Kontakt zum Internet, verarbeitet E-Mails, öffnet Dokumente und greift auf unterschiedliche interne sowie externe Dienste zu. Wenn das Betriebssystem dort dauerhaft keine Sicherheitsupdates mehr erhält, lässt sich das Risiko nur schwer durch einzelne Netzwerkregeln ausgleichen, weil der Rechner für seine tägliche Arbeit sehr viele unterschiedliche Verbindungen benötigt.

Bei solchen Systemen ist ein Austausch oder eine Aktualisierung deshalb meist die vernünftigste Lösung, sofern keine zwingende technische Abhängigkeit dagegen spricht. Das gilt besonders dann, wenn moderne Betriebssysteme auf der vorhandenen Hardware nicht mehr unterstützt werden oder wichtige Programme ebenfalls nur noch auf aktuellen Plattformen gepflegt werden. Eine langfristige Sonderlösung verursacht sonst häufig mehr Verwaltungsaufwand, als ein geplanter Austausch kosten würde.

In der Produktion kann die Entscheidung völlig anders aussehen

Bei einer Maschine mit zwanzig Jahren Restwert kann ein alter Rechner trotzdem ein unverzichtbarer Bestandteil der Steuerung sein. Vielleicht benötigt die Software eine spezielle Schnittstellenkarte, einen nicht mehr erhältlichen Treiber oder genau die Betriebssystemversion, für die sie ursprünglich entwickelt wurde, sodass der Austausch des PCs letztlich eine Modernisierung der kompletten Maschinensteuerung auslösen würde.

In solchen Fällen kann der kontrollierte Weiterbetrieb wirtschaftlich sehr sinnvoll sein, wenn das Risiko technisch ausreichend begrenzt wird. Genau darum geht es auch bei alten Windows-Systemen in der Produktion: Ein nicht mehr unterstütztes System muss nicht zwangsläufig verschwinden, sollte aber anders behandelt werden als ein normaler Arbeitsplatzrechner. Dazu gehören insbesondere eine klare Netzwerkbegrenzung, eine vollständige Sicherung des funktionsfähigen Zustands und ein realistischer Plan für den späteren Hardwareausfall.

Netzwerkisolation kann den Weiterbetrieb deutlich sicherer machen

Ein Gerät ohne Sicherheitsupdates sollte möglichst wenig Gelegenheit bekommen, unnötige Verbindungen aufzubauen oder von anderen Systemen erreicht zu werden. Wenn eine alte Maschinensteuerung lediglich einen bestimmten Server benötigt, gibt es keinen guten Grund, ihr gleichzeitig Zugriff auf das gesamte Büronetz, Drucker, Kameras oder andere Produktionssysteme zu erlauben.

Eine saubere Netzwerksegmentierung kann solche Systeme in einen eigenen Bereich verschieben und über Firewallregeln genau festlegen, welche Verbindungen noch notwendig sind. Benötigt das Gerät keinen direkten Internetzugang, sollte dieser ebenfalls entfallen, weil dadurch eine große Zahl unnötiger Kommunikationsmöglichkeiten verschwindet. Die Sicherheitslücken des Systems bleiben zwar bestehen, ihre praktische Erreichbarkeit und damit das Risiko können aber deutlich reduziert werden.

Ein Gerät ohne Updates muss bekannt und dokumentiert sein

Besonders problematisch sind Altsysteme, die irgendwann aus dem Blick geraten und einfach weiterhin im Netzwerk stehen. Dann weiß möglicherweise niemand mehr, warum sie noch benötigt werden, welche Daten darüber laufen oder welcher Hersteller ursprünglich dafür zuständig war.

Eine IT-Inventur sollte deshalb erkennen lassen, welche Systeme keine Herstellerunterstützung mehr erhalten und welche betriebliche Funktion sie erfüllen. Bei wichtigen Geräten sollte zusätzlich dokumentiert sein, warum der Weiterbetrieb momentan akzeptiert wird, welche Schutzmaßnahmen vorhanden sind und wann die Entscheidung erneut überprüft werden soll. Damit wird aus einem unbekannten Altgerät ein bewusst behandeltes Risiko.

Der fehlende Hersteller-Support betrifft auch Netzwerkgeräte

Das Thema endet nicht bei Windows-PCs. Firewalls, Switches, WLAN-Zugangspunkte, NAS-Systeme, Drucker und Kameras besitzen ebenfalls Betriebssysteme oder Firmware, für die irgendwann keine Aktualisierungen mehr erscheinen.

Gerade zentrale Infrastrukturkomponenten verdienen dabei Aufmerksamkeit, weil ihr Ausfall oder eine Sicherheitslücke viele andere Systeme betreffen kann. Eine alte Firewall ohne weitere Sicherheitsupdates ist beispielsweise anders zu bewerten als ein einzelner unkritischer Drucker, während ein nicht mehr unterstützter Managed Switch weiterhin jahrelang zuverlässig funktionieren kann, wenn seine Funktion überschaubar und ein Ersatz vorbereitet ist. Die Entscheidung muss deshalb auch hier aus der tatsächlichen Aufgabe entstehen und darf nicht allein auf dem Herstellungsjahr beruhen.

Ersatzfähigkeit ist ein wichtiger Teil der Bewertung

Ein Gerät kann heute problemlos funktionieren und trotzdem morgen zum Problem werden, wenn ein Hardwaredefekt auftritt und kein kompatibler Ersatz mehr verfügbar ist. Deshalb sollte bei nicht mehr unterstützter Technik immer auch geprüft werden, wie schnell ein Ausfall behoben werden könnte.

Bei einem alten Arbeitsplatz-PC ist diese Frage meist einfach, weil sich ein modernes Ersatzgerät beschaffen lässt. Bei einem Produktionsrechner oder speziellen Netzwerkgerät kann die Situation deutlich schwieriger sein, weshalb ein vorbereiteter Plan für den Ausfall alter Produktions-PCs oder gezielt vorgehaltene Ersatzhardware sinnvoll werden kann. Gerade wenn die Hardware selbst nur wenige hundert Euro kostet, der Produktionsstillstand aber deutlich teurer wäre, kann eine frühzeitig beschaffte Reserve wirtschaftlich sehr vernünftig sein.

Datensicherung muss den vollständigen Zustand berücksichtigen

Bei alten Systemen reicht es häufig nicht aus, nur die sichtbaren Unternehmensdateien zu sichern. Ein späterer Wiederanlauf kann zusätzlich von Betriebssystem, Treibern, Lizenzdateien, speziellen Konfigurationen und Anwendungen abhängen, die heute nur noch schwer oder gar nicht mehr erneut beschafft werden können.

Deshalb sollte bei kritischen Altsystemen möglichst der komplette funktionsfähige Zustand abgesichert werden. Ein Systemabbild, vorhandene Installationsmedien, Treiber und Lizenzinformationen gehören zusammen, während ein praktischer Wiederherstellungstest zeigen kann, ob diese Vorsorge tatsächlich ausreicht. Gerade bei nicht mehr gepflegter Technik ist die Wiederherstellbarkeit oft mindestens genauso wichtig wie die Frage, wie lange das System noch fehlerfrei weiterläuft.

Der Weiterbetrieb sollte eine bewusste Entscheidung bleiben

Ein veraltetes System kann aus guten Gründen weiterbetrieben werden, darf dadurch aber nicht für immer aus der Betrachtung verschwinden. Vielleicht wird eine Modernisierung heute aufgrund hoher Kosten verschoben, während sie in zwei Jahren zusammen mit einer ohnehin geplanten Maschinenerneuerung deutlich sinnvoller durchgeführt werden kann.

Solche Entscheidungen sollten deshalb regelmäßig überprüft werden, insbesondere wenn sich die Netzwerkumgebung, die geschäftliche Bedeutung oder verfügbare Ersatzlösungen verändern. Eine regelmäßige technische Bestandsaufnahme kann genau solche Entwicklungen sichtbar machen und verhindern, dass eine ursprünglich vertretbare Übergangslösung irgendwann unbemerkt zum Dauerzustand wird.

Wenn bei euch Systeme ohne Hersteller-Support laufen und niemand genau sagen kann, warum sie noch benötigt werden oder wie sie im Netzwerk abgesichert sind, lohnt sich ein gezielter Blick auf genau diese Geräte. Dabei muss das Ergebnis keineswegs lauten, dass alles sofort ersetzt werden muss; häufig reichen zunächst eine saubere Trennung, vollständige Dokumentation und ein realistischer Ersatz- oder Wiederherstellungsplan, um das Risiko deutlich besser beherrschbar zu machen.

Ein Gerät ohne Sicherheitsupdates ist deshalb nicht automatisch unbrauchbar. Problematisch wird es vor allem dann, wenn es wie ein aktuelles System behandelt wird, obwohl seine technischen Voraussetzungen längst andere Schutzmaßnahmen erfordern.