Wartungsende ist ein Datum. Risiko entsteht, wenn niemand es führt.

End of Life, End of Support, Extended Support — die Begriffe sind definiert, die Termine sind öffentlich, und trotzdem laufen in fast jeder gewachsenen Landschaft Systeme ohne Sicherheitsupdates. Das Problem ist nicht die Information, sondern ihre Verknüpfung: Welches Wartungsende trifft welche Anwendung, und welcher Geschäftsprozess hängt daran?

Am 14. Oktober 2025 endete der Support für Windows 10 — angekündigt seit Jahren, dokumentiert in Microsofts öffentlicher Lifecycle-Datenbank, verpasst von erstaunlich vielen. Die Wochen danach folgten einem Muster, das jede Branche kennt: hektische Zählungen, wie viele Geräte eigentlich noch auf dem alten Stand laufen, gefolgt von der Erkenntnis, dass niemand die Zahl sicher wusste.

Das Lehrstück daran ist nicht der einzelne Termin. Es ist die Frage, warum ein seit Jahren öffentliches Datum ein Unternehmen überraschen kann.

Die Information ist frei verfügbar — die Zuordnung nicht

EOL- und EOS-Termine sind keine Geheimwissenschaft. Microsoft führt sie in einer durchsuchbaren Datenbank, Red Hat dokumentiert seine Lifecycle-Phasen samt Errata-Politik präzise, und freie Sammlungen wie endoflife.date bündeln Hunderte Produkte. Wer wissen will, wann ein Produkt aus der Wartung fällt, findet es in Minuten.

Was in keiner dieser Quellen steht: ob und wo das Produkt im eigenen Haus läuft. Der Weg vom öffentlichen Termin zum eigenen Risiko führt über drei Verknüpfungen — Produkt → eigene Anwendung → Geschäftsprozess — und jede davon existiert nur im eigenen Inventar. Fehlt eine, zerfällt die Kette: Dann gibt es zwar ein Dashboard mit Herstellerterminen, aber keine Antwort auf die einzige Frage, die zählt: Was müssen wir bis wann ablösen, und was passiert, wenn wir es nicht tun?

Warum das Risiko sprunghaft wächst

Ein System wird am Tag nach dem Wartungsende nicht schlechter — es hört auf, besser zu werden. Jede danach entdeckte Schwachstelle bleibt dauerhaft offen, und Schwachstellen in weit verbreiteter Alt-Software werden bevorzugt gesucht, weil sich der Aufwand für Angreifer über die Masse der Nachzügler rechnet. Die Lageberichte des BSI benennen veraltete, nicht mehr versorgte Software Jahr für Jahr als wiederkehrendes Einfallstor. Für die Risikobetrachtung heißt das: Nicht der Stichtag ist das Ereignis, sondern die erste kritische Schwachstelle danach — und deren Zeitpunkt bestimmt der Zufall, nicht die eigene Planung. Planbar ist nur der Abstand zum Stichtag.

Wartungsende als geführte Angabe

Der Unterschied zwischen Häusern, die von EOL-Terminen getrieben werden, und solchen, die sie steuern, liegt in einem unscheinbaren Detail: ob das Wartungsende eine geführte Angabe je Anwendung ist. Geführt heißt: Es gibt den Termin als Feld am System, es gibt einen Menschen, der für die Angabe verantwortlich ist, und es gibt einen Anlass, sie regelmäßig zu bestätigen — denn Hersteller verlängern, verkürzen und differenzieren ihre Zeiträume laufend.

Aus geführten Terminen entsteht dann, was ein Kalender nie leisten kann: eine Fahrplansicht. Was läuft in den nächsten 6, 12, 24 Monaten aus? Welche dieser Systeme tragen kritische Prozesse? Wo ist die Ablösung schon geplant, wo klafft eine Lücke? Aus derselben Sicht speist sich übrigens auch die Regulierungsseite: Das Schwachstellen-Management, das § 30 BSIG von NIS2-regulierten Einrichtungen verlangt, ist ohne den Blick auf auslaufende Wartung nicht vollständig. Wie aus einzelnen Terminen ein wiederholbarer Ablauf wird, beschreibt der EOL-Prozess in sechs Schritten; für Server, Speicher und Netzkomponenten gibt es mit der Drittwartung eine eigene Zwischenlösung — mehr dazu unter End-of-Life-Hardware.

Die Katalog-Falle

Verlockend ist der Gedanke, das Problem per Datenimport zu lösen: ein kuratierter Herstellerkatalog, automatisch abgeglichen, fertig. Kataloge sind als Nachschlagewerk wertvoll — als alleinige Quelle sind sie eine Scheingenauigkeits-Maschine. Der Katalog kennt das Produkt, aber nicht die im Haus laufende Version, nicht die vom Dienstleister betriebene Sonderinstallation, nicht die Anwendung, deren Hersteller es längst nicht mehr gibt. Ein automatisch grün gefärbtes Feld, das niemand bestätigt hat, ist gefährlicher als ein ehrlich graues — es beendet die Nachfrage. Deshalb gilt hier dasselbe Prinzip wie im ganzen Bestand: Eine Angabe ist so viel wert wie ihre letzte Bestätigung. Das größte Einzelrisiko dieser Kategorie ist derzeit übrigens planbar wie kein zweites — das SAP-Wartungsende 2027/2030.