End of Life im Griff: die Lücke, für die es keinen Patch gibt

Die gefährlichste Software in deiner Umgebung ist nicht die mit dem fehlenden Patch. Es ist die, die nie wieder einen bekommt. Ein ungepatchtes System ist eine Aufgabe mit Termin. Ein System nach dem Support-Ende ist eine Entscheidung, die du längst getroffen hast, ohne es zu merken — und sie zurückzunehmen dauert Monate, kein Wartungsfenster.

Warum das Support-Ende durchrutscht

Schwachstellen melden sich selbst. Es gibt eine CVE, ein Hersteller-Advisory, manchmal Presse. Das Support-Ende macht das Gegenteil: Es wird Jahre vorher festgelegt, einmal in einer Lifecycle-Tabelle veröffentlicht — und dann passiert nichts. Am Stichtag passiert ebenfalls nichts. Das System läuft weiter, die Nutzer arbeiten weiter, das Monitoring bleibt grün. Geändert hat sich nur, dass die nächste Lücke nicht mehr geschlossen wird.

Genau diese Asymmetrie ist das Problem. Patch-Management hat einen Takt — der Patchday kommt, ob du ihn eingeplant hast oder nicht. Lifecycle-Management hat gar keinen Takt. Es hat nur ein Datum, das du dir entweder notiert hast oder nicht.

Was hilft

Die Daten kennen, bevor du sie brauchst. patchletter gleicht für jedes verfolgte Produkt die Support-Zyklen von endoflife.date ab. Die End-of-Life-Übersicht zeigt, was ausläuft und wie viel Zeit bleibt — sortiert nach Restlaufzeit, nicht alphabetisch, weil die Reihenfolge zählt, in der es weh tut.

Die eigene Version hinterlegen. Ein Support-Zyklus bedeutet erst etwas im Verhältnis zu deiner Version. Auf jeder Produktseite kannst du eintragen, welche Version du tatsächlich fährst; die Zyklus-Angabe richtet sich danach. Ohne das ist „Version 7 ist aus dem Support“ eine Randnotiz, mit dem Eintrag wird eine Aufgabe daraus.

In Quartalen planen, nicht in Wochen. Ein Datenbank-Major-Upgrade, eine Firewall-Firmware-Linie, eine Windows-Server-Generation — das sind Projekte mit Testphase und Rückfallplan. Ein halbes Jahr Vorlauf ist ein Plan. Sechs Wochen sind ein Vorfall mit Protokoll.

Wo Support-Ende und aktive Ausnutzung zusammentreffen

Die beiden Probleme sind nicht getrennt. Wird eine Lücke in einer nicht mehr unterstützten Version aktiv ausgenutzt, gibt es keinen Patch — nur Mitigation oder Migration, unter Zeitdruck. patchletter weist aktiv ausgenutzte Schwachstellen aus dem CISA-KEV-Katalog auf der CVE-Seite aus. Sie neben der EOL-Liste zu lesen ist unangenehm und nützlich zugleich.

Die ehrliche Einschränkung

Lifecycle-Daten sind nur so gut wie das, was Hersteller veröffentlichen, und nicht jedes Produkt hat einen sauberen öffentlichen Zyklus. patchletter zeigt, was dokumentiert ist, und schweigt dort, wo es das nicht ist — statt ein Datum zu erfinden, das beruhigend aussieht. Wo die Daten existieren, bekommst du früh eine Warnung; wo nicht, weißt du wenigstens, dass du dort auf dich gestellt bist.

Hak die Tools an, die du betreust, und patchletter mailt dir, sobald eine neue Version erscheint — kostenlos, ohne Konto, Abmeldung mit einem Klick. Fang mit der End-of-Life-Übersicht an und sieh, was zuerst ausläuft.