Warum Software Wartung braucht

Software verschleißt nicht. Trotzdem funktioniert ein System, an dem drei Jahre niemand gearbeitet hat, oft schlechter als am ersten Tag. Nicht die Software hat sich verändert, sondern alles um sie herum.

Was sich ändert, während nichts passiert

• Abhängigkeiten. Jede Anwendung nutzt fremde Bausteine. Deren Pflege endet irgendwann; wer zu lange wartet, steht vor einem Sprung über mehrere Hauptversionen statt vor vielen kleinen Schritten.
• Laufzeitumgebungen. Sprachversionen und Betriebssysteme haben Wartungsfenster. Läuft das Fundament aus, gibt es keine Sicherheitsupdates mehr.
• Fremde Schnittstellen. Zahlungsdienstleister, Versanddienste, Anmeldeverfahren ändern ihre Programmierschnittstellen. Alte Versionen werden abgeschaltet, meist mit Vorlauf, den niemand liest.
• Browser und Geräte. Was 2021 überall funktionierte, kann heute auf aktuellen Geräten anders aussehen.
• Recht. Anforderungen an Datenschutz, Barrierefreiheit und Aufbewahrung entwickeln sich weiter.

Sicherheitslücken sind öffentlich

Der wichtigste Punkt bekommt einen eigenen Abschnitt. Schwachstellen in verbreiteten Bausteinen werden veröffentlicht. Das ist gut, weil alle davon erfahren, und es ist gefährlich, weil auch Angreifer alle davon erfahren.

Wird eine Lücke veröffentlicht, gibt es kurz darauf automatisierte Scans, die das gesamte Netz nach verwundbaren Installationen absuchen. Es braucht dafür niemanden, der es speziell auf Sie abgesehen hat. Wer erst dann reagiert, wenn etwas passiert, hat das Zeitfenster bereits verpasst.

Was Wartung konkret heißt

Nicht "weiterentwickeln", sondern lauffähig halten:

• Sicherheitsupdates einspielen, zeitnah statt gesammelt
• Abhängigkeiten in kleinen Schritten aktuell halten
• Auf angekündigte Abschaltungen fremder Schnittstellen reagieren
• Monitoring beobachten und Meldungen ernst nehmen
• Backups testen (siehe eigener Beitrag)
• Sicherstellen, dass sich das System überhaupt noch bauen und ausliefern lässt

Der letzte Punkt wird gern übersehen. Ein Projekt, dessen Bauprozess seit zwei Jahren niemand ausgeführt hat, lässt sich im Ernstfall oft nicht mehr in Betrieb nehmen, genau dann, wenn es schnell gehen muss.

Was es kostet, nichts zu tun

Der Aufwand verschwindet nicht, er verschiebt sich und wird teurer. Aus zwölf kleinen Aktualisierungen wird ein Migrationsprojekt. Aus einem Sicherheitsupdate wird ein Vorfall mit Meldepflicht. Aus einer angekündigten Schnittstellenabschaltung wird ein Ausfall im laufenden Betrieb.

Zusätzlich sinkt die Änderbarkeit: Wer eine dringende Anpassung braucht, muss erst drei Jahre aufgeschobene Arbeit nachholen.

Ein vertretbarer Rhythmus

Für ein durchschnittliches System reicht:

• monatlich Sicherheitsupdates und kleine Aktualisierungen
• quartalsweise ein Blick auf Abhängigkeiten und ein Wiederherstellungstest
• jährlich Laufzeitumgebung und Hauptversionen prüfen

Das ist kalkulierbarer Aufwand mit sichtbarem Ergebnis, und deutlich günstiger als die Alternative.