EOL (End of Life): Bedeutung, Risiken und Schutzmaßnahmen

Was bedeutet EOL?

EOL ist die Abkürzung für End of Life, auf Deutsch Ende der Lebensdauer. Der Hersteller pflegt das Produkt dann nicht mehr. Es läuft zwar weiter, wird aber nicht mehr repariert und nicht mehr abgesichert.

Das betrifft Betriebssysteme, Anwendungen, Datenbanken, Firmware und Hardware wie Router, Firewalls oder Server. Auch Programmiersprachen und Bibliotheken haben ein Ablaufdatum.

Achtung bei der Abkürzung: In der Programmierung steht EOL für End of Line, also das Zeilenende in Textdateien. In der IT-Sicherheit ist fast immer End of Life gemeint.

Die Phasen im Lebenszyklus

Viele Hersteller teilen den Lebenszyklus ihrer Produkte in Phasen ein. Die Namen unterscheiden sich, der Ablauf ist oft ähnlich:

1. Allgemeine Verfügbarkeit: Das Produkt ist neu auf dem Markt und erhält neue Funktionen und Updates.
2. End of Sale (EOS): Das Produkt wird nicht mehr verkauft. Updates gibt es meist weiterhin.
3. Ende des regulären Supports: Neue Funktionen fallen weg. Oft gibt es nur noch Sicherheitsupdates.
4. Erweiterter Support: Manche Hersteller liefern gegen Gebühr noch eine Zeit lang Sicherheitsupdates.
5. End of Life: Es gibt keine Updates und keine Hilfe mehr.

Die Begriffe werden nicht einheitlich verwendet. Manche Hersteller sagen End of Support, andere EOL oder EOSL (End of Service Life). Maßgeblich sind immer die Angaben im Lebenszyklus des jeweiligen Herstellers.

Bekannte Beispiele

• Windows 7: Der Support endete im Januar 2020. Viele Rechner liefen danach noch jahrelang weiter.
• Windows 10: Der Support endete am 14. Oktober 2025. Gegen Gebühr gibt es befristet erweiterte Sicherheitsupdates (ESU).
• Hardware: Router, Firewalls und VPN-Geräte erhalten nach dem Supportende keine Firmware-Updates mehr. Gerade Geräte am Netzrand sind dann ein beliebtes Ziel.

Ein bekanntes Warnsignal war die Ransomware WannaCry im Jahr 2017. Sie verbreitete sich über eine Lücke in Windows und traf vor allem Rechner ohne aktuelle Updates. Microsoft veröffentlichte damals sogar einen Notfall-Patch für das längst abgekündigte Windows XP.

Warum EOL ein Sicherheitsrisiko ist

Nach dem Supportende werden neue Schwachstellen nicht mehr geschlossen. Angreifer wissen das. Sie suchen gezielt nach Systemen, die eine bekannte Lücke nie mehr loswerden. Für viele dieser Lücken gibt es fertige Exploits.

• Offene Lücken: Jede neu entdeckte Schwachstelle bleibt dauerhaft bestehen.
• Kein Support: Bei Fehlern und Ausfällen hilft der Hersteller nicht mehr.
• Kompatibilität: Neue Software und Sicherheitswerkzeuge laufen oft nicht mehr auf alten Systemen.
• Compliance: Prüfer, Versicherer und Kunden sehen EOL-Systeme als Mangel.
• Folgekosten: Notfallmaßnahmen nach einem Angriff sind meist teurer als ein geplanter Wechsel.

EOL in ISO 27001, BSI und EU-Recht

ISO 27001 verlangt in Control A.8.8 ein Management technischer Schwachstellen. Der BSI IT-Grundschutz regelt das Thema im Baustein OPS.1.1.3 Patch- und Änderungsmanagement. Ein System ohne Updates erfüllt diese Anforderungen kaum.

Auch die Hersteller werden stärker in die Pflicht genommen. Der Cyber Resilience Act der EU verpflichtet sie ab Dezember 2027, für einen festgelegten Supportzeitraum Sicherheitsupdates zu liefern. In der Regel sind das mindestens fünf Jahre. Den Zeitraum müssen sie beim Kauf angeben.

So gehen Sie mit EOL um

1. Inventar führen: Erfassen Sie alle Systeme mit Hersteller, Version und Supportende. Siehe Vulnerability Management.
2. Termine beobachten: Gleichen Sie das Inventar regelmäßig mit den Lebenszyklusangaben der Hersteller ab. Öffentliche Übersichten wie endoflife.date helfen dabei.
3. Früh planen: Starten Sie den Wechsel ein bis zwei Jahre vor dem Supportende und planen Sie das Budget ein.
4. Priorisieren: Systeme mit Zugang zum Internet und mit sensiblen Daten kommen zuerst.
5. Beim Kauf auf den Support achten: Bevorzugen Sie Produkte mit langen, klar zugesagten Supportzeiträumen.
6. Ablösung prüfen: Testen Sie Nachfolger und Migration, bevor Sie umstellen.

Wenn ein System nicht ersetzt werden kann

Manchmal geht es nicht anders. Eine Maschinensteuerung oder ein Medizingerät läuft nur mit einem alten Betriebssystem. Dann sollten Sie das Risiko so klein wie möglich halten:

• Isolieren: Das System kommt in ein eigenes Netzsegment ohne Internetzugang. Siehe Netzwerksegmentierung.
• Zugriffe begrenzen: Nur wenige Personen und Systeme dürfen darauf zugreifen.
• Überwachen: Ungewöhnliche Verbindungen werden protokolliert und gemeldet.
• Erweiterten Support nutzen: Wenn der Hersteller ihn anbietet, verschafft er Zeit.
• Ausnahme dokumentieren: Begründung, Schutzmaßnahmen und ein geplantes Enddatum gehören ins Risikoregister.

EOL-Systeme finden

Ein Schwachstellenscan zeigt, wo veraltete Versionen mit bekannten Lücken laufen. Der Schwachstellenscan von SnapScan prüft Ihre Systeme auf bekannte Lücken aller Schweregrade. Er greift dabei nicht aktiv an. Ergänzend sorgt Patch-Management dafür, dass unterstützte Systeme aktuell bleiben.

Fazit

EOL bedeutet: Der Hersteller schließt keine Lücken mehr. Jedes System, das so weiterläuft, wird mit der Zeit unsicherer. Wer Supporttermine kennt, früh plant und nicht ablösbare Systeme konsequent abschottet, hält das Risiko klein.