Technische Unterstützung
Dokumentation
Anmeldung
Kontakt
Die Risiken beim Betrieb eines End-of-Life-OS - und wie man sie bewältigt
März 9, 2023 - TuxCare PR Team
Es ist unmöglich, sich dem technologischen Wandel zu entziehen - per Definition schreitet die Technologie immer voran. Und das ist im Allgemeinen eine gute Nachricht, aber mit den Veränderungen Schritt zu halten, kann eine andere Sache sein.
Der ständige Wandel bedeutet, dass die Technologie eine begrenzte Lebensdauer hat. Ja, man kann etwas über seine Lebensdauer hinaus verwenden, aber das hat Konsequenzen. Bei End-of-Life-Software (EOL) sind dies Instabilität, hoher Wartungsaufwand und - natürlich - massive Sicherheitsrisiken.
In diesem Artikel erklären wir, was End-of-Life-Software ist, warum sich Unternehmen niemals auf End-of-Life-Software verlassen sollten und wie der Support von Drittanbietern helfen kann.
Auch Software hat ein Lebensende
Software-Anbieter veröffentlichen ständig neue Versionen von Software. Neue Funktionen, Fehlerbehebungen usw. werden in einer neuen Version zusammengefasst. Gleichzeitig unterstützt der Hersteller die alte Version weiterhin, unter anderem durch Sicherheitsupdates, falls erforderlich.
Das gilt für alles, von Produktivitätssoftware bis hin zu Betriebssystemen.
Allerdings kann ein Anbieter eine ältere Version seiner Software nicht unbegrenzt unterstützen. Stellen Sie sich vor, Sie müssten versuchen, ein dreißig Jahre altes Betriebssystem zu unterstützen. Es ist möglich, aber es wäre eine enorme Belastung für die Ressourcen - und ziemlich sinnlos.
Um die für die Unterstützung eines Betriebssystems aufgewendeten Ressourcen zu begrenzen, legen die Hersteller Enddaten für ein Betriebssystem fest, nach denen der offizielle Support - einschließlich der Behebung von Sicherheitslücken - eingestellt wird. Irgendwann erreicht jede Software, auch Betriebssysteme, einen Punkt, den man End of Life nennt.
Und das ist eine große Gefahr für alle Benutzer, die noch auf die alte Version angewiesen sind. Ja, es kann sein, dass Dinge einfach nicht mehr funktionieren, wenn eine Software das Ende ihrer Lebensdauer erreicht - aber das ist nur ein kleiner Teil des Risikos. Das Hauptproblem bei auslaufender Software liegt im Bereich der Sicherheit. Wenn der Hersteller keine Patches für Sicherheitslücken mehr herausgibt, kann der Benutzer sein System nicht mehr mit Patches versorgen und verlässt sich auf eine anfällige Software.
Leider ist es trotz dieses Risikos üblich, dass Unternehmen weiterhin auf ein Betriebssystem setzen, das nicht mehr unterstützt wird, weil die Alternative eines Upgrades oder Wechsels zu einem anderen Betriebssystem zu teuer oder zu umständlich ist.
Ein typischer Fall: WannaCry und das Ende der Lebensdauer von Windows
Der Einsatz von End-of-Life-Software kommt häufiger vor, als man denkt, und kann sogar in unternehmenskritischen Szenarien vorkommen. Auslaufende Betriebssysteme bieten aber auch Chancen für Cyberkriminelle. Ein Betriebssystem, das nicht mehr unterstützt wird, weist bekannte Schwachstellen auf, und da der Support ausgelaufen ist, ist die Suche nach einem Patch schwierig.
Bedrohungsakteure wiederum nutzen bekannte Schwachstellen, um ein Unternehmen anzugreifen. Unternehmen, die sich auf ein veraltetes Betriebssystem verlassen, sind dem Risiko von Malware-Angriffen ausgesetzt, die zu Serviceunterbrechungen, Datenverlusten - oder Schlimmerem - führen.
Genau das ist im Mai 2017 passiert. Es kam zu einem massiven Cyberangriff, bei dem der WannaCry-Exploit genutzt wurde, um Hunderttausende von Unternehmen anzugreifen, die noch Windows XP verwendeten - ein Betriebssystem, das drei Jahre zuvor, im Jahr 2014, sein Lebensende erreicht hatte.
Unternehmen, die noch mit Windows XP arbeiteten, erhielten keine Sicherheitsbulletins von Microsoft und installierten nie den Patch, der eine Monate alte Windows-Sicherheitslücke namens EternalBlue schloss. (Die Sicherheitslücke war so gefährlich, dass Microsoft einen Notfall-Patch für Windows XP herausgab, obwohl Windows XP zu diesem Zeitpunkt das Ende seiner Lebensdauer erreicht hatte).
Dies war nur ein Beispiel für eine Sicherheitslücke in einem auslaufenden Betriebssystem, die erfolgreich ausgenutzt wurde.
Welche Risiken birgt ein End-of-Life-Betriebssystem?
Es gibt "triftige" Gründe für die Verwendung eines auslaufenden Betriebssystems, auf die wir in einem späteren Abschnitt eingehen werden. Aber selbst wenn Unternehmen einen guten Grund haben, ein nicht mehr unterstütztes Betriebssystem zu verwenden, sind die Risiken erheblich - und überwiegen fast immer die Vorteile oder andere Gründe für die Verwendung eines EOL-Betriebssystems.
Compliance und rechtliche Risiken
Da die Cybersicherheit ein so gewaltiges Problem darstellt, tragen zahlreiche Rechts- und Compliance-Regelungen dazu bei, dass Unternehmen Mindeststandards für die Datensicherheit einhalten, um Kunden und Klienten zu schützen.
Diese Anforderungen enthalten in der Regel eine Erklärung über die offizielle Unterstützung der Software durch den Hersteller und eine Erklärung, die den Einsatz von End-of-Life-Software als nicht konform einstuft. Die Nichteinhaltung kann zu empfindlichen Geldstrafen führen.
Unternehmen, die ein EOL-Betriebssystem einsetzen, riskieren alles von Geldstrafen bis hin zu einem völligen Verbot, in ihrer Branche tätig zu sein. Wenn nachgewiesen werden kann, dass ein Angriff aufgrund von Fahrlässigkeit erfolgreich war, z. B. durch die Verwendung von End-of-Life-Software ohne Herstellerunterstützung, können Unternehmen auch am Ende eines Gerichtsverfahrens stehen, da die von der Sicherheitsverletzung Betroffenen Rechtsmittel einlegen können.
Veraltete und inkompatible Lösungen
Wir haben eingangs gesagt, dass sich die Technologie schnell entwickelt. Unternehmen, die sich die neueste Technologie zunutze machen, profitieren in vielerlei Hinsicht. Zum Beispiel können sie ihren Kunden bessere Produkte und Funktionen anbieten und ihren Mitarbeitern eine bessere Erfahrung ermöglichen.
Bei EOL-Software handelt es sich per Definition um veraltete Software, bei der wahrscheinlich eine Reihe der neuesten Funktionen und Vorteile fehlen. Abgesehen davon, dass Technologielösungen auf der Kriechspur bleiben, bringt veraltete Software ein weiteres Problem mit sich: mangelnde Kompatibilität. Wenn sich Unternehmen auf ein veraltetes Betriebssystem verlassen, laufen sie Gefahr, Kompatibilitätsprobleme zu bekommen, die sich mit der Zeit immer stärker auswirken werden.
Probleme mit der Verlässlichkeit
Eine der Auswirkungen von inkompatibler Software ist ein Problem mit der Zuverlässigkeit. Irgendwann wird die Technologie rund um das auslaufende Produkt aufgerüstet werden. Dadurch wird das auslaufende Betriebssystem nicht mehr mit dem Rest der Lösung Schritt halten können.
Dies führt zu Zuverlässigkeitsproblemen, da die Anbieter bei der Programmierung eine bestimmte Funktionserwartung im Hinterkopf haben, nur um dann festzustellen, dass der EOL-Software die erforderliche Funktionalität fehlt. Mit anderen Worten: Ein einfaches Hersteller-Update einer Softwarekomponente kann eine Lösung aufgrund eines veralteten Betriebssystems zerstören.
Wachsende Kosten
Es ist auch erwähnenswert, dass End-of-Life-Software, einschließlich eines End-of-Life-Betriebssystems, eine falsche Wirtschaft darstellen kann. Ja, Unternehmen können Geld sparen, indem sie ein Upgrade hinauszögern, aber der Wartungsaufwand für EOL-Software wird mit der Zeit immer größer, da maßgeschneiderte Lösungen gefunden werden müssen, um Probleme zu beheben, für die es keinen Herstellersupport mehr gibt.
Ebenso können veraltete Betriebssysteme zu Zuverlässigkeitsproblemen führen, die die Kosten in die Höhe treiben. Schlimmer noch: Wie bereits erwähnt, kann veraltete Software zu Problemen bei der Einhaltung von Vorschriften und zu rechtlichen Problemen führen, die unglaublich teure Geldstrafen nach sich ziehen können.
Sicherheitsrisiken
Als Letztes gehen wir auf das größte Problem bei der Verwendung von End-of-Life-Software ein: die erheblichen Sicherheitsrisiken, die mit der Verwendung von Software verbunden sind, die nicht mehr unterstützt wird. Ausgediente Betriebssysteme erhalten per Definition keine Sicherheitsupdates und -korrekturen vom ursprünglichen Hersteller, die die Benutzer vor bekannten Schwachstellen schützen würden.
Stattdessen sind diese Sicherheitsrisiken der Öffentlichkeit, einschließlich Hackern, bekannt, aber es gibt keinen vom Hersteller bereitgestellten Patch, der die Benutzer vor dem Risiko schützen kann, wenn Hacker beschließen, es auszunutzen. Ein einziger kritischer Fehler, der aufgrund fehlender offizieller Unterstützung nicht gepatcht wird, kann zu einer teuren Verletzung der Cybersicherheit führen.
Warum Unternehmen am Ende auf End-Of-Life-Software setzen
Die Probleme, die entstehen können, wenn sich Unternehmen auf ein nicht unterstütztes Betriebssystem verlassen, sind zweifellos erheblich, aber EOL-Software ist in Unternehmensumgebungen nach wie vor üblich. Das ist bis zu einem gewissen Grad verständlich, denn es gibt rationale Gründe für den Einsatz von nicht unterstützter Software.
Workload-spezifische Anforderungen
Es kann vorkommen, dass bestimmte Funktionen, Fähigkeiten oder Merkmale eines EOL-Betriebssystems wegfallen, wenn ein Hersteller Updates einführt. Manchmal sind Unternehmen für ihre Lösungen auf diese Funktionen angewiesen, und die Tatsache, dass das neuere Betriebssystem nicht über diese Funktionen verfügt, kann dazu führen, dass Lösungen nicht mehr funktionieren oder dass teure Nachbesserungen erforderlich sind, um die Funktionalität aufrechtzuerhalten.
Wenn dies geschieht, können Unternehmen in eine schwierige Lage geraten - sie können nicht auf ein unterstütztes Betriebssystem migrieren, weil sie nicht in der Lage sind, eine Umgehung zu entwickeln, die eine kontinuierliche Funktionalität unter dem neuen Betriebssystem gewährleistet.
Ressourcen sind begrenzt
Bei Technologielösungen geht es meist darum, mit möglichst wenig Mitteln möglichst viel zu erreichen. Dies führt dazu, dass Unternehmen versuchen, Mittel umzuschichten, um konkurrierende Prioritäten zu erfüllen. Oft wird die Aktualisierung von Software als nachrangig gegenüber gewünschten neuen Funktionen oder den laufenden Betriebskosten angesehen.
Tatsache ist, dass es im Wettbewerb um Ressourcen möglicherweise einfach wichtigere Prioritäten gibt als die Aktualisierung eines perfekt funktionierenden Betriebssystems, selbst wenn es das Ende seiner Lebensdauer erreicht hat. Es ist auch eine Frage der Zeit: Verfügt ein Unternehmen über das notwendige Personal, um Upgrades sicher durchführen zu können?
Herausforderungen bei der Migration
Eng verbunden mit der Ressourcenbeschränkung sind die potenziellen Probleme bei der Durchführung einer Migration. Vor allem bei sehr umfangreichen Einsätzen wird die Migration so komplex und anspruchsvoll, dass es den Anschein haben kann, als gäbe es keinen realistischen Weg zur Aufrüstung eines Betriebssystems - und als sei die Beibehaltung des vorhandenen Betriebssystems die sinnvollste Option.
Dies kann auch passieren, wenn die Migration komplexe, interagierende Systeme betrifft, die sich über Abteilungen und unabhängige Organisationen erstrecken. In seltenen Fällen können die Migrationsrisiken sogar größer sein als die Sicherheitsrisiken, die mit einem nicht unterstützten Betriebssystem verbunden sind.
Mangelnde Rechenschaftspflicht
Und schließlich ist für einige Unternehmen die Rechenschaftspflicht eine Herausforderung. Mit anderen Worten: Es gibt keine Partei, die letztendlich für die Verwaltung des End-of-Life-Status von Software verantwortlich ist. Dies kann auf ein Führungsdefizit oder auf eine schlechte Organisationsstruktur zurückzuführen sein.
Es kann sich auch um eine praktische Frage handeln. Zum Beispiel kann es vorkommen, dass keine einzelne Partei die Befugnis über technologische Lösungen hat. Dies ist insbesondere dann der Fall, wenn technologische Fähigkeiten gemeinsam genutzt werden. Unter diesen Umständen kann es vorkommen, dass Unternehmen niemanden finden, der bereit ist, das Risiko oder die Verantwortung für die Migration zu übernehmen, was dazu führt, dass die Migration nie durchgeführt wird.
Centos 6: Ein Beispiel für die Beibehaltung eines EOL-Betriebssystems
Ende 2020 kündigte Red Hat an, dass es den Fork von Red Hat Enterprise Linux, CentOS, nicht mehr als stabile Version produzieren wird. Red Hat hat damit das Ende der Lebensdauer des gesamten CentOS-Produkts als stabile Version beschleunigt. Mit anderen Worten: Unternehmen, die sich auf CentOS 6 verlassen, hatten keinen realistischen Upgrade-Pfad.
Die einzige Möglichkeit für diese Unternehmen bestand darin, auf ein anderes Betriebssystem umzusteigen oder für Red Hat Enterprise Linux zu bezahlen. Die Situation rund um CentOS 6 ist typisch für die Argumente, die manche Unternehmen anführen, um ein nicht unterstütztes Betriebssystem weiter zu verwenden.
Es ist nicht unvernünftig, über auslaufende Betriebssysteme nachzudenken, aber die Tatsache, dass der Upgrade-Pfad von CentOS 6 schwierig ist, sollte nicht die Tatsache aufwiegen, dass das Vertrauen auf CentOS 6 große Sicherheitsrisiken mit sich bringt.
Unendliche Möglichkeiten für Exploits
So sehr es auch triftige Gründe gibt, die Verwendung eines auslaufenden Betriebssystems in Betracht zu ziehen, so bleibt doch das Problem bestehen, dass immer wieder neue und neuartige Sicherheitslücken auftauchen - und nicht gepatchte End-of-Life-Software lässt einfach Tür und Tor offen.
Nehmen wir die neue Bedrohung durch Krypto-Miner. In rasantem Tempo haben Hacker damit begonnen, ressourcenintensive Krypto-Mining-Software mit illegalen Methoden einzusetzen - indem sie Schwachstellen in Windows und Linux ausnutzen um Software zu installieren, die dem Hacker auf Kosten des Unternehmens, das die Computerressourcen besitzt und betreibt, Gewinne einbringt.
Es handelt sich um eine besonders heimtückische Bedrohung, die zeigt, dass das Vertrauen in veraltete, nicht unterstützte Software unerwartete Folgen haben kann. In diesem Fall kann ein ungepatchtes EOL-Betriebssystem bedeuten, dass die Ressourcen eines Unternehmens für das Krypto-Mining verwendet werden, was zu höheren Kosten und Problemen mit der Zuverlässigkeit und Verfügbarkeit führt.
Erwägen Sie stattdessen erweiterten Support
Für einige auslaufende Betriebssysteme gibt es eine Abhilfe. Erstens bieten einige Hersteller erweiterten Support an - die Möglichkeit, manchmal ziemlich hohe Summen zu zahlen, um fortlaufende Unterstützung für ein Betriebssystem zu erhalten, das nicht mehr allgemein unterstützt wird. Dies wird als erweiterter Lebenszyklus-Support (ELS) bezeichnet. Wenn ein Anbieter dies anbietet, bleiben die Kunden, die den erweiterten Support in Anspruch nehmen, konform und sicher - allerdings zu einem gewissen Preis.
In einigen wenigen Fällen bieten Drittanbieter einen erweiterten Support für ein Betriebssystem an. Wir von TuxCare bieten zum Beispiel erweiterten Lebenszyklus-Support für eine Reihe von Linux-basierten Server-Betriebssystemen, einschließlich End-of-Life-Versionen von CentOS, Oracle Linux und Ubuntu.
Erweiterter Lifecycle-Support von TuxCare beinhaltet ein umfassendes Schwachstellen-Patching, das sicherstellt, dass neu entdeckte Schwachstellen in einem unterstützten Betriebssystem, wie z.B. CentOS 6, sofort mit einem Patch von TuxCare abgedeckt werden.
Außerdem ist der TuxCare-Support zu einem weitaus niedrigeren Preis erhältlich als der Support vergleichbarer Anbieter. Zum Beispiel kostet unser CentOS 6 ELS nur einen Bruchteil des Preises des Red Hat-Pendants.
In jedem Fall verschaffen sich Unternehmen, die den erweiterten Support in Anspruch nehmen, ausreichend Zeit, um das Betriebssystem, auf das sie angewiesen sind, aufzurüsten oder zu migrieren. ELS bedeutet, dass die Unternehmen die Ressourcen für die Migration erhalten, die Migration sorgfältig planen oder einfach alternative Lösungen finden können. Am wichtigsten ist jedoch, dass ELS die Unternehmen gegen Sicherheitsrisiken absichert, solange das auslaufende Betriebssystem im Einsatz ist.
