Abgekündigte Softwarekomponenten sind in regulierten Branchen kein technisches Randthema mehr. Prüfer, Aufsicht und Versicherer bewerten fehlenden Herstellersupport als eigenständiges Risiko. Mit dem Supportende für Spring Boot 2.x zum 31. Dezember 2026 betrifft das ein Framework, das in vielen Kernanwendungen steckt.
Vier Regelwerke, ein Befund
DORA gilt im Finanzsektor seit Januar 2025 und verlangt ein Risikomanagement für Informations- und Kommunikationstechnik, das unterstützte Software voraussetzt. Die BaFin-Anforderungen aus BAIT und VAIT führen abgekündigte Software als Prüfungsfeststellung. In Deutschland gilt NIS2 seit dem 6. Dezember 2025 über das NIS2-Umsetzungsgesetz, in Österreich beginnt die Anwendung des NISG 2026 am 1. Oktober 2026. Der Cyber Resilience Act verpflichtet Hersteller seit dem 11. September 2026 zur Meldung aktiv ausgenutzter Schwachstellen, die volle Anwendbarkeit folgt im Dezember 2027.
Hersteller melden, ohne patchen zu können
Für Softwarehäuser, Maschinenbauer und Medizintechnikhersteller verschärft sich die Lage. Wer ein Produkt mit digitalen Elementen ausliefert, muss eine ausgenutzte Schwachstelle melden. Steckt in diesem Produkt eine abgekündigte Komponente, existiert kein Patch, den der Hersteller nachreichen könnte.
„Im Audit zählt nicht die Absicht, sondern der Nachweis. Ein Migrationsprojekt im Plan ersetzt keinen Patch. Ohne dokumentierte Absicherung bleibt die Feststellung im Bericht stehen“, sagt Markus Oberg, Partner und Business Development Manager der ProLicense.
Versicherer fragen genauer nach
Cyberversicherer prüfen nach einem Vorfall, ob abgekündigte Software dazu beigetragen hat, und kürzen Leistungen häufiger. ISO 27001 und SOC 2 verlangen für Komponenten ohne Support einen dokumentierten Plan zur Risikominderung. PCI DSS v4 bewertet jede solche Komponente im Zahlungsumfeld als Abweichung.
Austausch unter Lizenzmanagern
Markus Oberg ist zugleich Chairman der Lighthouse Alliance, einer herstellerunabhängigen Community von Software-Lizenzmanagern und IT-Einkäufern im DACH-Raum. Der Umgang mit abgekündigten Komponenten betrifft dort Mitglieder aus Finanzwirtschaft, Industrie und öffentlicher Verwaltung gleichermaßen.
Bewertung im Einzelfall
Welche Komponenten betroffen sind und wie viele Anwendungen daran hängen, klärt ProLicense im Einzelfall. Die Beratung ist Partner von HeroDevs für den DACH-Raum und bewertet unabhängig, ob Drittsupport, Migration oder eine Kombination die geringeren Kosten bei voller Compliance ergibt. Unternehmen wenden sich dafür direkt an ProLicense.
Vier Regelwerke, ein Befund
DORA gilt im Finanzsektor seit Januar 2025 und verlangt ein Risikomanagement für Informations- und Kommunikationstechnik, das unterstützte Software voraussetzt. Die BaFin-Anforderungen aus BAIT und VAIT führen abgekündigte Software als Prüfungsfeststellung. In Deutschland gilt NIS2 seit dem 6. Dezember 2025 über das NIS2-Umsetzungsgesetz, in Österreich beginnt die Anwendung des NISG 2026 am 1. Oktober 2026. Der Cyber Resilience Act verpflichtet Hersteller seit dem 11. September 2026 zur Meldung aktiv ausgenutzter Schwachstellen, die volle Anwendbarkeit folgt im Dezember 2027.
Hersteller melden, ohne patchen zu können
Für Softwarehäuser, Maschinenbauer und Medizintechnikhersteller verschärft sich die Lage. Wer ein Produkt mit digitalen Elementen ausliefert, muss eine ausgenutzte Schwachstelle melden. Steckt in diesem Produkt eine abgekündigte Komponente, existiert kein Patch, den der Hersteller nachreichen könnte.
„Im Audit zählt nicht die Absicht, sondern der Nachweis. Ein Migrationsprojekt im Plan ersetzt keinen Patch. Ohne dokumentierte Absicherung bleibt die Feststellung im Bericht stehen“, sagt Markus Oberg, Partner und Business Development Manager der ProLicense.
Versicherer fragen genauer nach
Cyberversicherer prüfen nach einem Vorfall, ob abgekündigte Software dazu beigetragen hat, und kürzen Leistungen häufiger. ISO 27001 und SOC 2 verlangen für Komponenten ohne Support einen dokumentierten Plan zur Risikominderung. PCI DSS v4 bewertet jede solche Komponente im Zahlungsumfeld als Abweichung.
Austausch unter Lizenzmanagern
Markus Oberg ist zugleich Chairman der Lighthouse Alliance, einer herstellerunabhängigen Community von Software-Lizenzmanagern und IT-Einkäufern im DACH-Raum. Der Umgang mit abgekündigten Komponenten betrifft dort Mitglieder aus Finanzwirtschaft, Industrie und öffentlicher Verwaltung gleichermaßen.
Bewertung im Einzelfall
Welche Komponenten betroffen sind und wie viele Anwendungen daran hängen, klärt ProLicense im Einzelfall. Die Beratung ist Partner von HeroDevs für den DACH-Raum und bewertet unabhängig, ob Drittsupport, Migration oder eine Kombination die geringeren Kosten bei voller Compliance ergibt. Unternehmen wenden sich dafür direkt an ProLicense.
