Schon wieder ein Update? Eine neue Version, neue Änderungen, vielleicht sogar ein Wartungsfenster – da neigt man schnell dazu, Updates aufzuschieben. Schließlich läuft das System doch.

Genau das kann zum Sicherheitsrisiko werden – insbesondere in Zeiten, in denen KI es ermöglicht, Schwachstellen schneller zu analysieren und potenzielle Angriffswege effizienter zu identifizieren. Sicherheitsmeldungen wie CVE-2026-102489 und CVE-2026-102490 zu älteren Zammad-Versionen zeigen exemplarisch, wie wichtig regelmäßige Updates und ein verlässlicher Umgang mit Sicherheitsupdates sind.

Warum alte Versionen zum Sicherheitsrisiko werden

Eine Software kann technisch einwandfrei funktionieren und dennoch ein Sicherheitsrisiko darstellen. Sobald eine Schwachstelle in einer Software identifiziert und durch einen Patch behoben wurde, veröffentlichen die Hersteller entsprechende Sicherheitsmeldungen. Was für Kunden Transparenz schaffen soll, dient Cyberkriminellen gleichzeitig als Blaupause: Sie analysieren die Patches (Reverse Engineering), um gezielt nach Systemen zu suchen, die diese noch nicht installiert haben.

Automatisierte Scans und KI-gestützte Angriffe

Früher vergingen oft Wochen zwischen dem Bekanntwerden einer Sicherheitslücke und ihrer aktiven Ausnutzung. Heute scannen automatisierte Bots das Netz innerhalb von Stunden nach bekannten Mustern. Zudem hilft KI Angreifern dabei, Exploits schneller zu entwickeln. Wer Updates monatelang vor sich herschiebt, spielt ein unnötiges Versteckspiel, das er mit hoher Wahrscheinlichkeit verlieren wird.

Das unterschätzte Risiko: „End of Support Life (EOSL)

Ein kritischer Faktor beim Aufschieben von Updates ist das Erreichen des End of Support Life (EOSL) älterer Softwareversionen. Entscheidend ist deshalb nicht nur, welche Version eingesetzt wird, sondern vor allem, ob sie noch mit Sicherheitsupdates versorgt wird. Welche Versionen aktuell unterstützt werden, definiert jeder Hersteller in seiner Support- oder Release-Policy. Diese Informationen sollten daher regelmäßig geprüft und fest in das Update-Management eingebunden werden. Wer ein System über längere Zeit nicht aktualisiert, läuft Gefahr, auf einer nicht mehr unterstützten Version zu bleiben. Wird später eine Schwachstelle bekannt, stellt der Hersteller in der Regel keine Sicherheitsupdates mehr zur Verfügung.

Was gutes Software-Update-Management ausmacht

Updates sollten nicht erst dann zum Thema werden, wenn bereits eine kritische Sicherheitslücke bekannt ist. Sinnvoller ist ein fester Prozess, in dem neue Versionen, Sicherheitsmeldungen und notwendige Aktualisierungen regelmäßig geprüft werden.

Dazu gehört zunächst, Verantwortlichkeiten klar festzulegen:

  • Wer behält neue Releases und Security Advisories im Blick?
  • Wer bewertet, wie dringend ein Update ist?
  • Und wer sorgt dafür, dass es tatsächlich eingespielt wird?

Ebenso wichtig sind planbare Wartungsfenster, aktuelle Backups und ein getesteter Weg zurück, für den Fall, dass nach einem Update unerwartete Probleme auftreten. Gerade bei geschäftskritischen Systemen sollte eine Aktualisierung deshalb vorbereitet und nicht unter Zeitdruck durchgeführt werden.

Gutes Update-Management bedeutet jedoch nicht, jede neue Version sofort und ungeprüft zu installieren. Entscheidend ist, Updates regelmäßig zu bewerten, Sicherheitskorrekturen zu priorisieren und unterstützte Versionen nicht aus den Augen zu verlieren.

Für IT-Sicherheit braucht es mehr als aktuelle Software

Aktuell gehaltene Software ist zwar ein wichtiger Baustein für mehr Sicherheit, aber eben nur einer von mehreren. Ebenso entscheidend ist, wer Zugriff auf ein System erhält und wie dieser Zugriff abgesichert ist.

Ein konkretes Beispiel ist die vom Dutch Institute for Vulnerability Disclosure (DIVD) gemeldete Schwachstelle CVE-2026-102490 (Local Privilege Escalation). In den betroffenen Versionen war unter bestimmten Voraussetzungen eine lokale Rechteausweitung auf Serverebene möglich. Dafür musste bereits lokaler Zugriff auf den betroffenen Server bestehen, eine Ausnutzung allein über das Netzwerk war nicht möglich. Der Fall zeigt, warum Serverzugriffe auf vertrauenswürdige Administratoren beschränkt und Berechtigungen konsequent nach dem Prinzip der minimalen Rechte (Least Privilege) vergeben werden sollten.

Zur ganzheitlichen IT-Sicherheit gehört auch das Hardening des zugrunde liegenden Host-Systems.

  • Die Isolierung von Diensten, beispielsweise durch Containerisierung oder eine gezielte Rechtevergabe, verhindert, dass ein Angreifer nach der Kompromittierung eines einzelnen Dienstes unmittelbar Zugriff auf weitere Systembereiche erhält.
  • Betriebssystem- und System-Updates: Auch das zugrunde liegende Betriebssystem, Datenbanken und weitere Abhängigkeiten müssen konsequent aktualisiert werden – und nicht nur die eigentliche Anwendung.

Genauso wichtig ist die Nachvollziehbarkeit: Wer hat wann welche administrativen Änderungen vorgenommen? Ein Audit Log kann dabei helfen, sicherheitsrelevante Aktivitäten transparent zu dokumentieren und Auffälligkeiten schneller einzuordnen. In Zammad steht dafür seit Version 7.2 ein manipulationssicheres Admin-Audit-Protokoll zur Verfügung.

Was Hersteller leisten müssen

Sicherheitslücken lassen sich in komplexer Software nie vollständig ausschließen. Umso wichtiger ist es, wie Hersteller damit umgehen. Schwachstellen müssen schnell eingeordnet, notwendige Maßnahmen umgesetzt und Nutzer müssen transparent informiert werden.

Dazu gehört, klar zu benennen, welche Versionen betroffen sind, welches Risiko besteht und welche konkreten Maßnahmen erforderlich sind. Security Advisories schaffen dabei nicht nur technische Transparenz, sondern vor allem Orientierung.

Ebenso wichtig ist ein verlässlicher Support- und Release-Lifecycle. Unternehmen müssen Auskunft darüber geben können, wie lange eine Version unterstützt wird und ab wann keine Sicherheitsupdates mehr bereitgestellt werden. Nur so lassen sich notwendige Aktualisierungen rechtzeitig planen.

Auch externe Sicherheitsforscher und Organisationen wie das DIVD spielen dabei eine wichtige Rolle. Werden Schwachstellen verantwortungsvoll gemeldet, sollten Hersteller diese zügig prüfen, geeignete Maßnahmen umsetzen und ihre Nutzer verständlich informieren.

Vertrauen entsteht nicht dadurch, dass Sicherheitslücken nie auftreten. Entscheidend ist, wie schnell, transparent und verantwortungsvoll mit ihnen umgegangen wird.

Fazit: Machen Sie Sicherheit zur Routine

Software-Sicherheit ist kein einmaliges Projekt, das man nach einer Installation abhaken kann, sondern ein kontinuierlicher Prozess. Das Zusammenspiel aus aktuellen Software-Versionen, einer gehärteten Infrastruktur und klaren Prozessen ist der beste Schutz gegen unbefugte Zugriffe.