Was bereits lange angekündigt war, wird heute zur Realität: Ab 10. Januar 2023 erhalten Windows 7 und Windows 8.1 keine Sicherheitsupdates mehr. Wer noch eines der alten Microsoft-Betriebssysteme im Einsatz hat, sollte sich also schon Gedanken gemacht haben.
Bereits 2020 war Windows 7 abgekündigt. Nur, wer einen teuren „Extended Support“ gebucht hatte, bekam überhaupt noch Sicherheitsupdates. Damit ist nun endgültig Schluss. Ebenso verhält es sich mit Windows 8.1.
Wenn nun Sicherheitslücken in diesen Legacy-Versionen von Windows entdeckt werden, wird Microsoft diese nicht mehr beheben. Selbst schwerste Sicherheitslücken bleiben dann offen. Zwar ist Microsoft in der Vergangenheit bereits von diesem eisernen Grundsatz abgerückt, aber selbst wenn es doch noch einen Notfallpatch gibt: Niemand sollte sich darauf verlassen, dass es diese geben wird. Im privaten Bereich ist es vergleichsweise einfach, auf eine aktuellere Version von Microsoft Windows umzusteigen.
„Mal eben“ ist immer gelogen
In Firmennetzen ist es hingegen oft nicht ohne weiteres möglich, selbst wenn es dafür mehrere Jahre Zeit gab. In vielen produzierenden Betrieben sind noch Programme im Einsatz, die mit neueren Windows-Versionen nicht mehr kompatibel sind. Wer eine aktualisierte Version einer Spezialsoftware (wie zum Beispiel ein Steuerungsprogramm für Produktionsmaschinen) haben möchte, muss diese oft teuer neu lizenzieren und gegebenenfalls auch Hardware austauschen – sofern der Hersteller überhaupt noch existiert und Produktpflege für die betreffende Maschine betreibt. Die Kosten für ein Betriebssystem-Upgrade gehen auf diesem Weg schnell in die Hunderttausende – denn für ein Upgrade muss zumindest für einige Stunden bis Tage die Produktion angehalten werden. In vielen Unternehmen laufen die Maschinen jedoch das ganze Jahr über durch und werden nur ein- bis zwei mal pro Jahr geplant heruntergefahren, um Wartungs- und Reparaturarbeiten durchzuführen.
Risikominimierung
Wer keine Möglichkeit hat, auf ein aktuelleres Betriebssystem umzusatteln, hat nur eine Option: Alle Maschinen mit dieser alten Software komplett vom restlichen Netzwerk zu trennen. Das lässt sich über VLANs und entsprechende restriktive Firewallregeln realisieren. Eine direkte Internetverbindung sollte ebenfalls nicht mehr möglich sein, denn eine aus dem Internet erreichbare Maschine kann schnell zum Desaster werden. Vor allem dann, wenn es von einer Produktionsmaschine einen direkten Weg in die restliche Unternehmens-IT gibt.
Im Klartext: So unverzichtbar ein bestimmtes System sein mag – mit dem Ende der Sicherheitsupdates wird es zum unkalkulierbaren Risikofaktor, wenn es unverändert und ohne weitere Sicherungsmaßnahmen im Netzwerk eingebunden ist.
Tim Berghoff
Security Evangelist