„Never touch a running system“ ist jetzt fahrlässig: Warum die Update-Fähigkeit über Ihre IT-Sicherheit entscheidet

Die jüngsten Entwicklungen im Oktober haben es wieder einmal gezeigt: Sicherheitsrelevante Updates jagen sich durch die Tech-Welt. Wer dachte, das Thema betreffe vor allem PHP-Systeme, wurde nur kurz darauf eines Besseren belehrt, als kritische Fixes für Node.js folgten. Ob PHP, Node.js (und damit Frameworks wie Angular, React oder Vue) oder die nächste Java-Bibliothek: Keine Technologie ist eine Insel der Seligen.

Besonders durch den Einsatz von KI finden Sicherheitsforscher – aber eben auch Angreifer – immer schneller und zielgerichteter Schwachstellen in allen Tech-Stacks. Wer jetzt denkt: „Gut, dass wir nicht auf PHP setzen“, wiegt sich in falscher Sicherheit.

Nicht die Technologie ist das Problem – sondern der Wartungsstau

Das eigentliche Problem bei aktuellen Sicherheitslücken ist selten die Sprache oder das Framework an sich. Die echte Gefahr entsteht dort, wo schlecht gewartete, stark angepasste Alt-Systeme im Einsatz sind, die sich schlicht nicht mehr mal eben auf die Schnelle patchen lassen.

Wenn der Aufwand für ein Update so hoch wird, dass es monatelang aufgeschoben wird, ist das keine IT-Strategie mehr, sondern ein Risikogeschäft. Für Unternehmen – insbesondere im KRITIS-Umfeld – ist die alte Devise „Never touch a running system“ längst kein Sicherheitspostulat mehr, sondern grobe Fahrlässigkeit, die extrem teuer werden kann.

Der Blick auf SAP Commerce: Zwang zur Disziplin als Erfolgsmodell

Wie man diesem Dilemma begegnen kann, zeigt die Entwicklung bei Unternehmenssoftware wie SAP Commerce:

SAP Commerce Cloud (CCv2): Hier zwingt SAP Kunden genau aus diesem Grund zu regelmäßigen Updates. Was auf den ersten Blick nach Einschränkung aussieht, stellt sicher, dass Systeme nicht jahrelang auf veralteten Ständen einfrieren.
SAP Commerce ERP Edition & Clean Core: Hier geht man noch ein bis zwei Schritte weiter. Der update-kritische Core-Teil lässt sich nur noch sehr eingeschränkt individualisieren. Updates werden zentral von spezialisierten Teams automatisiert durchgeführt.

Das Prinzip Clean Core zeigt die Richtung der modernen IT-Architektur: Anpassungen werden so gebaut, dass der Kern unangetastet und damit jederzeit update-fähig bleibt.

Was jetzt zu tun ist (und was bleibt)

Ja, ständige Updates und eine strikte Clean-Core-Strategie können im Alltag nerven. Sie bedeuten Aufwand, Disziplin und oft auch ein Umdenken bei der individuellen Entwicklung. Aber sie sind der einzige nachhaltige Weg, um in einer sich schnell verändernden Bedrohungslage handlungsfähig zu bleiben.

Wer im Ernstfall schnell reagieren will, muss vier Hausaufgaben gemacht haben:

Transparenz schaffen: Genau wissen, welche Bausteine, Bibliotheken und Versionen im Stack im Einsatz sind (SBOM).
Aktiv monitoren: Sicherheitsmeldungen und Release-Notes laufend verfolgen.
Kultur des ständigen Updates: Regelmäßig migrieren und patchen, damit der Versionsabstand nie zu groß wird.
Fast-Response-Prozesse: Im Ernstfall innerhalb von Stunden reagieren – sei es durch unmittelbare Patches, temporäre Workarounds oder im Zweifel das gezielte Abschalten gefährdeter Module.