Der blinde Fleck im IT-Risikomanagement: Warum Ihre Legacy-Systeme die größte Gefahr darstellen

Legacy-Systeme sind in vielen Unternehmen das größte Risiko, das im IT-Risikomanagement nicht auftaucht. Sie laufen seit Jahren stabil, und genau deshalb prüft niemand, ob sie noch Sicherheitsupdates bekommen, ob jemand sie warten kann und was passiert, wenn sie an einem Dienstagmorgen nicht mehr starten.

Warum Legacy-Systeme im Risikomanagement übersehen werden

Während Unternehmen in Firewalls, Schulungen und Cloud-Dienste investieren, bleibt das Kernsystem aus den frühen Jahren unangetastet, weil es „läuft“. Es läuft auf einem Betriebssystem, für das es keine Sicherheitsupdates mehr gibt, auf einer Datenbankversion, die der Hersteller nicht mehr kennt, gepflegt von einem Kollegen, der in wenigen Jahren in Rente geht. Im Risikoregister steht es als „bewährt“. Das Register beschreibt damit die Vergangenheit, nicht das Risiko.

Der Grund für den blinden Fleck ist einfach: Risikomanagement fragt nach dem, was passieren könnte. Ein System, das seit Jahren nichts tut außer laufen, liefert keine Vorfälle, keine Tickets, keine Schlagzeilen. Es gibt dem Register nichts, was es eintragen könnte. Bis es steht.

Warum ein Altsystem gefährlicher ist als der nächste Angriff

Ein modernes System hat Lücken, die geschlossen werden. Ein Altsystem hat Lücken, die niemand mehr schließt. Ein Finanzdienstleister, der sein Kernbuchungssystem auf einer Plattform aus den Neunzigern betrieb, musste den Zahlungsverkehr für Tage anhalten, als ein Sicherheitspatch nicht mehr verfügbar war. Solche Ausfälle sind keine Ausreißer, sondern die logische Folge davon, dass ein System außerhalb des Herstellersupports weiterläuft. Dazu kommt die organisatorische Seite: Für alte Technik findet sich kein Nachwuchs, und jede Änderung an einer angebundenen Anwendung wird zum Risiko, weil niemand das Altsystem mehr vollständig versteht.

Legacy-Systeme sind ein Geschäftsrisiko, kein IT-Thema

Viele Risikoverantwortliche betrachten Altsysteme als technisches Problem der IT-Abteilung. Sie sind ein strategisches Risiko des Unternehmens. Ein produzierender Betrieb stellte fest, dass ein erheblicher Teil seines IT-Budgets allein in den Betrieb eines jahrzehntealten ERP floss, Geld, das für alles andere fehlte. Erst eine systematische Risikoanalyse zeigte außerdem, dass das System Anforderungen aus DSGVO und NIS2 nicht erfüllte; für regulierte Branchen kommt mit DORA eine Vorgabe dazu, die Betriebsstabilität ausdrücklich zum Prüfgegenstand macht. Wer das erst bei der Prüfung erfährt, hat den blinden Fleck teuer bezahlt.

Dazu kommt eine Frage, die kein Prüfer stellt, die aber jeden Ausfall entscheidet: Wer im Haus kann das System noch reparieren? Wenn die Antwort ein Name ist, haben Sie kein Systemrisiko, sondern ein Personenrisiko. Es steht in keinem Register, und es geht eines Tages mit dem Kollegen in den Ruhestand.

Legacy Software modernisieren ohne Ausfall: der Weg aus der Falle

Die Lösung ist nicht die Komplettablösung an einem Wochenende, sondern die schrittweise Modernisierung. Die dataso GmbH hat für ein Logistikunternehmen die kritischsten Komponenten zuerst identifiziert, in einer Container-Umgebung isoliert und dann Stück für Stück durch eigenständige Dienste ersetzt, während das Altsystem weiterlief. Ausfallzeiten gingen zurück, DSGVO- und NIS2-Anforderungen ließen sich umsetzen, und das Unternehmen hatte danach wieder ein System, das jemand warten kann. Entscheidend war der Plan hinter der Reihenfolge, nicht die Technik einzelner Schritte.

Häufige Fragen

Warum sind Legacy-Systeme ein Compliance-Risiko?

Sie erfüllen oft aktuelle Anforderungen aus DSGVO, NIS2 oder DORA nicht: kein Audit-Trail, keine zeitgemäße Verschlüsselung, keine Sicherheitsupdates. Bei einer Prüfung drohen Auflagen und Bußgelder.

Woran erkenne ich, dass mein Unternehmen betroffen ist?

Hohe Wartungskosten für alte Systeme, fehlender Herstellersupport, keine Schnittstellen zu aktuellen Diensten, lange Ausfälle bei Updates, und niemand, der die Technik noch lernen will. Eine systematische Risikoanalyse deckt das auf.

Was kostet die Modernisierung im Vergleich zum Weiterbetrieb?

Der Weiterbetrieb kostet jedes Jahr, unsichtbar in Wartung, Notlösungen und gebundenen Fachkräften. Eine belastbare Gegenüberstellung gibt es erst, wenn beides beziffert ist; die Analyse ist deshalb der erste Schritt, nicht der Umbau.

Kann ich Altsysteme einfach durch Cloud-Dienste ersetzen?

Ein direkter Ersatz ist riskant, weil Daten und Prozesse mit dem Altsystem verwachsen sind. Schrittweise ist sicherer: Daten extrahieren und bereinigen, dann Modul für Modul ablösen.

Welche Rolle spielt die IT-Architektur?

Sie macht Abhängigkeiten sichtbar und erlaubt, Ausfallsicherheit und Compliance zu planen. Ohne diesen Blick bleiben Legacy-Risiken bestehen, egal wie viele Einzelmaßnahmen Sie ergreifen.

Ihr nächster Schritt

Nehmen Sie Ihr Risikoregister und prüfen Sie, ob das älteste produktive System darin überhaupt vorkommt, mit Herstellersupport, Update-Stand und Kopfmonopol. Falls nicht, klären wir im Potenzial-Check, wie eine Modernisierung ohne Ausfall bei Ihnen aussehen kann.