Autor: Thierry Julien, CEO, TJC Group
Ein aktuelles Bußgeld in Höhe von 1,7 Mio. € durch die französische Datenschutzbehörde ist eine deutliche Mahnung: Softwarewartung ist nicht länger optional. Organisationen, die proaktive Sicherheitsmaßnahmen vernachlässigen – insbesondere bei Altsystemen –, müssen mit erheblichen regulatorischen, finanziellen und Reputationsfolgen rechnen. Daher ist es zwingend erforderlich, dass Organisationen sicherstellen, dass ihre Systeme – ob Legacy oder nicht – regelmäßig gewartet werden. Allerdings ist eine der besten Möglichkeiten, die Kosten für die Wartung von Altsystemen zu vermeiden, deren Stilllegung. Lesen Sie weiter, um mehr zu erfahren!
Inhaltsübersicht
Einführung
In der heutigen Regulierungslandschaft hat sich die Softwarewartung von einer rein technischen Angelegenheit zu einer kritischen Compliance-Verpflichtung entwickelt. Organisationen können Sicherheitsupdates nicht länger als optionale Aufgaben behandeln, die man bei Gelegenheit erledigt. Die Folgen vernachlässigter Wartung werden zunehmend gravierender. Regulierungsbehörden in ganz Europa schlagen einen härteren Kurs ein, und jüngste Durchsetzungsmaßnahmen zeigen, dass Ausreden – ob Ressourcenmangel oder hohes Systemalter – Organisationen nicht vor Verantwortung schützen. Dieser Wandel erfordert ein grundlegendes Umdenken darin, wie Unternehmen ihren gesamten Softwarebestand angehen – einschließlich jener Altsysteme, die in modernen Sicherheitspraktiken häufig durchs Raster fallen.
Der Weckruf: Das CNIL-Bußgeld von 1,7 Mio. €
Am 22. Dezember 2025 verhängte die französische Datenschutzbehörde (CNIL) ein erhebliches Bußgeld in Höhe von 1,7 Mio. € gegen ein IT-Unternehmen, weil es keine angemessenen Sicherheitsmaßnahmen implementiert hatte. Die betreffende Anwendung, ein PCRM-System, das von öffentlichen Sozialdiensten genutzt wurde, verarbeitete sensible personenbezogene Daten ohne ausreichenden Schutz. Doch wie kam es zu dieser hohen Geldstrafe?
Die Ursachen dafür, dass die CNIL gegen das Unternehmen ein Bußgeld verhängte, waren anhaltende Sicherheitslücken, bekannte Defizite gegenüber dem Stand der Technik sowie erhebliche Verzögerungen bei der Umsetzung von Korrekturmaßnahmen. Besonders kritisch: Audits hatten diese Probleme bereits lange vor etwaigen Datenabflüssen identifiziert. Zudem ist hier schockierend, dass die Organisation von den Problemen wusste, aber nicht entschlossen handelte.
Damit wird eine klare Botschaft an alle Organisationen gesendet: Bewusstsein ohne Handeln ist keine Verteidigung. Regulierungsbehörden prüfen nicht nur, ob Sie Schwachstellen erkannt haben, sondern wie schnell und wirksam Sie sie behoben haben.
Warum Softwarewartung eine Compliance-Pflicht ist?
Sicherheitswartung muss proaktiv sein, nicht reaktiv
Erst auf Vorfälle oder Beschwerden zu warten, bevor man handelt, ist niemals eine sinnvolle Lösung. Gemäß Artikel 32 des EU-Datenschutzrechts, der DSGVO, sind Organisationen verpflichtet, geeignete technische und organisatorische Maßnahmen umzusetzen, die den aktuellen Bedrohungen und dem Stand der Technik entsprechen. Diese Verpflichtung ist nicht verhandelbar und ein fortlaufender Prozess – keine einmalige Checkbox-Übung. Da sich Bedrohungen weiterentwickeln und neue Schwachstellen entstehen, müssen sich Ihre Sicherheitsmaßnahmen entsprechend anpassen. Reaktive Ansätze lassen gefährliche Zeitfenster der Verwundbarkeit entstehen, die leicht ausgenutzt werden können.
Regelmäßiges Patchen und Updates sind zentrale Compliance-Aufgaben
Ein besonders wichtiger Punkt ist, dass Softwarewartung weit über die Systemstabilität hinausgeht. Sie ist im Kern eine Compliance-Aktivität, die unerlässlich ist, um personenbezogene Daten zu schützen und das Risiko durch bekannte Exploits zu begrenzen. Tatsächlich werden Verzögerungen bei der Bereitstellung immer schwerer zu rechtfertigen, sobald Patches für bekannte Schwachstellen verfügbar sind. Jeder Tag, an dem eine bekannte Schwachstelle unbehandelt bleibt, erhöht das Risiko in Ihrer IT-Landschaft – ein Punkt, den Regulierungsbehörden im Falle eines Vorfalls genau prüfen werden.
Allein Audits sind nicht ausreichend
Viele Organisationen investieren erheblich in Sicherheitsaudits, in der Annahme, damit ihre Sorgfaltspflicht nachzuweisen. Auch wenn Investitionen in Sicherheitsmaßnahmen wichtig sind, ist festzuhalten: Das Identifizieren von Schwachstellen durch solche Maßnahmen ist lediglich der erste Schritt. Regulatorische Prüfungen konzentrieren sich darauf, was nach Vorlage der Audit-Ergebnisse passiert – etwa: Wie schnell wurden Korrekturen ausgerollt? Wurden Ressourcen angemessen bereitgestellt? Und so weiter. Diese Fragen entscheiden darüber, ob eine Organisation als compliant oder fahrlässig eingestuft wird.
Altsysteme: Ein schwaches Glied, das von Regulierungsbehörden ins Visier genommen wird
Veraltete Systeme bergen erhöhte Risiken
Altsysteme verfügen häufig nicht über Herstellersupport, moderne Sicherheitskontrollen und Integrationsmöglichkeiten mit aktuellen Security-Tools. In Berichten zu Sicherheitsvorfällen und in regulatorischen Feststellungen werden sie regelmäßig als Hochrisiko-Umgebungen hervorgehoben. Diese Systeme wurden oft in einer Zeit entwickelt, in der Cybersicherheitsbedrohungen weniger ausgefeilt waren. Ihre Architektur unterstützt möglicherweise keine modernen Verschlüsselungsstandards, Zugriffskontrollen oder Monitoring-Funktionen, was sie zu leichten Zielen für Angreifer und zu besorgniserregenden Prioritäten für Regulierungsbehörden macht.
Regulierungsbehörden erwarten Risikominderung, keine Ausreden
Ob Software neu oder alt ist, individuell entwickelt oder von der Stange: Die Verpflichtung, angemessene Sicherheit zu gewährleisten, bleibt konstant. CNIL-Leitlinien zur Wartung und Kontrolle von Eingriffen Dritter unterstreichen diese Verantwortung über den gesamten Lebenszyklus. Tatsächlich mindert das Alter eines Systems nicht die Sorgfaltspflicht einer Organisation. Im Gegenteil: Ältere Systeme benötigen gerade deshalb mehr Aufmerksamkeit, weil ihnen integrierte Schutzmechanismen fehlen, die moderne Plattformen bieten. Regulierungsbehörden verstehen diese Herausforderungen, erwarten jedoch, dass Organisationen kompensierende Kontrollen implementieren oder schwierige Entscheidungen zur Außerbetriebnahme treffen.
Risikoprofile wirken kumulativ
Legacy-Plattformen beherbergen typischerweise sensible historische Daten und sind in übergreifende Geschäftsprozesse eingebunden. Eine Kompromittierung kann auf weitere Systeme übergreifen und kaskadenartige Effekte in der Organisation auslösen. Dieses vernetzte Risiko bedeutet, dass ein Vorfall in einem scheinbar isolierten Altsystem aktuelle Abläufe, Kundendaten und die Geschäftskontinuität gefährden kann. Die Stilllegung von Altsystemen sollte daher nicht als optionales Modernisierungsprojekt verstanden werden, sondern als zwingende Cybersicherheitsmaßnahme.
Konkrete Schritte für Organisationen
Erstellen Sie eine Wartungsrichtlinie, die Legacy-Anwendungen ausdrücklich einschließt
Es ist äußerst wichtig, sicherzustellen, dass Ihre Wartungsrichtlinie kein System zurücklässt. Die Richtlinie muss klare Auslöser für Erneuerungszyklen, Patch-Rollouts und strategische Entscheidungen zur Stilllegung von Altsystemen definieren. Stellen Sie sicher, dass diese Richtlinien mit der CNIL (DSGVO-Behörde in Frankreich), der DSGVO sowie mit anderen lokalen Behörden bzw. Anforderungen in Bezug auf die Datenschutzgesetze der jeweiligen Region für dokumentierte Maßnahmen abgestimmt sind, damit Sie bei Audits Compliance nachweisen können.
Führen Sie regelmäßig risikobasierte Überprüfungen durch
Priorisieren Sie Systeme, die sensible Daten verarbeiten, für häufigere Sicherheitsupdates und Reviews. Tatsächlich müssen auch obsolete Systeme in Programme zum Schwachstellenmanagement einbezogen werden und dürfen nicht aufgrund ihres Alters oder ihrer vermeintlichen Isolation ausgenommen werden.
Erfassen Sie Wartungsmaßnahmen als Nachweis der Compliance
Aufzeichnungen über Eingriffe, Korrekturen und Entscheidungen werden zu zentralen Artefakten in Audits und in der internen Governance. Pflegen Sie eine umfassende Dokumentation, die das Engagement Ihrer Organisation für fortlaufende Sicherheitswartung belegt.
Ziehen Sie eine Stilllegung in Betracht, wo es sinnvoll ist
Bei Altsystemen, die nicht angemessen abgesichert werden können, kann die Stilllegung der sicherste Weg nach vorn sein. Moderne Decommissioning-Plattformen ermöglichen es Organisationen, veraltete Systeme außer Betrieb zu nehmen und gleichzeitig für Compliance-Zwecke den Zugriff auf historische Daten zu erhalten. Dieser Ansatz beseitigt die Sicherheitsrisiken der Wartung verwundbarer Systeme, ohne die Datenverfügbarkeit zu beeinträchtigen.
Fazit
Das CNIL-Bußgeld von 1,7 Mio. € markiert einen bedeutenden Moment für die Verpflichtungen zur Softwarewartung. Regulierungsbehörden haben ihre Compliance-Prüfpunkte deutlich verschärft und erwarten, dass Organisationen Sicherheitspraktiken über die gesamte Software- und IT-Landschaft hinweg umsetzen.
Altsysteme, die bei Modernisierungsinitiativen oft übersehen werden, sind genau dort, wo die regulatorische Aufmerksamkeit liegen wird. Wer eine robuste Wartung in der Breite nicht durchsetzt, riskiert spürbare Sanktionen und nachhaltigen Reputationsschaden.
Für Organisationen, die mit Altsystemen zu kämpfen haben, die fortlaufende Sicherheitsrisiken bergen, bietet die Stilllegung eine strategische Lösung. Die Enterprise Legacy System Application (ELSA) der TJC Group bietet einen sicheren, compliant Weg nach vorn. Diese SAP-zertifizierte Lösung ermöglicht es Organisationen, 100 % ihrer Altsysteme stillzulegen – von einem einzelnen ERP bis hin zu Hunderten von Anwendungen – und dabei jederzeit einen einfachen Zugriff auf historische Daten zu behalten.
Über das ELSA-Gateway können Unternehmen schnell auf alle Legacy-Daten, Berichte und Dokumente zugreifen, die für die regulatorische Compliance erforderlich sind – ohne das Risiko und die Kosten, die mit der Wartung veralteter Systeme verbunden sind. ELSA führt außerdem Traceability-Logs, um eine fortlaufende Compliance mit steuerlichen Anforderungen und Datenschutzgesetzen wie der DSGVO sicherzustellen.
Kontaktieren Sie uns noch heute, um herauszufinden, wie ELSA Ihnen helfen kann, Compliance-Risiken zu reduzieren und Ihre Sicherheitslage zu stärken.
