Legacy-Software: Weiterbetreiben, kapseln oder ablösen?

Legacy-Software ist Software, die ein Unternehmen weiter betreibt, obwohl Hersteller-Support, Technik oder Wissen dahinter nicht mehr aktuell sind. Das Alter allein ist kein Problem. Kritisch wird es, wenn eine Schicht keine Sicherheitsupdates mehr bekommt, nur noch eine Person das System versteht oder neue Pflichten nicht umsetzbar sind. Bis Ende 2027 enden die Updates für verbreitete Bausteine wie SQL Server 2016 und 2017 und Windows Server 2016. Dieser Ratgeber gibt Ihnen die Zeitachse der Supportenden, einen Check mit sieben Fragen und die Regeln, was beim Abschalten mit den Daten passieren muss.

Was bedeutet Legacy bei Software?

Legacy heißt Erbe: Gemeint ist Software, die ein Unternehmen aus früheren Entscheidungen geerbt hat und die bis heute Geschäft trägt. Im Mittelstand sind das selten Großrechner. Typisch sind eine Warenwirtschaft auf dem eigenen Server, eine selbst entwickelte Webanwendung, eine Access-Datenbank, eine Excel-Mappe mit Makros oder eine Branchenlösung, deren Hersteller keine neue Version mehr baut.

Software altert in Schichten. Oben liegt die Fachanwendung, darunter Datenbank und Laufzeitumgebung, ganz unten Betriebssystem und Hardware. Legacy wird ein System meist von unten: Die Anwendung läuft wie am ersten Tag, aber die Datenbank oder der Server darunter bekommt keine Updates mehr. Prüfen Sie deshalb nie nur die Anwendung, sondern jede Schicht einzeln.

Neben diesem technischen Altern gibt es zwei weitere Formen. Personell veraltet ist ein System, das nur noch eine Person ändern kann. Fachlich veraltet ist es, wenn es nicht mehr leistet, was Kunden oder Gesetze verlangen, etwa eine Schnittstelle oder die E-Rechnung. Jede der drei Formen reicht, um handeln zu müssen.

Welche Supportenden 2026 und 2027 anstehen

Die nächste Welle trifft vor allem Server und Datenbanken: SQL Server 2016 bekommt seit Juli 2026 keine Updates mehr, Windows Server 2016 folgt im Januar 2027, SQL Server 2017 im Oktober 2027. Für das Büro ist sie schon da. Office 2016 und 2019 samt Access und Excel laufen seit Oktober 2025 ohne Updates, Office 2021 seit dem 13. Oktober 2026.

Die Microsoft-Daten stammen aus den Lebenszyklus-Listen für 2025, 2026 und 2027. Dort steht auch, was das Ende bedeutet: Danach werden „keine neuen Sicherheitsupdates, nicht sicherheitsrelevante Updates, kostenlose oder kostenpflichtige Support-Optionen oder Online-Updates technischer Inhalte mehr angeboten“. Bei Webanwendungen zählt die Laufzeitumgebung: PHP 8.2 erhält nur noch bis Ende 2026 Sicherheitsupdates, PHP 8.3 bis Ende 2027 (php.net).

Warum das drängt, zeigt eine Zahl des Bundesamts für Sicherheit in der Informationstechnik (BSI): Im Berichtszeitraum seines Lageberichts 2025 wurden weltweit im Schnitt 119 neue Schwachstellen pro Tag bekannt, rund 24 Prozent mehr als im vorigen Berichtszeitraum, teils wegen einer geänderten Zählweise (BSI). Für ein Produkt ohne Support bleibt jede neue Lücke offen. Das BSI formuliert es zum Ende von Windows 10 so: „Ein Betriebssystem weiterhin zu nutzen, für das es keine Sicherheitsupdates mehr gibt, öffnet Angreifern Tür und Tor“ (BSI).

Was Legacy-Software kostet, auch wenn sie läuft

Die Kosten stecken selten in einer Rechnung, sondern in Verlängerungen, Umwegen und Abhängigkeit. Am klarsten sieht man das an der bezahlten Verlängerung für Windows 10. Unternehmen können Sicherheitsupdates für höchstens drei Jahre nach Supportende kaufen. Das erste Jahr kostet 61 US-Dollar je Gerät, und „der Preis verdoppelt sich jedes Jahr“. Wer erst im zweiten Jahr einsteigt, zahlt das erste mit (Microsoft).

Jahr der Verlängerung	Preis je Gerät	Summe für 50 Geräte
Jahr 1	61 USD	3.050 USD
Jahr 2	122 USD	9.150 USD
Jahr 3	244 USD	21.350 USD

Drei Jahre kosten damit 427 US-Dollar je Gerät, das Siebenfache des ersten Jahres. Die Summen sind kumuliert. Das Muster gilt für jede bezahlte Verlängerung: Sie kauft Zeit, und die Zeit wird teurer.

Der zweite Posten sind Umwege. Daten werden doppelt erfasst, weil das Altsystem keine Schnittstelle hat. Berichte entstehen per Export und Nacharbeit in Excel. Diese Stunden tauchen in keiner IT-Rechnung auf, aber in jeder Arbeitswoche.

Der dritte Posten ist Abhängigkeit. Kennt nur eine Person das System, hängt der Betrieb an ihr. Fällt sie aus, wird es teuer: Eine IT-Stelle zu besetzen dauert laut Bitkom im Schnitt 7,7 Monate (Studie 2025).

Wie groß die Summe werden kann, zeigt ein Bericht des US-Rechnungshofs GAO von 2025. Die US-Bundesbehörden geben nach eigenen Angaben rund 80 Prozent ihrer IT-Ausgaben für Betrieb und Wartung vorhandener IT aus. Allein die elf Altsysteme, die am dringendsten modernisiert werden müssen, sind 23 bis 60 Jahre alt und kosten zusammen rund 754 Millionen Dollar im Jahr (GAO). Für den Mittelstand gibt es keine vergleichbare Erhebung. Das Muster ist dasselbe, nur kleiner: Was weiterläuft, bindet Budget, das für Neues fehlt.

Der Legacy-Check: sieben Fragen, drei Wege

Mit sieben Fragen ordnen Sie jedes Altsystem einem von drei Wegen zu: weiterbetreiben, kapseln oder schrittweise ablösen. Beantworten Sie die Fragen für jedes System einzeln. Die Schwellen sind Faustregeln, keine Normen. Passen Sie sie an Ihr Risiko an.

1. Bekommt jede Schicht noch Sicherheitsupdates? Gehen Sie von unten nach oben: Betriebssystem, Datenbank, Laufzeitumgebung, Fachanwendung. Ein Treffer ist eine Schicht ohne Updates oder ein Supportende in weniger als zwölf Monaten. Ein Jahr ist knapp, wenn Sie testen, Daten übernehmen und schulen müssen.

2. Ist das System aus dem Internet erreichbar oder verarbeitet es personenbezogene Daten? Allein ist das kein Problem. Zusammen mit einem Treffer bei Frage 1 schon. Die DSGVO verlangt Schutzmaßnahmen „unter Berücksichtigung des Stands der Technik“ (Art. 32 DSGVO). Ein ungepatchtes System mit Kundendaten im offenen Netz ist damit schwer zu rechtfertigen.

3. Wie viele Personen können das System ändern und wiederherstellen? Ein Treffer liegt bei weniger als zwei Personen vor. Wiederherstellen heißt: Sie haben es nach einem Ausfall schon einmal aus der Sicherung zurückgeholt, nicht nur gesichert.

4. Wie lange dauert eine kleine Änderung? Nehmen Sie ein neues Feld in einer Maske oder eine zusätzliche Spalte im Bericht. Dauert das länger als zwei Wochen, ist das ein Treffer. Langsame Änderungen sind meist ein Zeichen für fehlende Tests, fehlende Dokumentation oder veraltete Technik.

5. Wie viele Stunden pro Woche kosten Umwege? Zählen Sie doppelte Erfassung, Exporte und Nacharbeit über alle Beteiligten. Ein Treffer sind mehr als sechs Stunden. So viel muss nach unserem Rechenmodell zur individuellen Softwareentwicklung eine kleine Software für 30.000 Euro ersetzen, damit sie sich in drei Jahren trägt.

6. Erfüllt das System, was in den nächsten 24 Monaten verlangt wird? Denken Sie an Pflichten wie die E-Rechnung, an Schnittstellen, die Kunden oder Lieferanten fordern, und an mobilen Zugriff. Ein Treffer ist eine Anforderung, die sich nicht umsetzen lässt.

7. Kommen Sie vollständig an Ihre Daten? Testen Sie einen Export aller Tabellen samt Historie in ein offenes Format wie CSV. Gelingt das nicht oder nur über den Hersteller, ist das ein Treffer. Ohne Ihre Daten können Sie weder wechseln noch die Aufbewahrungspflichten erfüllen.

So werten Sie aus. Ohne Treffer betreiben Sie das System weiter und prüfen es jedes Jahr neu. Ein Treffer bei Frage 1 oder 2 heißt: sofort kapseln, unabhängig vom Rest, und einen Termin für die Ablösung setzen. Zwei oder mehr Treffer bei den Fragen 3 bis 6 sprechen für eine schrittweise Ablösung. Ein Treffer bei Frage 7 geht allem anderen vor: Sichern Sie zuerst die Daten.

Weiterbetreiben, kapseln oder ablösen: was jeder Weg verlangt

Jeder der drei Wege ist eine bewusste Entscheidung mit eigenen Aufgaben. Gefährlich ist nur der vierte Weg, den niemand wählt: einfach weiterlaufen lassen.

Weiterbetreiben. Das passt für stabile Systeme mit laufendem Support, die selten geändert werden. Tragen Sie die Supportdaten aller Schichten in den Kalender, mit einer Erinnerung 18 Monate vorher. Dokumentieren Sie Aufbau, Zugänge und Wiederherstellung. Arbeiten Sie eine zweite Person ein.

Kapseln. Kapseln heißt, das Altsystem abzuschirmen, bis es abgelöst ist. Es kommt in ein eigenes Netzsegment ohne Internetzugang. Zugriff gibt es nur über definierte Wege, etwa eine Schnittstelle oder einen Terminalserver. Konten werden auf das Nötige reduziert, Sicherungen liegen getrennt vom Netz. Bezahlte Verlängerungen wie die für Windows 10 gehören ebenfalls hierher. Kapseln ersetzt keine Updates. Es verkleinert die Angriffsfläche und kauft Zeit, deshalb braucht es ein Enddatum.

Ablösen, aber schrittweise. Der Komplettersatz an einem Stichtag klingt einfach. Der Softwarearchitekt Martin Fowler hat diesen Plan nach eigener Beobachtung meistens scheitern sehen. Er empfiehlt das Strangler-Fig-Muster: Neue Bausteine entstehen neben dem Altsystem, und Funktion für Funktion wandert hinüber (Martin Fowler). Das Altsystem schrumpft, bis es abgeschaltet werden kann. Manchmal reicht für den ersten Schritt schon eine Automatisierung, die Daten zwischen Alt und Neu überträgt. Wie das geht, zeigt der Grundlagenartikel zur Prozessautomatisierung.

Ob der Ersatz Standardsoftware oder eine Eigenentwicklung wird, klärt der Entscheidungsbaum im Ratgeber zur individuellen Softwareentwicklung. Häufig ist das Altsystem auch keine einzelne Software, sondern ein Geflecht. Typisch ist die Ausgangslage, die unsere Fallstudie zur Asset-Management-Plattform im Immobilienbereich beschreibt: verschiedene Tools, manuell gepflegte Excel-Listen, verstreute Objektunterlagen und Reports aus mehreren Datenquellen. Heute liegen Objekt-, Vertrags- und Mieterdaten an einem zentralen Ort, und Reports entstehen aus einer einheitlichen Datenbasis statt aus verteilten Tabellen.

Was beim Abschalten mit den Daten passieren muss

Ein Altsystem abzuschalten heißt nicht, seine Daten loszuwerden. Steuerlich relevante Unterlagen müssen Sie über die volle Frist aufbewahren. Für Bücher und Jahresabschlüsse sind das zehn Jahre, für Buchungsbelege acht und für Handels- und Geschäftsbriefe sechs Jahre (§ 147 Abs. 3 AO). Die Frist beginnt erst mit dem Schluss des Kalenderjahres, in dem die Unterlage entstanden ist. Sie läuft nicht ab, solange die Unterlagen für eine noch offene Steuerfestsetzung von Bedeutung sind.

Für elektronisch aufbewahrte Daten muss sichergestellt sein, dass sie während der Frist „jederzeit verfügbar sind, unverzüglich lesbar gemacht und maschinell ausgewertet werden können“ (§ 147 Abs. 2 AO). Ein Stapel PDF-Ausdrucke reicht dafür nicht. Bei einer Außenprüfung darf das Finanzamt zudem Einsicht in die Daten nehmen, das System selbst nutzen, Auswertungen nach eigenen Vorgaben verlangen oder sich die Daten in einem auswertbaren Format übertragen lassen (§ 147 Abs. 6 AO).

Für den Systemwechsel gibt es eine Erleichterung. Hat noch keine Außenprüfung begonnen, genügt es nach Ablauf des fünften Kalenderjahres nach der Umstellung, die Daten „ausschließlich auf einem maschinell lesbaren und maschinell auswertbaren Datenträger“ vorzuhalten. Ein Beispiel: Schalten Sie Ihre alte Warenwirtschaft 2026 ab, gilt diese Erleichterung ab dem 1. Januar 2032. Bis dahin müssen Sie die Daten so bereithalten, dass das Finanzamt sie einsehen und auswerten kann. Dafür übernehmen Sie sie vollständig ins neue System oder in ein auswertbares Archiv. Oder Sie halten das Altsystem lesbar.

Die Gegenrichtung gilt ebenso. Personenbezogene Daten dürfen nach der DSGVO nur so lange identifizierbar gespeichert werden, wie es für ihren Zweck erforderlich ist (Art. 5 Abs. 1 Buchstabe e DSGVO). Nehmen Sie nur mit, was ein Gesetz oder ein Zweck verlangt, und löschen Sie den Rest nach einem dokumentierten Konzept. Eine Migration ist dafür der beste Zeitpunkt.

Das ist eine allgemeine Einordnung und keine Steuer- oder Rechtsberatung. Klären Sie Fristen und Archivform im Einzelfall mit Ihrer Steuerberatung.

Grenzen und Risiken

Nicht jedes alte System muss weg. Eine Maschinensteuerung ohne Netzanschluss, die seit Jahren fehlerfrei läuft, kann bleiben, wenn Ersatzteile und Wissen gesichert sind. Der Check schützt vor Aktionismus genauso wie vor Stillstand.

Neubauten werden unterschätzt. Wer ein Altsystem eins zu eins nachbaut, baut auch alle Umwege nach, die sich über Jahre eingeschlichen haben. Klären Sie vorher, welche Funktionen wirklich gebraucht werden. Was niemand mehr nutzt, muss nicht mit.

Pläne vergessen das Ende. Der GAO-Bericht nennt drei Mindestinhalte eines Modernisierungsplans: Meilensteine, eine Beschreibung der Arbeiten und Angaben dazu, was mit dem Altsystem geschieht. Nur für drei der elf Systeme gab es Pläne, die alle drei enthielten. Legen Sie das Abschaltdatum deshalb fest, bevor Sie mit dem Neuen beginnen.

Parallelbetrieb kostet doppelt. Solange Alt und Neu laufen, pflegen Sie zwei Systeme. Planen Sie die Übergangszeit kurz und mit festen Schritten.

Kapseln wird zum Dauerzustand. Ein abgeschirmtes System fühlt sich sicher an, und die Ablösung rutscht nach hinten. Ohne Enddatum wird aus der Übergangslösung die nächste Legacy-Software.

Nächster Schritt: die Inventur in einer Woche

1. Systeme auflisten. Jede Anwendung mit ihren Schichten und Versionen, vom Betriebssystem bis zur Fachanwendung, dazu die Excel- und Access-Lösungen, an denen Abläufe hängen.
2. Supportdaten nachschlagen. Microsoft und php.net veröffentlichen die Daten, für Branchensoftware fragen Sie den Hersteller schriftlich.
3. Den Check machen. Die sieben Fragen für jedes System, gemeinsam mit den Menschen, die täglich damit arbeiten.
4. Den Export testen. Für das wichtigste System einen vollständigen Datenexport ausprobieren, bevor es eilt.
5. Mit dem kritischsten System beginnen. Treffer bei Frage 1 und 2 zuerst, dann die Ablösungen nach Umwegstunden ordnen.

Wenn Sie Ihre Altsysteme einmal mit uns durch die sieben Fragen gehen möchten, sprechen Sie uns im Erstgespräch an.

Häufige Fragen

Was bedeutet Legacy auf Deutsch?

Legacy heißt wörtlich Erbe oder Vermächtnis. In der IT sind damit Systeme gemeint, die ein Unternehmen aus früheren Entscheidungen übernommen hat und weiter betreibt. Meist schwingt mit: technisch überholt, aber noch im Einsatz.

Was bedeutet Legacy-Version oder Legacy-Modus?

Ein Legacy-Modus hält ältere Verfahren aus Gründen der Kompatibilität am Leben, etwa der alte BIOS-Startmodus bei PCs statt UEFI oder eine ältere Programmversion, die ein Hersteller parallel anbietet. Er ist als Übergang gedacht. Neue Funktionen kommen in der aktuellen Fassung.

Sind Excel-Tabellen und Access-Datenbanken auch Legacy-Software?

Oft ja. Gewachsene Excel-Mappen mit Makros und Access-Anwendungen hängen häufig an einer Person, sind kaum dokumentiert und schwer zu ändern. Prüfen Sie sie mit denselben sieben Fragen. Access 2016 und 2019 erhalten seit dem 14. Oktober 2025 keine Updates mehr, Access 2021 seit dem 13. Oktober 2026.

Darf ich Software ohne Sicherheitsupdates weiter nutzen?

Ein ausdrückliches Verbot gibt es nicht. Verarbeitet das System personenbezogene Daten, verlangt Art. 32 DSGVO aber Schutzmaßnahmen nach dem Stand der Technik. Ein ungepatchtes, erreichbares System mit Kundendaten ist damit schwer zu rechtfertigen. Den Einzelfall sollten Fachleute für Datenschutz prüfen.

Was kostet die Ablösung einer Legacy-Software?

Verlässliche Durchschnittswerte gibt es nicht, dafür sind die Systeme zu verschieden. Rechnen Sie andersherum: Was kostet der Weiterbetrieb pro Jahr an Umwegen, Verlängerungen und Ausfallrisiko? Diese Summe über drei bis fünf Jahre ist der Rahmen, in dem sich eine Ablösung bezahlt macht.

Quellen

1. Microsoft Lifecycle: Supportende im Jahr 2025
2. Microsoft Lifecycle: Supportende im Jahr 2026
3. Microsoft Lifecycle: Supportende im Jahr 2027
4. Microsoft Learn: Extended Security Updates (ESU) für Windows 10
5. PHP: Supported Versions
6. BSI: Die Lage der IT-Sicherheit in Deutschland 2025, neue Schwachstellen
7. BSI: Windows 10 wird unsicher, Zeit für den Wechsel (14.07.2025)
8. Bitkom: Der Arbeitsmarkt für IT-Fachkräfte, Studie 2025
9. U.S. GAO: Agencies Need to Plan for Modernizing Critical Decades-Old Legacy Systems (GAO-25-107795)
10. Martin Fowler: Strangler Fig Application
11. § 147 Abgabenordnung: Ordnungsvorschriften für die Aufbewahrung von Unterlagen
12. Datenschutz-Grundverordnung (EU) 2016/679, Art. 5 und Art. 32

Robin Traudt Co-Founder, 21Layer

Robin Traudt bringt mit 21Layer künstliche Intelligenz dorthin, wo sie im Mittelstand den größten Unterschied macht: in Abläufe, Daten und Entscheidungen. Die Beiträge übersetzen Technik, Zahlen und Rechtslage in klare nächste Schritte für Unternehmen.

Recherchiert mit unseren eigenen KI-Werkzeugen, inhaltlich verantwortet von Robin Traudt.