In einem Beitrag auf „CIO Dive“ wird hervorgehoben, dass trotz umfangreicher Modernisierungsinitiativen in vielen Unternehmen ältere Systeme fortbestehen und erhebliche Sicherheitsrisiken bergen. Gründe dafür seien einerseits begrenzte Budgets, andererseits die geschäftskritische Rolle vieler Technologien, deren Austausch als zu komplex gilt.

Im Artikel wird Brian Scriber vom US-amerikanischen Innovationslabor für Kabel- und Breitbandtechnologien, CableLabs, mit der Aussage wiedergegeben, dass Sicherheit nicht durch die Zahl eingesetzter Abwehrlösungen bestimmt werde, sondern durch die jeweils schwächste Eintrittsstelle. Ältere Geräte seien häufig ohne Mindeststandards wie Logging oder Verschlüsselung entwickelt worden und daher für heutige Bedrohungen anfällig. Zudem könne selbst moderne Software durch Abhängigkeiten in der Lieferkette unerkannte Legacy-Komponenten enthalten.

Betsy Soehren Jones, Partnerin bei der Unternehmensberatung West Monroe, wird mit der Einschätzung zitiert, dass vielen Organisationen das Fachpersonal fehle, um alte Systeme zu sichern oder deren Schwachstellen überhaupt zu identifizieren. Besonders im Versorgungssektor sei dies ein akutes Problem. Entscheidend sei, ob interne Teams oder externe Partner über das nötige Wissen verfügen, um Risiken wirksam zu mindern.

Als Gegenmaßnahmen hebt Scriber hervor, dass Inventarisierung und Transparenz unerlässlich seien – etwa durch Software Bills of Materials, regelmäßige Bestandsaufnahmen und Intrusion-Detection-Systeme. Soehren Jones ergänzt, dass grundlegende Cyber-Hygiene wie Passwortwechsel oder die Abschottung veralteter Systeme vom Internet zentrale Wirkung entfalten könne, da Patches alte Infrastrukturen oft destabilisieren.

Abschließend wird Scriber mit der Einschätzung wiedergegeben, dass nicht allein das Alter über den Legacy-Status entscheide: Auch neue Geräte könnten diesen schnell erreichen, wenn sie mit veralteter Software oder unter Zeitdruck ohne ausreichende Sicherheitsarchitektur entwickelt würden. Das Fazit des Beitrags: Legacy-Technologien bleiben ein kritisches Einfallstor, solange Unternehmen keine klare Strategie für Transparenz, Absicherung und kontinuierliche Kontrolle entwickeln.