Support-Ende-Check: Bekommen Ihre Programme und Geräte noch Updates?

10 / STUDIEN UND QUELLEN

Worauf sich das Werkzeug stützt

Die Richtwerte und Hinweise oben beruhen auf diesen 15 wissenschaftlichen Arbeiten. Jede ist über ihren DOI bzw. die Seite des Verlags geprüft (zuletzt am 13. November 2026): Es gibt sie, sie ist nicht zurückgezogen, und ihr Befund trägt für die Frage heute noch.

1. Arbaugh, W. A.; Fithen, W. L.; McHugh, J. (2000): Windows of vulnerability: a case study analysis. Computer (IEEE), 33 (12), S. 52–59

   Befund Grundlagenarbeit zum Lebenszyklus einer Sicherheitslücke. Drei Fallstudien zeigen, dass Systeme oft noch lange verwundbar bleiben, nachdem eine Korrektur verfügbar ist.

   Im Werkzeug Stützt die rote Ampel: Ein Produkt ohne Updates bleibt bei jeder neu bekannten Lücke dauerhaft im verwundbaren Zustand.

   doi.org/10.1109/2.889093 · Fachzeitschrift

2. Clark, S.; Frei, S.; Blaze, M.; Smith, J. (2010): Familiarity breeds contempt: the honeymoon effect and the role of legacy code in zero-day vulnerabilities. Proceedings of the 26th Annual Computer Security Applications Conference (ACSAC), S. 251–260

   Befund Daten aus bis zu zehn Jahren für Betriebssysteme, Server- und Anwenderprogramme: Wie schnell Lücken gefunden werden, hängt vor allem davon ab, wie vertraut Angreifer mit einem System sind. Wiederverwendeter Altcode trägt stark zur Zahl der gefundenen Lücken bei.

   Im Werkzeug Begründet im Text, warum alte Software nicht „ausgereift und damit sicher" ist: Je länger ein System im Umlauf ist, desto besser kennen es Angreifer.

   doi.org/10.1145/1920261.1920299 · Konferenzbeitrag

3. Bilge, L.; Dumitraş, T. (2012): Before we knew it: an empirical study of zero-day attacks in the real world. Proceedings of the 2012 ACM Conference on Computer and Communications Security (CCS), S. 833–844

   Befund Auf Daten von 11 Millionen Rechnern: Eine unbekannte Lücke wurde im Schnitt 312 Tage ausgenutzt, bevor sie bekannt wurde. Nach der Veröffentlichung stieg die Zahl der Angriffe auf dieselbe Lücke um bis zu fünf Größenordnungen.

   Im Werkzeug Erklärsatz der roten Ampel: Jeder Patchday macht Lücken öffentlich, die auf einem Produkt ohne Updates offen bleiben.

   doi.org/10.1145/2382196.2382284 · Konferenzbeitrag

4. Khadka, R.; Batlajery, B. V.; Saeidi, A. M. u. a. (2014): How do professionals perceive legacy systems and software modernization?. Proceedings of the 36th International Conference on Software Engineering (ICSE), S. 36–47

   Befund Interviews mit 26 Fachleuten, bestätigt durch eine Umfrage mit 198 Teilnehmern: Betriebe schätzen ihre Altsysteme hoch, und die Hürden bei der Ablösung sind nicht nur technisch, sondern auch geschäftlich und organisatorisch.

   Im Werkzeug Darum beginnt die Reihenfolge der Umstellung mit der Fachsoftware und ihren Freigaben, nicht mit der Technik.

   doi.org/10.1145/2568225.2568318 · Konferenzbeitrag

5. Durumeric, Z.; Li, F.; Kasten, J. u. a. (2014): The Matter of Heartbleed. Proceedings of the 2014 Internet Measurement Conference (IMC), S. 475–488

   Befund Messung nach der Heartbleed-Lücke 2014 samt Benachrichtigung von 150.000 betroffenen Servern: Benachrichtigte Betreiber spielten die Korrektur fast 50 % häufiger ein als nicht benachrichtigte.

   Im Werkzeug Stützt den Ansatz des Werkzeugs, Termine sichtbar zu machen: Wer konkret erfährt, was betroffen ist, handelt eher.

   doi.org/10.1145/2663716.2663755 · Konferenzbeitrag

6. Nappa, A.; Johnson, R.; Bilge, L. u. a. (2015): The Attack of the Clones: A Study of the Impact of Shared Code on Vulnerability Patching. 2015 IEEE Symposium on Security and Privacy, S. 692–708

   Befund Patchverlauf auf 8,4 Millionen Rechnern über fünf Jahre: Als Angriffswerkzeuge erschienen, war im Median höchstens jeder siebte betroffene Rechner gepatcht. Alte, kaum genutzte Programmversionen, die installiert bleiben, ließen sich gezielt angreifen.

   Im Werkzeug Darum rät das Ergebnis bei grüner Ampel, Updates automatisch laufen zu lassen, und der Text, ausgemusterte Programme auch zu entfernen.

   doi.org/10.1109/SP.2015.48 · Konferenzbeitrag

7. Thomas, D. R.; Beresford, A. R.; Rice, A. (2015): Security Metrics for the Android Ecosystem. Proceedings of the 5th Annual ACM CCS Workshop on Security and Privacy in Smartphones and Mobile Devices (SPSM), S. 87–98

   Befund Daten von 20.400 Android-Geräten: Im Schnitt waren 87,7 % für mindestens eine von elf bekannten kritischen Lücken offen. Wie schnell Updates ankommen, unterschied sich stark nach Hersteller und Netzbetreiber.

   Im Werkzeug Darum führt der Check bei Android nur Modelle mit einer Zusage oder Liste des Herstellers und nennt bei allen anderen keinen Termin.

   doi.org/10.1145/2808117.2808118 · Konferenzbeitrag

8. Vasek, M.; Wadleigh, J.; Moore, T. (2016): Hacking Is Not Random: A Case-Control Study of Webserver-Compromise Risk. IEEE Transactions on Dependable and Secure Computing, 13 (2), S. 206–219

   Befund Fall-Kontroll-Studie mit rund 200.000 Webservern: Verbreitete Systeme wie WordPress wurden häufiger übernommen; veraltete Installationen waren überraschend nicht häufiger betroffen. Nach einer Übernahme wurden unter 5 % aktualisiert, und die aktualisierten wurden etwa halb so oft erneut übernommen.

   Im Werkzeug Steht in den Grenzen: Ein Support-Ende ist ein Risikomerkmal, keine Vorhersage. Spätestens nach einem Vorfall gehört das Update trotzdem dazu.

   doi.org/10.1109/TDSC.2015.2427847 · Fachzeitschrift

9. Lauinger, T.; Chaabane, A.; Arshad, S. u. a. (2017): Thou Shalt Not Depend on Me: Analysing the Use of Outdated JavaScript Libraries on the Web. Proceedings 2017 Network and Distributed System Security Symposium (NDSS)

   Befund Über 133.000 Websites: 37 % bindeten mindestens eine Bibliothek mit bekannter Lücke ein, und der Rückstand zur neuesten Version betrug oft Jahre.

   Im Werkzeug Stützt die PHP-Zeilen: Auf Websites läuft veraltete Software häufig unbemerkt weiter, weil niemand hinsieht.

   doi.org/10.14722/ndss.2017.23414 · Konferenzbeitrag

10. Farhang, S.; Weidman, J.; Kamani, M. M. u. a. (2018): Take It or Leave It: A Survey Study on Operating System Upgrade Practices. Proceedings of the 34th Annual Computer Security Applications Conference (ACSAC), S. 490–504

    Befund Umfrage unter 239 Windows-Nutzern: Wer vom Support-Ende wusste, hatte es meist selbst recherchiert, nur wenige durch einen Hinweis am Rechner. Bei denen, die noch nicht gewechselt hatten, gab nur gut ein Drittel an, das Support-Ende würde sie zum Wechsel bewegen; manche hielten veraltete Systeme für uninteressant für Angreifer.

    Im Werkzeug Grund für das Werkzeug selbst: Termine liegen bei den Herstellern verstreut, und niemand wird zuverlässig daran erinnert.

    doi.org/10.1145/3274694.3274733 · Konferenzbeitrag

11. Kotzias, P.; Bilge, L.; Vervier, P.-A. u. a. (2019): Mind Your Own Business: A Longitudinal Study of Threats and Vulnerabilities in Enterprises. Proceedings 2019 Network and Distributed System Security Symposium (NDSS)

    Befund Knapp drei Jahre, 28.000 Unternehmen, 82 Millionen Rechner: Bis 90 % der Rechner eine Lücke in gängigen Anwenderprogrammen geschlossen hatten, vergingen im Schnitt über sechs Monate. Server-Anwendungen wurden deutlich schlechter gepatcht als Programme auf Arbeitsplätzen.

    Im Werkzeug Trägt die gelbe Stufe ab zwölf Monaten vor dem Ende und die Empfehlung, bei der Umstellung zuerst auf die Server zu sehen.

    doi.org/10.14722/ndss.2019.23522 · Konferenzbeitrag

12. Dissanayake, N.; Jayatilaka, A.; Zahedi, M. u. a. (2022): Software security patch management - A systematic literature review of challenges, approaches, tools and practices. Information and Software Technology, Bd. 144, Artikel 106771

    Befund Auswertung von 72 Studien: Beim Einspielen von Sicherheitsupdates in Organisationen stehen 14 technische und organisatorische Hürden im Weg. Für die Hälfte davon gibt es bisher keine erprobte Lösung.

    Im Werkzeug Stützt den Abschnitt zur Reihenfolge: erst Abhängigkeiten und Freigaben klären, dann umstellen.

    doi.org/10.1016/j.infsof.2021.106771 · Übersichtsarbeit

13. Dissanayake, N.; Zahedi, M.; Jayatilaka, A. u. a. (2022): Why, How and Where of Delays in Software Security Patch Management: An Empirical Investigation in the Healthcare Sector. Proceedings of the ACM on Human-Computer Interaction, Bd. 6, Heft CSCW2, S. 1–29

    Befund 132 verzögerte Patch-Aufgaben aus vier Jahren in zwei Organisationen: Die meisten Verzögerungen entstanden durch Abstimmung zwischen Beteiligten, und die meisten fielen in die Phase des Ausrollens.

    Im Werkzeug Darum wird eine Zeile schon zwölf Monate vor dem Ende gelb: Abstimmen und Ausrollen brauchen die meiste Zeit.

    doi.org/10.1145/3555087 · Fachzeitschrift

14. Chidukwani, A.; Zander, S.; Koutsakis, P. (2022): A Survey on the Cyber Security of Small-to-Medium Businesses: Challenges, Research Focus and Recommendations. IEEE Access, 10, S. 85701–85719

    Befund Überblick über die Forschung zu kleinen und mittleren Betrieben: Sie setzen Schutzmaßnahmen oft nicht ausreichend um. Die Forschung zu ihnen dreht sich vor allem um das Erfassen des Bestands und um Schutz, kaum um Erkennen, Reagieren und Wiederherstellen.

    Im Werkzeug Hintergrund für die Zielgruppe: Ein Inventar mit Terminen ist der einfachste erste Schritt, den ein kleiner Betrieb ohne eigene IT-Abteilung gehen kann.

    doi.org/10.1109/ACCESS.2022.3197899 · Übersichtsarbeit

15. Hou, Q.; Diao, W.; Wang, Y. u. a. (2022): Large-scale security measurements on the android firmware ecosystem. Proceedings of the 44th International Conference on Software Engineering (ICSE), S. 1257–1268

    Befund 6.261 Firmware-Abbilder von 153 Herstellern: Verspätete Sicherheitskorrekturen fanden sich bei 24,2 % der Abbilder, fehlende bei 6,1 %. Auch aktuelle Abbilder enthielten noch vorinstallierte Apps mit längst bekannten Lücken.

    Im Werkzeug Darum rät der Text bei Android, Geräte mit einer klaren Zusage des Herstellers zu kaufen, statt auf Updates zu hoffen.

    doi.org/10.1145/3510003.3510072 · Konferenzbeitrag

Normen, Behörden und Herstellerangaben

• Lebenszyklusrichtlinie mit festem Zeitraum (Mainstream, Extended, ESU) · Microsoft Learn
• Moderne Lebenszyklusrichtlinie · Microsoft Learn
• Windows 11: Versionen und Ende der Updates · Microsoft Learn
• Ende des Supports für Exchange Server 2016 und 2019 · Microsoft Learn
• Windows 10 und Microsoft 365 Apps · Microsoft Learn
• Supported Versions · PHP Group
• Apple-Sicherheitsupdates · Apple
• Softwareupdates für Apple-Geräte (Hinweis zu älteren Versionen) · Apple
• Softwareupdates auf Google Pixel Smartphones · Google
• Security Updates Scope · Samsung
• Status der Produktunterstützung · FRITZ! (früher AVM)