Es gibt eine Frage, die bei der Auswahl von Software selten gestellt wird. Sie klingt banal und entscheidet trotzdem über einen erheblichen Teil der Betriebskosten.
Wer spielt eigentlich die Updates ein?
Die Frage stellt sich häufiger als früher
Software besteht heute zu einem großen Teil aus fremden Bausteinen. Frameworks, Bibliotheken, Laufzeitumgebungen. In einer typischen Webanwendung stecken hunderte davon, und jeder einzelne kann eine Sicherheitslücke bekommen.
Die Hersteller dieser Bausteine veröffentlichen inzwischen häufiger Korrekturen als noch vor wenigen Jahren. Der Grund ist unangenehm. Auf beiden Seiten wird automatisiert nach Schwachstellen gesucht, bei den Herstellern ebenso wie bei denen, die sie ausnutzen wollen.
Für den Betrieb einer Software heißt das: Der Abstand zwischen zwei notwendigen Aktualisierungen wird kürzer.
Bei eigener Software hängt die Arbeit im Haus
Wer eine eigene Anwendung betreibt, trägt diese Arbeit selbst. Das ist völlig in Ordnung, solange sie eingeplant ist.
Der Aufwand ist dabei sehr ungleich verteilt. Bleibt man auf einem gepflegten Versionsstand, sind die meisten Sicherheitsupdates kleine Sprünge, oft an einem Vormittag erledigt. Läuft der eingesetzte Versionsstand dagegen aus der Herstellerpflege, erscheint für ihn kein Patch mehr. Dann wird aus jedem Sicherheitsthema sofort ein Migrationsprojekt.
Der Unterschied zwischen beiden Wegen ist keine Frage von Sorgfalt. Es ist eine Frage des Zeitpunkts, zu dem man anfängt.
Bei spiritflow hängt sie bei uns
spiritflow läuft als betreute Plattform. Das bedeutet, dass die Aktualisierung der eingesetzten Frameworks Teil unseres Betriebs ist und nicht Teil Eurer Aufgabenliste.
Wenn ein Framework eine Sicherheitskorrektur veröffentlicht, prüfen und übernehmen wir sie. Es gibt keine Version, die bei einem einzelnen Kunden zurückbleibt und irgendwann aus der Wartung fällt. Alle arbeiten auf demselben gepflegten Stand.
Das Hosting liegt dabei in Deutschland, und Ansprechpartner ist ein Mensch, der die Plattform kennt.
Was das nicht heißt
Zur Ehrlichkeit gehört die andere Seite.
Eine betreute Plattform bedeutet auch, dass Ihr Aktualisierungen nicht dauerhaft ablehnen könnt. Wer eine bestimmte Version über Jahre einfrieren möchte, weil ein angeschlossener Prozess genau daran hängt, ist mit einer eigenen Installation besser bedient.
Diese Freiheit hat allerdings einen Preis, und der ist genau der Aufwand, um den es in diesem Beitrag geht. Beides zugleich gibt es nicht.
Die eigentliche Rechnung
Software wird selten deshalb abgelöst, weil sie schlecht ist. Sie wird abgelöst, weil irgendwann niemand mehr Korrekturen dafür liefert und jede Kleinigkeit zum Projekt wird.
Wer heute eine Entscheidung über Software trifft, entscheidet deshalb nicht nur über Funktionen. Sondern auch darüber, wer in fünf Jahren die Updates einspielt.