Was bedeutet Support-Ende (End of Life)?
Das Support-Ende ist der Tag, ab dem der Hersteller für eine Softwareversion keine Sicherheitsupdates mehr liefert, sodass neu entdeckte Lücken offen bleiben.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite4 Abschnitte
Einfach erklärt
Jede Softwareversion hat ein Ablaufdatum. Bis dahin liefert der Hersteller Korrekturen für neu entdeckte Sicherheitslücken, danach nicht mehr. Fachleute sagen „End of Life“, kurz EOL. Die Software läuft danach weiter wie bisher, nichts geht sofort kaputt. Aber jede Lücke, die ab jetzt gefunden wird, bleibt offen. Es ist wie bei einem Haus, dessen Hausmeister gekündigt hat: Alles steht noch, aber ein kaputtes Schloss repariert niemand mehr.
Was das für Ihre Website bedeutet
Eine Website besteht aus mehreren Programmen. Jedes hat sein eigenes Support-Ende: die Programmiersprache PHP, das CMS wie WordPress oder TYPO3, dessen Erweiterungen und der Webserver. Zwei Beispiele:
- Jede PHP-Version wird vier Jahre lang gepflegt, die letzten zwei Jahre nur noch mit Sicherheitskorrekturen. PHP 8.2 erhält Sicherheitsupdates bis zum 31. Dezember 2026, PHP 8.1 schon seit Ende 2025 nicht mehr.
- Drupal 7 hat sein Support-Ende am 5. Januar 2025 erreicht.
Was Sie tun können
- Lassen Sie sich von der Firma, die Ihre Website betreut, auflisten, welche Versionen laufen und bis wann sie unterstützt werden.
- Planen Sie den Wechsel rechtzeitig. Ein Umstieg auf eine neue Hauptversion kann Anpassungen an der Website nötig machen und braucht Vorlauf.
- Dass Ihr Hoster eine alte PHP-Version noch anbietet, heißt nicht, dass sie noch Updates bekommt.
Gut zu wissen: Manche Linux-Distributionen und Hoster liefern Sicherheitskorrekturen für ältere Versionen selbst nach, ohne die Versionsnummer zu ändern. Von außen sieht man das nicht. Fragen Sie im Zweifel nach.
Was ein Support-Datum nicht sagt
Dass eine Version noch unterstützt wird, heißt nur, dass Updates erscheinen. Eingespielt werden müssen sie trotzdem.
Support-Zyklen
| Software | Regel | Stand Oktober 2026 |
|---|---|---|
| PHP | zwei Jahre aktive Pflege, dann zwei Jahre nur Sicherheitskorrekturen, Ende jeweils am 31. Dezember | 8.2 bis 31.12.2026, 8.3 bis 31.12.2027, 8.4 bis 31.12.2028, 8.5 bis 31.12.2029 |
| WordPress | offiziell nur die neueste Version, kritische Korrekturen als Kulanz auch in ältere Reihen | – |
| Drupal | Drupal 7 seit 5. Januar 2025 ohne Unterstützung des Security-Teams | kommerzieller Extended Support über zertifizierte Anbieter |
| Apache httpd | gepflegt wird nur die Reihe 2.4 | 2.2 ohne Sicherheitspatches |
Distributionen und Backports
Debian, Ubuntu, RHEL und andere spielen Sicherheitskorrekturen in die ausgelieferte Version zurück, statt auf eine neue Upstream-Version zu wechseln. Die Versionsnummer bleibt dabei gleich, etwa bei Server: Apache/2.4.x (Debian). Ein solcher Header zeigt also nicht, ob eine Lücke offen ist. Maßgeblich sind das Changelog des Pakets und die Sicherheitsmeldungen der Distribution. Umgekehrt hat auch jede Distribution ein eigenes Support-Ende, danach fallen die Backports weg.
Neue PHP-Versionen erscheinen jährlich gegen Ende des Jahres. Wer jedes Jahr auf die nächste Reihe wechselt, bleibt durchgehend in der aktiven Pflege und hat bei jedem Schritt nur die Änderungen eines Jahres zu prüfen.
Typische Fehler
- PHP-Version im Hosting-Panel nie angefasst. Die beim Einrichten gewählte Version läuft Jahre weiter.
- Nur den Kern betrachtet. Eine Erweiterung, deren Entwickler aufgehört hat, hat kein angekündigtes Datum. Sie bekommt einfach keine Updates mehr.
- Hauptversion ohne Test gewechselt. PHP 8.0 hat Funktionen wie
create_function()undeach()entfernt, die ältere Erweiterungen noch nutzen. - Extended Support als Dauerlösung. Bezahlte Verlängerungen verschaffen Zeit für den Umstieg, ersetzen ihn aber nicht.
Prüfen
curl -sI https://ihre-firma.de/ | grep -i -E '^(server|x-powered-by)'
php -v
Die Support-Daten nennen die Hersteller selbst, für PHP unter php.net/supported-versions.php. Eine Übersicht für viele Produkte bietet endoflife.date.