.NET 8 Weiterbetrieb: Was Behörden jetzt absichern sollten

Microsoft stellt am 10. November 2026 die Sicherheitsupdates für .NET 8 und .NET 9 ein. In der öffentlichen Verwaltung trifft diese Frist auf zwei Besonderheiten. Viele Fachverfahren laufen gebündelt in Landesrechenzentren und bei kommunalen IT-Dienstleistern, und jede Beschaffung braucht Vorlauf. Die unabhängige Lizenzberatung ProLicense rät Behörden und ihren IT-Dienstleistern, den Weiterbetrieb der betroffenen Anwendungen jetzt abzusichern, solange bis zum Stichtag noch gut vier Wochen bleiben.

Eine .NET-Version, viele Fachverfahren

Landesrechenzentren betreiben Anwendungen für Ministerien, Ämter und Kommunen. Läuft eine .NET-Version aus, betrifft das jedes Fachverfahren, das auf ihr aufbaut. Die Umstellung liegt dabei selten allein in der Hand des Rechenzentrums. Viele Fachverfahren stammen von externen Herstellern, die ihre Software zuerst für .NET 10 freigeben müssen. Microsoft rät in solchen Fällen selbst, beim Hersteller nach einer Version für .NET 10 zu fragen. Bis diese Freigabe vorliegt, läuft das Verfahren auf einer Version ohne Sicherheitsupdates.

Veraltete Software und die Vorgaben zur IT-Sicherheit

Für Behörden hat das Folgen in der Informationssicherheit. Der IT-Grundschutz des BSI behandelt das Einspielen von Sicherheitsupdates im Baustein OPS.1.1.3 Patch- und Änderungsmanagement. Wer für .NET 8 oder .NET 9 keine Updates mehr einspielen kann, muss das verbleibende Risiko dokumentieren und verantworten. Für die Bundesverwaltung gilt zudem seit dem 6. Dezember 2025 das NIS2-Umsetzungsgesetz mit erweiterten Pflichten zum Risikomanagement. Werden ab Dezember neue Schwachstellen in .NET 8 oder .NET 9 bekannt, schließt Microsoft sie nicht mehr. Der erste Patchtag ohne Korrektur ist der 8. Dezember 2026.

Weiterbetrieb absichern, Migration planen

Microsoft empfiehlt den Wechsel auf .NET 10, das bis November 2028 Support erhält. Für die Zeit bis zur Umstellung gibt es Drittsupport für Behörden. ProLicense liefert als Partner von HeroDevs in der DACH-Region den Never-Ending Support (NES) für .NET 8 und .NET 9. Der Betreiber ersetzt die abgekündigte .NET-Version durch eine weiter gepflegte Fassung desselben Stands. Die Fachverfahren selbst bleiben unverändert. HeroDevs ist Mitglied der .NET Security Group und veröffentlicht Sicherheitskorrekturen an denselben Patchtagen wie Microsoft. Je nach Bereitstellung lässt sich die Absicherung für mehrere Fachverfahren eines Rechenzentrums gemeinsam umsetzen.

„Eine aktuelle Anfrage zu .NET 8 kam bei uns aus einem Landesministerium. Dort zeigt sich die typische Lage: Die Umstellung hängt am externen Hersteller, die Sicherheitsverantwortung liegt beim Betreiber. Mit Drittsupport gewinnen beide Seiten Zeit für eine geordnete Migration, und die Compliance bleibt gewahrt“, sagt Markus Oberg, Partner und Business Development Manager der ProLicense.

Erster Schritt: Übersicht nach Fachverfahren

Am Anfang steht eine Übersicht aller produktiven Fachverfahren auf .NET 8 oder .NET 9, jeweils mit Betreiber, Hersteller und dem geplanten Termin für die Umstellung auf .NET 10. Fehlt dieser Termin oder liegt er nach dem 8. Dezember, braucht das Verfahren eine Übergangslösung. ProLicense bewertet die Übersicht herstellerunabhängig und bezieht kein Geld von Microsoft. Der Maßstab ist derselbe wie in der Privatwirtschaft: minimale Kosten bei voller Compliance. Behörden, Landesrechenzentren und kommunale IT-Dienstleister wenden sich an die Ansprechpartner bei ProLicense.