Support-Ende für .NET 8 und .NET 9 am 10. November 2026

Microsoft beendet den Support für .NET 8 und .NET 9 am 10. November 2026. Beide Versionen erreichen ihr Supportende am selben Tag. Danach liefert Microsoft für sie keine Sicherheitsupdates mehr, auch nicht für schwere Lücken. Die unabhängige Lizenzberatung ProLicense rechnet damit, dass für viele Unternehmen Herausforderungen entstehen in Sachen Cyber Security und Compliance bezüglich bestimmter Regularien wie DORA, NIS2, BAIT, VAIT und anderen.

Warum zwei Versionen am selben Tag auslaufen

Microsoft veröffentlicht jedes Jahr im November eine neue .NET-Version, abwechselnd mit langem und kurzem Supportzeitraum. .NET 8 gehört zu den Versionen mit langem Support, drei Jahre ab Erscheinen. .NET 9 gehört zu denen mit kurzem. Für diese kurze Variante hat Microsoft den Zeitraum von 18 auf 24 Monate angehoben. Damit endet der Support für .NET 9 genau an dem Tag, an dem auch die drei Jahre für .NET 8 ablaufen. Wer bisher beide Versionen parallel betrieben hat, um das Risiko zu verteilen, verliert diesen Abstand.

Die Software läuft weiter, die Updates nicht

Am 11. November arbeiten alle Anwendungen wie am Tag davor. Nichts fällt aus, nichts meldet einen Fehler. Genau deshalb wird die Frist in vielen Häusern unterschätzt. Nach Schwachstellen wird trotzdem weiter gesucht, von Angreifern ebenso wie von der Cyber Security Branche. Neue Lücken in .NET 8 und .NET 9 kommen also weiter ans Licht, nur liefert Microsoft keine Korrektur mehr dafür. Die Prüfwerkzeuge der eigenen IT melden diese Lücken Monat für Monat erneut, ohne dass sich eine davon jemals schließen lässt. Dazu kommt die spätere Neubewertung. Eine Schwachstelle, die heute als wenig gefährlich eingestuft ist, kann Jahre danach auf der Liste der aktiv ausgenutzten Schwachstellen landen, die die US-Behörde CISA führt, und wird damit zum Sofortfall. Bei einer unterstützten Version folgt darauf ein Update. Bei .NET 8 und .NET 9 folgt darauf nichts.

Auditoren fragen nicht nach der neuesten Version

Kein gängiger Standard schreibt vor, die jeweils neueste Software einzusetzen. PCI DSS verlangt, kritische Sicherheitsupdates innerhalb fester Fristen einzuspielen, und den regelmäßigen Nachweis, dass die eingesetzte Software vom Hersteller noch unterstützt wird. ISO/IEC 27001:2022 fordert in Anhang A, Maßnahme 8.8, technische Schwachstellen zeitnah zu behandeln. Fehlt das Update des Herstellers, wird aus einer Routinefrage im Software-Audit ein Befund, der in den Prüfbericht wandert. Cyberversicherer bewerten das ähnlich. Coalition berichtete im Cyber Claims Report 2023, dass Organisationen mit abgekündigter Software dreimal häufiger einen Sicherheitsvorfall meldeten und dass eine einzige offene kritische Schwachstelle die Wahrscheinlichkeit einer Schadenmeldung um 33 % erhöhte.

Zwei Wege, und die Wahl fällt je Anwendung

Ein möglicher Lösungsweg ist jede Anwendung einzeln zu bewerten, statt eine Entscheidung für das gesamte Portfolio zu treffen. Was sich bis zum 10. November realistisch auf .NET 10 umstellen lässt, wird umgestellt. Diese Version unterstützt Microsoft bis November 2028. Für alles andere bleibt Drittsupport. ProLicense liefert dafür als Partner von HeroDevs den Never-Ending Support (NES) für .NET. Dabei tauscht die IT die abgekündigte .NET-Version gegen eine weiter gepflegte Fassung desselben Stands aus, ohne den Programmcode der Anwendungen zu ändern. HeroDevs sitzt in der .NET Security Group, dem Kreis, in dem Microsoft neue Schwachstellen vorab abstimmt, und veröffentlicht seine Korrekturen an denselben monatlichen Terminen wie Microsoft. Zu jeder Lieferung gehört eine signierte Bestätigung darüber, welche Schwachstellen geprüft und behoben wurden. Das ist der Nachweis, nach dem ein Auditor fragt.

„Die teuerste Variante ist die Panikumstellung acht Wochen vor dem Stichtag. Wer eine Anwendung ohnehin in zwei Jahren abschaltet, zahlt sonst für eine Umstellung, die danach niemand mehr braucht. Drittsupport kostet in solchen Fällen einen Bruchteil und hält die Compliance vollständig", sagt Markus Oberg, Partner und Business Development Manager der ProLicense.

Am Anfang steht die Liste

Vor jeder Entscheidung steht die Bestandsaufnahme: jede Anwendung im Produktivbetrieb, die auf .NET 8 oder .NET 9 läuft, einschließlich interner Werkzeuge und der Systeme, die ein Dienstleister betreibt. Dazu der Vermerk, welche davon regulierte Daten verarbeiten oder in den Prüfumfang von PCI DSS, SOC 2 oder ISO 27001 fallen. ProLicense bewertet diese Liste herstellerunabhängig und bezieht kein Geld von Microsoft. Der Anspruch bleibt in beide Richtungen derselbe: minimale Kosten bei voller Compliance. Unternehmen mit .NET-8- oder .NET-9-Beständen erreichen ProLicense über die Webssite.