Wenn Cisco das Ende ankündigt: Termine lesen und rechtzeitig erneuern

Die Meilensteine und was nach jedem nicht mehr geht

Ein End-of-Life-Bulletin von Cisco nennt in einer Tabelle die Meilensteine eines Produkts mit Definition und Datum. Die Definitionen sind in allen Bulletins gleich, die Abstände zwischen den Terminen unterscheiden sich je nach Produkt. Die End-of-Life-Richtlinie von Cisco sieht vor, dass die Ankündigung in der Regel sechs Monate vor dem End-of-Sale erscheint und dass Hardware ab dem End-of-Sale im Regelfall fünf Jahre lang Support erhält.

Für die Planung zählen vier Termine besonders. Nach dem End-of-Sale kannst du keine identischen Ersatzgeräte mehr bestellen. Nach dem End of SW Maintenance Releases kommen keine regulären Fehlerkorrekturen mehr, nach dem End of Vulnerability/Security Support keine Sicherheitskorrekturen. Nach dem Last Date of Support gibt es weder TAC-Unterstützung noch Ersatzteile.

Die übrigen Termine betreffen Verträge und Logistik. Nach dem Last Ship Date wird nicht mehr ausgeliefert, und nach dem End of Routine Failure Analysis untersucht Cisco ausgefallene Geräte nicht mehr auf die Ursache. Nach dem End of New Service Attachment kannst du Geräte ohne Vertrag nicht mehr neu absichern. Nach dem End of Service Contract Renewal lässt sich ein bestehender Vertrag nicht mehr verlängern.

Ein Beispiel: die Catalyst-2960-X-Familie

Die Catalyst-2960-X-Switches stehen in vielen Etagenverteilern. Cisco hat ihr Ende im Bulletin EOL13603 am 31. Oktober 2020 angekündigt. Der letzte Bestelltag war der 31. Oktober 2022, reguläre Software-Wartung und routinemäßige Fehleranalyse endeten am 31. Oktober 2023, und seit diesem Tag lassen sich Geräte ohne Vertrag auch nicht mehr neu unter Wartung nehmen.

Zwei Termine liegen noch vor uns. Bestehende Wartungsverträge können laut Bulletin nur bis zum 29. Januar 2027 verlängert werden. Sicherheitskorrekturen und jeglicher Support enden am 31. Oktober 2027, an diesem Tag fallen End of Vulnerability/Security Support und Last Date of Support zusammen. Als Nachfolger nennt das Bulletin für viele Modelle Switches der Serie Catalyst 9200L.

Für ein Haus mit 2960-X im Einsatz heißt das: Es bleibt ziemlich genau ein Jahr. Wer jetzt erst mit der Planung beginnt, muss Ausschreibung oder Bestellung, Lieferzeit, Konfiguration und Rollout in diese Zeit bekommen. Wer die Verträge noch verlängern will, um bis zum Austausch abgesichert zu sein, muss das vor Ende Januar 2027 erledigen.

Warum End of Vulnerability/Security Support der kritische Termin ist

Nach dem End of SW Maintenance Releases erscheinen keine neuen Funktionen und keine Korrekturen für gewöhnliche Fehler mehr. Das ist lästig, aber beherrschbar: Ein Switch, der stabil läuft, läuft weiter. Sicherheitskorrekturen kommen laut Definition bis zum End of Vulnerability/Security Support weiter, als geplante Maintenance-Releases oder Software-Korrekturen für Sicherheitslücken.

Danach ändert sich die Lage grundsätzlich. Jede neue Schwachstelle, die in einer Cisco-Sicherheitsmeldung für diese Software-Version erscheint, bleibt für das Gerät dauerhaft offen. Bei einem Access-Switch mit Management nur aus einem abgeschotteten Netz ist das ein begrenztes Risiko. Bei einem Router am Internetübergang, einem VPN-Konzentrator oder einem Core-Switch, über den das Management aller anderen Geräte läuft, ist es ein Risiko, das kein Haus auf Dauer tragen sollte.

Für die Planung heißt das: Rechne vom Sicherheitstermin rückwärts, nicht vom End-of-Sale vorwärts. Zwischen End-of-Sale und Sicherheitstermin liegen bei der 2960-X fünf Jahre, und genau diese Zeit ist das Fenster für eine geordnete Erneuerung. Wer es nutzt, tauscht im Rahmen normaler Budgets; wer es verstreichen lässt, steht am Ende unter Zeitdruck.

Das Inventar als Grundlage

Ohne vollständiges Inventar lassen sich Bulletins nicht zuordnen. Je Gerät brauchst du die Produkt-ID, also die Bestellnummer wie WS-C2960X-48FPD-L, die Seriennummer, den Standort, die Rolle im Netz, die Software-Version und die Vertragsnummer. Module, Netzteile, Lüfter und Transceiver haben eigene Produkt-IDs und teils eigene Bulletins mit anderen Terminen; sie gehören deshalb ebenfalls ins Inventar.

Die Daten liefert das Gerät selbst. show inventory listet alle Bauteile mit Produkt-ID und Seriennummer, show version den Softwarestand und die Laufzeit. In einem Netz mit Dutzenden Geräten sammelst du das nicht von Hand, sondern per Skript, Ansible oder über einen Controller wie Catalyst Center, der ein Geräteinventar mit Softwareständen führt. Die Ergebnisse gehören in ein führendes System, etwa NetBox, wo Plattform, Seriennummer und eigene Felder für die Meilensteine je Gerätetyp gepflegt werden.

Den Abgleich mit den Bulletins machst du je Produkt-ID, nicht je Gerät. Die EoL-Suche auf cisco.com findet Bulletins nach Produktfamilie, die Cisco Support APIs bieten eine EoX-Abfrage nach Produkt-ID oder Seriennummer, die sich in einen regelmäßigen Abgleich einbauen lässt. Wichtig ist der feste Takt, etwa monatlich, und eine Person, die neue Treffer bewertet.

SW1# show inventory
NAME: c93xx Stack, DESCR: c93xx Stack
PID: C9300-48P         , VID: V02  , SN: FOC2xxxxxxx

NAME: Switch 1 - Power Supply A, DESCR: Switch 1 - Power Supply A
PID: PWR-C1-715WAC-P   , VID: V01  , SN: DCB2xxxxxxx

SW1# show version | include Version|uptime|Model Number|System Serial

! Pflichtfelder je Gerät im Inventar:
! Hostname, Standort, Rolle, PID, Seriennummer, Software-Version,
! Vertragsnummer, Vertragsende, EoS, EoSWM, EoVSS, LDoS

Ein Erneuerungsplan über drei Jahre

Ein Dreijahresplan verbindet die Termine mit den Budgetjahren. Im ersten Jahr stehen alle Geräte, deren Sicherheitstermin innerhalb von 18 Monaten liegt oder bereits vorbei ist, dazu Geräte mit hoher Exposition. Im zweiten Jahr folgen die Geräte, deren Sicherheitstermin in 18 bis 36 Monaten liegt. Im dritten Jahr plant ihr die nächste Welle und die Geräte, die schon End-of-Sale erreicht haben, aber noch lange gepflegt werden.

Plane Puffer ein. Lieferzeiten für Netzwerkhardware schwanken, und ein Rollout über mehrere Standorte braucht Wartungsfenster, die mit Fachbereichen abgestimmt sind. Lizenzen und Wartungsverträge für die neue Hardware gehören von Anfang an ins Budget, ebenso der Aufwand für Planung, Konfiguration und Migration. Die neue Plattform bringt oft eine andere Lizenzlogik mit, die du vor der Bestellung klären musst.

Lege den Plan der Geschäftsleitung als Beschluss vor, mit Gerätezahl, Budget je Jahr und den Risiken, die bei Verschiebung entstehen. Ein beschlossener Plan ist mehr als eine Investitionsliste: Er ist der Nachweis, dass das Haus den Lebenszyklus seiner Infrastruktur bewusst steuert.

1. 1

   Jahr 1

   Alle Geräte, deren Sicherheitstermin vorbei ist oder in weniger als 18 Monaten liegt, dazu exponierte Geräte am Internetübergang, im VPN und im Core. Budget für Hardware, Lizenzen, Verträge und Projektaufwand; Ausnahmen nur befristet, mit Ausgleichsmaßnahmen und beschlossen.

2. 2

   Jahr 2

   Geräte, deren Sicherheitstermin in 18 bis 36 Monaten liegt. Die Wartungsverträge der Altgeräte verlängerst du nur bis zum geplanten Austausch.

3. 3

   Jahr 3

   Geräte, die End-of-Sale erreicht haben und deren Sicherheitstermin mehr als 36 Monate entfernt ist. Hier planst du die nächsten Bulletins ein und schreibst Inventar und Plan fort.

4. 4

   Jedes Jahr

   Den Plan mit neuen Bulletins abgleichen und der Geschäftsleitung erneut zum Beschluss vorlegen.

Sicherheits- und Versicherungsfolgen veralteter Hardware

Für Einrichtungen im Anwendungsbereich von NIS2 verlangt § 30 BSIG geeignete, verhältnismäßige und wirksame Maßnahmen, die den Stand der Technik einhalten sollen. Ausdrücklich genannt sind Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen einschließlich Management und Offenlegung von Schwachstellen. Ein Gerät, für das der Hersteller keine Sicherheitskorrekturen mehr liefert, lässt sich mit diesem Anspruch nur mit einer dokumentierten Risikobewertung und Ausgleichsmaßnahmen vereinbaren.

Wenn ihr eine Cyberversicherung habt, prüft, ob Antrag oder Bedingungen Angaben zum Patchstand oder zu Systemen ohne Herstellerunterstützung verlangen. Was eure Police genau fordert und welche Folgen unvollständige Angaben haben, steht nur dort; lies beides mit der Inventarliste daneben, bevor du Fragen des Versicherers beantwortest.

Unabhängig von Regulierung und Versicherung gilt: Nach dem Last Date of Support gibt es auch bei einem Hardwaredefekt keine Unterstützung mehr. Ersatzteile kommen dann vom Gebrauchtmarkt oder aus dem eigenen Lager. Wer für kritische Standorte keinen Kaltreserve-Switch hat, riskiert bei einem Ausfall mehrere Tage ohne Netz.