Ein gut geölter Dieselmotor, der seit zwanzig Jahren jeden Morgen zuverlässig anspringt, wird niemand freiwillig auseinanderbauen. Genau dieses Denken prägte lange Zeit auch die IT. Wer erinnert sich nicht an die Zeiten, in denen die Installation eines neuen Druckertreibers eigentlich nur fünf Minuten dauern sollte – und man nach einem halben Tag mit einem kaum noch funktionierenden Rechner dastand? Damals hat man sich jedes Update dreimal überlegt und lieber aufgeschoben. Hauptsache, das System lief. Dieses Denken findet sich bis heute in vielen Unternehmen wieder: „Never touch a running system.“ Hauptsache, es läuft.

Warum dieser Leitsatz früher sinnvoll war

Damals war das durchaus nachvollziehbar. Software erschien in großen Versionssprüngen, oft im Abstand von einem Jahr oder länger. Viele Anwendungen liefen vollständig isoliert und hatten keinerlei Verbindung zum Internet. Angriffe von außen waren selten und eher ein Thema für große Unternehmen oder Behörden. Jede Änderung bedeutete Wartungsfenster, Überstunden und das Risiko, dass nach dem Update nichts mehr so funktionierte wie zuvor. Eine stabile IT-Umgebung stand für Planungssicherheit und Zuverlässigkeit. Sie war Ausdruck guter Ingenieurskunst: robust, berechenbar und langlebig. Der Satz „Never touch a running system“ war deshalb nie ein Ausdruck von Bequemlichkeit, sondern stand als Symbol des Respekts vor komplexen Systemen. Falsch geworden ist dieser Leitsatz nicht – er stammt lediglich aus einer Zeit, in der die Rahmenbedingungen ganz andere waren.

Warum dieser Leitsatz heute zum Risiko werden kann

Was hat sich in den vergangenen 10 bis 15 Jahren verändert? Heute ist praktisch jedes IT-System mit dem Internet verbunden – direkt, weil Anwendungen Cloud-Dienste oder Online-Funktionen nutzen, oder indirekt, weil Server Teil eines vernetzten Unternehmens sind. Damit hat sich auch die Bedrohungslage grundlegend verändert.

Cyberangriffe sind längst keine Einzelfälle mehr. Hochautomatisierte Systeme durchsuchen das Internet permanent nach bekannten Schwachstellen, wie etwa die Cyberattacke auf die Deutsche Bahn im Februar 2026 gezeigt hat. Inzwischen werden sogar bislang unbekannte Sicherheitslücken gezielt ausgenutzt. Zwischen der Veröffentlichung einer Schwachstelle und den ersten Angriffen liegen häufig nur wenige Stunden. Hersteller reagieren darauf mit Sicherheitsupdates, die kurzfristig bereitgestellt werden. Die Aufgabe der Unternehmen besteht darin, diese Informationen im Blick zu behalten und notwendige Patches zeitnah einzuspielen.

Hinzu kommen regulatorische Anforderungen. Gesetze und Richtlinien wie KRITIS, NIS2 oder der Cyber Resilience Act verlangen einen nachweisbar sicheren Betrieb von IT-Systemen. Sicherheitsmaßnahmen sind damit nicht mehr nur eine technische Empfehlung, sondern zunehmend eine unternehmerische Pflicht.

Lesen Sie hierzu auch unsere Blog-Artikel zur neuen KRITIS-Verordnung:
Teil 1: Was Betreiber jetzt zur Meldepflicht wissen müssen
Teil 2: Warum Vorbereitung der wichtige Faktor ist

Kurz gesagt: IT-Betrieb ist heute kein abgeschlossener Zustand mehr, sondern ein kontinuierlicher Prozess.

Wie Unternehmen Veränderungen umsetzen und dabei die Kontrolle behalten

Regelmäßige Veränderungen bedeuten jedoch nicht, dass wahllos aktualisiert werden sollte. Professionelles IT-Management folgt klaren Prozessen. Ein strukturiertes Patch- und Update-Management sorgt dafür, dass Änderungen geplant erfolgen und nicht erst dann, wenn ein Sicherheitsvorfall zum Handeln zwingt. Neue Versionen werden nach Möglichkeit zunächst in Testumgebungen geprüft, bevor sie produktiv eingesetzt werden. Änderungen werden dokumentiert und bleiben jederzeit nachvollziehbar. Gleichzeitig werden kritische Systeme kontinuierlich überwacht, damit Probleme frühzeitig erkannt werden. Risiken werden bewertet, denn nicht jede Schwachstelle muss innerhalb weniger Minuten geschlossen werden. Entscheidend ist, dass sie bekannt ist und bewusst bewertet wird.

Viele Unternehmen holen sich dabei Unterstützung durch spezialisierte IT-Dienstleister. Die Verantwortung für den sicheren Betrieb verbleibt zwar immer beim Unternehmen selbst. Ein erfahrener Partner kann jedoch helfen, den Überblick zu behalten und Veränderungen kontrolliert umzusetzen.

Fazit: Nicht jede Veränderung ist ein Risiko – aber unterlassene Veränderungen können zu einem werden

„Never touch a running system“ war über Jahrzehnte ein sinnvoller Grundsatz. Heute reicht er allein jedoch nicht mehr aus. Stabilität und Veränderung sind längst kein Widerspruch mehr. Im Gegenteil: Eine moderne IT bleibt gerade deshalb stabil, weil sie kontinuierlich gepflegt wird. Regelmäßige Updates, Wartung und Sicherheitsmaßnahmen sorgen dafür, dass Systeme zuverlässig funktionieren und auch neuen Bedrohungen standhalten. Der größte Feind eines Unternehmens ist heute nicht die geplante Veränderung, sondern die ungeplante Störung. Wer seine IT regelmäßig pflegt, sorgt dafür, dass sie auch morgen noch zuverlässig läuft.

Sie möchten Veränderungen Ihrer IT-Struktur planen, um die neuen gesetzlichen Regularien zu erfüllen? Unsere NETHINKS-Experten unterstützen Sie gerne beim sicheren Aufbau und der Pflege Ihrer IT.