JBoss EAP 7: Der Countdown bis Oktober 2027 läuft

Oktober 2027: Ab diesem Datum liefert Red Hat keine Security Patches mehr für JBoss EAP 7 - auch nicht im Extended Life Support. Wer dann noch auf EAP 7 produziert, betreibt einen ungepatchten Application Server ohne Herstellerunterstützung. Für regulierte Umgebungen ist das kein theoretisches Risiko, sondern ein Compliance-Problem mit messbaren Konsequenzen.

Wer heute, im Mai 2026, noch keine Migrationsplanung gestartet hat, hat noch 17 Monate. Das klingt nach viel. Es ist wenig.

Warum 17 Monate knapp sind

Eine realistische JBoss-EAP-Migration in einer regulierten Produktionsumgebung mit zehn oder mehr Applikationen umfasst mindestens diese Phasen:

Bestandsaufnahme und Assessment (6-10 Wochen): Inventarisierung aller Deployments, Abhängigkeiten, Konfigurationsabweichungen, nicht-standardisierten Classloader-Setups und Drittbibliotheken.
Zielplattform-Entscheidung und Proof of Concept (8-12 Wochen): Pilotmigration einer repräsentativen Applikation, Bewertung von Laufzeitunterschieden, Security-Mapping.
Pilotmigration produktionskritischer Applikationen (12-20 Wochen): Vollständige Migration der ersten zwei bis drei Anwendungen inkl. Testabdeckung, Lasttest und Abnahme.
Rollout (16-24 Wochen): Migrierung des restlichen Portfolios, paralleler Betrieb alter und neuer Umgebung, schrittweise Abschaltung der EAP-7-Instanzen.

Das ergibt einen Gesamtzeitraum von 42 bis 66 Wochen - also zehn bis 16 Monate für eine vollständige Migration. Ohne Puffer. Ohne Urlaubszeiten. Ohne unerwartete Deployment-Probleme.

Wer noch nicht gestartet hat, ist bereits hinter dem Zeitplan.

Der Rückwärts-Zeitplan: Was bis wann passieren muss

Ausgehend von einem harten Cutoff im September 2027 (einen Monat vor dem Supportende, um Puffer zu haben):

Meilenstein	Spätester Termin
Bestandsaufnahme abgeschlossen	Q3 2026 (September 2026)
Zielplattform entschieden, PoC abgeschlossen	Q4 2026 (November 2026)
Erste produktionskritische Applikation migriert	Q1 2027 (Februar 2027)
50 % des Portfolios migriert	Q2 2027 (Mai 2027)
Vollständiger Rollout, paralleler Betrieb abgeschlossen	Q3 2027 (August 2027)
EAP 7 Abschaltung	September 2027

Jeder dieser Meilensteine hat Abhängigkeiten. Wenn das Assessment im November 2026 fertig wird statt im September, verschiebt sich alles um zwei Monate - und der Puffer ist weg.

Wie frühzeitig gestartete Organisationen heute stehen

Organisationen, die 2024 mit der Migrationsplanung begonnen haben, haben heute einen strukturellen Vorteil: Sie haben ihren PoC abgeschlossen, kennen ihre Zielplattform und sind mitten in der schrittweisen Applikationsmigration. Sie haben Puffer für unerwartete Probleme. Und sie zahlen weniger - weil sie ohne Zeitdruck Angebote verhandeln und Migrationskapazitäten sorgfältig auswählen können.

Organisationen, die jetzt erst starten, haben diesen Vorteil nicht mehr. Sie konkurrieren ab sofort mit allen anderen Unternehmen in derselben Situation um dieselben knappen JBoss-Spezialisten. Externe Migrations-Teams und Beratungskapazitäten werden bis 2027 zunehmend ausgebucht sein.

Laut Beobachtungen aus dem Markt steigen die Tagessätze für erfahrene JBoss-Migrationsberater in 2026 bereits spürbar an - ein direktes Ergebnis der wachsenden Nachfrage bei gleichbleibendem Angebot. Mehr dazu: JBoss EAP 7: Wenn das Know-how fehlt, das niemand mehr lernt

Was nach Oktober 2027 passiert

Nach dem Supportende liefert Red Hat keine Security Patches mehr für JBoss EAP 7. Das bedeutet konkret:

Neue CVEs bleiben offen. Jede neu entdeckte Schwachstelle in EAP 7, WildFly-Komponenten, Undertow oder den gebündelten Bibliotheken wird nicht mehr behoben. Die Anzahl offener CVEs wächst monatlich.
Keine Compliance-Abdeckung mehr. BSI IT-Grundschutz, ISO 27001 und NIS2 verlangen den Einsatz von Software mit aktivem Herstellersupport oder explizit definierten Kompensationsmaßnahmen. Ein ungepatchter EAP 7 ohne Support ist keine akzeptable Kompensationsmaßnahme.
Kein Support-SLA. Incidents auf Plattformebene können nicht mehr eskaliert werden. Produktionsprobleme sind ausschließlich intern zu lösen.
Prüfungsrisiko. Externe Auditoren werden Software ohne aktiven Herstellersupport als Schwachstelle im Risikomanagement dokumentieren. Das erzeugt Nachbesserungsauflagen - mit Fristen.

Mehr zum Scope der Risiken nach Supportende: JBoss EAP 7 Extended Lifecycle: Was das Supportende konkret bedeutet

Die Kosten einer Last-Minute-Migration

Last-minute bedeutet im Kontext JBoss EAP 7: Migration, die in Q2 oder Q3 2027 noch läuft oder gerade gestartet wird.

Die messbaren Mehrkosten im Vergleich zu einer frühzeitig geplanten Migration:

Spezialistenkosten: 20 bis 40 Prozent höhere Tagessätze durch Marktknappheit und Zeitdruck.
Überstunden und Wochenendarbeit: Teams, die unter Termindruck stehen, arbeiten teurer - und machen mehr Fehler.
Verlängerte ELS-Lizenzlaufzeiten: Wer die Deadline reißt, zahlt Extended Life Support bis in den Panikzeitraum hinein.
Erhöhtes Rollback-Risiko: Migrationen ohne ausreichende Testzeit erzeugen häufiger Produktionsprobleme, die im schlechtesten Fall einen Rollback erfordern.
Doppelter Infrastruktur-Betrieb: Paralleler Betrieb alter und neuer Umgebung kostet Infrastrukturressourcen. Wer spät migriert, betreibt beide Umgebungen länger.

Eine grobe Schätzung: Eine Migration, die unter Zeitdruck in Q3 2027 abgeschlossen werden muss, kostet im Durchschnitt 35 bis 55 Prozent mehr als dieselbe Migration, die geplant in 2026 oder frühem 2027 abgeschlossen wird. Mehr zur Kapazitäts- und Kostenseite: JBoss EAP 7: Wenn Teams schon an der Kapazitätsgrenze sind

Was ein konkreter Aktionsplan heute aussieht

Wer noch nicht gestartet hat, sollte jetzt eine klare Sequenz einhalten:

Schritt 1 - Sofort (Mai/Juni 2026): Bestandsaufnahme beauftragen. Inventarisierung aller JBoss-EAP-7-Instanzen: Wie viele Deployments, welche Applikationen, welche Abhängigkeiten, welche Konfigurationsabweichungen vom Standard? Dieses Assessment kann intern oder extern durchgeführt werden - aber es muss stattfinden, bevor irgendeine Migrationsentscheidung sinnvoll ist.

Schritt 2 - Q3 2026: Zielplattform entscheiden. EAP 8, Quarkus, WildFly oder eine alternative Laufzeit? Diese Entscheidung beeinflusst die gesamte Migrationsarchitektur. Sie sollte nicht unter Zeitdruck fallen. Welche Optionen es gibt und was sie voraussetzen: JBoss EAP 7: Drei Wege aus dem Extended Support

Schritt 3 - Q4 2026: Proof of Concept und erste Applikation. Pilotmigration einer mittelkomplexen Applikation auf der Zielplattform. Das liefert belastbare Erkenntnisse über Classloading-Unterschiede, Security-Mapping, Testaufwände und Deployment-Prozesse.

Schritt 4 - Q1/Q2 2027: Rollout des Portfolios. Schrittweise Migration nach Priorität: kritische Applikationen zuerst, weniger kritische danach. Paralleler Betrieb beider Umgebungen bis zur vollständigen Abnahme.

Schritt 5 - Q3 2027: EAP 7 Abschaltung. Vollständige Stilllegung der EAP-7-Instanzen, Archivierung der Konfigurationen, Abschluss der Audit-Dokumentation.

Wer jetzt den ersten Schritt macht, hat noch Spielraum

Der einzige Vorteil gegenüber einer laufenden Panik-Migration: Wer heute startet, hat noch 17 Monate und kann mit einem strukturierten Assessment beginnen, ohne sofort unter Termindruck zu stehen.

Wie eine auditierbare Plattformarchitektur auf der Zielseite aussieht: Warum auditierbare IT-Plattformen in regulierten Umgebungen wichtig sind

Ein kostenloser Plattform-Check liefert in 15 bis 30 Minuten eine erste Einschätzung: Wo steht Ihr Deployment heute, welche Schritte sind sinnvoll, was ist der realistische Zeitplan? Zum SPAS Plattform-Check

FAQ

Wann endet JBoss EAP 7 Extended Life Support genau?

Red Hat hat das Ende des Extended Life Support für JBoss EAP 7 auf Oktober 2027 festgelegt. Danach gibt es keine Security Patches, keine Support-SLAs und keine offiziellen Bugfixes mehr.

Kann man nach Oktober 2027 trotzdem auf EAP 7 weiterbetreiben?

Technisch ja. Rechtlich und compliance-seitig ist das in regulierten Umgebungen kaum vertretbar. NIS2, ISO 27001 und BSI IT-Grundschutz verlangen aktiv gepflegte Software oder explizite Kompensationsmaßnahmen, die regelmäßig auditiert werden müssen.

Was ist der erste sinnvolle Schritt?

Ein strukturiertes Assessment des aktuellen Deployments: Wie viele Instanzen, welche Applikationen, welche Konfigurationsabweichungen. Ohne diese Basis lässt sich weder ein Zeitplan noch ein Budget realistisch schätzen. Mehr zu den Lizenz- und Audit-Kosten: JBoss EAP 7 Extended Support: Was Lizenzkosten und Audits wirklich kosten

Wie lange dauert eine typische JBoss-EAP-7-Migration?

Für ein Portfolio von zehn oder mehr Applikationen in einer regulierten Produktionsumgebung sind zehn bis 16 Monate realistisch - ohne größere Verzögerungen. Einfache Umgebungen mit drei bis fünf Applikationen können in vier bis acht Monaten migriert werden.

Was passiert, wenn wir die Deadline reißen?

Der Weiterbetrieb auf einer ungepatchten Plattform ist möglich, erzeugt aber sofortige Compliance-Mängel, die in externen Audits dokumentiert werden. Dazu kommen steigende Sicherheitsrisiken durch akkumulierte, nicht behobene CVEs. Incident-Kosten in regulierten Branchen beginnen bei 15.000 Euro und steigen je nach Meldepflicht erheblich.