JBoss EAP 7 Extended Support: Was Lizenzkosten und Audits wirklich kosten
Red Hat Extended Life Support kostet bis zu 50 % Aufschlag. Dazu kommen Audit-Aufwand, manuelle Patches und Eskalationen. Eine Kostenrechnung.
Red Hat Extended Life Support (ELS) für JBoss EAP 7 kostet je nach Vertrag 25 bis 50 Prozent mehr als die Standard-Subscription. Das ist der sichtbare Teil. Der unsichtbare Teil - manuelle Patch-Backports, steigende Audit-Vorbereitungszeiten, erhöhte Incident-Risiken - summiert sich in regulierten Umgebungen auf ein Vielfaches davon.
Was Extended Life Support tatsächlich kostet
Red Hat listet ELS als kostenpflichtigen Aufschlag auf die laufende Subscription. Für mittelgroße Deployments mit mehreren Produktionsinstanzen bewegt sich dieser Aufschlag typischerweise zwischen 8.000 und 25.000 Euro pro Jahr und Umgebung - je nach Anzahl der Sockets, dem gewählten Support-Level und dem Vertragsvolumen.
Die Basisformel lautet: Wer heute eine Standard-JBoss-EAP-Subscription mit 20.000 Euro pro Jahr zahlt, landet im ELS-Modus bei 25.000 bis 30.000 Euro - für denselben Funktionsumfang, aber mit eingeschränktem Patch-Scope und ohne Weiterentwicklung auf der Plattform-Seite.
Laut Red Hat-Preislisten aus 2024/2025 sind ELS-Aufpreise für ältere Plattformen strukturell verankert. Sie reflektieren den höheren internen Aufwand für Security Backports auf veralteten Codebasen.
Versteckte Kosten: Audit-Vorbereitung
Unternehmen in regulierten Branchen - KRITIS, Finanzdienstleistungen, Gesundheitswesen - unterschätzen systematisch den Engineering-Aufwand, der durch Audits entsteht, wenn die Plattform nicht mehr aktiv weiterentwickelt wird.
Typische Zahlen aus Projekten: Ein Audit-Zyklus, der auf einer modernen, aktiv gepflegten Plattform zwei Wochen Vorbereitungszeit benötigt, dauert auf einer ELS-Umgebung vier bis sechs Wochen. Der Grund: Kontrollen lassen sich nicht automatisiert nachweisen, Patches müssen manuell nachverfolgt werden, und Ausnahmen für nicht behobene CVEs müssen einzeln dokumentiert werden.
Bei einem Stundensatz von 90 Euro für Senior-Engineers und einem zusätzlichen Aufwand von 80 Stunden pro Audit-Zyklus ergibt sich allein für die Audit-Vorbereitung ein versteckter Kostenbetrag von 7.200 Euro pro Audit-Runde - zusätzlich zu den Lizenzkosten.
Mehr zum Thema auditierbare Plattformarchitektur: Warum auditierbare IT-Plattformen in regulierten Umgebungen wichtig sind
Manuelle Patch-Backports: der unterschätzte Aufwand
JBoss EAP 7 erhält im ELS-Modus keine regulären Patch-Releases mehr. Red Hat liefert Security Backports - aber selektiv, zeitverzögert und ohne die Integration in automatisierte Update-Pipelines, die bei aktuellen Versionen funktioniert.
Das bedeutet konkret: Jeder Patch muss intern bewertet werden. Ist er anwendbar? Verändert er Verhalten? Müssen Anwendungen neu getestet werden? Diese Bewertung kostet bei einem mittelgroßen Deployment mit fünf bis zehn Applikationen zwischen vier und zwölf Stunden pro Patch-Zyklus.
Bei zwölf Patch-Zyklen pro Jahr und einem durchschnittlichen Aufwand von acht Stunden ergibt sich ein jährlicher Betrieb-Overhead von rund 96 Engineering-Stunden - allein für Patch-Management. Bei einem Stundensatz von 90 Euro: 8.640 Euro.
Diese Zahl steigt, sobald ein Patch kritische Abhängigkeiten betrifft oder Nachfolgefehler durch die Anpassung entstehen. Details zu den Lifecycle-Risiken: JBoss EAP 7 Extended Lifecycle: Was das Supportende konkret bedeutet
Break-even-Analyse: Bleiben vs. Migrieren
Die entscheidende Frage ist nicht, ob Extended Support teuer ist. Die Frage ist, wann Migration günstiger wird als Weiterverbleib.
Eine vereinfachte Rechnung für ein mittleres Deployment (zehn Applikationen, zwei Umgebungen, ein Produktions-Cluster):
| Kostenpunkt | Bleiben (ELS, 12 Monate) | Einmalig (Migration) |
|---|---|---|
| Lizenzaufschlag | 15.000 - 25.000 € | entfällt nach Migration |
| Audit-Mehraufwand | 7.000 - 14.000 € | 2.000 - 4.000 € (Übergangsphase) |
| Patch-Management | 7.000 - 12.000 € | sinkt auf nahezu null |
| Incident-Risiko (kalkulatorisch) | 5.000 - 20.000 € | deutlich niedriger |
| Gesamtkosten p.a. | 34.000 - 71.000 € | - |
| Migrationskosten (einmalig) | - | 40.000 - 120.000 € |
Der Break-even liegt je nach Deploymentgröße und Vertragsstruktur bei zwölf bis 24 Monaten. Wer bis Oktober 2027 warten muss und danach auf einer ungepatchten Plattform produziert, zahlt das Mehrfache.
Was Compliance-Prüfer bei ELS-Umgebungen sehen
ISO 27001- und BSI IT-Grundschutz-Prüfer dokumentieren seit 2024 verstärkt, dass ELS-Umgebungen erhöhte Nachweispflichten erzeugen. Der Kern: Wenn eine Komponente nicht mehr aktiv gepflegt wird, muss die Organisation kompensatorische Maßnahmen nachweisen - und diese Nachweise regelmäßig aktualisieren.
Das führt zu einem Eskalationsmuster: Die erste Audit-Runde auf einer ELS-Plattform kostet noch wenig Mehraufwand. Die zweite und dritte Runde werden teurer, weil die CVE-Liste länger wird, die Ausnahmedokumentationen umfangreicher werden und Prüfer zunehmend kritische Rückfragen stellen.
Nach BSI-Empfehlung sollten Organisationen für Software ohne aktiven Herstellersupport entweder eine klare Migrationsplanung oder einen validen Kompensationsnachweis vorweisen können. Beides kostet Zeit und Geld.
Wie Configuration Drift in ELS-Umgebungen die Compliance-Risiken weiter verschärft: JBoss EAP 7: Configuration Drift und Compliance-Risiken
Gesamtbetrachtung: Sichtbare und unsichtbare Kosten
Die Gesamtkosten eines JBoss EAP 7 ELS-Betriebs setzen sich aus mindestens vier Komponenten zusammen:
- Lizenz-Aufschlag (direkt sichtbar in der Rechnung)
- Engineering-Overhead für Patch-Bewertung und -Anwendung
- Audit-Vorbereitung und Compliance-Dokumentation
- Kalkulatorisches Risiko für Sicherheitsvorfälle auf ungepatchter Basis
Wer nur Punkt 1 sieht, unterschätzt die Gesamtbelastung um den Faktor drei bis fünf. Die Lizenzkosten sind der kleinste Teil des Problems.
Eine vollständige Kostenbewertung für Ihr Deployment gibt es im SPAS Plattform-Check - kostenlos, in 15 bis 30 Minuten.
FAQ
Wie hoch ist der ELS-Aufschlag genau?
Red Hat berechnet für Extended Life Support typischerweise 25 bis 50 Prozent auf die bestehende Subscription. Der genaue Wert hängt vom Vertragsvolumen, der Laufzeit und dem gebuchten Support-Level ab.
Kann man ELS-Kosten durch Open-Source-Alternativen umgehen?
Teilweise. WildFly als Community-Distribution ist kostenlos, bietet aber keinen Support-SLA und keinen strukturierten Security-Patch-Prozess. Für regulierte Umgebungen ist das kein vollwertiger Ersatz.
Ab wann lohnt sich die Migration finanziell?
Bei den meisten mittleren Deployments liegt der Break-even zwischen zwölf und 24 Monaten. Je früher die Migration beginnt, desto geringer ist der Kostendruck durch last-minute Eskalationen. Details zur Planung: Countdown bis Oktober 2027
Welche Kosten entstehen durch einen Security-Vorfall auf ELS?
Schwer pauschal zu beziffern. In regulierten Branchen beginnen Incident-Response-Kosten bei 15.000 bis 30.000 Euro und steigen bei meldepflichtigen Vorfällen nach NIS2 erheblich.
Gibt es Fördermittel für die Migration?
Für Behörden und KRITIS-Betreiber gibt es in Einzelfällen Förderprogramme, insbesondere im Rahmen der IT-Sicherheitsinfrastruktur. Konkrete Verfügbarkeit ist projektspezifisch und regional unterschiedlich.
Wenn Sie die Lizenz- und Supportkosten Ihrer JBoss-EAP-7-Umgebung transparent bewerten wollen: SPAS Overview von Lennlay zeigt, wie eine auditierbare Plattform die Betriebskosten strukturell senkt.