Java 24 für Unternehmen: Sicherheitsneuerungen, die zählen
Java 24 bringt 24 gezielte Verbesserungen, die moderne Anwendungen sicherer und reaktionsschneller machen und ihren Betrieb vereinfachen, ohne dass sie komplett neu geschrieben werden müssen. Das am 18. März 2025 veröffentlichte Update setzt den planbaren sechsmonatigen Release-Rhythmus von Java fort und stellt sofort produktionsreife Builds für alle gängigen Plattformen bereit.
Was ist Java 24
Java 24 ist das Feature-Release der Java-Plattform vom März 2025. Es wird im Rahmen von OpenJDK entwickelt und als Referenzimplementierung von Java SE 24 bereitgestellt. Als Nicht-LTS-Release (Long-Term Support) soll es praktische Verbesserungen schon vor dem für September 2025 erwarteten nächsten Meilenstein mit Langzeitsupport liefern. Das Release verbindet mehr Produktivität für Entwickler mit Leistungsoptimierungen, höherer Stabilität und Sicherheitshärtung und orientiert sich damit an den heutigen Anforderungen von Unternehmen.
So funktioniert es
Neue Funktionen durchlaufen einen strukturierten Entwicklungsprozess namens JEP (Java Enhancement Proposal), in dem sie vor der Veröffentlichung getestet und verfeinert werden. Sobald sie stabil sind, fließen sie in den offiziellen General-Availability-Build ein, also genau den Code, den sowohl OpenJDK als auch kommerzielle Anbieter ausliefern. Java 24 folgte einem planbaren Zeitplan: Im Dezember 2024 wurde der Entwicklungsstand eingefroren, danach folgten mehrere Testphasen, und am 18. März 2025 erschien das Release. Dieser gleichbleibende Sechsmonatsrhythmus gibt Entwicklungsteams Planungssicherheit für ihre Upgrades. Unternehmen können produktionsreife Versionen für Linux, macOS und Windows herunterladen und sie in ihren bestehenden CI/CD-Pipelines validieren, bevor sie in Produktion gehen.
Was bei der Sicherheit neu ist
Java 24 bietet Schutz vor künftigen Bedrohungen durch Quantencomputer und führt dafür zwei neue kryptografische Algorithmen ein: ML-KEM (Module-Lattice-Based Key Encapsulation Mechanism) für den sicheren Schlüsselaustausch und ML-DSA (Module-Lattice-Based Digital Signature Algorithm) für digitale Signaturen. Diese Algorithmen entsprechen den NIST-Standards, die im Kontext jüngster Entwicklungen im Quantencomputing diskutiert werden, und bieten Entwicklern schon heute praktische Umsetzungsmöglichkeiten. Zudem enthält das Release eine neue Key Derivation Function API, die die Erzeugung und Verwaltung kryptografischer Schlüssel stärkt. Das ist besonders für den Schutz langlebiger Daten wichtig.
Zur Härtung der Plattform deaktiviert Java 24 den Security Manager dauerhaft. Diese veraltete Sicherheitsfunktion wurde durch wirksamere, moderne Kontrollmechanismen abgelöst. Die Plattform gibt nun Warnungen aus, wenn Code die gefährlichen Speicherzugriffsmethoden in sun.misc.Unsafe nutzt, die in der Vergangenheit eine Quelle von Schwachstellen und unvorhersehbarem Verhalten waren. Außerdem schafft Java 24 die Grundlage dafür, die Nutzung des Java Native Interface (JNI) in künftigen Releases einzuschränken, denn über JNI lassen sich die integrierten Schutzmechanismen von Java umgehen, was potenzielle Angriffsvektoren eröffnet.
Schließlich wurde der 32-Bit-x86-Port für Windows entfernt. Das mag nebensächlich wirken, doch ältere Plattformen bieten eine größere Angriffsfläche, weil sie weniger Sicherheitsupdates erhalten und sich in modernen Sicherheitsumgebungen schwerer überwachen lassen.
Leistung und Zuverlässigkeit
Java 24 bringt experimentelle Verbesserungen bei der Garbage Collection, mit denen Anwendungen große Anfragemengen effizienter bewältigen. Generational Shenandoah ist eine neue Garbage-Collector-Option, die Verzögerungen bei den Antwortzeiten verringern soll, während Compact Object Headers den Speicherverbrauch senken. Das ist besonders wertvoll, wenn Anwendungen Millionen kleiner Objekte erzeugen. Beide Funktionen zielen auf Dienste mit hohem Durchsatz, bei denen eine gleichbleibende Leistung das Nutzererlebnis unmittelbar beeinflusst.
Der Z Garbage Collector (ZGC) wurde vereinfacht: Sein älterer nicht generationaler Modus entfällt. Dadurch lässt er sich leichter konfigurieren und warten und konzentriert sich auf seine wirksamste Betriebsweise. Der G1 Garbage Collector, die Standardoption von Java, erhielt zudem Optimierungen bei der Barrier Expansion, die die Stabilität verbessern, wenn Anwendungen unter hoher Last stehen. Diese Verbesserungen helfen, Leistungseinbußen in Spitzenlastzeiten zu vermeiden.
Für rechenintensive Workloads wie Datenverarbeitung, Finanzberechnungen oder kryptografische Operationen nähert sich die Vector API weiter ihrer finalen Version. Mit dieser API können Anwendungen moderne CPU-Befehle nutzen, die mehrere Datenpunkte gleichzeitig verarbeiten. Das bringt mehr Leistung, ohne dass Entwickler ihre Anwendungslogik neu schreiben müssen.
Warum das Führungskräfte betrifft
Sicherere Standardeinstellungen senken das operative Risiko, während Entwicklungsteams auf einer modernen, supportfähigen Plattform produktiv bleiben. Optionen für Post-Quanten-Kryptografie lassen sich schon jetzt für Systeme evaluieren und pilotieren, die langlebige Daten verarbeiten oder in regulierten Branchen betrieben werden, und das ohne Beeinträchtigung bestehender Produktivumgebungen. Der planbare sechsmonatige Release-Rhythmus erlaubt es, Änderungen schrittweise in die Technologie-Roadmap aufzunehmen, statt teure und riskante Migrationsprojekte zu erzwingen.
Risiken und Realität
Java 24 ist ein Nicht-LTS-Release. Die meisten Unternehmen sollten es deshalb mit repräsentativen Workloads validieren, bevor sie es breit einführen, um das operative Risiko gering zu halten. Die Deaktivierung des Security Managers, die Entfernung des 32-Bit-x86-Ports für Windows und die Abkündigung des verbleibenden 32-Bit-x86-Ports können ältere Monitoring-Agenten, Anwendungsserver oder Legacy-Desktopanwendungen beeinträchtigen, wenn Abhängigkeiten nicht vorab erfasst wurden. Die angekündigten Einschränkungen für JNI und die Warnungen zu Unsafe-Methoden erfordern eine frühzeitige Abstimmung mit Softwareanbietern und internen Plattformteams, um die Kompatibilität sicherzustellen.
Was jetzt zu tun ist
Erfassen und bewerten Sie Ihre Java-Landschaft
Beginnen Sie mit einem Sicherheits-Code-Review und ermitteln Sie dabei, wo Java in Ihrer Infrastruktur läuft, welche Garbage-Collection-Modi derzeit im Einsatz sind und wo Abhängigkeiten von Security Manager, JNI oder Unsafe-Methoden bestehen. Dokumentieren Sie die Ergebnisse als Grundlage für die Migrationsplanung.
Evaluieren Sie Post-Quanten-Kryptografie in Testumgebungen
Testen Sie die neuen Post-Quanten-Algorithmen (ML-KEM, ML-DSA) und die Key Derivation Function API außerhalb der Produktion, insbesondere für Systeme, deren Daten über Jahre hinaus vertraulich bleiben müssen. Dokumentieren Sie Leistungsmerkmale und Erkenntnisse zur Kompatibilität als Grundlage für Entscheidungen über den Produktiveinsatz.
Benchmarken Sie experimentelle Funktionen unter realistischer Last
Testen Sie experimentelle Funktionen wie Generational Shenandoah oder geänderte ZGC-Konfigurationen unter realistischen Lastbedingungen. Vergleichen Sie Latenz- und Durchsatzwerte mit Ihren aktuellen Referenzwerten, um Verbesserungen oder Verschlechterungen zu beziffern.
Stimmen Sie Support-Zeitpläne mit Anbietern ab
Klären Sie mit den Anbietern Ihrer Java-Distribution die Support-Zeitpläne für Java 24 und die vierteljährlichen Update-Termine (etwa 24.0.2), um den Zugang zu Sicherheitspatches und Fehlerbehebungen sicherzustellen.
Drängende Fragen
Ist Java 24 ein LTS-Release?
Nein, Java 24 ist ein Feature-Release ohne LTS, das dem sechsmonatigen Release-Zyklus folgt. Es ist für die schrittweise Einführung und Evaluierung gedacht, bevor im September 2025 die nächste Version mit Langzeitsupport erscheint.
Wo zeigen sich die größten Änderungen bei der Sicherheit?
Zu den wichtigsten Änderungen bei der Sicherheit gehören Algorithmen für Post-Quanten-Kryptografie (ML-KEM und ML-DSA), die neue Key Derivation Function API, die dauerhafte Deaktivierung des Security Managers, Warnungen bei Unsafe-Speicherzugriffsmethoden sowie die Vorbereitung künftiger JNI-Einschränkungen.
Laufen bestehende Anwendungen weiterhin?
Die meisten Anwendungen laufen ohne Anpassungen weiter. Legacy-Komponenten oder Monitoring-Agenten, die auf den Security Manager, die Unterstützung für 32-Bit-x86-Windows, direkte JNI-Aufrufe oder Unsafe-Methoden angewiesen sind, sollten Sie jedoch frühzeitig prüfen, um mögliche Kompatibilitätsprobleme zu erkennen.
Wie schnell sollten Unternehmen umsteigen?
Unternehmen sollten mit gezielten Pilotprojekten beginnen, um Leistungsverbesserungen und Sicherheitsneuerungen in ihrer eigenen Umgebung zu bewerten. So sichern sie sich frühzeitig Vorteile, senken das Risiko und bereiten ihre Infrastruktur auf das nächste LTS-Release vor.
Wo erhalten Teams Java 24?
Entwicklungs- und Testteams können für eine erste Evaluierung die General-Availability-Builds von OpenJDK nutzen. Für verwaltete Produktivumgebungen bieten standardisierte Builds kommerzieller Java-Distributoren die Support- und Update-Garantien, die die meisten Unternehmen benötigen.
Das Wichtigste in Kürze
Java 24 vereint im Feature-Release vom März 2025 Sicherheitshärtung, quantenresistente Kryptografie und Leistungsverbesserungen der Laufzeitumgebung. Unternehmen, die diese Funktionen jetzt pilotieren, können künftige Risiken senken und schon vor dem nächsten Release mit Langzeitsupport messbare Gewinne bei Leistung und Sicherheit erzielen.