Legacy Code bezeichnet gewachsenen Quelltext oder ganze Altsysteme, die produktiv im Einsatz sind, sich aber schwer warten, verstehen oder erweitern lassen. Alter allein ist nicht das Kriterium: Entscheidend sind fehlende Tests, fehlende Dokumentation, veraltete Bibliotheken und die Tatsache, dass die ursprünglichen Entwickler nicht mehr verfügbar sind. Typische Symptome sind lange Vorlaufzeiten für kleine Änderungen, Angst vor Aktualisierungen und Nebenwirkungen an unerwarteten Stellen.
Wirtschaftlich beschreibt das der Begriff technische Schuld: Jede abgekürzte Lösung von damals verzinst sich in Form von Mehraufwand bei jeder späteren Änderung. Riskant wird Legacy Code vor allem sicherheitsseitig, weil Frameworks und Bibliotheken ohne Herstellerunterstützung öffentlich bekannte Schwachstellen behalten, für die es keine Korrekturen mehr gibt.
Für die Ablöse gibt es zwei Wege: die schrittweise Erneuerung einzelner Bereiche im laufenden Betrieb oder die vollständige Neuentwicklung, die kalkulierbar erscheint und in der Praxis regelmäßig teurer und länger ausfällt als geplant. Datenschutz- und sicherheitsrechtlich lässt sich der Zustand nicht endlos aussitzen, denn die Pflicht zu angemessenen technischen Maßnahmen nach dem Stand der Technik gilt fortlaufend (Art. 32 DSGVO).