Patch-Management: So halten Sie Ihre IT immer aktuell

Mehr als 60 Prozent aller erfolgreichen Cyberangriffe nutzen bekannte Sicherheitslücken aus, für die bereits Patches verfügbar waren. Das Problem ist nicht das fehlende Update, sondern das fehlende System zum Verteilen von Updates.

Was ist Patch-Management?

Patch-Management bezeichnet den strukturierten Prozess der Identifikation, Priorisierung und Installation von Software-Updates und Sicherheits-Patches. Es umfasst Betriebssysteme, Anwendungen, Firmware von Netzwerkgeräten und Browser-Erweiterungen.

Die Herausforderung in der Praxis

Ein Unternehmen mit 20 Arbeitsplätzen hat vielleicht 50 verschiedene Softwareprodukte installiert, die alle regelmäßig Updates benötigen. Manuelles Patch-Management ist zeitaufwändig und fehleranfällig. Mitarbeitende klicken "Später erinnern" und das Update wird nie eingespielt.

Tools für automatisches Patch-Management

Microsoft Intune ermöglicht die zentrale Verwaltung von Windows-Updates für alle verwalteten Geräte. NinjaRMM und Atera sind RMM-Tools (Remote Monitoring and Management), die Patches für alle Softwareprodukte automatisch identifizieren und verteilen. WSUS (Windows Server Update Services) ist die klassische Microsoft-Lösung für Windows-Updates on-premises.

Patch-Prioritisierung nach Risiko

Nicht alle Patches sind gleich dringend. Kritische Sicherheitsupdates sollten innerhalb von 24 bis 48 Stunden eingespielt werden. Wichtige Updates innerhalb einer Woche. Empfohlene Updates im nächsten Wartungsfenster. Nutzen Sie CVSS-Scores, um die Kritikalität einzuschätzen.

Ein Rhythmus, der sich bewährt hat

• Kritische Sicherheitslücken: innerhalb weniger Tage, bei aktiver Ausnutzung sofort.
• Reguläre Updates: monatlich, zuerst in einer kleinen Testgruppe.
• Firmware von Firewall, Switches und Access Points: nach Herstellerhinweis, außerhalb der Arbeitszeit.
• Drittanbieter-Software wie PDF-Reader und Browser: automatisch und zeitnah.
• Server: geplante Wartungsfenster mit Backup vorab.

Wenn ein Update etwas kaputt macht

Die Sorge vor fehlerhaften Updates ist berechtigt, darf aber nicht dazu führen, Updates aufzuschieben. Die Lösung sind gestaffelte Verteilung und eine Möglichkeit zur Rücknahme: Erst eine kleine Gruppe, dann alle, mit einem Backup oder Snapshot vor jedem Server-Update. Ein Bericht zeigt, auf welchen Geräten Updates fehlen, damit keine Lücken unbemerkt bleiben.

Ein typisches Szenario

Ein häufiges Beispiel: Eine Sicherheitslücke in einem weit verbreiteten PDF-Programm wird bekannt, und Angreifer nutzen sie schon wenige Tage später aus. Ein Unternehmen ohne automatisches Patch-Management weiß nicht einmal, auf welchen Rechnern das Programm installiert ist. Mit zentraler Verwaltung zeigt eine Übersicht sofort alle betroffenen Geräte, das Update wird verteilt, und ein Bericht bestätigt am nächsten Morgen, dass alle Rechner aktualisiert sind. Aus einer hektischen Suche wird ein Routinevorgang.

So richten Sie ein automatisches Patch-Management ein

• Alle Geräte und installierten Programme erfassen.
• Testgruppe mit wenigen Geräten festlegen.
• Zeitfenster für Installation und Neustart definieren.
• Kritische Sicherheitsupdates beschleunigt freigeben.
• Berichte regelmäßig prüfen und Ausreißer nacharbeiten.
• Geräte ohne Herstellerunterstützung austauschen.

Aufwand realistisch einschätzen

Die Einrichtung dauert für kleine Umgebungen meist ein bis zwei Tage, abhängig davon, wie viele unterschiedliche Programme im Einsatz sind. Danach läuft der größte Teil automatisch. Laufender Aufwand entsteht vor allem bei Geräten, die lange ausgeschaltet waren, und bei Fachprogrammen, deren Updates manuell geprüft werden müssen. Microsoft veröffentlicht seine regulären Sicherheitsupdates am zweiten Dienstag jedes Monats, was die Planung erleichtert.

Nicht vergessen: Firmware und Netzwerkgeräte

Patch-Management endet nicht bei Windows und Programmen. Firewalls, Router, Switches, WLAN-Access-Points, Drucker und NAS-Systeme haben eigene Firmware, die ebenfalls Sicherheitslücken enthalten kann. Gerade Geräte, die aus dem Internet erreichbar sind, wie Firewalls und VPN-Gateways, werden gezielt angegriffen. Viele Hersteller bieten inzwischen automatische Prüfungen oder zentrale Verwaltungsportale. Wo das fehlt, gehört eine feste monatliche Kontrolle in den Wartungsplan. Geräte ohne Herstellerunterstützung sollten zügig ersetzt werden.

Kurz zusammengefasst

• Nicht nur Windows, auch Programme brauchen Updates.
• Erst in einer Testgruppe, dann flächendeckend.
• Kritische Lücken schneller schließen als den Rest.
• Berichte zeigen, wo nachgearbeitet werden muss.

Fazit

Automatisches Patch-Management ist eine der kosteneffizientesten Sicherheitsmaßnahmen. Die Investition in ein RMM-Tool amortisiert sich schnell durch eingesparte manuelle Arbeit und verhinderte Sicherheitsvorfälle.