Der Ablauf im Patch-Management
- Inventar: Welche Geräte, Betriebssysteme und Programme gibt es überhaupt? Ohne vollständige Liste bleiben Lücken unentdeckt.
- Informieren: Herstellerhinweise und Sicherheitswarnungen laufend verfolgen.
- Bewerten: Wie kritisch ist die Lücke, und ist das System von außen erreichbar?
- Testen: Updates zuerst auf wenigen Geräten einspielen, bevor sie überall verteilt werden.
- Einspielen: nach Plan und in Wartungsfenstern, möglichst automatisiert.
- Kontrollieren: prüfen, ob das Update wirklich auf allen Geräten angekommen ist.
Was zuerst dran ist
Das BSI empfiehlt, Updates unmittelbar nach Bereitstellung einzuspielen und dabei kritische Lücken sowie von außen erreichbare Software wie Firewalls und Webserver vorzuziehen.[1] Für extern erreichbare Systeme soll das unverzüglich geschehen; wo kein Update verfügbar ist, sind Ersatzmaßnahmen zu dokumentieren.[2]
| Priorität | Systeme | Ziel |
|---|---|---|
| Sofort | Firewall, VPN, Mailserver, alles mit Zugang aus dem Internet | innerhalb von Stunden bis wenigen Tagen |
| Hoch | Server, Betriebssysteme der Arbeitsplätze, Browser | im nächsten Wartungsfenster |
| Normal | Fachanwendungen, Drucker, Netzwerkgeräte im Inneren | nach Test im regulären Zyklus |
Wie knapp die Zeit ist, zeigen NSA und CISA: Bekannte Schwachstellen in VPN-Geräten werden teils innerhalb von 24 Stunden nach Bekanntwerden ausgenutzt.[3] Unternehmen unter NIS2 müssen Sicherheit bei Beschaffung und Wartung einschließlich des Umgangs mit Schwachstellen ausdrücklich regeln.[4]
Beispiel aus der Praxis
Ein Großhandel mit 40 Arbeitsplätzen lässt Windows-Updates automatisch laufen, die Firewall aber wird seit Jahren „bei Gelegenheit“ aktualisiert. Im Patch-Management bekommt sie eine eigene Regel: Kritische Updates des Herstellers werden innerhalb von 48 Stunden eingespielt, nach Feierabend. Ein monatlicher Bericht zeigt, welche Geräte noch offen sind. Drei Monate später veröffentlicht der Hersteller eine kritische Lücke im VPN-Teil der Firewall; das Update ist am nächsten Morgen eingespielt.
Patch-Management vs. automatische Updates
| Automatische Updates | Patch-Management | |
|---|---|---|
| Umfang | meist nur Betriebssystem | alle Systeme, auch Firewall, Server, Fachsoftware |
| Priorisierung | keine | nach Kritikalität und Erreichbarkeit |
| Kontrolle | kaum | Bericht, welche Geräte offen sind |
| Umgang mit Ausfällen | Zufall | Test vorab und Rückfallplan |
Kurz gesagt
Patch-Management ist der feste Ablauf, mit dem Sicherheitsupdates erfasst, priorisiert, getestet, eingespielt und kontrolliert werden. Von außen erreichbare Systeme wie Firewall und VPN gehören an die erste Stelle, weil bekannte Lücken dort sehr schnell ausgenutzt werden.
Weiterlesen: Top IT-Sicherheitsmaßnahmen für Unternehmen, Firewall für kleine Firmen, Proaktive IT-Betreuung im Mittelstand