Was ist Patch-Management?

Patch-Management einfach erklärt

Ein Patch – wörtlich „Flicken“ – ist ein Update, das einen Fehler in einer Software behebt. Viele Patches schließen Sicherheitslücken. Hersteller veröffentlichen sie laufend: für Betriebssysteme und Programme, aber auch für Router, Firewalls, Drucker und Industriesteuerungen.

Ein Vergleich: Patch-Management ist wie die Wartung einer Fahrzeugflotte. Es reicht nicht, wenn jemand gelegentlich Öl nachfüllt. Sie brauchen eine Liste aller Fahrzeuge, feste Wartungstermine, klare Zuständigkeiten – und einen Plan für Rückrufaktionen, die sofort erledigt werden müssen.

Genau darum geht es: Updates nicht nach Gefühl einspielen, sondern systematisch. So wird kein Gerät vergessen, und die gefährlichsten Lücken werden zuerst geschlossen.

So funktioniert Patch-Management

Gutes Patch-Management ist ein wiederkehrender Kreislauf:

1. Inventar: Sie können nur aktualisieren, was Sie kennen. Grundlage ist ein vollständiges Verzeichnis aller Geräte, Programme und Versionen – einschließlich Firewalls, VPN-Zugängen und Firmware, also der fest in Geräte eingebauten Software.
2. Informieren: Zuständige verfolgen Sicherheitsmeldungen der Hersteller und Warnungen des BSI. Bekannte Lücken tragen eine eindeutige Kennung, die CVE-Nummer.
3. Bewerten: Der CVSS-Wert, eine Punktzahl von 0 bis 10, gibt eine erste Einordnung, wie schwer eine Lücke wiegt. Ebenso wichtig: Ist das System aus dem Internet erreichbar? Wird die Lücke bereits aktiv ausgenutzt?
4. Testen: Updates für kritische Systeme werden zuerst in einer Testumgebung oder bei einer kleinen Gruppe erprobt, um Ausfälle zu vermeiden.
5. Einspielen: Updates werden nach festen Fristen verteilt – bei aktiv ausgenutzten Lücken in internetnahen Systemen sofort, sonst im regulären Rhythmus.
6. Kontrollieren: Regelmäßige Schwachstellenscans, also automatische Prüfungen auf bekannte Lücken, zeigen, wo Updates fehlen oder fehlgeschlagen sind.

Für Systeme, die sich nicht aktualisieren lassen – etwa alte Maschinensteuerungen oder Software ohne Herstellerunterstützung –, braucht es Ersatzmaßnahmen: Abschottung im Netz, eingeschränkte Zugriffe und einen geplanten Austausch.

Ein Beispiel aus der Praxis

Ein Großhändler spielt die Updates für Arbeitsplatzrechner und Server zuverlässig über eine zentrale Verwaltung ein. Für die Firewall und das VPN-Gateway, über das Beschäftigte von unterwegs arbeiten, fühlt sich dagegen niemand zuständig. Als der Hersteller eine kritische Lücke im VPN-Gateway meldet, bleibt das Update liegen.

Eine Schwachstellenanalyse deckt die Lücke auf. Die Auswertung der Protokolle zeigt keine Spuren eines Einbruchs. Das Unternehmen spielt das Update ein, ergänzt das Inventar um alle Netzwerkgeräte und legt fest: Für Systeme, die aus dem Internet erreichbar sind, gelten bei kritischen Lücken besonders kurze Fristen.

Warum ist das für Unternehmen wichtig?

Viele erfolgreiche Angriffe nutzen Schwachstellen aus, für die längst ein Update verfügbar war. Sobald ein Hersteller eine Lücke veröffentlicht, beginnt ein Wettlauf: Angreifer analysieren das Update, entwickeln Angriffswerkzeuge – sogenannte Exploits – und durchsuchen das Internet automatisiert nach verwundbaren Systemen.

Besonders gefährdet sind Systeme am Rand des Netzes wie VPN-Gateways, Firewalls, Mailserver und Webanwendungen. Sie sind direkt aus dem Internet erreichbar und deshalb ein bevorzugtes Ziel.

Auch Regelwerke verlangen einen geordneten Umgang mit Schwachstellen. NIS2 zählt ihn ausdrücklich zu den Maßnahmen des Risikomanagements. ISO/IEC 27001:2022 enthält in Anhang A die Maßnahme 8.8 zum Umgang mit technischen Schwachstellen, und das IT-Grundschutz-Kompendium des BSI widmet dem Patch- und Änderungsmanagement einen eigenen Baustein.

Gegen Zero-Day-Lücken, für die es noch kein Update gibt, hilft Patch-Management zunächst nicht. Hier kommt es auf Härtung an, also das Abschalten unnötiger Funktionen und sichere Grundeinstellungen, und auf eine Aufteilung des Netzes in getrennte Bereiche. Sobald der Hersteller ein Update liefert, entscheidet wieder das Patch-Management, wie schnell die Lücke geschlossen ist.

So schützen Sie sich

• Vollständiges Inventar: Erfassen Sie alle Systeme – auch Netzwerkgeräte, Firmware und Software von Drittanbietern.
• Klare Zuständigkeiten: Legen Sie für jedes System fest, wer für Updates verantwortlich ist.
• Fristen nach Kritikalität: Bestimmen Sie, wie schnell kritische, hohe und mittlere Lücken geschlossen werden – mit Vorrang für internetnahe Systeme.
• Notfallprozess: Planen Sie, wie Sie bei aktiv ausgenutzten Lücken außerhalb des regulären Rhythmus reagieren.
• Altsysteme absichern: Isolieren Sie Systeme ohne Herstellerunterstützung und planen Sie ihre Ablösung.
• Erfolg kontrollieren: Prüfen Sie mit regelmäßigen Schwachstellenscans, ob die Updates tatsächlich angekommen sind.

Wie Rootsektor unterstützt

Mit einer Schwachstellenanalyse zeigen wir Ihnen, wo in Ihrem Netzwerk Updates fehlen oder veraltete Software läuft – mit verifizierten und priorisierten Befunden statt langer Scannerlisten. So sehen Sie, ob Ihr Patch-Management in der Praxis funktioniert und wo Sie nachsteuern sollten. Nach der Behebung prüfen wir die geschlossenen Schwachstellen in einem kostenlosen Retest. Ein Festpreisangebot nach dem Scoping können Sie über unser Pentest-Angebot anfordern.