Patch-Management: Updates im Griff
Patch-Management für kleine Betriebe: welche Geräte Updates brauchen, wie schnell Sie patchen sollten und wie Sie den Überblick über alle Systeme behalten.
Patch-Management bedeutet, dass Updates für alle Geräte und Programme in Ihrem Betrieb geplant, zeitnah und nachvollziehbar eingespielt werden. Updates schließen Sicherheitslücken, die Angreifer sonst gezielt ausnutzen. Das BSI nennt das zeitnahe Einspielen von Updates an erster Stelle seiner wichtigsten Maßnahmen gegen Erpressungssoftware.
Warum «macht der Rechner doch automatisch» nicht reicht
Windows und Smartphones aktualisieren sich oft selbst. Vergessen werden dagegen Router, Firewall, Drucker, das Netzlaufwerk, die Telefonanlage, Branchensoftware oder die Website. Gerade diese Geräte hängen häufig direkt am Internet und sind deshalb beliebte Ziele. Eine einzige vergessene Firewall kann ausreichen, damit Angreifer ins Netz gelangen.
Was gutes Patch-Management ausmacht
- Es ist klar, wer für welche Geräte und Programme die Updates verantwortet, auch beim IT-Dienstleister.
- Sicherheitsupdates werden zügig installiert, kritische Lücken in Systemen mit Internetzugang sofort.
- Es gibt eine Übersicht, welche Geräte auf welchem Stand sind.
- Geräte ohne Updates vom Hersteller werden ersetzt oder vom Netz getrennt.
Der nächste Schritt
Fragen Sie Ihren IT-Dienstleister, welche Geräte er aktualisiert und welche nicht, und lassen Sie sich das schriftlich geben. Alles, was dann übrig bleibt, braucht eine verantwortliche Person in Ihrem Betrieb.
Begriffe
Ein Patch ist eine Korrektur für Software oder Firmware, häufig zum Schließen einer Schwachstelle. Patch-Management umfasst den gesamten Prozess: Informationen über neue Updates gewinnen, bewerten, testen, verteilen, Erfolg prüfen und dokumentieren. Im IT-Grundschutz-Kompendium beschreibt der Baustein OPS.1.1.3 «Patch- und Änderungsmanagement» die Anforderungen. In der DIN SPEC 27076 gehört das Installieren von Updates zu den TOP-Anforderungen, also zu den besonders gewichteten Punkten.
Patch-Management als Prozess
1. Überblick schaffen
Ohne Inventar kein Patch-Management. Erfasst werden müssen alle Systeme und Programme, die Updates benötigen:
- Betriebssysteme von Clients, Servern und mobilen Geräten,
- Anwendungen wie Browser, Office, PDF-Programme, Branchen- und Buchhaltungssoftware,
- Firmware von Router, Firewall, Switches, WLAN-Zugangspunkten, NAS, Druckern und Kameras,
- Webanwendungen wie Content-Management-Systeme, Shop und deren Erweiterungen,
- Hypervisor, Backup-Software und Fernwartungswerkzeuge.
Zu jedem Eintrag gehören Version, Verantwortliche, Update-Weg (automatisch, zentral verteilt, manuell) und das Ende der Herstellerunterstützung.
2. Informationen gewinnen
Hersteller veröffentlichen Sicherheitshinweise, oft zu festen Terminen. Für kritische Lücken veröffentlicht das BSI Warnungen; es lohnt sich, die Hinweise der wichtigsten eingesetzten Produkte zu abonnieren. Kennnummern wie CVE helfen, eine Lücke eindeutig zuzuordnen.
3. Bewerten und priorisieren
Nicht jedes Update ist gleich dringend. Das BSI empfiehlt, Updates zeitnah nach Veröffentlichung einzuspielen und dabei kritische Lücken sowie stark exponierte Software wie Firewalls oder Webserver vorrangig zu behandeln. Eine einfache Einteilung hilft:
- Sofort: Lücken, die bereits aktiv ausgenutzt werden, in Systemen mit Internetzugang (Firewall, VPN-Zugang, Mailserver, Website).
- Zeitnah: übrige Sicherheitsupdates für Clients, Server und Anwendungen.
- Geplant: Funktionsupdates und größere Versionswechsel, die Tests brauchen.
Legen Sie für jede Stufe eine Frist fest, die zu Ihrem Betrieb passt, und halten Sie diese schriftlich fest.
4. Testen und verteilen
Wo möglich, werden Updates zuerst auf einem oder wenigen Geräten eingespielt und erst danach breit verteilt. In kleinen Betrieben kann das ein Pilotrechner sein. Vor Updates kritischer Systeme wie Server oder Firewall gehört eine aktuelle Sicherung dazu, damit ein fehlerhaftes Update rückgängig gemacht werden kann. Zentrale Verteilung, etwa über ein Geräteverwaltungssystem, spart Zeit und macht den Stand sichtbar.
5. Erfolg prüfen und dokumentieren
Ein Update gilt erst als erledigt, wenn es auf allen betroffenen Systemen installiert und der Neustart erfolgt ist. Verwaltungskonsolen zeigen, welche Geräte hinterherhinken. Fehlgeschlagene Updates und bewusste Ausnahmen werden mit Grund und Termin dokumentiert.
Sonderfälle
Systeme ohne Herstellerunterstützung
Betriebssysteme und Geräte, für die es keine Sicherheitsupdates mehr gibt, sind ein dauerhaftes Risiko. Sie sollten ersetzt werden. Ist das kurzfristig nicht möglich, etwa bei einer Maschinensteuerung oder einem Spezialgerät, muss das System vom übrigen Netz getrennt und sein Internetzugang unterbunden werden. Die Ausnahme wird dokumentiert und regelmäßig überprüft.
Branchensoftware
Fachanwendungen werden oft vom Hersteller selbst aktualisiert, manchmal nur auf Anfrage. Klären Sie vertraglich, wie schnell Sicherheitsupdates bereitgestellt werden und wer sie einspielt. Verlangt eine Software veraltete Komponenten, zum Beispiel eine alte Datenbank- oder Java-Version, gehört das als Risiko auf den Tisch.
Websites und Webanwendungen
Content-Management-Systeme, Plugins und Themes sind häufige Einfallstore. Hier sollten automatische Sicherheitsupdates aktiv sein, ungenutzte Erweiterungen gelöscht und Updates regelmäßig kontrolliert werden.
Wenn es noch kein Update gibt
Nicht für jede Lücke ist sofort ein Patch verfügbar. Dann helfen vorübergehende Maßnahmen, die der Hersteller oder das BSI empfehlen, etwa eine Funktion abzuschalten, einen Dienst vom Internet zu nehmen oder den Zugriff einzuschränken.
Rollen und Verantwortung
In kleinen Betrieben liegt das Patch-Management häufig beim IT-Dienstleister. Der Vertrag sollte festhalten, welche Systeme umfasst sind, welche Fristen gelten und wie berichtet wird. Was nicht im Vertrag steht, etwa die Website bei einem anderen Anbieter oder die Telefonanlage, braucht eine eigene verantwortliche Person. Die Geschäftsleitung sollte sich regelmäßig einen kurzen Bericht über den Update-Stand geben lassen.
Einstieg in vier Wochen
Woche 1
Liste aller Systeme und Programme erstellen, die Updates brauchen, mit verantwortlicher Person und Update-Weg. Systeme ohne Herstellerunterstützung markieren.
Woche 2
Automatische Updates für Clients, Browser, Office-Programme und Smartphones aktivieren und prüfen, ob sie tatsächlich ankommen. Benachrichtigungen der Hersteller für Firewall, Router, NAS und Branchensoftware abonnieren.
Woche 3
Fristen für die drei Dringlichkeitsstufen festlegen und mit dem IT-Dienstleister abstimmen. Ausstehende Firmware-Updates von Netzwerkgeräten mit vorheriger Sicherung der Konfiguration einspielen.
Woche 4
Ersten Bericht über den Update-Stand erstellen, Ausnahmen dokumentieren und einen Plan für die Ablösung veralteter Systeme aufstellen. Danach wird der Bericht monatlich wiederholt.
Patch-Management messen
Einfache Kennzahlen machen den Stand sichtbar: Anteil der Geräte mit aktuellem Stand, Zahl der Systeme ohne Herstellerunterstützung, durchschnittliche Zeit bis zur Installation kritischer Updates. Schon eine monatliche Liste mit diesen drei Werten zeigt, ob der Prozess funktioniert.
Häufige Fragen
Wie schnell sollten Sicherheitsupdates installiert werden?
Das BSI empfiehlt, Updates zeitnah nach Veröffentlichung einzuspielen. Vorrang haben kritische Lücken und Systeme, die aus dem Internet erreichbar sind, etwa Firewall, VPN-Zugang oder Webserver.
Sollte man automatische Updates aktivieren?
Für Clients, Browser, Smartphones und viele Anwendungen ja, weil so Lücken ohne Verzögerung geschlossen werden. Bei Servern und kritischen Systemen ist eine geplante Installation mit vorheriger Sicherung oft besser.
Was tun mit Geräten, die keine Updates mehr bekommen?
Ersetzen. Wenn das kurzfristig nicht geht, das Gerät vom übrigen Netz trennen, den Internetzugang sperren und die Ausnahme mit Termin für die Ablösung dokumentieren.