Was ist Patch-Management?

Kurz erklärt

Patch-Management ist der geregelte Prozess, mit dem ein Unternehmen Software-Updates für Geräte, Programme und Websites erfasst, prüft, zeitnah einspielt und dokumentiert. Ein „Patch“ ist ein Flicken: ein Update, das Fehler und vor allem Sicherheitslücken behebt. Patch-Management sorgt dafür, dass diese Flicken nicht nur verfügbar sind, sondern auch tatsächlich installiert werden.

Wie funktioniert Patch-Management?

Wird eine Sicherheitslücke bekannt, veröffentlicht der Hersteller ein Update. Ab diesem Moment kennen auch Angreifer die Schwachstelle und entwickeln oft rasch einen passenden Exploit. Jeder Tag, an dem das Update nicht installiert ist, ist ein Tag mit offener Tür. Gutes Patch-Management besteht aus wenigen, klaren Schritten:

1. Bestandsaufnahme: Welche Geräte, Betriebssysteme, Programme, Router, Drucker, Websites und Plugins sind im Einsatz?
2. Informationen sammeln: Wo und wann erscheinen Updates? Welche davon schließen kritische Lücken?
3. Priorisieren: Aus dem Internet erreichbare Systeme (Website, Fernzugang, Firewall, E-Mail) und aktiv ausgenutzte Lücken kommen zuerst.
4. Einspielen: Updates installieren, bei wichtigen Systemen vorher eine Datensicherung anlegen.
5. Kontrollieren und dokumentieren: Hat das Update funktioniert? Läuft alles? Eine kurze Notiz genügt.

Vieles lässt sich automatisieren: Windows, macOS, Browser und viele Programme aktualisieren sich auf Wunsch selbst. Kritischer sind Systeme, die niemand im Blick hat – etwa die Firmenwebsite, der Router oder ein alter Server im Abstellraum.

Ein häufiger Einwand lautet, dass Updates etwas kaputt machen könnten. Das kommt vor, ist aber meist rasch behoben, wenn vorher eine Sicherung angelegt wurde. Das Risiko, ein bekanntes Sicherheitsloch monatelang offen zu lassen, ist in der Regel deutlich größer. Setzt eine Fachanwendung, etwa eine Praxis- oder Kanzleisoftware, bestimmte Versionen voraus, stimmen Sie Updates mit dem Hersteller ab, statt sie dauerhaft aufzuschieben.

Ein typisches Beispiel aus dem KMU-Alltag

Ein Tischlereibetrieb mit 15 Mitarbeitenden hat die Updates auf den Büro-PCs automatisiert. Die WordPress-Website mit Referenzprojekten und Kontaktformular wurde dagegen vor Jahren von einem Bekannten eingerichtet. Seither wurden weder der WordPress-Core noch die Plugins aktualisiert, zwei Plugins werden vom Entwickler gar nicht mehr gepflegt. Über eine längst bekannte Lücke in einem Formular-Plugin wird die Website gekapert und für betrügerische Phishing-Seiten missbraucht. Der Hosting-Anbieter sperrt die Domain, und auch die E-Mails des Betriebs landen zunehmend im Spam.

So schützen Sie Ihr Unternehmen

• Liste anlegen: Erfassen Sie in einer einfachen Tabelle alle Geräte, Programme und Online-Dienste samt Zuständigkeit.
• Automatische Updates aktivieren: Für Betriebssysteme, Browser, Office und Virenschutz auf allen Arbeitsplätzen und Smartphones.
• Feste Termine einplanen: Zum Beispiel einmal pro Woche einen kurzen Update-Check für Website, Router und Server.
• Zuständigkeit klären: Ist es intern jemand, der IT-Dienstleister oder die Webagentur? Halten Sie das schriftlich fest, auch im Wartungsvertrag.
• Kritische Updates sofort: Warnt CERT.at vor einer aktiv ausgenutzten Lücke oder einer Zero-Day-Lücke, nicht bis zum nächsten Routinetermin warten.
• Altlasten ausmustern: Software ohne Herstellerunterstützung und nicht mehr gepflegte Plugins ersetzen oder entfernen.
• Vorher sichern: Vor größeren Updates ein Backup anlegen, damit Sie bei Problemen zurück können.

Patch-Management schützt vor einem großen Teil der Angriffe mit Malware und Ransomware. Für Unternehmen im Anwendungsbereich von NIS2 gehört der Umgang mit Schwachstellen zudem zu den vorgeschriebenen Risikomanagementmaßnahmen, und auch Cyberversicherungen fragen regelmäßig danach.

Was tun, wenn Updates lange liegen geblieben sind?

Spielen Sie fehlende Updates nicht nur nach, sondern lassen Sie bei aus dem Internet erreichbaren Systemen wie der Website prüfen, ob sie in der Zwischenzeit bereits angegriffen wurden. Hinweise sind unbekannte Benutzerkonten, fremde Dateien oder Warnungen von Suchmaschinen und Hosting-Anbieter.

Xcubitor wird künftig ausstehende WordPress-Core- und Plugin-Updates erkennen und das Update nach Ihrer Freigabe per WhatsApp anstoßen.