Patch-Management ist der geordnete Prozess, Software-Updates zu bewerten, zu testen und auszurollen — für Betriebssysteme, Anwendungen, Firmware und Netzwerkgeräte. Sein Zweck ist doppelt: Sicherheitslücken schließen, bevor sie ausgenutzt werden, und Systeme stabil und supportfähig halten.
Die Dringlichkeit hat sich verschärft: Zwischen Veröffentlichung einer Schwachstelle und ihrer massenhaften Ausnutzung liegen oft nur Tage, bei kritischen Lücken in Edge-Geräten Stunden. Ungepatcht erreichbare Systeme — VPN-Gateways, Firewalls, Exchange — gehören zu den häufigsten Einstiegspunkten realer Angriffe.
Der Prozess: von der Meldung bis zum Rollout
Wirksames Patch-Management beginnt mit Sichtbarkeit: ein aktuelles Inventar aller Systeme samt Versionsständen. Neue Patches werden nach Risiko priorisiert — Ausnutzbarkeit (steht die Lücke im KEV-Katalog aktiv ausgenutzter Schwachstellen?), Exponierung (aus dem Internet erreichbar?) und Kritikalität des Systems zählen mehr als der reine CVSS-Wert.
Dann folgt der gestufte Rollout: Test auf Referenzsystemen, Pilotgruppe, Breitenverteilung — mit Rollback-Plan und definierten Wartungsfenstern. Für kritische, aktiv ausgenutzte Lücken braucht es einen Notfallpfad, der diese Stufen in Stunden statt Wochen durchläuft. Was nicht zeitnah patchbar ist (Legacy, OT), wird kompensierend geschützt: Segmentierung, virtuelles Patching per WAF/IPS, Zugriffsbeschränkung.
Kennzahlen und Stolpersteine
- Time to Patch je Risikoklasse messen — kritisch/exponiert in Tagen, nicht Monaten.
- Patch-Compliance-Quote: Wie viel Prozent der Systeme sind auf Zielstand?
- Blinde Flecken einplanen: Appliances, Firmware, Hypervisoren, IoT — nicht nur Windows.
- Ausnahmen dokumentieren und kompensieren, nicht stillschweigend dulden.