Patch-Management ist der geplante Ablauf, mit dem Betriebssysteme, Anwendungen und Firmware Sicherheitsupdates erhalten — getestet, dokumentiert und zeitnah, statt monatelang veralteter Software.
Was bedeutet Patch-Management?
Patches schließen bekannte Schwachstellen, die Angreifer automatisiert ausnutzen. Der Prozess umfasst Inventar (welche Systeme?), Priorisierung (kritische CVE zuerst?), Test (Pilotgruppe), Rollout (Wartungsfenster) und Verifikation. RMM-Tools des MSP oder Microsoft Update for Business automatisieren vieles.
Patch-Management ist nicht „Freitag Nacht alles updaten“. KMU mit Line-of-Business-Software brauchen Ausnahmelisten — etwa Steuerprogramm, das einen Monat alte .NET-Version verlangt. Dokumentation dieser Ausnahmen verhindert Endlos-Aufschub ohne Begründung.
Microsoft Patch Tuesday liefert monatlich Updates; Out-of-Band-Patches bei kritischen CVEs kommen öfter. Ein Patch-Kalender mit Verantwortlichem, Test- und Produktionsfenster verhindert, dass „wir patchen irgendwann“ zur Dauerbaustelle wird — und dokumentiert Sorgfalt gegenüber Versicherern.
Patch-Fenster sollten mit Betrieb abgestimmt sein: Updates nachts oder am Wochenende für Server, werktags für Clients mit Neustart-Hinweis. Dokumentieren Sie, wer Ausnahmen genehmigt und wie kritische CVEs außer der Reihe eingespielt werden.
Warum ist Patch-Management relevant für KMU?
Ransomware-Einstieg über bekannte Lücken ist Standard — nicht Hollywood-Hacking. Wer Windows und Browser wochenlang offen lässt, verliert Versicherungsansprüche und DSGVO-Argumentation.
Remote-Arbeit vergrößert die Fläche: Laptops außerhalb des Büros patchen oder nicht. Zentral verwaltete Updates sind Pflicht, wenn Mitarbeitende von Mallorca, Homeoffice oder Zweitstandort arbeiten.
Line-of-Business-Software verzögert Patches oft. Dokumentieren Sie Ausnahmen mit Risikoakzeptanz der GF und Kompensation (Netzsegmentierung, MFA). Unbegrenzte Ausnahmen sind versteckte Schwachstellen — jährlich neu bewerten.
Bekannte Schwachstellen werden automatisiert ausgenutzt — Angreifer brauchen keine Zero-Days. KMU mit veralteten Systemen sind deshalb Low-Hanging-Fruit. Regelmäßiges Patchen ist günstiger als Forensik nach erfolgreichem Einbruch.
Dokumentieren Sie Test- und Rollback-Prozedur — ein fehlgeschlagenes Patch ohne Plan verlängert Ausfall. Virtualisierung und Cloud verschieben Patch-Verantwortung — trotzdem prüfen, wer welche Schicht patcht. Kein „Security by Obscurity“ durch veraltete Systeme.
Branchensoftware und Steuerterminals hinken oft hinterher — ein Patch-Kalender muss Ausnahmen benennen und kompensierende Maßnahmen (Netzisolierung, MFA, Monitoring) dokumentieren, statt Updates pauschal zu verschieben.
Bekannte Schwachstellen in VPN-Gateways und E-Mail-Gateways werden automatisiert angegriffen. KMU ohne Patch-Rhythmus sind deshalb leichtere Ziele als große Konzerne — der Schaden trifft aber proportional härter, weil weniger Redundanz vorhanden ist.
Typische Fehler
- Updates dauerhaft verschoben wegen einmaligem Kompatibilitätsproblem
- Server nie gepatcht — „läuft doch“
- Kein Überblick über Firmware an Firewalls und NAS
- Neustart nach Patch blockiert — Geräte wochenlang im Pending-Zustand
Praxisbeispiel
Eine Kanzlei führt Patch-Fenster dienstags 19 Uhr ein. Steuer-Software wird vorher auf Test-PC geprüft. Nach drei Monaten sinken kritische CVEs laut Scan von zwölf auf null — ohne Mandantenausfall, weil Probleme in der Pilotgruppe auffielen.
Verwandte Begriffe
Persönliche IT-Betreuung
Sie brauchen einen festen Ansprechpartner statt Einzel-Lösungen? Tim unterstützt Unternehmen bis 25 Mitarbeiter verständlich und persönlich.
Externe IT-Betreuung anfragen