In diesem Artikel 8 Abschnitte
Updates wirken auf den ersten Blick wie eine technische Routine. Für ein KMU ohne eigene IT-Abteilung ist Patch-Management jedoch vor allem eine Organisationsaufgabe: Welche Geräte und Anwendungen sind vorhanden, was ist besonders wichtig, wer entscheidet über den Zeitpunkt und wie wird geprüft, ob alles weiterhin funktioniert?
Ein schlanker, wiederholbarer Ablauf schafft hier mehr Sicherheit als gelegentliche Update-Aktionen. Er berücksichtigt sowohl das Risiko offener Schwachstellen als auch die betrieblichen Folgen einer schlecht vorbereiteten Änderung.
Was Patch-Management umfasst
Das National Institute of Standards and Technology (NIST) beschreibt Patch-Management als Prozess zum Identifizieren, Priorisieren, Beschaffen, Installieren und Verifizieren von Patches, Updates und Upgrades. Damit endet die Aufgabe nicht beim Klick auf «Installieren». Zur Kontrolle gehört auch die Frage, ob die Aktualisierung tatsächlich auf allen vorgesehenen Systemen angekommen ist.
Berücksichtigt werden sollten mindestens:
- Arbeitsplatzgeräte und mobile Geräte
- Server, virtuelle Maschinen und Betriebssysteme
- Browser, PDF-Programme und weitere häufig genutzte Anwendungen
- Firewalls, Switches, WLAN-Komponenten und Drucker
- Fachanwendungen, Datenbanken und Schnittstellen
- Cloud-Dienste und selbst betriebene Webanwendungen
Bei Software-as-a-Service übernimmt der Anbieter oft Teile der Aktualisierung. Konfigurationen, Endgeräte, Erweiterungen und angebundene Systeme bleiben dennoch im Verantwortungsbereich des Unternehmens. Deshalb braucht auch eine weitgehend cloudbasierte Umgebung ein vollständiges Inventar.
Schritt 1: Wissen, was betrieben wird
Ohne Inventar ist nicht zuverlässig erkennbar, ob eine Sicherheitsmeldung das eigene Unternehmen betrifft. Eine brauchbare Übersicht enthält Produkt, Version, Gerät oder Instanz, verantwortliche Person, Supportstatus und betriebliche Bedeutung. Internet-exponierte Systeme sowie zentrale Identitäts-, E-Mail- und Datendienste sollten klar markiert sein.
Das Inventar muss kein schwerfälliges Grossprojekt sein. Entscheidend ist, dass es gepflegt und mit dem tatsächlichen Bestand abgeglichen wird. Automatische Geräteverwaltung kann unterstützen; manuell geführte Ausnahmen bleiben trotzdem notwendig, etwa für Maschinensteuerungen oder ältere Fachsoftware.
Schritt 2: Nach Risiko priorisieren
Nicht jedes Update ist gleich dringend. Eine reine Sortierung nach Schweregrad greift zu kurz. Sinnvoll ist eine Kombination aus:
- bekannter aktiver Ausnutzung
- Erreichbarkeit aus dem Internet
- Bedeutung des betroffenen Systems
- möglichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit
- verfügbaren Schutzmassnahmen und Herstellerhinweisen
Der «Known Exploited Vulnerabilities Catalog» der US-Behörde CISA führt Schwachstellen, deren Ausnutzung in der Praxis bekannt ist, und empfiehlt ihn ausdrücklich als Eingang für die Priorisierung. Er ersetzt keine eigene Bewertung, hilft aber dabei, theoretische Risiken von bereits beobachteten Angriffen zu unterscheiden.
Für das KMU sollte daraus eine einfache Regel entstehen: kritische, exponierte oder nachweislich ausgenutzte Lücken werden beschleunigt behandelt; reguläre Qualitäts- und Funktionsupdates folgen einem planbaren Wartungsrhythmus.
Schritt 3: Testen, gestaffelt ausrollen, kontrollieren
Updates können Abhängigkeiten berühren. Deshalb ist weder «alles sofort» noch «möglichst lange warten» ein gutes Standardmodell. Microsoft empfiehlt für Windows eine gestaffelte Bereitstellung mit Test- beziehungsweise Pilotgeräten. Diese Gruppe sollte die tatsächlich verwendeten Geräte und geschäftskritischen Anwendungen möglichst gut abbilden.
Ein pragmatischer Ablauf sieht so aus:
- Sicherung und Rückweg klären: Vor relevanten Änderungen muss feststehen, wie Konfigurationen oder Systeme wiederhergestellt werden können.
- Pilotgruppe aktualisieren: Einige repräsentative Geräte erhalten das Update zuerst.
- Kernfunktionen prüfen: Anmeldung, Drucken, Fachanwendung, E-Mail, VPN und wichtige Schnittstellen werden getestet.
- Breit ausrollen: Nach erfolgreicher Prüfung folgt die restliche Umgebung in definierten Zeitfenstern.
- Ergebnis verifizieren: Berichte und Stichproben zeigen, ob Installation und notwendige Neustarts erfolgt sind.
- Ausnahmen dokumentieren: Nicht aktualisierte Systeme erhalten einen Grund, eine befristete Ersatzmassnahme und einen neuen Termin.
Eine funktionierende Datensicherung ist wichtig, gehört aber nicht automatisch zum Patch-Prozess. Backup und Wiederherstellung sollten passend zur Umgebung separat geplant und getestet werden.
Zuständigkeit und Kommunikation
Ein Wartungsfenster allein genügt nicht. Benötigt werden eine Person mit Entscheidungsbefugnis, eine technische Zuständigkeit und ein erreichbarer Kontakt für Rückfragen. Mitarbeitende sollten vor Änderungen informiert werden, wenn ein Neustart oder eine kurze Unterbrechung zu erwarten ist.
Für KMU ohne interne IT kann ein externer Partner Inventar, Richtlinien, Rollout und Nachkontrolle übernehmen. Wichtig bleibt die Transparenz: Sie sollten sehen können, welche Systeme aktuell sind, wo Ausnahmen bestehen und welche Entscheidung noch aussteht. Wie ein solcher laufender Betrieb eingeordnet wird, zeigt die Seite Managed IT Services.
Digitale Souveränität mitdenken
Patch-Management sollte nicht unnötig an ein einzelnes Werkzeug gebunden sein. Achten Sie bei der Auswahl auf dokumentierte Schnittstellen, exportierbare Geräte- und Compliance-Berichte sowie nachvollziehbare Konfigurationen. Offene Formate erleichtern es, Inventar- und Statusdaten auch in anderen Werkzeugen weiterzuverwenden.
Open Source kann dabei eine passende Option sein, ist aber nicht automatisch sicherer oder wartungsärmer. Massgebend sind ein aktiver Wartungsprozess, verlässliche Sicherheitsmeldungen, unterstützte Versionen und die Fähigkeit, Updates kontrolliert auszurollen. Dasselbe gilt für proprietäre Produkte. Anbieterunabhängigkeit entsteht nicht durch ein Etikett, sondern durch zugängliche Daten, dokumentierte Übergaben und realistische Wechselmöglichkeiten.
Ein praktikabler Start
Beginnen Sie mit dem Bestand, den wichtigsten Systemen und einem festen monatlichen Wartungstermin. Ergänzen Sie einen beschleunigten Weg für dringende Sicherheitsupdates, definieren Sie eine kleine Pilotgruppe und verlangen Sie nach jedem Lauf einen verständlichen Statusbericht. So wird aus sporadischem Aktualisieren ein überprüfbarer Betriebsprozess – ohne unnötige Komplexität.