Patch-Management
Patch-Management ist der systematische Prozess zur Identifikation, Bewertung, Testung und Installation von Software-Updates (Patches) für Betriebssysteme, Anwendungen und Geräte, um Sicherheitslücken zu schließen und die Systemstabilität aufrechtzuerhalten.
Ausführliche Erklärung
Software enthält Fehler und Schwachstellen, die Angreifer ausnutzen können. Hersteller veröffentlichen regelmäßig Updates, sogenannte Patches, die diese Lücken schließen. Patch-Management stellt sicher, dass diese Updates nicht zufällig, sondern planvoll eingespielt werden. Der Prozess umfasst die Überwachung verfügbarer Patches, die Bewertung ihrer Relevanz für die eigene IT-Landschaft, die Testung auf Kompatibilität und mögliche Nebenwirkungen sowie die kontrollierte Verteilung und Dokumentation der Installation.
Für Unternehmen ist Patch-Management eine zentrale Säule der IT-Sicherheit. Ungepatchte Systeme gehören zu den häufigsten Einfallstoren für Cyberangriffe. Gleichzeitig reduziert systematisches Patchen Systemausfälle und Kompatibilitätsprobleme, die entstehen, wenn Updates chaotisch oder gar nicht eingespielt werden. Mit der NIS2-Richtlinie wird ein dokumentiertes Patch- und Schwachstellenmanagement für viele europäische Unternehmen zur Pflicht. Auch das BSI und ISO 27001 fordern entsprechende Prozesse als Teil des Informationssicherheitsmanagements.
Ein funktionierendes Patch-Management erfordert zunächst ein aktuelles Inventar aller IT-Systeme: Server, Clients, Netzwerkkomponenten, aber auch Firmware von Druckern, Routern oder IoT-Geräten. Anschließend müssen Patches priorisiert werden, da nicht jedes Update gleich dringend ist. Kritische Sicherheitslücken sollten innerhalb von 24 bis 48 Stunden geschlossen werden, während funktionale Updates in regulären Wartungsfenstern eingespielt werden können. Vor der flächendeckenden Verteilung ist ein Test in einer nicht produktiven Umgebung empfehlenswert, um unerwünschte Nebeneffekte zu vermeiden. Abschließend muss jeder Patch dokumentiert werden, um Nachvollziehbarkeit und Compliance zu gewährleisten.
Praxisbeispiel
Ein Steuerberatungsbüro mit 12 Mitarbeitenden führt jeden Dienstagabend automatisiert Patches für Windows und Office-Anwendungen durch. Kritische Sicherheitsupdates werden vorab auf einem Test-PC geprüft und bei Bedarf außer der Reihe eingespielt. Ein externer IT-Dienstleister überwacht den Prozess, dokumentiert alle Änderungen und meldet quartalsweise den Patch-Status an die Geschäftsführung – wichtig für Versicherungsaudits und die Erfüllung von Compliance-Anforderungen.