Patch-Management – Prozess, Pflichten und Praxis für Unternehmen

Was ist Patch-Management?

Patch-Management ist der geregelte Prozess, mit dem ein Unternehmen Sicherheits- und Fehlerkorrekturen (Patches) für Betriebssysteme, Anwendungen und Firmware erkennt, bewertet, testet, verteilt und dokumentiert. Ziel ist es, bekannte Schwachstellen zu schließen, bevor Angreifer sie ausnutzen, ohne dabei den laufenden Betrieb zu gefährden. Patch-Management ist damit ein Kernbaustein der IT-Sicherheit und Teil der technischen Maßnahmen, die DSGVO und NIS-2 verlangen.

Ein Patch ist ein kleines Software-Update, das einen Fehler oder eine Sicherheitslücke behebt. Größere Versionssprünge, etwa ein Funktionsupdate von Windows, gehören ebenfalls dazu, brauchen aber mehr Planung. Das BSI behandelt das Thema im IT-Grundschutz als eigenen Baustein „OPS.1.1.3 Patch- und Änderungsmanagement“.

Warum ist Patch-Management für Unternehmen so wichtig?

Viele erfolgreiche Cyberangriffe nutzen Schwachstellen, für die der Hersteller längst ein Update bereitgestellt hat. Sobald ein Hersteller eine Lücke öffentlich macht und einen Patch veröffentlicht, wissen auch Angreifer, wo sie ansetzen können. Ab diesem Moment läuft die Zeit: Jedes System, das noch ungepatcht ist, bleibt ein offenes Tor für Ransomware und andere Schadsoftware.

Besonders kritisch sind sogenannte Zero-Day-Exploits: Sie greifen Lücken an, für die es noch keinen Patch gibt. Erscheint dann die Korrektur, muss sie besonders schnell verteilt werden.

Neben der Sicherheit spielen weitere Gründe eine Rolle:

• Stabilität: Patches beheben auch Programmfehler, Abstürze und Kompatibilitätsprobleme.
• Herstellersupport: Viele Hersteller unterstützen nur aktuelle Versionsstände. Wer nicht aktualisiert, verliert im Fehlerfall Hilfe.
• Nachweisbarkeit: Versicherer, Auditoren und Aufsichtsbehörden fragen zunehmend, wie Updates organisiert und dokumentiert sind.

Wie läuft Patch-Management ab?

Ein funktionierendes Patch-Management ist kein gelegentliches „Updates einspielen“, sondern ein wiederkehrender Kreislauf. Er besteht typischerweise aus sechs Schritten:

1. Inventarisierung

Nur was bekannt ist, kann aktualisiert werden. Grundlage ist ein vollständiges Verzeichnis aller Server, Clients, Netzwerkgeräte und installierten Programme, wie es ein sauberes Asset-Management liefert.

2. Informationsgewinnung

Herstellermeldungen, Sicherheitshinweise und Warnungen, etwa vom CERT-Bund des BSI, werden laufend ausgewertet. So ist schnell klar, welche Systeme von einer neuen Lücke betroffen sind.

3. Bewertung und Priorisierung

Nicht jeder Patch ist gleich dringend. Entscheidend sind der Schweregrad der Lücke, ob sie bereits aktiv ausgenutzt wird und wie wichtig das betroffene System ist. Systeme mit Internetzugang, etwa Firewalls, VPN-Gateways und E-Mail-Server, haben Vorrang.

4. Test

Kritische Updates werden zunächst auf einer kleinen Testgruppe oder einem Testsystem eingespielt. So fallen Unverträglichkeiten mit Fachanwendungen auf, bevor sie den ganzen Betrieb treffen.

5. Verteilung

Die Updates werden zentral und zeitgesteuert ausgerollt, möglichst außerhalb der Arbeitszeit. Neustarts werden geplant, damit niemand mitten in der Arbeit unterbrochen wird.

6. Kontrolle und Dokumentation

Anschließend wird geprüft, ob alle Systeme den Patch erhalten haben. Fehlgeschlagene Installationen werden nachgearbeitet, der Stand wird dokumentiert. Ein laufendes IT-Monitoring zeigt Abweichungen auf einen Blick.

Was gehört alles zum Patch-Management?

Viele Unternehmen denken bei Updates zuerst an Windows. Tatsächlich ist der Bereich deutlich größer:

• Betriebssysteme von Servern und Arbeitsplätzen (Windows, macOS, Linux)
• Anwendungen von Drittanbietern wie Browser, PDF-Reader, Java, Office-Pakete und Fachsoftware
• Firmware von Firewalls, Switches, WLAN-Access-Points, Druckern und NAS-Systemen
• Virtualisierung und Backup-Software, die selbst ein beliebtes Angriffsziel ist
• Mobile Geräte wie Smartphones und Tablets mit Zugriff auf Firmendaten

Gerade Drittanbieter-Software und Firmware werden oft vergessen, weil sie sich nicht automatisch über Windows Update aktualisieren.

Welche Pflichten gibt es: DSGVO, NIS-2 und BSI?

Patch-Management ist nicht nur gute Praxis, sondern in mehreren Regelwerken verankert:

• DSGVO: Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen (TOM) unter Berücksichtigung des Stands der Technik. Bekannte, aber nicht geschlossene Sicherheitslücken lassen sich damit kaum vereinbaren.
• NIS-2: Für Unternehmen, die unter die NIS-2-Richtlinie fallen, nennt § 30 Abs. 2 Nr. 5 BSIG ausdrücklich Sicherheitsmaßnahmen bei der Wartung von IT-Systemen „einschließlich Management und Offenlegung von Schwachstellen“. Die Geschäftsleitung muss die Umsetzung nach § 38 BSIG überwachen.
• BSI IT-Grundschutz: Der Baustein OPS.1.1.3 beschreibt, wie ein Patch- und Änderungsmanagement organisiert sein sollte, von Zuständigkeiten über Tests bis zur Dokumentation. Das BSI überführt den IT-Grundschutz derzeit in das neue Regelwerk Grundschutz++; die Anforderungen an ein geordnetes Update-Management bleiben dabei bestehen.

Wichtig ist der Nachweis: Wer im Ernstfall belegen kann, dass Updates geregelt geplant, eingespielt und kontrolliert wurden, steht gegenüber Aufsichtsbehörden und Versicherern deutlich besser da.

Unser Praxistipp

Legen Sie feste Zeitfenster für reguläre Updates fest, zum Beispiel einmal pro Woche oder nach dem monatlichen Microsoft-Patchday, und definieren Sie zusätzlich einen Notfallweg für kritische Lücken, die bereits aktiv ausgenutzt werden. Bewahren Sie die Berichte über eingespielte Updates mindestens so lange auf, wie Sie sie für Audits oder Versicherungsfragen benötigen. Und vergessen Sie die Geräte am Rand des Netzwerks nicht: Eine veraltete Firewall-Firmware wiegt oft schwerer als ein fehlendes Update auf einem einzelnen Arbeitsplatz.

Patch-Management selbst machen oder auslagern?

Kleine Umgebungen lassen sich mit Bordmitteln wie Windows Update for Business zumindest für Microsoft-Produkte steuern. Spätestens bei Drittanbieter-Software, Firmware und mehreren Standorten wird es aufwendig. Dann braucht es eine zentrale Management-Plattform, feste Zuständigkeiten und jemanden, der die Sicherheitsmeldungen täglich im Blick behält.

Ein ausgelagertes, verwaltetes Patch-Management als Managed Service nimmt Ihnen diese Arbeit ab: Der Dienstleister überwacht, testet, verteilt und dokumentiert, und Sie erhalten regelmäßige Berichte über den Stand Ihrer Systeme. Patch-Management ersetzt dabei keine Datensicherung: Geht bei einem Update doch etwas schief, ist ein aktuelles Backup die Rückfallebene.

Häufige Fragen zu Patch-Management

Wie schnell sollten Sicherheitsupdates eingespielt werden?

Eine feste gesetzliche Frist gibt es nicht. Kritische Lücken, die bereits aktiv ausgenutzt werden, sollten so schnell wie möglich geschlossen werden, besonders auf Systemen mit Internetzugang. Reguläre Updates folgen einem festen Rhythmus, etwa wöchentlich oder monatlich.

Was ist der Unterschied zwischen Patch-Management und Änderungsmanagement?

Patch-Management kümmert sich um Updates und Fehlerkorrekturen. Das Änderungsmanagement (Change-Management) regelt allgemein, wie Änderungen an der IT geplant, freigegeben und dokumentiert werden. Das BSI fasst beides im Baustein OPS.1.1.3 zusammen, weil jedes Update auch eine Änderung ist.

Reichen automatische Updates nicht aus?

Automatische Updates sind ein guter Anfang, decken aber meist nur das Betriebssystem ab. Drittanbieter-Software, Firmware und Server werden oft nicht erfasst, und ohne Kontrolle fällt nicht auf, wenn eine Installation fehlschlägt.

Was passiert, wenn für ein System keine Updates mehr erscheinen?

Systeme ohne Herstellersupport, etwa veraltete Windows-Versionen, erhalten keine Sicherheitskorrekturen mehr. Sie sollten ersetzt oder zumindest streng vom übrigen Netzwerk getrennt werden.

Ist Patch-Management für kleine Unternehmen Pflicht?

Über Art. 32 DSGVO betrifft es jedes Unternehmen, das personenbezogene Daten verarbeitet, also praktisch alle. NIS-2 kommt für Unternehmen der betroffenen Sektoren ab einer bestimmten Größe hinzu.

Fazit

Patch-Management ist einer der wirksamsten und zugleich am häufigsten vernachlässigten Bausteine der IT-Sicherheit. Wer Systeme vollständig erfasst, Updates nach Dringlichkeit priorisiert, testet, zentral verteilt und den Erfolg dokumentiert, schließt die meisten bekannten Angriffswege. Gleichzeitig erfüllen Sie damit wesentliche Anforderungen aus DSGVO und NIS-2. Wenn Ihnen dafür die Zeit oder das Personal fehlt, lohnt sich ein Blick auf Patch-Management als Managed Service.

Quellen und Rechtsgrundlagen

• § 30 BSIG – Risikomanagementmaßnahmen (gesetze-im-internet.de)
• § 38 BSIG – Pflichten der Geschäftsleitung (gesetze-im-internet.de)
• Richtlinie (EU) 2022/2555 (NIS-2), Art. 21 (EUR-Lex)
• Verordnung (EU) 2016/679 (DSGVO), Art. 32 (EUR-Lex)
• BSI – IT-Grundschutz, Baustein OPS.1.1.3 Patch- und Änderungsmanagement
• BSI – CERT-Bund, Warn- und Informationsdienst