Patch-Management für KMU: Updates planen, priorisieren und kontrollieren

Warum Patch-Management viel Schutz für wenig Geld bietet

Viele Angriffe beginnen nicht mit einer neuen, unbekannten Schwachstelle, sondern mit einer Lücke, für die der Hersteller bereits ein Update veröffentlicht hat. Ein nicht aktualisierter VPN-Zugang, ein veralteter Browser oder eine Firewall mit alter Firmware reichen oft aus. Updates einzuspielen kostet dagegen vor allem Organisation und etwas Zeit.

Gutes Patch-Management ist deshalb weniger eine Frage teurer Werkzeuge als eines klaren Ablaufs. Er besteht aus sechs Schritten: Inventar erstellen, Lücken priorisieren, Updates testen, in Ringen ausrollen, Erfolg kontrollieren und regelmäßig berichten. Die folgenden Abschnitte zeigen, wie das in einem kleinen oder mittleren Unternehmen praktisch aussieht.

Schritt 1: Ein vollständiges Inventar als Grundlage

Sie können nur aktualisieren, was Sie kennen. Das Inventar listet jedes Gerät und jede Software mit Version, Standort und verantwortlicher Person. Ein Werkzeug zur Geräteverwaltung erfasst PCs und Server automatisch, Netzwerk- und Sicherheitstechnik muss oft händisch ergänzt werden.

• Arbeitsplätze, Laptops und Server mit Betriebssystem und Version
• Installierte Programme, auch Browser, PDF-Reader und Fernwartungs-Tools
• Firewalls, VPN-Gateways, Switches und WLAN-Access-Points
• Kameras, Rekorder, Zutrittssysteme, Drucker, NAS und andere IoT-Geräte
• Herstellersupport: bis wann es noch Sicherheitsupdates gibt

Schritt 2: Aktiv ausgenutzte Lücken zuerst

Nicht jedes Update ist gleich dringend. Der CVSS-Basiswert beschreibt, wie schwer eine Lücke technisch wiegt, sagt aber nichts darüber aus, ob sie bereits aktiv ausgenutzt wird. Genau das ist für die Reihenfolge entscheidend. Eine gute Orientierung bietet der öffentliche Katalog Known Exploited Vulnerabilities (KEV) der US-Cybersicherheitsbehörde CISA, der Lücken mit bestätigter Ausnutzung auflistet. In Österreich veröffentlicht CERT.at Warnungen zu kritischen Schwachstellen.

Zusätzlich zählt, wo ein System steht. Firewalls, VPN-Zugänge, E-Mail-Server und Webanwendungen sind direkt aus dem Internet erreichbar und haben deshalb Vorrang vor einem internen Testrechner.

Die Zeiten sind ein Beispiel und sollten zu Ihrem Betrieb passen. Wichtig ist, dass sie schriftlich festgelegt sind und jede Ausnahme begründet wird.

Schritt 3 und 4: Testen und in Ringen ausrollen

Updates können in seltenen Fällen Programme stören oder Probleme beim Neustart verursachen. Statt alle Geräte gleichzeitig zu aktualisieren, rollen Sie Updates deshalb stufenweise in sogenannten Ringen aus. Fällt in einem frühen Ring ein Problem auf, stoppen Sie den Rollout, bevor er den ganzen Betrieb betrifft. Bei aktiv ausgenutzten Lücken verkürzen Sie die Ringe auf Stunden oder wenige Tage.

1. Ring 0: IT-Team und Testgeräte, unmittelbar nach Veröffentlichung.
2. Ring 1: eine Pilotgruppe aus verschiedenen Abteilungen, nach ein bis drei Tagen ohne Probleme.
3. Ring 2: alle übrigen Arbeitsplätze, etwa eine Woche nach Veröffentlichung.
4. Server und kritische Systeme: im Wartungsfenster, nach aktuellem Backup oder Snapshot und mit einem Rollback-Plan.

Feste Wartungsfenster vereinbaren

Legen Sie feste Zeiten fest, zu denen Neustarts erlaubt sind, etwa einen Abend pro Woche für Arbeitsplätze und einen Termin pro Monat für Server. Microsoft veröffentlicht reguläre Sicherheitsupdates am zweiten Dienstag jedes Monats, viele Unternehmen planen ihre Fenster danach. Kündigen Sie die Termine an und erzwingen Sie Neustarts nach einer Frist, denn ein installiertes, aber noch nicht aktives Update schützt nicht.

Drittanbieter-Programme und Firmware nicht vergessen

Programme außerhalb von Windows Update

Windows Update kümmert sich um das Betriebssystem und, je nach Einstellung, um weitere Microsoft-Produkte. Browser, PDF-Reader, Packprogramme, Videokonferenz- oder Fernwartungssoftware aktualisieren sich oft separat oder gar nicht. Eine Geräteverwaltung oder ein RMM-Werkzeug (Remote Monitoring and Management) kann diese Programme zentral aktualisieren. Was niemand braucht, deinstallieren Sie, denn jedes überflüssige Programm vergrößert die Angriffsfläche.

Firewalls, Switches, Kameras und IoT

Netzwerk- und Sicherheitsgeräte bekommen ihre Updates als Firmware, und genau die bleibt in vielen Betrieben liegen. Firewalls und VPN-Gateways stehen direkt am Internet und sind ein beliebtes Ziel. Switches, Access-Points, Kameras, Rekorder und NAS gehören ebenfalls in den Plan. Für diese Geräte braucht es eigene Wartungsfenster, weil ein Neustart den Internetzugang, das Netzwerk oder die Videoaufzeichnung kurz unterbricht. Sichern Sie vor jedem Firmware-Update die Konfiguration. Wie Sie Kameras über Updates hinaus schützen, lesen Sie im Beitrag IP-Kameras absichern.

Systeme ohne Updates: Umgang mit End-of-Life

Irgendwann stellt jeder Hersteller die Sicherheitsupdates für ein Produkt ein. Für die gängigen Editionen von Windows 10 gibt es seit Oktober 2025 Sicherheitsupdates nur noch über das ESU-Programm (Extended Security Updates), das zeitlich begrenzt und für Unternehmen in der Regel kostenpflichtig ist. Auch bei Kameras, Routern oder NAS-Geräten endet der Support oft nach einigen Jahren. Ein solches System wird mit jeder neu entdeckten Lücke angreifbarer.

• Den Ersatz planen und rechtzeitig budgetieren, idealerweise bevor der Support endet.
• Geräte, die sich nicht sofort ersetzen lassen, in einem eigenen Netzsegment ohne Internetzugang isolieren.
• Kostenpflichtige erweiterte Support-Programme nutzen, wo verfügbar, als Übergang mit festem Enddatum.
• Jede Ausnahme mit Begründung, verantwortlicher Person und Ablaufdatum dokumentieren.

Schritt 5 und 6: Erfolg kontrollieren und berichten

Ein Update gilt erst als erledigt, wenn es nachweislich auf dem Gerät aktiv ist. Ein kurzer monatlicher Bericht schafft Transparenz für IT und Geschäftsleitung und zeigt, wo nachgesteuert werden muss. Er sollte mindestens diese Punkte enthalten:

• Anteil der Geräte mit aktuellem Patch-Stand, getrennt nach Arbeitsplätzen, Servern und Netzwerkgeräten
• Offene kritische und aktiv ausgenutzte Lücken mit ihrem Alter in Tagen
• Geräte, die sich seit längerer Zeit nicht mehr beim Verwaltungswerkzeug gemeldet haben
• Genehmigte Ausnahmen und End-of-Life-Systeme mit Ablaufdatum

Regelmäßige Schwachstellen-Scans ergänzen den Bericht, weil sie auch Geräte finden, die im Inventar fehlen.

Fazit: Konsequenz zählt mehr als Werkzeuge

Patch-Management ist Routinearbeit, die sich nur lohnt, wenn sie jeden Monat zuverlässig erledigt wird. Ob Sie das intern leisten oder auslagern, hängt von Zeit und Know-how im Team ab. Unser Beitrag Managed Security: wann sich Auslagern lohnt hilft bei der Entscheidung. Q-entra übernimmt mit Managed Security auf Wunsch das laufende Patch- und Update-Management und hilft im Rahmen von Cyber Security, Inventar, Prioritäten und Abläufe einmal sauber aufzusetzen.