Patch-Management ist der geregelte Prozess, Sicherheitsupdates für Betriebssysteme, Anwendungen und Geräte zu bewerten, zu testen und zeitnah einzuspielen, bevor Angreifer bekannte Lücken ausnutzen.
Patch-Management umfasst alle Schritte, mit denen ein Unternehmen Sicherheitsupdates von der Veröffentlichung durch den Hersteller bis zur Installation auf allen betroffenen Systemen bringt: Inventarisierung der Software, Beobachtung von Herstellermeldungen und CVE-Einträgen, Bewertung der Dringlichkeit, Test auf Verträglichkeit, Verteilung und Nachweis der erfolgreichen Installation. Es ist der operative Kern des Schwachstellenmanagements und eine Grundanforderung in BSI-IT-Grundschutz, ISO 27001 und NIS2.
Die Herausforderung liegt weniger in der Technik als in der Menge und der Priorisierung. Laut BSI-Lagebericht 2025 wurden im Schnitt 119 neue Schwachstellen pro Tag bekannt, ein Plus von 24 Prozent. Kein Unternehmen kann alles sofort einspielen; es muss wissen, was zuerst dran ist.
Der Patch-Prozess
- Inventar: Welche Systeme, Anwendungen, Firmware-Stände und Bibliotheken sind im Einsatz? Ohne vollständiges Inventar bleiben Systeme ungepatcht, weil niemand von ihnen weiß.
- Informationsbeschaffung: Hersteller-Advisories, CVE-Datenbanken, BSI-Warnmeldungen und die CISA-Liste aktiv ausgenutzter Schwachstellen.
- Bewertung: Nicht allein nach CVSS-Wert, sondern nach Exponiertheit (aus dem Internet erreichbar?), Ausnutzbarkeit (gibt es einen öffentlichen Exploit?) und Kritikalität des Systems.
- Test und Freigabe: Kurzer Verträglichkeitstest in einer Pilotgruppe; für kritische Schwachstellen mit aktiver Ausnutzung ein beschleunigter Notfallweg.
- Verteilung: Automatisiert über zentrale Werkzeuge; für Systeme ohne Automatisierung (Appliances, OT, Hypervisoren) ein eigener, dokumentierter Prozess.
- Verifikation: Ein Schwachstellenscan bestätigt, dass der Patch tatsächlich wirkt, und findet Systeme, die übersehen wurden.
Bedeutung für Unternehmen
Die Ausnutzung bekannter Schwachstellen ist zum häufigsten Einstiegsweg geworden. Laut Mandiant M-Trends 2026 waren Exploits mit 32 Prozent der häufigste Erstzugriff, laut Verizon DBIR 2026 lag der Anteil bei 31 Prozent. Betroffen sind vor allem aus dem Internet erreichbare Systeme: VPN-Gateways, Firewalls, Fernwartungslösungen, Mail-Server. Für diese Geräte zählt die Zeit zwischen Veröffentlichung eines Patches und seiner Installation in Tagen, nicht in Wochen, weil Angreifer die Patches analysieren und Exploits entwickeln, sobald sie erscheinen.
Was wir in Einsätzen sehen: Arbeitsplätze und Windows-Server sind meist gut versorgt. Die Lücken liegen daneben: Netzwerkgeräte und Appliances mit Firmware von vor Jahren, Hypervisor-Hosts, die nie neu gestartet wurden, Drittanbieter-Software außerhalb des zentralen Update-Werkzeugs, Entwicklungsserver und vergessene Systeme, die in keinem Inventar stehen. Ein einzelnes solches System reicht als Startpunkt für Lateral Movement.
Praxis: Umsetzung und Prüfung
- Fristen nach Exposition festlegen: Internet-exponierte Systeme mit aktiv ausgenutzter Schwachstelle innerhalb weniger Tage, interne kritische Systeme innerhalb von zwei Wochen, der Rest im Monatszyklus. Schriftlich, mit Messung der Einhaltung.
- Angriffsfläche kennen: Ein externer Blick (Attack Surface Management) findet Systeme, die intern nicht inventarisiert sind.
- Nicht-patchbare Systeme kompensieren: Für Altsysteme ohne Updates Segmentierung, Zugriffsbeschränkung und verstärkte Überwachung als dokumentierte Ersatzmaßnahme.
- Wirksamkeit prüfen lassen: Ein Penetrationstest prüft, ob bekannte Schwachstellen tatsächlich ausnutzbar sind, und deckt Fehlkonfigurationen auf, die kein Patch behebt. Im Red Teaming nutzen wir ungepatchte Systeme als einen von mehreren Wegen; wie viele davon offen stehen, sagt viel über die Reife des Prozesses.