Die Gefahren ungepatchter Systeme und effektive Patchmethoden für KMU

Nicht aktualisierte Systeme können bekannte Schwachstellen offenlassen. Ein Patch-Prozess muss jedoch mehr leisten als möglichst schnelles Installieren: Er muss Bestand, Risiko, Tests, Rollout, Ausnahmen und Erfolgskontrolle verbinden.

Die BSI-Zahl richtig einordnen

Der BSI-Lagebericht 2025 nennt für seinen Berichtszeitraum durchschnittlich 119 neu bekannt gewordene Schwachstellen pro Tag, rund 24 Prozent mehr als im Vorjahr. Das sind Angaben des BSI zum betrachteten Schwachstellenaufkommen. Sie bedeuten nicht, dass jedes KMU täglich 119 eigene Lücken schließen muss.

Die operative Konsequenz ist Priorisierung: Eine aktiv ausgenutzte Lücke in einem öffentlich erreichbaren System ist meist dringlicher als eine theoretische Schwachstelle in einem isolierten Testgerät. Herstellerbewertung, Exponierung, vorhandene Kontrollen und Geschäftsauswirkung gehören zusammen.

Ein praktikabler Patch-Prozess

1. Inventarisieren: Systeme, Versionen, Verantwortliche, Supportstatus und Abhängigkeiten erfassen.
2. Bewerten: Herstellerhinweise, bekannte Ausnutzung, Erreichbarkeit und Kritikalität prüfen.
3. Testen: Kritische Updates soweit möglich in einer repräsentativen Umgebung erproben.
4. Gestuft ausrollen: Erst eine begrenzte Gruppe, dann weitere Systeme aktualisieren.
5. Überwachen: Dienstfunktion, Sicherheitskontrollen und Fehlermeldungen kontrollieren.
6. Verifizieren: Nachweisen, dass die Zielversion tatsächlich installiert und die Lücke geschlossen ist.
7. Ausnahmen behandeln: Nicht patchbare Systeme segmentieren, Zugriffe begrenzen und einen Ablöseplan führen.

Starre Fristen wie „jedes kritische Update binnen Stunden“ sind ohne Kontext nicht belastbar. Für aktiv ausgenutzte, internetnahe Lücken kann sofortiges Handeln erforderlich sein; in sicherheitskritischen Produktionssystemen können zusätzliche Freigaben und Tests notwendig sein.

Automatisierung mit Kontrolle verbinden

Zentrale Update-Werkzeuge können Verteilung und Reporting vereinfachen. Automatisierung ersetzt aber nicht Pilotgruppen, Wartungsfenster, Rollback und Stichproben. Umgekehrt sollte eine mögliche Störung nicht als Grund dienen, Sicherheitsupdates unbegrenzt aufzuschieben.

Patch-Management ist ein Teil des umfassenderen Schwachstellenmanagements. Fehlkonfigurationen, übermäßige Rechte und nicht unterstützte Systeme benötigen oft andere Maßnahmen als einen Patch.

Fazit

Ein verlässlicher Patch-Prozess reduziert bekannte Angriffsflächen, kann Angriffe aber nicht vollständig verhindern. Eine IT-Sicherheitsberatung kann Inventar, Priorisierung und Rollout-Prozess prüfen und an die betrieblichen Anforderungen anpassen.