Patch-Management

Warum ist Patch-Management so kritisch?

Sobald ein Hersteller eine Sicherheitslücke schließt, ist sie öffentlich dokumentiert - und Angreifer scannen automatisiert das Internet nach Systemen, die das Update noch nicht installiert haben. Das Zeitfenster zwischen Patch-Veröffentlichung und aktiver Ausnutzung ist auf Stunden bis wenige Tage geschrumpft. Wer monatlich patcht, lässt Angreifern wochenlang offene Türen. Welche Folgen das haben kann, beschreibt der Beitrag zu den Gefahren ungepatchter Systeme.

Was gehört zu einem funktionierenden Patch-Prozess?

Vier Bausteine: erstens ein vollständiges Inventar - man kann nur patchen, was man kennt (Server, Clients, Netzwerkgeräte, aber auch Drucker, NAS und vergessene Testsysteme). Zweitens Priorisierung nach Kritikalität: Sicherheitsupdates für aus dem Internet erreichbare Systeme zuerst, idealerweise binnen Stunden. Drittens Automatisierung, wo immer möglich - manuelle Prozesse skalieren nicht und werden im Tagesgeschäft verdrängt. Viertens Kontrolle: Ein Patch gilt erst als installiert, wenn das Reporting es bestätigt.

Was tun mit Systemen, die nicht gepatcht werden können?

Altsysteme, Maschinensteuerungen oder Software ohne Herstellersupport verschwinden nicht durch Wegsehen. Die Antwort heißt Risikobegrenzung: Netzwerksegmentierung, Zugriffsbeschränkung, zusätzliches Monitoring - und ein dokumentierter Plan zur Ablösung. Eingebettet ist all das ins übergeordnete Schwachstellenmanagement, das auch Lücken jenseits fehlender Patches im Blick behält.