Patch-Management — einfach erklärt

Was ist Patch-Management?

Patch-Management bezeichnet den geordneten Prozess, mit dem ein Unternehmen Software-Updates für Betriebssysteme, Anwendungen und Firmware plant, prüft, verteilt und dokumentiert. Gemeint sind vor allem sicherheitsrelevante Patches, die bekannte Schwachstellen schließen — aber auch Fehlerkorrekturen und kleinere Funktionsverbesserungen gehören dazu.

Der Kerngedanke dahinter ist einfach: Software-Hersteller entdecken laufend Sicherheitslücken in ihren Produkten und veröffentlichen dafür Korrekturen. Ob diese Korrekturen tatsächlich und zeitnah bei allen betroffenen Geräten ankommen, entscheidet sich nicht durch Zufall, sondern durch einen funktionierenden Prozess.

Patch, Update, Upgrade — die Begriffe im Überblick

Die drei Begriffe werden oft synonym verwendet, meinen aber unterschiedliche Dinge:

1. Patch — eine gezielte Korrektur für einen konkreten Fehler oder eine konkrete Sicherheitslücke, meist klein und schnell verfügbar.
2. Update — fasst mehrere Patches und kleinere Verbesserungen zu einem Paket zusammen, erscheint häufig in regelmäßigen Zyklen (zum Beispiel monatlich).
3. Upgrade — der Wechsel auf eine neue Hauptversion einer Software mit zusätzlichen Funktionen, oft mit größerem Testaufwand verbunden.

Patch-Management konzentriert sich vor allem auf die ersten beiden Stufen: Sicherheitslücken schließen, ohne den laufenden Betrieb zu gefährden.

Wie läuft geordnetes Patch-Management ab?

Ein funktionierender Prozess folgt typischerweise diesen Schritten:

1. Inventarisieren — Welche Systeme, Geräte und Softwareversionen gibt es überhaupt im Unternehmen? Ohne Übersicht kann kein Patch gezielt eingespielt werden.
2. Priorisieren — Nicht jede Lücke ist gleich kritisch. Sicherheitsrelevante Patches für Systeme mit Internetzugang haben in der Regel Vorrang vor kosmetischen Korrekturen.
3. Testen — Vor der breiten Verteilung wird ein Patch in einer kontrollierten Umgebung oder auf ausgewählten Testgeräten geprüft, damit er keine Geschäftsprozesse stört.
4. Verteilen — Der geprüfte Patch wird zeitnah und geordnet auf alle betroffenen Systeme ausgerollt — Server, Arbeitsplätze, mobile Geräte, Netzwerkkomponenten.
5. Kontrollieren und dokumentieren — Wurde der Patch wirklich überall installiert? Gibt es Geräte, die nicht erreichbar waren? Ein sauberer Prozess hält das nach, statt es dem Zufall zu überlassen.

Warum reicht „Auto-Update” allein nicht?

Automatische Updates auf einzelnen Geräten lösen einen Teil des Problems, aber nicht das Ganze. Ohne zentrale Übersicht weiß niemand, welche Geräte tatsächlich auf dem aktuellen Stand sind, welche eine Installation fehlgeschlagen hat oder welche Systeme — etwa ältere Server oder Spezialanwendungen — von automatischen Updates bewusst ausgenommen wurden. Genau in diesen Lücken entstehen die Einfallstore, die bei einem Angriff ausgenutzt werden.

Ein weiterer Punkt: Manche Updates verändern das Verhalten einer Anwendung oder stören ein anderes System. Ohne Testphase vor der Verteilung riskiert unkontrolliertes Auto-Update genau die Betriebsstörungen, die man eigentlich vermeiden wollte.

Patch-Management in der Praxis

Ein typisches Bild in kleineren Unternehmen: Auf den Arbeitsplatz-Rechnern läuft Windows-Update automatisch, auf dem Server im Serverraum hat seit Monaten niemand nachgeschaut, ob Patches installiert wurden — schließlich „lief ja alles”. Genau dieser Server mit offener Fernwartungs-Schnittstelle ist dann der Punkt, über den ein Angriff gelingt, weil eine seit Wochen bekannte Sicherheitslücke nie geschlossen wurde.

Ein geordnetes Patch-Management verhindert genau dieses Bild: Alle Systeme — nicht nur die sichtbaren Arbeitsplätze — werden erfasst, priorisiert und regelmäßig aktualisiert, mit Nachweis darüber, was wann eingespielt wurde. Bei Managed IT von LNIT ist Patch-Management fester Bestandteil der laufenden Betreuung — nicht als einmalige Aktion, sondern als kontinuierlicher Prozess im Hintergrund.