Updates und Patch-Management

Was eine Lücke offen lässt, ist selten der fehlende Patch – es ist der nicht eingespielte. Im Managed Service laufen Updates automatisch: zuerst auf einer Testgruppe, dann auf allen Geräten; Server bekommen sie im Wartungsfenster mit anschließender Funktionskontrolle. Diese Seite zeigt, was dazugehört, wie schnell aus einer Lücke ein Vorfall wird und was im Betrieb alles Software ist.

Automatisch im Modulpreis

• Betriebssystem-Updates auf Arbeitsplätzen und Servern
• Updates für gängige Drittsoftware: Browser, PDF-Reader, Office-Erweiterungen
• Laufender Schwachstellen-Scan, bevor Angreifer die Lücke finden
• Server-Neustarts im Wartungsfenster, danach Funktionskontrolle der kritischen Dienste

Ausprobieren in der Desktop-Ansicht: Update aufschieben, Geräteliste, ein Klick mit zwei Konten Virenschutz und Monitoring

Chronik einer Lücke: Was „Später erinnern“ kostet

Der übliche Ablauf nach Veröffentlichung eines Sicherheitsupdates, wie ihn Sicherheitsforscher bei den letzten großen Lücken beobachtet haben:

1. Tag 0: Der Hersteller veröffentlicht das Sicherheitsupdate. Damit ist die Lücke öffentlich beschrieben – für alle.
2. Tag 1: Angreifer vergleichen alte und neue Version und finden die Stelle, die geändert wurde.
3. Tag 3: Ein funktionierender Exploit kursiert in Foren, erst gegen Geld, dann gratis.
4. Tag 5: Der Exploit-Code steht öffentlich, mit Anleitung. Jetzt braucht es keine Fachleute mehr.
5. Tag 7: Die Lücke ist in den gängigen Angriffswerkzeugen. Scanner suchen im ganzen Internet nach verwundbaren Versionen.
6. Tag 9: Ihr Firewall-Protokoll zeigt die ersten gezielten Versuche aus dem Ausland.
7. Tag 12: Eine E-Mail mit präpariertem Anhang trifft ein. Der Anhang nutzt genau diese Lücke.
8. Tag 14: Ein Kollege öffnet den Anhang. Ohne Update läuft der Code. Mit Update wäre er ins Leere gelaufen.
9. Tag 18: Der Angreifer hat sich eingerichtet und sieht sich um: Netzlaufwerke, Sicherungen, gespeicherte Passwörter.
10. Tag 21: Verschlüsselung. Der Erpresserbrief liegt am Desktop, die Sicherung ist gelöscht, soweit sie erreichbar war.

Jedes „Später erinnern“ ist eine Entscheidung. Im Managed Service kommt das Update in der Nacht nach Tag 0.

Was im Betrieb alles Software ist

Patch-Management hört nicht bei Windows auf. Das Inventar eines typischen Betriebs:

Branchensoftware: Updates der Branchensoftware betreffen Datenbank und Schnittstellen und brauchen Test und Freigabe. 40 Tage sind in Ordnung, 400 nicht. Der Hersteller gehört in den Patchplan.

Drucker DRUCKER-BUERO: Der Drucker ist ein Computer mit Weboberfläche, Werkspasswort und gespeicherten Zugangsdaten. Eine Firmware von 2019 bedeutet sieben Jahre lang bekannte, offene Lücken. Der Drucker gehört in die Dokumentation, in den Patchplan und in ein eigenes Netzsegment. Im Internet Explorer unter 10.10.0.10 anzusehen.

Accesspoint WLAN: Accesspoints bekommen selten Updates, weil sie „einfach laufen“. Lücken in WLAN-Geräten erlauben den Sprung vom Gästenetz ins Firmennetz. Der Accesspoint gehört zum verwalteten Netzwerk.

NAS unter dem Schreibtisch (Fotoarchiv): NAS-Geräte mit Internetzugang sind seit Jahren ein Lieblingsziel von Erpressungstrojanern. Entweder in die Verwaltung und in die Sicherung, oder vom Netz.

Maschinensteuerung Halle: Lässt sich nicht aktualisieren, also wird sie abgeschottet: eigene Netzzone, nur freigegebene Verbindungen, kein Internet, kein USB. Das ist der Normalfall in der Produktion, und er ist in Ordnung, solange die Zone dicht ist.

Kaffeemaschine KAFFEE-01: Alles, was eine App hat, hat auch ein Betriebssystem und damit Lücken. Was nicht gepflegt wird, bekommt keinen Platz im Firmennetz – deshalb steht die Kaffeemaschine im Gästenetz.

Ein Klick, zwei Konten

Derselbe Anhang, einmal mit Standardkonto, einmal als Administrator geöffnet: Mit Standardkonto stoppt die Verhaltensanalyse den Trojaner nach vier Dateien, als Administrator schaltet er zuerst den Virenschutz ab, liest Passwörter aus und löscht Sicherungen. Die Gegenüberstellung Schritt für Schritt steht im Reiter „Rechte“ des Fensters Virenschutz und Monitoring. Deshalb arbeiten alle im Alltag mit dem Standardkonto; Administratorrechte vergibt die IT nur gezielt.

Die falsche Hilfe

Eine Webseite mit roter Warnung, Warnton und einer Telefonnummer des „Microsoft-Supports“ ist kein Virus, sondern Betrug. Am Telefon folgt eine Fernwartung, bei der angeblich Viren gefunden und 299 € verlangt werden. Browser schließen, notfalls über den Task-Manager, dann die IT anrufen – unter der bekannten Nummer. In der Desktop-Ansicht lässt sich die Seite gefahrlos ansehen: Internet Explorer, support-alert-check.xyz.

Häufige Fragen

Warum nicht einfach alle Updates sofort und überall?
Weil Updates auch Fehler bringen. Deshalb bekommt zuerst eine Testgruppe das Update, dann der Rest, und Server nur im Wartungsfenster mit anschließender Funktionskontrolle. Das Risiko einer kaputten Anwendung ist klein gegen das Risiko einer offenen Lücke – aber nicht null.

Was ist mit Geräten, die sich nicht aktualisieren lassen?
Maschinensteuerungen, alte Branchensoftware oder Laborgeräte, die keine Updates mehr bekommen, werden abgeschottet: Sie kommen in eine eigene Netzzone, erhalten nur freigegebene Verbindungen und weder Internet noch USB.

Wie lange darf ein Update warten?
Browser, Office und alles, was fremde Inhalte öffnet, sollten innerhalb weniger Tage aktualisiert sein. Firewall und Server warten bis zum nächsten Wartungsfenster, Branchensoftware bis nach Test und Freigabe, aber mit festem Termin. Ein Jahr ist nie richtig.

Stand der Daten: 10.10.2026.