Patch-Management ist der geregelte Prozess, Sicherheitsupdates auf alle Systeme einzuspielen: Server, Arbeitsplätze, Anwendungen, Firmware und Netzwerkgeräte. Ziel ist, bekannte Lücken zu schließen, bevor Angreifer sie ausnutzen. Entscheidend ist dabei nicht das einzelne Update, sondern dass kein Gerät durchs Raster fällt.
Warum Patch-Management heute Pflicht ist
Die Zahl der Schwachstellen wächst schneller, als sich von Hand nachpflegen lässt. Laut BSI-Lagebericht 2025 wurden im Berichtszeitraum durchschnittlich 119 neue Schwachstellen pro Tag bekannt, 24 % mehr als im Vorjahr.
Angreifer nutzen diese Lücken gezielt. Nach dem Verizon Data Breach Investigations Report 2025 war das Ausnutzen von Schwachstellen bei 20 % der untersuchten Sicherheitsvorfälle der Einstieg, ein Anstieg um 34 % gegenüber dem Vorjahr. Besonders betroffen sind Edge-Geräte wie Firewalls und VPN-Zugänge: Ihr Anteil an den ausgenutzten Schwachstellen stieg von 3 % auf 22 %.
So läuft Patch-Management ab
- Inventar: Alle Geräte und Programme sind erfasst. Was nicht bekannt ist, wird nicht gepatcht.
- Bewertung: Welche Updates schließen kritische oder bereits aktiv ausgenutzte Lücken? Diese haben Vorrang.
- Test: Updates laufen zuerst auf einer kleinen Testgruppe, um fehlerhafte Patches abzufangen.
- Verteilung: Ausrollen in festen Wartungsfenstern, automatisiert über ein Verwaltungswerkzeug wie NinjaOne, WSUS oder Microsoft Intune.
- Kontrolle: Ein Bericht zeigt, welche Geräte aktuell sind und wo ein Update fehlgeschlagen ist.
Welche Fristen sinnvoll sind
Eine verbindliche Frist für alle Unternehmen gibt es nicht. Bewährt hat sich in der Praxis:
| Art des Updates | Empfohlene Frist |
|---|---|
| Lücke wird bereits aktiv ausgenutzt | so schnell wie möglich, notfalls außerhalb des Wartungsfensters |
| Kritische Sicherheitsupdates | innerhalb von 7 Tagen |
| Übrige Updates | innerhalb von 30 Tagen |
Was im Mittelstand oft vergessen wird
- Firmware und Edge-Geräte: Firewalls, Switches, Drucker und IP-Kameras werden selten aktualisiert, obwohl genau dort die Angriffe zunehmen.
- Drittanbieter-Software: Browser, PDF-Programme und Fachanwendungen haben eigene Update-Wege, die Windows Update nicht abdeckt.
- Geräte außer Haus: Notebooks im Homeoffice, die selten im Firmennetz sind, verpassen zentrale Updates.
- Systeme ohne Support: Betriebssysteme und Programme, deren Herstellersupport ausgelaufen ist, erhalten keine Sicherheitsupdates mehr. Sie müssen ersetzt oder gesondert abgesichert werden.
Patch-Management als Teil von Managed IT
Im Rahmen von Managed IT übernehmen wir das Patching von Betriebssystemen und Drittanbieter-Software in definierten Wartungsfenstern und berichten den Patch-Status monatlich. Wie Patch-Management in ein Gesamtkonzept passt, zeigen unsere Seite IT-Security und die IT-Security-Checkliste für KMU. Für Unternehmen, die unter NIS-2 fallen, gehört ein geregeltes Schwachstellen-Management zu den Pflichtmaßnahmen.