Patch-Management - die meisten Einbrüche nutzen längst bekannte Lücken

Teils - aber ungetestete Auto-Updates legen im ungünstigen Moment den Betrieb lahm, und Server sowie Spezialsoftware brauchen mehr Sorgfalt. Wir kombinieren Automatik mit Test- und Freigabestufen, damit beides stimmt: aktuell und stabil.

Die gibt es fast überall (alte Maschinensteuerung, Spezialsoftware). Solche Systeme isolieren und überwachen wir gesondert - Patchen ist nicht die einzige Antwort, aber sie müssen bewusst behandelt werden.

Ja. Gerade Browser, PDF-Reader und weitverbreitete Tools sind beliebte Einfallstore. Wir halten auch die Anwendungen aktuell, nicht nur das Betriebssystem.

Der Beratungs- und Einführungsanteil ist häufig BAFA-förderfähig (Bemessungsgrundlage 3.500 EUR, Zuschuss also max. 1.750 EUR; bis zu zwei geförderte Beratungen pro Jahr). Den Antrag übernehmen wir.

Kritische Lücken, die bereits aktiv ausgenutzt werden, behandeln wir außerhalb des normalen Zyklus - oft noch am selben oder am nächsten Tag. Der Rest läuft in geplanten Wartungsfenstern, damit nicht jede Woche jemand aus dem Betrieb gerissen wird. Was als kritisch gilt, legen wir vorab gemeinsam fest, sonst ist am Ende alles dringend.

Ein Teil der Updates braucht einen Neustart, das lässt sich nicht wegzaubern. Wir legen ihn in Wartungsfenster oder geben den Nutzern ein Zeitfenster mit Erinnerung, statt mitten im Arbeitstag durchzugreifen. Erzwungen wird ein Neustart nur, wenn die Schwere der Lücke es rechtfertigt.

Bei uns ist es Bestandteil des gemanagten Betriebs - Managed IT startet bei 59 EUR pro Arbeitsplatz und Monat, Server werden getrennt bepreist. Als reines Einzelprojekt lohnt es sich selten, weil der Wert im dauerhaften Betrieb liegt und nicht in einer einmaligen Aufräumaktion.

Für einen Privatrechner ja, für ein Firmennetz nicht. Windows Update kümmert sich um das Betriebssystem und Microsoft-Produkte, aber nicht um Drittanwendungen, nicht um Deine Server nach Plan und schon gar nicht um den Nachweis, welches Gerät auf welchem Stand ist. Genau diese Lücken schließt ein zentrales Patch-Management.

Der Scan zeigt, wo Lücken sind - auch solche, für die es gar keinen Patch gibt, etwa Fehlkonfigurationen. Das Patch-Management schließt die, die sich per Update schließen lassen. Zusammen ergeben sie den Kreislauf aus Finden und Beheben; einzeln bleibt jeweils die Hälfte liegen.

Ja. Windows-Server, Linux-Systeme, Hypervisoren und Netzwerkgeräte gehören dazu - gerade dort ist eine offene Lücke am teuersten. Für Server arbeiten wir grundsätzlich mit Wartungsfenster, vorherigem Snapshot beziehungsweise Backup und einem definierten Rückweg.

Die werden über den Agenten auf dem Gerät versorgt, nicht über die Anwesenheit im Firmennetz. Sobald ein Notebook online ist, holt es seine Updates; eine VPN-Verbindung ist dafür nicht nötig. Geräte, die sich längere Zeit gar nicht melden, fallen im Reporting auf und werden nachverfolgt.

Deshalb rollen wir gestuft aus: erst eine kleine Testgruppe, dann die Breite. Geht trotzdem etwas schief, setzen wir zurück - bei Servern über Snapshot oder Backup, bei Clients über die Deinstallation des Updates. Ein Restrisiko bleibt, aber es ist deutlich kleiner als das Risiko, gar nicht zu patchen.

NIS2 nennt kein Produkt, verlangt aber einen geregelten Umgang mit Schwachstellen und den Nachweis, dass er greift. ISO 27001 und BSI-Grundschutz sind an dieser Stelle noch expliziter. Wir setzen um und dokumentieren prüffest - die Zertifizierung selbst nimmt eine akkreditierte Stelle vor.

Meistens ja. Wir schauen uns an, was das vorhandene Werkzeug abdeckt und wo die blinden Flecken sind, und übernehmen dann den Betrieb, statt ohne Not zu wechseln. Ein Wechsel lohnt erst, wenn Server, Drittsoftware oder das Reporting damit nicht sauber abgedeckt sind.

Der Nachweis fällt aus dem laufenden Betrieb ab: welches System, welcher Stand, wann eingespielt, welche Ausnahmen mit welcher Begründung. Diesen Bericht bekommst Du regelmäßig und kannst ihn direkt vorlegen. Cyberversicherer fragen inzwischen fast immer danach.