Patch Management ist der systematische Prozess, mit dem Organisationen Software-Aktualisierungen (Patches) planen, testen, verteilen und kontrollieren. Patches schließen Sicherheitslücken und beheben Fehler in Betriebssystemen und Anwendungen. Wer sie nicht zeitnah einspielt, lässt Angreifern bekannte Einfallstore offen.
Warum Patches so wichtig sind
Sicherheitslücken werden öffentlich als CVE dokumentiert – oft zusammen mit funktionierendem Exploit-Code. Sobald ein Patch existiert, können Angreifer die Lücke aus der Patch-Beschreibung ableiten und gezielt attackieren. Besonders kritisch sind Zero-Day-Lücken, für die es zunächst keinen Patch gibt. Regelmäßiges Patch Management verkleinert das Zeitfenster, in dem ein System verwundbar ist.
Der Prozess
- Inventar: Alle Systeme und installierten Programme werden erfasst – was man nicht kennt, kann man nicht aktualisieren.
- Priorisierung: Schwachstellen-Scans und der CVSS-Score (0 bis 10) bewerten das Risiko; kritische Lücken mit aktivem Exploit haben Vorrang.
- Test: Patches werden in einer Staging-Umgebung auf Verträglichkeit geprüft, bevor sie produktive Systeme erreichen.
- Rollout: Die Verteilung erfolgt gestaffelt (etwa nach Risikogruppen), damit ein fehlerhafter Patch nicht alle Systeme auf einmal trifft.
- Verifikation: Nach der Installation wird geprüft, ob der Patch wirklich aktiv ist – und ob keine Regressionen auftraten.
Praxis und Werkzeuge
- Viele Hersteller liefern Updates in festen Zyklen – bekanntestes Beispiel ist der Microsoft-Patch Tuesday am zweiten Dienstag im Monat.
- Für aktiv ausgenutzte Lücken werden außerplanmäßige Notfall-Patches (Out-of-Band) eingespielt.
- Typische Werkzeuge sind WSUS oder Intune (Windows), Lansweeper, Automox und ManageEngine; unter Linux übernehmen etwa automatische Update-Dienste die Grundversorgung.
- Ein guter Rollout-Plan enthält ein Rollback-Konzept für den Fall, dass ein Patch Probleme verursacht.
Patch Management ist eine Daueraufgabe des Sicherheitsbetriebs: Es reduziert die Angriffsfläche, die ein SOC überwachen muss, und verhindert viele Vorfälle, die sonst in der Incident Response landen würden.
Verwandte Grundlagen: SOC, Incident Response, CVE, Sicherheitslücke, Zero-Day.