Patch-Management: Schwachstellen systematisch schließen

Patch-Management bezeichnet den strukturierten Prozess, mit dem Sicherheits- und Fehlerkorrekturen für Betriebssysteme, Anwendungen und Geräte-Firmware erfasst, bewertet, getestet, verteilt und dokumentiert werden. Ein erheblicher Teil erfolgreicher Angriffe nutzt Schwachstellen aus, für die zum Zeitpunkt des Angriffs bereits eine Korrektur verfügbar war. Der entscheidende Faktor ist damit weniger die Verfügbarkeit von Updates als die Zeitspanne bis zu ihrer tatsächlichen Installation.

Warum automatische Updates nicht genügen

Viele Unternehmen verlassen sich darauf, dass Windows und einzelne Anwendungen sich selbst aktualisieren. Das deckt einen Teil ab, lässt aber systematisch Lücken. Automatische Updates greifen nur bei Systemen, die eingeschaltet und verbunden sind; sie erfassen häufig keine Drittanbieter-Software, keine Firmware und keine Geräte ohne Benutzerinteraktion. Zudem liefern sie keinen Nachweis: Ohne zentrale Auswertung wissen Sie nicht, welche Systeme tatsächlich auf welchem Stand sind. Genau dieser Nachweis wird jedoch bei Sicherheitsvorfällen, Audits und zunehmend auch von Versicherern und Auftraggebern verlangt.

Was zum Umfang gehört

Der Umfang wird regelmäßig zu eng gefasst. Ein tragfähiger Prozess erfasst alle Komponenten, über die ein Angriff möglich ist.

• Betriebssysteme auf Servern, Arbeitsplätzen und mobilen Geräten.
• Drittanbieter-Software wie Browser, PDF-Programme, Archivierungswerkzeuge, Laufzeitumgebungen und Fernwartungslösungen.
• Firmware von Firewalls, Routern, Switches, WLAN-Zugangspunkten, NAS-Systemen, Druckern und USV-Anlagen.
• Virtualisierungsplattformen und deren Verwaltungsoberflächen.
• Fachanwendungen und Datenbanken, häufig mit herstellerspezifischen Freigabezyklen.
• Geräte der Gebäude- und Produktionstechnik, sofern sie am Netzwerk angeschlossen sind.

Ein tragfähiger Ablauf

Am Anfang steht ein aktuelles Inventar. Was nicht erfasst ist, wird nicht aktualisiert, und in fast jedem gewachsenen Netz existieren Systeme, die niemand mehr auf dem Schirm hat. Auf das Inventar folgt die Bewertung, denn nicht jede Korrektur ist gleich dringlich. Eine aus dem Internet erreichbare Firewall-Schwachstelle mit bekanntem Angriffscode erfordert eine andere Reaktionszeit als ein Fehler in einer rein intern genutzten Anwendung. Sinnvoll sind definierte Fristen je Kritikalität, etwa wenige Tage für kritische, aus dem Internet ausnutzbare Schwachstellen und ein fester monatlicher Zyklus für den Rest. Vor dem breiten Ausrollen sollte eine Testgruppe die Aktualisierung erhalten, um Wechselwirkungen mit Fachanwendungen zu erkennen. Anschließend erfolgt die Verteilung in Wellen, gefolgt von einer Kontrolle des tatsächlich erreichten Standes. Für Systeme, die aus betrieblichen Gründen nicht aktualisiert werden können, braucht es dokumentierte Ausweichmaßnahmen, beispielsweise Netzsegmentierung oder eingeschränkte Zugriffswege.

Notfall-Patches und Betriebsunterbrechung

Gelegentlich werden Schwachstellen bekannt, die außerhalb des regulären Zyklus behandelt werden müssen, weil sie bereits aktiv ausgenutzt werden. Dafür sollte vorab geklärt sein, wer entscheidet, welche Wartungsfenster kurzfristig nutzbar sind und wie die Belegschaft informiert wird. Umgekehrt gilt: Ein Update kann selbst Störungen verursachen. Eine geprüfte Rücksicherung und ein definierter Rückfallweg, etwa ein Snapshot vor der Änderung, gehören deshalb zu jedem größeren Ausrollen. Wartungsfenster außerhalb der Kernarbeitszeit reduzieren die Auswirkungen, setzen aber die Verfügbarkeit von Personal voraus.

Typische Fehler

Am häufigsten scheitert Patch-Management an drei Punkten.

• Unvollständige Inventare, in denen Netzwerkkomponenten, Firmware und selten genutzte Systeme fehlen.
• Ausnahmen, die einmal fachlich begründet wurden und danach unbefristet bestehen bleiben, sodass einzelne Systeme jahrelang nicht aktualisiert werden.
• Fehlender Nachweis: Der Prozess läuft, aber niemand prüft, ob das Ausrollen tatsächlich auf allen Systemen erfolgreich war.

Hinzu kommt der Umgang mit Systemen, die das Ende ihres Herstellersupports erreicht haben. Für diese gibt es keine Korrekturen mehr; hier hilft nur Ersatz oder eine konsequente Isolation. Solche Systeme sollten mit Termin und Verantwortlichkeit in einer Übersicht geführt und regelmäßig in der Geschäftsleitung berichtet werden.

• Die meisten erfolgreichen Angriffe nutzen Schwachstellen, für die bereits eine Korrektur verfügbar war.
• Automatische Updates decken nur einen Teil ab und liefern keinen Nachweis über den tatsächlichen Stand.
• Firmware von Firewall, Switch, NAS und Drucker gehört ebenso in den Prozess wie Betriebssysteme.
• Definierte Fristen je Kritikalität, Testgruppe und Rückfallweg machen das Ausrollen beherrschbar.
• Unbefristete Ausnahmen und Systeme ohne Herstellersupport sind das größte verbleibende Risiko.