Patch-Management

Patch-Management bezeichnet den strukturierten Lebenszyklus, mit dem Organisationen Software-Aktualisierungen für Betriebssysteme, Anwendungen, Firmware und Netzwerkkomponenten erfassen, bewerten, testen, freigeben und ausrollen. Ziel ist es, bekannt gewordene Schwachstellen zu schließen, bevor sie ausgenutzt werden können. Ein wirksames Patch-Management umfasst eine vollständige Bestandsaufnahme der eingesetzten Systeme (Asset-Inventar), eine kontinuierliche Beobachtung von Herstellermeldungen und Schwachstelleninformationen sowie eine risikobasierte Priorisierung, die kritische Sicherheitslücken vor weniger dringenden Updates behandelt.

Im Zentrum steht ein definierter Prozess: Nach der Identifikation eines Patches erfolgt eine Bewertung der Kritikalität – häufig anhand der CVSS-Bewertung der zugehörigen Schwachstelle – und der Auswirkungen auf den Geschäftsbetrieb. Vor dem produktiven Einsatz werden Patches in einer Testumgebung geprüft, um Stabilitäts- und Kompatibilitätsprobleme auszuschließen. Der Rollout erfolgt kontrolliert über definierte Wartungsfenster, begleitet von einem Change-Management, einer Dokumentation und einer Rückfallstrategie (Rollback) für den Fehlerfall. Festgelegte Fristen für das Einspielen besonders kritischer Patches stellen sicher, dass das Zeitfenster für Angreifer minimiert wird.

Patch-Management ist ein zentraler Baustein des Schwachstellenmanagements und damit der technischen Maßnahmen zur Risikobeherrschung. Aufsichts- und Standardrahmenwerke erwarten es ausdrücklich: Die NIS-2-Richtlinie und ihre nationale Umsetzung fordern angemessene technische Maßnahmen zur Beherrschung von Sicherheitsrisiken, einschließlich des Umgangs mit Schwachstellen und der Sicherheit von Lieferketten. Auch der BSI IT-Grundschutz (Baustein OPS.1.1.3 Patch- und Änderungsmanagement) sowie ISO/IEC 27001 (Anhang-A-Maßnahme 8.8 Management technischer Schwachstellen) verlangen einen dokumentierten, nachvollziehbaren und wiederkehrend überprüften Patch-Prozess.