Bewährte Verfahren für das Patch-Management: So entwickeln Sie ein Programm, das wirklich funktioniert

Laut dem „Kaseya State of the MSP Report 2026“ bieten 69 % der MSPs das Patch- und Update-Management als Dienstleistung an, was diese Funktion zu einer der am häufigsten angebotenen Leistungen im Bereich „ managed services “ und zu einer der wichtigsten für die Sicherheit der Kundenumgebungen macht.

Unter Patch-Management versteht man den Prozess der Identifizierung, Beschaffung, Prüfung und Installation von Software-Updates in der gesamten IT-Umgebung eines Unternehmens. Diese Updates, die von Softwareanbietern zur Behebung von Sicherheitslücken, zur Korrektur von Funktionsfehlern und zur Verbesserung der Stabilität bereitgestellt werden, sind das wichtigste Mittel, um bekannte Angriffsflächen zu schließen. Ohne ein konsequentes Patch-Management-Programm häufen sich Sicherheitslücken schneller an, als sie behoben werden können.

Die meisten IT-Teams führen Patches durch. Nur sehr wenige tun dies jedoch konsequent genug, schnell genug und umfassend genug, um die Sicherheitslücken zu schließen, die Angreifer tatsächlich ausnutzen. Die Lücke zwischen dem bloßen Vorhandensein eines Patch-Management-Prozesses und einem effektiven solchen ist der Ort, an dem die meisten vermeidbaren Sicherheitsverletzungen auftreten.

Die Daten zu diesem Punkt zeigen über die Jahre hinweg ein einheitliches Bild bei Untersuchungen von Sicherheitsvorfällen: Nicht behobene Sicherheitslücken gehören nach wie vor zu den Hauptursachen für erfolgreiche Cyberangriffe. Bei vielen der schwerwiegendsten Ransomware- und Datenpannen der letzten Jahre wurden Sicherheitslücken ausgenutzt, für die bereits seit Monaten Patches verfügbar waren. Die Herausforderung liegt selten in der Verfügbarkeit von Patches. Vielmehr geht es um die Geschwindigkeit, Konsequenz und Vollständigkeit, mit der diese angewendet werden.

In diesem Leitfaden wird erläutert, wie ein Patch-Management-Programm aufgebaut werden kann, das die Lücken im derzeitigen Ansatz der meisten Unternehmen schließt.

Automatisierung der Patch-Installation auf allen Endgeräten

Kaseya VSA bietet ein richtliniengesteuertes Patch-Management für Windows, macOS, Linux und über 300 Anwendungen von Drittanbietern, einschließlich Compliance-Berichten, Genehmigungsworkflows und Unterstützung für Geräte außerhalb des Netzwerks.

Sehen Sie sich das VSA-Patch-Management in der Praxis an

Warum das Patch-Management in der Praxis scheitert

Bei Problemen mit Patches geht es so gut wie nie darum, dass man sich der Bedeutung von Patches nicht bewusst ist. Vielmehr geht es um operative Reibungsverluste, Lücken im Anwendungsbereich und Fehler bei der Priorisierung.

Lücken im Anwendungsbereich sind am gefährlichsten. Patches, die zwar Windows-Betriebssystem-Updates abdecken, aber Browser-Patches, Updates von Drittanbieteranwendungen und Firmware außer Acht lassen, lassen eine erhebliche Angriffsfläche ungeschützt. Die Ausnutzung einer vier Jahre alten Microsoft-Office-Sicherheitslücke im Jahr 2021 ist ein deutliches Beispiel dafür: Ein seit 2017 verfügbarer Patch, der von den meisten Unternehmen auf ihrem Betriebssystem installiert wurde, bei Drittanbieteranwendungen jedoch übersehen wurde.

Geschwindigkeitsdefizite treten auf, wenn der Prozess von der Veröffentlichung eines Patches bis zu dessen Installation Wochen statt Tage dauert. Angreifer reagieren schnell, sobald eine Sicherheitslücke bekannt wird: Bei Schwachstellen mit hohem Schweregrad tauchen bereits innerhalb von Stunden oder Tagen Exploit-Tools auf. Ein 30-tägiger Patch-Zyklus, der vor fünf Jahren noch als angemessen galt, reicht angesichts des aktuellen Tempos bei der Entwicklung von Exploits nicht mehr aus.

Eine Priorisierung ohne Daten führt dazu, dass Teams Patches in der Reihenfolge der Veröffentlichung und nicht nach dem Risikograd anwenden, sodass Probleme mit geringem Schweregrad auf stabilen Systemen behoben werden, während kritische Schwachstellen auf mit dem Internet verbundenen Systemen unbeachtet bleiben.

Manuelle Prozesse können bei großem Umfang einfach nicht mithalten. Die manuelle Verwaltung von Patches über Hunderte oder Tausende von Endgeräten ist von Natur aus fehleranfällig und stößt an Kapazitätsgrenzen. Automatisierung ist bei jedem nennenswerten Umfang kein „Nice-to-have“, sondern der einzig gangbare Weg.

Was ein effektives Patch-Management-Programm umfasst

Ein umfassendes Programm deckt alle Softwarekategorien ab, nicht nur Betriebssystem-Updates.

Betriebssysteme – Windows, macOS und Linux, einschließlich aller in der Umgebung aktiven Versionen, mit regelmäßigen, an die Veröffentlichungszyklen angepassten Update-Zyklen.

Anwendungen von Drittanbietern – Browser (Chrome, Firefox, Edge), Office-Suiten (Microsoft 365, Adobe), Kommunikationswerkzeuge (Teams, Slack, Zoom) sowie alle anderen weit verbreiteten Anwendungen. Sicherheitslücken bei Anwendungen von Drittanbietern gehören durchweg zu den am häufigsten ausgenutzten, da sie weniger Aufmerksamkeit auf sich ziehen als Betriebssystem-Patches und daher attraktive Angriffsziele darstellen.

Insbesondere Browser – Browser sind besonders attraktive Angriffsziele, da sie direkt mit nicht vertrauenswürdigen Internetinhalten in Kontakt kommen. Browser-Anbieter veröffentlichen regelmäßig Sicherheitspatches. Diese sollten mit derselben Dringlichkeit installiert werden wie Betriebssystem-Patches.

Firmware – Hardware-Firmware (BIOS/UEFI, Firmware von Netzwerkgeräten, Speichercontroller) wird häufig vollständig aus Patch-Programmen ausgeschlossen. Sicherheitslücken in der Firmware lassen sich zwar schwerer ausnutzen, sind jedoch nach einer Kompromittierung oft sehr schwer zu erkennen und zu beheben.

Remote- und netzwerkfremde Geräte – Remote-Geräte und Geräte für die Arbeit im Homeoffice benötigen denselben Patch-Schutz wie Geräte im Büro. Ein RMM mit der Fähigkeit, Patches auch auf netzwerkfremden Geräten zu installieren, sobald diese eine Verbindung zum Internet herstellen – unabhängig davon, ob sie sich im Unternehmensnetzwerk befinden oder nicht –, ist für hybride Umgebungen unverzichtbar.

Cloud-Infrastruktur – Cloud-Instanzen und Container müssen ebenso dringend mit Patches versorgt werden wie lokale Systeme, doch die Prozesse unterscheiden sich oft. Das Patch-Management in der Cloud erfordert eine klare Prozessdefinition und darf nicht einfach davon ausgegangen werden, dass der Cloud-Anbieter dies übernimmt.

Priorisierung von Patches: Wie man entscheidet, was zuerst behoben wird

Nicht alle Patches sind gleichermaßen dringend. Bei begrenzten Ressourcen sollte die Priorisierung auf der Grundlage des Risikos erfolgen, nicht anhand des Veröffentlichungsdatums.

Die zuverlässigsten Rahmenwerke zur Priorisierung kombinieren zwei Dimensionen: den Schweregrad der Sicherheitslücke (CVSS-Score, wobei die Einstufungen „kritisch“ und „hoch“ Vorrang haben) und die Ausnutzbarkeit (gibt es einen bekannten Exploit in freier Wildbahn? Wird er aktiv genutzt?). Der KEV-Katalog (Known Exploited Vulnerabilities) der CISA ist die maßgeblichste öffentliche Quelle für Letzteres. Er listet Sicherheitslücken auf, die derzeit aktiv ausgenutzt werden und die unabhängig vom CVSS-Score als Notfall-Patches behandelt werden sollten.

Die Kritikalität der Ressource fügt eine dritte Dimension hinzu. Eine Schwachstelle mittlerer Schwere auf einem Server mit Internetanbindung oder einem Domänencontroller hat eine höhere Priorität als eine Schwachstelle hoher Schwere auf einer isolierten Entwicklungs-Workstation.

Ein praktisches Rahmenkonzept zur Priorisierung:

1. CISA-KEV-Einträge – Patch innerhalb von 24 Stunden, unabhängig vom CVSS-Wert

2. Kritische Sicherheitslücken auf Systemen mit Internetanbindung oder mit hohen Berechtigungen – innerhalb von 24 bis 72 Stunden beheben

3. Sicherheitslücken mit hohem Schweregrad auf Standard-Endgeräten – innerhalb von 7 Tagen beheben

4. Sicherheitslücken mittlerer Schwere – innerhalb von 30 Tagen beheben

5. Sicherheitslücken mit geringem Schweregrad – in die regelmäßigen Wartungszyklen einbeziehen

Automatisierung: Der einzige Weg, Patches in großem Maßstab zu installieren

Eine manuelle Patch-Installation ist bei einer nennenswerten Anzahl von Endgeräten kein nachhaltiger Ansatz. Das Volumen der in allen Softwarekategorien veröffentlichten Patches, die Häufigkeit kritischer Sicherheitsupdates und das Tempo, mit dem neue Exploits entwickelt werden, erfordern eine automatisierte, richtliniengesteuerte Patch-Bereitstellung.

Zu einem effektiven automatisierten Patch-Management gehören:

Kontinuierliche Überprüfung, die fehlende Patches auf allen verwalteten Endgeräten identifiziert und in Echtzeit anhand der Patch-Kataloge der Hersteller aktualisiert wird.

Richtlinienbasierte Bereitstellung, bei der genehmigte Patches automatisch gemäß festgelegten Zeitplänen, nach Schweregrad abgestimmten Zeitpunkten, Wartungsfenstern und Richtlinien für eine schrittweise Einführung angewendet werden, wodurch der Auswirkungsbereich begrenzt wird, falls ein Patch zu Kompatibilitätsproblemen mit Anwendungen führt.

Genehmigungsworkflows für Patches, die einer Überprüfung bedürfen – in der Regel größere Versions-Upgrades oder Patches, die kritische Anwendungen betreffen –, während Standard-Sicherheitspatches automatisch und ohne manuelle Eingriffe in jedem einzelnen Schritt bereitgestellt werden können.

Testumgebungen für Patches mit hohem Risiko, die eine Validierung anhand einer repräsentativen Auswahl von Endgeräten vor der flächendeckenden Bereitstellung ermöglichen.

Compliance-Berichte, die den Patch-Status in der gesamten Umgebung nach Schweregrad, Alter und Asset-Gruppe aufschlüsseln und Managern so einen Überblick über aktuelle Sicherheitsrisiken sowie Nachweise für Audit- und Compliance-Anforderungen bieten.

Kaseya VSA bietet automatisiertes Patch-Management für Endgeräte unter Windows, macOS und Linux, einschließlich der Installation von Patches für Anwendungen von Drittanbietern, mit konfigurierbaren Richtlinien für den Zeitpunkt der Bereitstellung, Genehmigungsworkflows und Compliance-Berichte. Geräte, die sich nicht im Netzwerk befinden, werden aktualisiert, sobald sie eine Verbindung zum Internet herstellen – unabhängig davon, ob sie sich im Unternehmensnetzwerk befinden oder nicht. Fordern Sie eine Demo an, um zu sehen, wie es funktioniert.

Kaseya Intelligence: Autonome Ausführung von Patches

Die Automatisierung übernimmt die Planung und Bereitstellung von Patches. Was sie jedoch nicht eigenständig leisten kann, ist, den Kreislauf zu schließen: die Schwachstelle zu erkennen, ihr Risiko in Bezug auf die jeweilige Umgebung zu bewerten, den Patch zu installieren und zu überprüfen, ob der Patch korrekt angewendet wurde und keine nachgelagerten Systeme beeinträchtigt hat.

Kaseya Intelligence, die KI-Engine, die die Plattform „ Kaseya 365 “ antreibt, verlagert das Patch-Management von der automatisierten Planung hin zur autonomen Ausführung und Validierung. Sie wurde anhand von Daten aus 17 Millionen verwalteten Endpunkten und mehr als einer Milliarde realer Helpdesk-Tickets trainiert und berücksichtigt dabei Kontextfaktoren, die eine generische Automatisierung nicht berücksichtigen kann: Welche Systeme sind tatsächlich kritisch, welche Patches haben in der Vergangenheit in ähnlichen Umgebungen Kompatibilitätsprobleme verursacht und welche noch nicht behobenen Schwachstellen stellen derzeit das höchste tatsächliche Risiko dar?

Für MSPs, die die Patch-Verwaltung in Dutzenden oder Hunderten von Kundenumgebungen betreuen, ist genau dieser Kontext entscheidend dafür, ob ein Patch-Programm lediglich funktioniert oder ob es skalierbar ist, ohne dass die Anzahl der Support-Tickets proportional ansteigt. Erfahren Sie mehr unter Kaseya Intelligence.

Patch-Management für MSPs: Einheitlichkeit über alle Kundenumgebungen hinweg

Für MSPs erfüllt das Patch-Management einen doppelten Zweck: Es schützt die Umgebungen der Kunden vor Sicherheitslücken und belegt diesen Schutz durch dokumentierte Compliance-Daten, die den Anforderungen der Kunden hinsichtlich Berichterstattung und Audits gerecht werden.

Für das MSP-Patch-Management ist Folgendes erforderlich:

Standardisierte Basisrichtlinien, die in allen Kundenumgebungen einheitlich angewendet werden, mit kundenspezifischen Anpassungen, sofern dies aufgrund von Einschränkungen erforderlich ist (Wartungsfenster, geschäftskritische Anwendungen, die vor dem Patch-Einsatz getestet werden müssen).

Compliance-Berichte pro Client, die den Patch-Status, noch nicht behobene Sicherheitslücken und Abhilfemaßnahmen für jeden Client einzeln aufzeigen.

SLA-konforme Patch-Zeitpläne, die bestimmte Fristen für die Behebung von Problemen festlegen und den Nachweis erbringen, dass diese Fristen eingehalten werden.

Eskalationsverfahren für Situationen, in denen vor der Installation von Patches die Zustimmung des Kunden erforderlich ist und sich diese Zustimmung verzögert, um sicherzustellen, dass offene Sicherheitslücken während der Wartezeit auf die Freigabe durch den Kunden nicht übersehen werden.

Messung der Patch-Compliance

Die Effektivität des Patch-Managements lässt sich messen, und es lohnt sich, die entsprechenden Kennzahlen regelmäßig zu verfolgen:

Mean Time to Patch (MTTP) – die durchschnittliche Zeit vom Veröffentlichen eines Patches bis zu dessen Installation, aufgeschlüsselt nach Schweregradkategorien. Die MTTP-Entwicklungstrends zeigen, ob sich das Programm im Laufe der Zeit verbessert oder verschlechtert.

Patch-Compliance-Rate – der Prozentsatz der erforderlichen Patches, die innerhalb der festgelegten SLA-Fenster installiert wurden. Verfolgen Sie diese Kennzahl nach Schweregrad und nach Asset-Gruppe, um festzustellen, wo tatsächlich Lücken bestehen.

Dauer kritischer Sicherheitslücken – wie lange kritische Sicherheitslücken ungepatcht bleiben. Jede kritische Sicherheitslücke, die älter als 7 Tage ist und nicht im Rahmen eines genehmigten Ausnahmeverfahrens behandelt wird, stellt ein Risiko dar, das eskaliert werden muss.

Ausnahmerate und Alter – Ausnahmen (die sich aufgrund von Kompatibilitätstests, geschäftlichen Einschränkungen oder Genehmigungsverfahren beim Kunden verzögern) sollten mithilfe von Alterungswarnungen nachverfolgt werden. Eine alte Ausnahme ist entweder ein dokumentiertes, kontrolliertes Risiko oder eine vergessene Lücke.

Die wichtigsten Erkenntnisse

• Patch-Management ist der Prozess der Identifizierung, Beschaffung, Prüfung und Installation von Software-Updates, um bekannte Sicherheitslücken zu schließen. Die meisten Probleme betreffen den Umfang, die Geschwindigkeit und manuelle Prozesse, die nicht skalierbar sind.
• Ein umfassendes Programm umfasst nicht nur Betriebssystem-Updates, sondern auch Betriebssysteme, Anwendungen von Drittanbietern, Browser, Firmware, Cloud-Infrastruktur und Geräte außerhalb des Netzwerks.
• Bei der Priorisierung sollten der Schweregrad der Sicherheitslücke, die Möglichkeit einer aktiven Ausnutzung gemäß CISA KEV und die Kritikalität der Ressourcen berücksichtigt werden – nicht nur der CVSS-Wert oder das Veröffentlichungsdatum.
• Automatisiertes, richtliniengesteuertes Patching ist der einzige praktikable Ansatz für den großflächigen Einsatz. „ Kaseya Intelligence “ geht noch einen Schritt weiter – von der automatisierten Planung bis hin zur autonomen Ausführung und Validierung.
• Für MSPs sind einheitliche Basisrichtlinien, Compliance-Berichte für jeden einzelnen Kunden und an SLAs ausgerichtete Zeitpläne die betrieblichen Voraussetzungen für die Bereitstellung von Patch-Management als Managed Service.