Patch-Management einfach erklärt
Ein Patch ist eine Korrektur, die ein Softwarehersteller nachliefert. Sie behebt einen Programmfehler, verbessert die Stabilität oder schließt eine Sicherheitslücke. Für einen einzelnen Heim-PC genügt dafür die automatische Updatefunktion. In einem Unternehmen mit Servern, Arbeitsplätzen, Notebooks im Homeoffice und Fachanwendungen braucht es mehr: einen Plan, wer welche Updates wann einspielt, und eine Rückmeldung, ob es geklappt hat.
Das US-amerikanische National Institute of Standards and Technology (NIST) beschreibt Patch-Management in seiner Richtlinie SP 800-40 als Abfolge aus Erkennen, Priorisieren, Beschaffen, Installieren und Prüfen. Schon der Titel ordnet es als vorbeugende Wartung ein. Das trifft den Kern: Es geht nicht um einzelne Notfälle, sondern um eine wiederkehrende Aufgabe mit festen Abläufen.
Woher Updates kommen und in welchem Takt
Microsoft veröffentlicht die monatlichen Sicherheitsupdates für Windows am zweiten Dienstag jedes Monats, weshalb oft vom „Patch Tuesday“ die Rede ist (Stand: Oktober 2026). Diese Updates sind kumulativ, enthalten also auch die Korrekturen der Vormonate. Kann eine Lücke nicht bis zum nächsten Termin warten, liefert Microsoft außerplanmäßig nach.
Andere Hersteller folgen eigenen Zeitplänen. Browser, PDF-Programme, Kommunikationssoftware und Fachanwendungen erhalten Updates, sobald der Hersteller sie bereitstellt. Gleiches gilt für die Firmware von Servern, Switches und Firewalls. Gerade diese Programme anderer Hersteller geraten leicht aus dem Blick, wenn im Unternehmen nur die Windows-Updates automatisch laufen.
Wartungsfenster, Testgruppen und Ausnahmen
Viele Updates verlangen einen Neustart. Startet ein Windows Server mitten am Vormittag neu, unterbricht das alle, die gerade darauf arbeiten. Server-Updates gehören deshalb in Wartungsfenster, die zum Betrieb passen, etwa abends oder am Wochenende. Arbeitsplätze lassen sich flexibler behandeln: Das Update wird verteilt, und der Neustart folgt innerhalb einer festgelegten Frist.
Ein gestuftes Vorgehen senkt das Risiko, dass ein fehlerhaftes Update viele Geräte gleichzeitig trifft. Ausgewählte Geräte bekommen das Update vorab, die übrigen ziehen einige Tage später nach.
Manche Updates müssen warten, zum Beispiel wenn der Hersteller einer Fachanwendung eine neue Windows-Version noch nicht freigegeben hat. Dann wird das Update zurückgestellt und die Entscheidung mit Begründung festgehalten. Genau das fordert das BSI im Baustein OPS.1.1.3 „Patch- und Änderungsmanagement“ seines Grundschutz-Kompendiums, Edition 2023: Nach Anforderung A15 sind Entscheidung und Gründe zu dokumentieren, wenn ein Patch nicht eingespielt wird.
Mit dem Supportende eines Betriebssystems oder Programms versiegt der Nachschub an regulären Sicherheitsupdates. Manche Hersteller bieten befristete, kostenpflichtige Verlängerungen an, doch auch die laufen aus. Derselbe BSI-Baustein verlangt für solche Produkte eine Prüfung, ob sie sich noch sicher betreiben lassen; fällt sie negativ aus, dürfen sie nach dem Baustein nicht mehr verwendet werden. Supportenden gehören deshalb frühzeitig in die Planung, und genau darum kümmert sich das Lifecycle-Management.
Updates im Hörakustik-Fachgeschäft staffeln
Angenommen, ein Hörakustik-Fachgeschäft mit drei Filialen stellt Hörgeräte mit einer Anpasssoftware ein, die über eigene Treiber mit den Programmiergeräten spricht. Bisher holt sich jeder Rechner seine Updates, wann er will. Nach einem großen Windows-Update erkennen die Rechner in zwei Filialen die Programmiergeräte nicht mehr, und an einem vollen Samstag müssen Anpasstermine verschoben werden.
Danach ändert das Geschäft das Vorgehen. Ein Anpassplatz in der Hauptfiliale dient als Testgerät und bekommt die monatlichen Updates zuerst. Erst wenn dort eine Woche lang alle Anpassungen klappen, folgen die übrigen Rechner. Den Server aktualisiert der Dienstleister montags nach Ladenschluss, weil dann keine Termine stattfinden.
Eine Übersicht zeigt, welche Geräte auf dem aktuellen Stand sind und für welches Update eine dokumentierte Ausnahme gilt. So fällt auch der Rechner am Empfang einer Filiale auf, der seit zwei Monaten kein Update angenommen hat.
Warum Patch-Management für Unternehmen zählt
Für den Schutz zählt weniger, wie schnell ein Hersteller eine Korrektur liefert, als wie lange sie danach bei Ihnen ungenutzt bleibt. Zusammen mit einem Sicherheitsupdate erscheint in der Regel eine Beschreibung der behobenen Schwachstelle, und diese Information steht auch Angreifern zur Verfügung. Ein ungepatchter Fernzugang oder Mailserver kann so zum Einstieg für Ransomware werden. Deshalb kommen von außen erreichbare Systeme in der Reihenfolge zuerst an die Reihe.
Patch-Management ersetzt keinen Virenschutz und umgekehrt: Das eine schließt bekannte Lücken, das andere erkennt Schadprogramme. Auch Versicherer fragen vor dem Abschluss einer Cyberversicherung teils nach dem Update-Stand. Welche Nachweise dabei typischerweise eine Rolle spielen, erklärt der Beitrag über die Anforderungen, die eine Cyberversicherung an Ihre IT stellt.
Technisch kann Patch-Management über dieselbe Software laufen wie das IT-Monitoring. Eine Plattform für Remote Monitoring and Management (RMM) verteilt Updates und meldet zurück, was auf welchem Gerät installiert wurde.
Wie ProNet unterstützt
Bei uns ist Patch-Management ein Bestandteil des IT-Monitorings für Unternehmen. Wir planen Updates für die Betriebssysteme und für gängige Programme anderer Hersteller in Wartungsfenstern, die wir mit Ihnen abstimmen. Zurückgestellte Updates halten wir mit Grund fest, und der Update-Stand ist in einem Bericht belegt. Für Ihre Server gehört die Pflege zur Windows Server Betreuung. Wie aktuelle Systeme mit Firewall, Endpoint-Schutz und weiteren Maßnahmen zusammenwirken, zeigt unser Bereich IT-Sicherheit für Unternehmen.