Die meisten Angriffe nutzen keine unbekannten Schwachstellen, sondern bekannte Lücken ohne Update. Patch-Management entscheidet über die Zeit, in der Ihr Unternehmen offen ist.
Die meisten erfolgreichen Angriffe auf deutsche Unternehmen nutzen keine unbekannten Schwachstellen. Sie nutzen bekannte Lücken, für die es längst Updates gibt. Der BSI-Lagebericht 2025 schreibt, bekannte Schwachstellen in Perimetersystemen würden oft zu spät oder gar nicht gepatcht. Patch-Management ist deshalb die unterschätzte Sicherheitslücke: Nicht der fehlende Schutz entscheidet, sondern die Zeit bis zur Schließung der Lücke.
Patch-Management bedeutet, Updates zu finden, zu priorisieren, zu testen, auszurollen und zu dokumentieren. Das klingt technisch, ist aber eine Organisationsfrage. Wer keine Reihenfolge, kein Wartungsfenster und keinen Nachweis hat, patcht nach Gefühl.
Der Druck ist messbar. Im Berichtszeitraum vom 1. Juli 2024 bis 30. Juni 2025 wurden täglich 119 neue Schwachstellen bekannt, rund 24 Prozent mehr als im Vorjahr. Die Ausnutzung von Schwachstellen in Web-Angriffsflächen nahm zusätzlich um 38 Prozent zu (BSI-Lagebericht 2025).
Was Patch-Management umfasst
Patch-Management ist der geplante Prozess für Software-Updates: von der Inventarisierung über die Bewertung bis zur geprüften Verteilung. Das betrifft Betriebssysteme, Anwendungen, Browser, Plugins und Firmware von Firewall, Router und Drucker. Ein echter Prozess beantwortet vier Fragen: Welche Geräte gibt es, welche Lücke ist wie dringend, wann wird gepatcht und wer belegt den Stand?
Der Update-Prozess hat fünf Schritte
- 1
Inventarisieren – Alle Geräte, Anwendungen und Browser-Plugins sind bekannt und einem Verantwortlichen zugeordnet.
- 2
Bewerten – Jede Schwachstelle wird nach Kritikalität und Erreichbarkeit eingeordnet.
- 3
Testen – Updates laufen zuerst auf einer Testgruppe, nicht auf dem Arbeitsplatz der Geschäftsführung.
- 4
Verteilen – Kritische Patches laufen im Wartungsfenster, der Rest gebündelt und planbar.
- 5
Nachweisen – Update-Stand, Reaktionszeit und getestete Wiederherstellung werden dokumentiert.
Warum die Reaktionszeit entscheidet
Der BSI-Lagebericht 2025 nennt durchschnittlich 119 täglich neu bekannt gewordene Schwachstellen, rund 24 Prozent mehr als im Vorjahr. Jede dieser Lücken bleibt so lange ein offenes Einfallstor, bis das Update installiert ist. Gefährlich sind nicht die unbekannten Schwachstellen, sondern die bekannten, die wochenlang offen bleiben.
Die US-Behörde CISA führt einen Katalog der bekannten und aktiv ausgenutzten Schwachstellen. Wer diese Einträge zuerst schließt, trifft genau die Lücken, die Angreifer tatsächlich nutzen.
Antivirus und Patch-Management: zwei verschiedene Aufgaben
Ein Virenschutzprogramm erkennt bekannte Schadsoftware auf einem Gerät. Patch-Management beseitigt die Ursache, also die Lücke, die ein Angriff erst möglich macht. Beides gehört zusammen. Wer nur den Virenschutz erneuert, bekommt einen aktuellen Scanner auf einem uralten System.
| Aspekt | Antivirus und manuelles Update | Patch-Management als Managed Service |
|---|---|---|
| Reaktionszeit | Folgt der Update-Menge, oft Wochen | Feste SLA mit garantierter Reaktionszeit. |
| Priorisierung | Alle Updates gleich, Fehler nach Systemrelevanz | Risikobasiert: aktiv ausgenutzte Lücken und exponierte Systeme zuerst. |
| Nachweis | Kein Beleg, welche Updates fehlen | Dokumentierter Update-Stand und geprüfte Wiederherstellung. |
| Wartungsfenster | Ad hoc, oft nachts ohne Plan | Geplantes Fenster mit Test und Rollback je Gerät. |
| Verantwortlichkeit | Nebenbei-Aufgabe ohne Zuständigkeit | Persönlicher Ansprechpartner – keine Hotline. |
| Abdeckung | Meist nur das Betriebssystem | Betriebssystem, Browser, Plugins, Anwendungen und Firmware. |
Wo KMU beim Patchen anstehen
Die Lücke entsteht selten aus Unwissenheit. Sie entsteht aus Alltag: Updates konkurrieren mit dem laufenden Betrieb, der Zuständigkeit liegt beim falschen Kollegen, und die Freigabe für den Test fehlt. Nach ein paar Wochen Warteschlange ist das Update vom Tisch.
- 1
Falsche Priorität – Ein PDF-Reader-Update und ein kritischer VPN-Patch landen in derselben Schlange.
- 2
Kein Test – Updates werden direkt am Arbeitsplatz ausgerollt, ein Fehler trifft sofort den Betrieb.
- 3
Keine Freigabe – Der kritische Patch ist verfügbar, wartet aber auf eine Entscheidung, die niemand trifft.
- 4
Firmware vergessen – Router, Drucker und Firewalls laufen oft jahrelang ohne Update.
- 5
Aufräumen nachgehört – Der Papierkorb ist voll, Fehlalarme steigen, Updates werden verschoben.
Der Klassiker: Ein Update ist verfügbar, aber die Freigabe fehlt. Nach drei Monaten Warteschlange ist das Gerät ein bekanntes Risiko, das im Nachhinein kaum zu schließen ist.
Was ein Managed Patch-Management liefert
Ein Managed Service übernimmt Inventarisierung, Priorisierung, Test, Rollout und Dokumentation. Sie erhalten einen Update-Stand, der sich nachweisen lässt, und einen Ansprechpartner, der den Rollout begleitet. Für NIS2 und BSIG ist das Nachweisformat wichtiger als die Lösung: Update-Stand, Reaktionszeiten und Wiederherstellungsproben dokumentieren die Umsetzung. Welche Pflichten für Sie gelten, klären Sie mit Ihrer Rechtsabteilung.
WeiterführendRansomware-Schutz für KMU: drei Ebenen, die wirklich wirken.WeiterführendEndpoint Security für Mitarbeiter-PCs: Was verhaltensbasierte Erkennung leistet.WeiterführendIT-Sicherheit als Teil der Unternehmensstrategie.Passende Leistungen
Häufige Fragen zum Patch-Management
Prüfen wir gemeinsam, wie lange Ihre Systeme zwischen Veröffentlichung und Installation eines Updates ungeschützt sind. Im kostenlosen Erstgespräch nehmen wir den Update-Stand unter die Lupe.
Kostenloses Erstgespräch vereinbarenThemen
Themenfeld
IT-Sicherheit für KMU