Patchmanagement-Beratung für den Mittelstand

Strukturiertes Patchmanagement umfasst sechs Schritte: Identifikation (welche Systeme brauchen Updates), Bewertung (Risiko und Dringlichkeit), Test (Kompatibilitätsprüfung), Rollout (kontrollierte Verteilung in Wartungsfenstern), Verifizierung (Erfolgskontrolle) und Dokumentation. Der BSI IT-Grundschutz (OPS.1.1.3) definiert konkrete Anforderungen an jeden dieser Schritte.

Branchenempfehlungen und regulatorische Vorgaben definieren unterschiedliche Zeitfenster. Kritische Schwachstellen (CVSS ≥ 9.0) mit aktiver Ausnutzung sollten innerhalb von 24 bis 72 Stunden adressiert werden, sofern Exploit-Code verfügbar ist. Hoch-kritische Schwachstellen (CVSS 7.0–8.9) in exponierten Systemen erfordern typischerweise 7 bis 14 Tage. Pauschalfristen sind ein Ausgangspunkt — ausschlaggebend ist der Kontext: Exponierung des Systems, aktive Exploits, Geschäftskritikalität.

CVSS-Scores liefern eine erste Orientierung, reichen aber nicht. Eine risikobasierte Priorisierung berücksichtigt zusätzlich: Geschäftskritikalität des betroffenen Systems, Exponierung (extern erreichbar oder rein intern), Verfügbarkeit eines Exploits in the Wild und regulatorische Anforderungen. Kritische Schwachstellen in exponierten Systemen werden zuerst gepatcht. Das NIST SP 800-40 Rev. 4 empfiehlt einen risikobasierten Ansatz, der Geschäftskontext und Bedrohungslage einbezieht.

Ab einer bestimmten Systemanzahl skaliert manuelle Patch-Verteilung nicht mehr. Tools automatisieren Erkennung, Verteilung, Reporting und Compliance-Nachweise. Die Auswahl hängt von der Systemlandschaft ab: Windows-zentriert (WSUS/SCCM), heterogen (Ivanti, ManageEngine), Cloud-native (Automox, Intune). Ein Tool allein löst das Problem nicht — ohne definierte Prozesse, Verantwortlichkeiten und Wartungsfenster bleibt auch das beste Tool wirkungslos.

Mehrere Regulierungen und Standards fordern explizit ein strukturiertes Patchmanagement: ISO 27001 (Annex A.8.8 Management technischer Schwachstellen), BSI IT-Grundschutz (OPS.1.1.3 Patch- und Änderungsmanagement), NIS-2 (Art. 21 Abs. 2 Maßnahmen zum Umgang mit Schwachstellen) und DORA (Art. 9 IKT-Risikomanagement). Bei Audits wird die Nachweisführung geprüft. NIS-2 macht Patchmanagement nicht optional.

Legacy-Systeme, OT-Komponenten oder Anwendungen ohne Herstellersupport lassen sich oft nicht patchen. In diesen Fällen greifen kompensierende Maßnahmen: Netzwerksegmentierung, Virtual Patching über IPS/WAF, erhöhtes Monitoring und dokumentierte Risikoakzeptanz. Diese Ausnahmen müssen im ISMS dokumentiert und regelmäßig überprüft werden. Dokumentierte Risikoakzeptanz ist kein Freifahrtschein — sie erfordert eine nachvollziehbare Risikobewertung.

SECURAM betreibt keine eigene Patch-Infrastruktur und verkauft keine Tool-Lizenzen — die Beratung ist frei von Provisionsbindungen. Patchmanagement wird konsequent ins ISMS verankert (ISO 27001, BSI IT-Grundschutz) und mit Schwachstellenmanagement sowie SOC-Prozessen verzahnt. In unseren Projekten zeigt sich: Tragfähige Patch-Prozesse entstehen nicht durch Toolkauf, sondern durch klare Rollen und Wartungsfenster, die zum Geschäftsbetrieb passen.