Patch Management
Patch Management ist der geregelte Prozess, Sicherheits- und Funktionsupdates zu erfassen, zu bewerten, zu testen, gestaffelt auszubringen und den Stand nachzuweisen. Bewertet wird nach Schweregrad und tatsächlicher Ausnutzbarkeit; CVSS 4.0 stuft Werte ab 9,0 als kritisch ein. Taktgeber im Microsoft-Umfeld ist der zweite Dienstag jedes Monats, der Patch Tuesday. Patch Management ist dabei keine Kür: NIS2 nennt die Behandlung und Offenlegung von Schwachstellen in Art. 21 Abs. 2 Buchst. e ausdrücklich unter den Mindestmaßnahmen.
Patch Management in der Praxis
Ein belastbarer Prozess beginnt mit einer vollständigen Inventarliste — was nicht inventarisiert ist, wird auch nicht gepatcht. Typische Lücken sind Appliances, Hypervisoren, Firmware, Netzwerk- und Speichergeräte sowie Anwendungen von Drittanbietern, die außerhalb des Betriebssystem-Updates laufen. Ausgebracht wird in Ringen: erst eine kleine Pilotgruppe, danach breite Wellen mit definierter Wartezeit, kritische Server zuletzt und im Wartungsfenster.
Im Microsoft-Stack übernehmen Windows Autopatch und Intune-Update-Ringe die Clients, Azure Update Manager in Verbindung mit Azure Arc auch Server außerhalb von Azure. Neuere Systeme verkürzen die Neustartfenster deutlich: Windows Server 2025 und Windows 11 Enterprise unterstützen Hotpatching mit vier Baseline-Monaten pro Jahr — jeweils im ersten Monat eines Quartals und mit Neustart — sowie acht Hotpatch-Monaten, die ohne Neustart auskommen.
Für Autopatch-verwaltete Geräte ab Windows 11 24H2 ist Hotpatching seit Mai 2026 die Voreinstellung; auf Windows Server 2025 außerhalb von Azure setzt es eine Anbindung über Azure Arc voraus, dazu virtualisierungsbasierte Sicherheit mit UEFI und aktiviertem Secure Boot. Zur Steuerung genügen zwei Kennzahlen: die Patch-Compliance-Quote je Systemgruppe und die Zeitspanne von der Veröffentlichung bis zur flächigen Ausbringung, getrennt nach kritischen und regulären Updates. Für Schwachstellen, die nachweislich aktiv ausgenutzt werden, gehört ein Notfallpfad in den Prozess, der Testtiefe gegen Zeit tauscht — mit dokumentierter Entscheidung und benanntem Risikoträger.