---
id: S11
titel: Updates und Patches – planbar statt hektisch
block: system
woche: 14
worum: Die meisten erfolgreichen Angriffe nutzen Lücken, für die es längst ein Update gibt. Patch-Management sorgt dafür, dass Updates zuverlässig ankommen, ohne dass dabei der Betrieb stehen bleibt.
rahmenplan: [A8, A6, A5]
lernfeld: LF11
merksatz: Wissen, was läuft. Erst Test, dann Pilotgruppe, dann alle. Kritische Lücken sofort, der Rest im festen Takt.
karten:
  - frage: In welcher Reihenfolge verteilt man Updates im Betrieb?
    antwort: Zuerst auf Testsysteme, dann auf eine kleine Pilotgruppe aus normalen Arbeitsplätzen, und erst wenn dort nach einigen Tagen nichts auffällt, auf alle. Server in einem angekündigten Wartungsfenster.
  - frage: Wann ist der Patchday von Microsoft?
    antwort: Am zweiten Dienstag jedes Monats. Für Lücken, die bereits aktiv ausgenutzt werden, erscheinen zusätzlich außerplanmäßige Updates.
  - frage: Was bedeutet End of Life bei Software, und was folgt daraus?
    antwort: Der Hersteller liefert keine Sicherheitsupdates mehr – neue Lücken bleiben für immer offen. Solche Software muss ersetzt oder, wenn das nicht sofort geht, vom Netz getrennt und besonders abgesichert werden. Beispiel – Windows 10 seit dem 14. Oktober 2025.
---

## Das Wesentliche

- **Ohne Bestand kein Patch-Management.** Man muss wissen, welche Geräte, Betriebssysteme und
  Programme mit welcher Version im Betrieb laufen. Was nicht in der Liste steht, wird auch nicht
  aktualisiert.
- **Fester Takt:** Microsoft veröffentlicht am **zweiten Dienstag** im Monat. Viele Betriebe
  planen danach: Test in der Woche danach, Pilotgruppe, dann alle innerhalb von zwei bis drei
  Wochen.
- **Ringe statt alle auf einmal:** Testsysteme, Pilotgruppe (die IT selbst und einige
  freiwillige Nutzer), dann alle. Ein fehlerhaftes Update trifft so zehn Rechner, nicht hundert.
- **Kritische Lücken außer der Reihe.** Wird eine Lücke bereits aktiv ausgenutzt, wird sofort
  gehandelt – notfalls mit verkürztem Test. Hinweise liefern der Hersteller und die Warnungen
  des BSI.
- **Nicht nur Windows:** Programme wie Browser und PDF-Leser, Firmware von Firewall, Switch, NAS
  und BIOS, Linux-Server, Smartphones. Gerade Netzwerkgeräte werden oft jahrelang vergessen.
- **Server im Wartungsfenster**, angekündigt, mit Snapshot oder Sicherung vorher und einem
  Rückweg, falls etwas schiefgeht.
- **Nachprüfen:** Kam das Update überall an? Ein Bericht über den Stand aller Geräte gehört zum
  Abschluss jedes Zyklus.
- **End of Life im Blick behalten.** Software ohne Sicherheitsupdates wird rechtzeitig ersetzt –
  das Ende ist Jahre vorher bekannt.

## Übersicht

| Ring | Wer | Wann nach Veröffentlichung |
|---|---|---|
| 0 – Test | Testsysteme der IT | sofort |
| 1 – Pilot | IT und einige freiwillige Nutzer | nach 2–3 Tagen |
| 2 – Breit | alle Arbeitsplätze | nach etwa einer Woche |
| 3 – Server | Server im Wartungsfenster | nach etwa zwei Wochen |
| Notfall | alle betroffenen Systeme | sofort, bei aktiv ausgenutzter Lücke |

## Prüfungsfrage

**Frage:** In Ihrem Betrieb werden Updates bisher „wenn jemand Zeit hat" eingespielt.
Entwerfen Sie ein Vorgehen für das Patch-Management und begründen Sie zwei Bestandteile.

**Antwort:** (1) Einen vollständigen Bestand aller Geräte und Programme mit Version führen.
(2) Einen festen Takt nach dem monatlichen Patchday festlegen. (3) Updates in Ringen verteilen:
Testsysteme, Pilotgruppe, alle Arbeitsplätze, Server im angekündigten Wartungsfenster mit
Sicherung vorher. (4) Für aktiv ausgenutzte Lücken ein beschleunigtes Notfallverfahren
vorsehen. (5) Nach jedem Zyklus prüfen und berichten, auf welchem Stand alle Geräte sind.
(6) Firmware von Netzwerkgeräten und Software ohne automatische Aktualisierung einbeziehen.
Begründungen etwa: Die Ringe begrenzen den Schaden eines fehlerhaften Updates auf wenige
Geräte. Der Bestand ist Voraussetzung, weil ein Gerät, das niemand kennt, auch nie aktualisiert
wird – und genau dort sitzt dann die Lücke.