Patch Management in Unternehmen:
Warum Updates allein nicht reichen
Windows meldet ein Update, der Mitarbeiter klickt irgendwann auf „Installieren“ und damit ist das Thema erledigt.
So funktioniert Patch Management in Unternehmen leider nicht.
Auf einem einzelnen privaten Rechner mag diese Vorgehensweise noch ausreichen. In einem Unternehmen mit mehreren Arbeitsplätzen sieht es anders aus. Dort laufen neben Windows zahlreiche Programme, Browser, PDF-Anwendungen, Kommunikationssoftware und andere Werkzeuge. Viele davon erhalten regelmäßig Sicherheitsupdates.
Bleiben solche Updates aus, entstehen mit der Zeit unnötige Sicherheitslücken und technische Probleme.
Was ist Patch Management?
Unter Patch Management versteht man die kontrollierte Verwaltung von Updates für Betriebssysteme und eingesetzte Software.
Dabei geht es nicht darum, jedes verfügbare Update sofort auf jedem Rechner zu installieren. Updates müssen erkannt, verteilt und anschließend kontrolliert werden.
In einer Unternehmensumgebung sollte deshalb bekannt sein:
Welche Geräte sind vorhanden? Welche Software läuft darauf? Welche Updates fehlen? Und wurden die vorgesehenen Aktualisierungen tatsächlich erfolgreich installiert?
Genau diese Übersicht fehlt häufig, wenn jeder Arbeitsplatz sich selbst überlassen wird.
Windows Update ist nur ein Teil davon
Windows bringt bereits eine eigene Update-Funktion mit. Das löst aber nur einen Teil der Aufgabe.
Auf einem typischen Büroarbeitsplatz laufen weitere Anwendungen. Browser wie Chrome oder Firefox, Adobe Reader, Microsoft-Anwendungen, Tools für Videokonferenzen oder branchenspezifische Programme müssen ebenfalls aktuell gehalten werden.
Ein vollständig aktualisiertes Windows bedeutet deshalb nicht automatisch, dass der gesamte Arbeitsplatz auf einem aktuellen Stand ist.
Gerade ältere Versionen von Anwendungen können bekannte Schwachstellen enthalten. Sind diese öffentlich dokumentiert, können Angreifer gezielt danach suchen.
Wenn Mitarbeiter Updates selbst durchführen sollen
In vielen kleineren Unternehmen gibt es keine zentrale Verwaltung der Arbeitsplätze. Updates laufen dann irgendwann automatisch oder werden vom Benutzer gestartet.
Das führt häufig zu sehr unterschiedlichen Zuständen.
Ein Mitarbeiter startet seinen Rechner regelmäßig neu und installiert Updates zeitnah. Ein anderer verschiebt den Neustart über Wochen. Ein Notebook ist längere Zeit unterwegs und hat kaum Verbindung zum Unternehmensnetzwerk.
Nach einiger Zeit befinden sich Geräte mit völlig unterschiedlichen Patchständen im gleichen Unternehmen.
Für die IT wird es dann schwer zu beurteilen, welche Systeme tatsächlich aktuell sind.
Patch Management schafft Übersicht
Mit einem zentralen Patch Management lassen sich Arbeitsplätze gemeinsam verwalten.
Über ein RMM-System können beispielsweise fehlende Updates erkannt und nach festgelegten Regeln installiert werden. Gleichzeitig ist sichtbar, ob ein Update erfolgreich durchgelaufen ist oder auf einem bestimmten Gerät Probleme verursacht.
Das ist gerade bei mehreren Arbeitsplätzen hilfreich.
Statt jeden Rechner einzeln zu kontrollieren, entsteht eine zentrale Übersicht über den Zustand der Systeme.
Nicht jedes Update sollte sofort installiert werden
Automatisierung bedeutet nicht, sämtliche Updates ungeprüft sofort auszurollen.
Updates können Fehler enthalten oder mit vorhandener Software kollidieren. Besonders bei geschäftskritischen Anwendungen sollte deshalb bedacht werden, wann und wie Aktualisierungen installiert werden.
Je nach Umgebung kann es sinnvoll sein, Updates zunächst auf ausgewählten Geräten einzuspielen und anschließend breiter auszurollen.
Auch Wartungszeiten spielen eine Rolle. Ein Neustart mitten während der Arbeitszeit ist selten eine gute Lösung.
Patch Management verbindet deshalb Automatisierung mit festen Regeln.
Drittanbieter-Software nicht vergessen
Ein häufiger Schwachpunkt sind Anwendungen außerhalb von Windows.
Viele Angriffe nutzen nicht zwingend eine Schwachstelle im Betriebssystem. Auch Browser, PDF-Programme oder andere regelmäßig verwendete Anwendungen können betroffen sein.
Wer nur Windows Updates kontrolliert, hat deshalb noch keinen vollständigen Überblick über den Sicherheitszustand seiner Arbeitsplätze.
Ein gutes Patch Management berücksichtigt auch unterstützte Drittanbieter-Anwendungen.
Updates und IT-Sicherheit gehören zusammen
Patch Management ist ein Bestandteil der IT-Sicherheit, ersetzt aber keine anderen Schutzmaßnahmen.
Firewall, Endpoint-Schutz, sichere Benutzerkonten und Datensicherung erfüllen jeweils andere Aufgaben.
Updates schließen bekannte Schwachstellen. Ein Endpoint-Schutz kann beispielsweise verdächtiges Verhalten erkennen. Eine Firewall kontrolliert Verbindungen zwischen Netzwerken und dem Internet.
Die einzelnen Maßnahmen ergänzen sich.
Gerade bekannte Sicherheitslücken sollten nicht über Monate offen bleiben, nur weil ein Rechner selten genutzt oder ein Update mehrfach verschoben wurde.
Auch selten genutzte Geräte im Blick behalten
Besonders interessant sind Geräte, die nicht täglich verwendet werden.
Notebooks für Außendienst oder Homeoffice, Ersatzgeräte oder Rechner in Besprechungsräumen können längere Zeit ausgeschaltet sein.
Werden sie nach mehreren Wochen wieder gestartet, fehlen möglicherweise zahlreiche Aktualisierungen.
Ein zentrales Management hilft dabei, solche Geräte zu erkennen. Sobald sie wieder erreichbar sind, kann geprüft werden, welcher Patchstand vorhanden ist und welche Aktualisierungen fehlen.
Patch Management als Teil der Clientpflege
Patch Management sollte nicht isoliert betrachtet werden.
Bei einer laufenden Clientpflege geht es ebenso darum, den Zustand der Arbeitsplätze im Blick zu behalten. Dazu können beispielsweise Speicherplatz, Systemmeldungen, Sicherheitsstatus und weitere technische Werte gehören.
Über ein RMM-System lassen sich viele dieser Aufgaben zentral überwachen und teilweise automatisieren.
Damit wird aus gelegentlicher Wartung eine laufende Betreuung der Arbeitsplätze.
Probleme fallen dadurch häufig auf, bevor ein Mitarbeiter ein Ticket eröffnet, weil etwas nicht mehr funktioniert.
Weniger Handarbeit bei mehreren Arbeitsplätzen
Bei drei Rechnern kann man Updates noch einzeln kontrollieren. Mit zunehmender Anzahl wird das schnell unübersichtlich.
Bei 20, 30 oder mehr Arbeitsplätzen möchte niemand regelmäßig jeden Rechner einzeln öffnen und kontrollieren.
Genau hier liegt einer der größten Vorteile einer zentralen Verwaltung.
Wiederkehrende Arbeiten werden automatisiert, während auffällige Geräte gezielt betrachtet werden können.
Die Zeit wird dann nicht mehr dafür verwendet, auf jedem Arbeitsplatz dieselben Routinearbeiten durchzuführen.
Patch Management bedeutet nicht einfach „Updates einschalten“
Ein funktionierendes Patch Management beantwortet vor allem eine Frage:
Sind die eingesetzten Systeme tatsächlich auf einem definierten und nachvollziehbaren Stand?
Dazu braucht es Übersicht, Regeln und eine regelmäßige Kontrolle.
Die automatische Update-Funktion eines einzelnen Rechners ist dafür nur ein Baustein.
Wie aktuell sind Ihre Arbeitsplätze?
Wenn nicht klar ist, welche Updates auf den einzelnen Rechnern fehlen oder welche Softwareversionen im Unternehmen eingesetzt werden, lohnt sich eine Bestandsaufnahme.
Wir prüfen die vorhandenen Arbeitsplätze und schauen, wie sich Updates und wiederkehrende Wartungsarbeiten sinnvoll zentral verwalten lassen.
Patch Management
Aufgaben im Patch Management
Mehr zum Patchmanagement
Patch Management in der Praxis
Wie sich ein zentral verwaltetes Patch Management im Alltag auswirkt, zeigen ein paar typische Beispiele.
Beispiel 1: Der Rechner, der nie neu gestartet wird
Ein Mitarbeiter arbeitet täglich mit seinem PC, verschiebt den geforderten Neustart aber immer wieder. Windows hat die Updates bereits heruntergeladen, vollständig installiert sind sie jedoch noch nicht.
In einer zentralen Verwaltung ist sichtbar, dass der Rechner noch auf einen Neustart wartet. Dieser kann innerhalb eines festgelegten Wartungsfensters eingeplant werden.
So bleibt ein Rechner nicht über Wochen in einem halbfertigen Update-Zustand, ohne dass es jemand bemerkt.
Beispiel 2: Das Notebook war mehrere Wochen unterwegs
Ein Außendienst-Notebook wurde längere Zeit nur sporadisch genutzt und war nicht regelmäßig mit dem Firmennetz verbunden.
Nach dem nächsten Start zeigt das zentrale Management, dass mehrere Windows- und Softwareupdates fehlen. Die ausstehenden Aktualisierungen können nachgeholt werden, ohne dass ein Techniker den Rechner einzeln kontrollieren muss.
Gerade mobile Geräte geraten sonst schnell aus dem Blick.
Beispiel 3: Windows ist aktuell, der Browser aber nicht
Auf einem Arbeitsplatz sind alle verfügbaren Windows-Updates installiert. Gleichzeitig läuft dort noch eine ältere Version eines Browsers oder PDF-Programms.
Der Rechner würde bei einer reinen Kontrolle von Windows zunächst unauffällig aussehen. Ein Patch Management, das unterstützte Drittanbieter-Software einbezieht, erkennt auch solche veralteten Anwendungen.
Damit wird nicht nur das Betriebssystem betrachtet, sondern der Arbeitsplatz als Ganzes.
Beispiel 4: Ein Update wird zunächst getestet
Im Unternehmen läuft eine Anwendung, die für das Tagesgeschäft benötigt wird. Ein neues Update für Windows oder eine andere Komponente soll deshalb nicht sofort auf allen Arbeitsplätzen installiert werden.
Zunächst erhalten einige ausgewählte Rechner die Aktualisierung. Läuft die vorhandene Software dort weiterhin problemlos, kann das Update anschließend auf die übrigen Geräte verteilt werden.
So lässt sich Automatisierung nutzen, ohne Updates vollkommen unkontrolliert auszurollen.
Beispiel 5: Ein Update schlägt auf einem einzelnen Rechner fehl
Bei 24 Arbeitsplätzen wird ein Update auf 23 Geräten erfolgreich installiert. Auf einem PC schlägt die Installation mehrfach fehl.
Statt jeden Arbeitsplatz einzeln zu überprüfen, fällt genau dieser Rechner in der zentralen Übersicht auf. Die IT kann sich gezielt mit diesem Gerät beschäftigen und beispielsweise freien Speicherplatz, Fehlermeldungen oder beschädigte Update-Komponenten prüfen.
Das ist einer der praktischen Vorteile eines zentralen Patch Managements: Routinefälle laufen automatisiert, Auffälligkeiten können gezielt bearbeitet werden.
Beispiel: So kann ein einfacher Patch-Status aussehen
Eine solche Übersicht macht schnell sichtbar, wo tatsächlich Handlungsbedarf besteht. Bei 20, 30 oder mehr Geräten ist das wesentlich übersichtlicher, als jeden Rechner einzeln aufzurufen.
Mehr zum Patchmanagement