622 Lücken an einem Tag: Warum Patchen einen Prozess braucht

Am 14. Juli hat Microsoft 622 Schwachstellen an einem einzigen Patchday geschlossen — der größte in der Firmengeschichte, rund 60 davon kritisch. Zwei Lücken wurden bereits angegriffen, bevor es einen Patch gab: eine in den Active Directory Federation Services (CVE-2026-56155) und eine in SharePoint (CVE-2026-56164). Parallel meldete SAP zwanzig Sicherheitshinweise, darunter vier der höchsten Kategorie.

Wer solche Monate nur mit „dann installieren wir mal die Updates” beantwortet, verliert schnell den Überblick.

Das eigentliche Problem ist nicht die Zahl

622 Lücken klingen dramatisch, aber die wenigsten davon betreffen Ihre Umgebung. Das Problem ist ein anderes: Ohne Prozess weiß niemand, welche davon relevant sind, welche Systeme betroffen sind und ob das Update tatsächlich überall angekommen ist. Genau diese Nachweisbarkeit verlangen inzwischen auch NIS2, Cyberversicherer und immer öfter die eigenen Großkunden.

Besonders heikel sind Systeme, die zentral in der Authentifizierung stehen — wie AD FS. Wer dort eine Lücke offen lässt, riskiert nicht einen Rechner, sondern den Zugang zu allem.

Wie ein belastbares Patchmanagement aussieht

1. Inventar: Man kann nur patchen, was man kennt. Eine gepflegte Liste aller Server, Clients, Netzwerkgeräte und Anwendungen — inklusive Version und Verantwortlichem — ist die Grundlage für alles Weitere.
2. Priorisieren statt alles gleich behandeln: Aktiv ausgenutzte Lücken und von außen erreichbare Systeme zuerst, üblicherweise innerhalb von Tagen. Interne Arbeitsplätze können dem regulären Zyklus folgen.
3. Feste Wartungsfenster: Ein planbarer Rhythmus — etwa in der Woche nach dem Patchday — nimmt der Sache die Hektik und schafft Verlässlichkeit für die Fachbereiche.
4. Automatisieren, wo es geht: Clients und Standardsoftware lassen sich weitgehend automatisiert versorgen. Die knappe Zeit gehört dann den Sonderfällen.
5. Kontrollieren und dokumentieren: Ein kurzer monatlicher Bericht, welche Systeme auf welchem Stand sind, deckt Ausreißer auf — und dient gleichzeitig als Nachweis.

Und die Systeme, die nicht gepatcht werden können?

Die gibt es fast überall: Maschinensteuerungen, alte Branchensoftware, Geräte mit Herstellersupport von vorgestern. Der richtige Umgang ist nicht, sie zu ignorieren, sondern sie bewusst zu behandeln — Netzsegmentierung, strenge Zugriffsbeschränkung, engeres Monitoring und ein dokumentierter Plan, wann sie abgelöst werden.

Unser Fazit

Patchmanagement ist unspektakulär, aber es verhindert mehr Vorfälle als jedes einzelne Sicherheitsprodukt. Wenn bei Ihnen Updates bisher nebenher laufen, richten wir gerne einen schlanken, dokumentierten Prozess ein — passend zur Größe Ihrer Umgebung, ohne unnötigen Overhead.