Updates, die niemand macht: Patch-Management für kleine Betriebe

Am 14. Juli 2026 hat Microsoft an einem einzigen Patchday 622 Sicherheitslücken geschlossen. Der bisherige Höchstwert lag bei rund 200 – aufgestellt im Monat davor. Zwei der Lücken wurden schon angegriffen, bevor es den Patch gab.

Jetzt die unangenehme Frage: Sind diese Updates bei Ihnen angekommen? Auf allen Rechnern, auf dem Server in der Abstellkammer, auf der Firewall?

»Updates machen wir schon«, höre ich in fast jedem Erstgespräch. Wer zuletzt welches Gerät aktualisiert hat, weiß dann meist niemand. Das ist die Normallage in einem Betrieb ohne IT-Abteilung. Und es ist der Unterschied zwischen einer Gewohnheit und einem Verfahren. Sicherheit entsteht erst durch das Verfahren.

Warum »Updates machen wir schon« selten stimmt

Das BSI zählt im Lagebericht 2025 durchschnittlich 119 neue Schwachstellen pro Tag, rund 24 Prozent mehr als im vorigen Berichtszeitraum. Der Satz daneben beschäftigt mich mehr als die Zahl: »So werden beispielsweise viel zu oft bekannte Schwachstellen in Perimetersystemen zu spät oder gar nicht gepatcht.« Perimetersysteme sind die Geräte am Rand Ihres Netzes – Firewall, VPN-Zugang, alles, was von außen erreichbar ist.

Dazu die Zielgruppe: Rund 80 Prozent der angezeigten Angriffe richteten sich gegen kleine und mittlere Unternehmen, »denen häufig die Mittel und das Wissen fehlen, um sich selbstständig zu schützen«. Wer sich zu klein für Angreifer fühlt, findet hier keine Rückendeckung.

Wie wenig Zeit bleibt, zeigt eine Auswertung des Anbieters VulnCheck: 2025 wurden 884 Schwachstellen nachweislich ausgenutzt, knapp 29 Prozent davon am Tag der Veröffentlichung oder davor. Der jährliche Datenpannen-Bericht des US-Konzerns Verizon (DBIR 2026) nennt ausgenutzte Schwachstellen erstmals als häufigsten Einstiegsweg – 31 Prozent aller untersuchten Datenpannen, vor Phishing und gestohlenen Zugangsdaten. Und bei den Lücken, von denen bekannt ist, dass sie aktiv angegriffen werden, vergehen bis zur vollständigen Behebung im Median 43 Tage. Diese DBIR-Zahlen stammen aus unabhängigen Auswertungen, nicht aus dem Bericht selbst. Ich sage das lieber dazu.

Die Lücke ist nicht Ihr Problem. Die Wochen dazwischen sind es.

Vier Ebenen – und drei davon melden sich nie

Wenn ich nach Updates frage, denken die meisten an Windows. Das ist die Ebene, die sich von selbst meldet. Die anderen drei schweigen.

Die Firmware-Zeile ist die teuerste. VulnCheck nennt als am häufigsten getroffene Kategorie 2025 ausgerechnet die Geräte am Netzrand: Firewalls, VPNs, Proxys. Genau die Kisten, die niemand anfasst, weil sie ja laufen. Seit August 2025 müssen funkfähige Neugeräte die Cybersicherheitsanforderungen der EU-Funkanlagenrichtlinie erfüllen. Dem Router von 2019 im Sicherungskasten hilft das nicht.

Bei den Anwendungen sind es die stillen Ablaufdaten: PHP, die Sprache hinter vielen Websites, bekommt in Version 8.2 nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Exchange Server 2016 und 2019 bekommen gar keinen Support mehr. Wie schnell aus einem veralteten Plugin eine gekaperte Seite wird, habe ich für WordPress beschrieben. Was auf einem Server sinnvoll läuft, steht im Beitrag zu Debian und Ubuntu.

Der 31. August: Debian 11 fällt aus der Wartung

Debian 11 »bullseye« bekam reguläre Sicherheitsunterstützung bis August 2024, danach übernahm das Team für die Langzeitpflege (LTS, »Long Term Support«). Diese verlängerte Pflege endet am 31. August 2026. Ab dem 1. September gibt es für dieses System keine kostenlosen Sicherheitsupdates mehr.

Was danach bleibt, heißt ELTS – erweiterte Langzeitpflege, angeboten von der Firma Freexian, laufend bis 2031. Zwei Dinge dazu: Es ist kein Debian-Projekt, und es deckt nur Pakete ab, die zahlende Kunden brauchen. Preise veröffentlicht Freexian nicht, deshalb nenne ich hier keine.

Wichtiger als der Termin ist der Weg dahin. In den Release-Notes des aktuellen Debian 13 steht ausdrücklich, dass nur Upgrades von Debian 12 unterstützt werden. Wer auf 11 sitzt, macht also zwei Schritte: 11 auf 12, dann 12 auf 13. Zwei Wartungsfenster, zwei Tests, zwei Gelegenheiten für Ärger. »Das machen wir im September« funktioniert deshalb nicht.

Für alte Software gibt es eine klare Ansage vom BSI: Läuft ein Produkt ohne Herstellerunterstützung, muss geprüft werden, ob es dennoch sicher betrieben werden kann – ist das nicht der Fall, darf es nicht mehr verwendet werden. Das gilt für den Debian-Server wie für die Windows-10-Rechner, für die ich die vier Optionen durchgerechnet habe. Dort hat sich etwas geändert: Microsoft hat das Ende der Update-Verlängerung für Privatgeräte im Juni 2026 still um ein Jahr verschoben, vom 12. Oktober 2026 auf den 12. Oktober 2027 – bekannt gemacht über eine nachträgliche Redaktionsanmerkung in einem Blog-Beitrag und eine stille Änderung der Support-Seite, ohne eigene Ankündigung. Für Privatnutzer im Europäischen Wirtschaftsraum, also auch in Deutschland, ist diese Verlängerung kostenlos; nötig ist nur ein Microsoft-Konto. Firmen zahlen für ihre Geräte: 61 US-Dollar pro Gerät im ersten Jahr, danach jedes Jahr das Doppelte. Auch das Neue läuft ab: Windows 11 in der Version 24H2 bekommt für Home und Pro nur bis zum 13. Oktober 2026 Updates.

Das Verfahren auf einer Seite: Inventar, Fenster, Test, Rückweg

Das BSI beschreibt im Baustein OPS.1.1.3 vier Basis-Anforderungen fürs Patch-Management: ein schriftliches Konzept, benannte Zuständige, eine Festlegung zum Umgang mit automatischen Updates und die regelmäßige Aktualisierung selbst. Keine davon verlangt eine IT-Abteilung. Alle verlangen Entscheidungen. Im Betrieb landen sie bei vier Punkten – zwei kommen aus der Norm, zwei aus der Praxis.

Inventar. Was haben Sie, und wer ist zuständig? Zuständige zu benennen, verlangt das BSI ausdrücklich. Die Form dafür zeigt der Muster-Risikofragebogen des Versicherer-Verbands GDV (Stand 2019): eine Zeile je Geräteklasse, mit Angabe, ob zentral gesteuert wird, wie oft und womit. Die Beispiele dort: Laptops alle 14 Tage per Richtlinie, Smartphones binnen 24 Stunden, Webserver, sobald eine Lücke veröffentlicht ist.

Fenster. Diesen Punkt gibt der Hersteller vor, nicht die Norm: Microsoft veröffentlicht seine Sicherheitsupdates am zweiten Dienstag jedes Monats. Machen Sie daraus einen festen Termin, an dem eine benannte Person eine Stunde Zeit hat. Der Rhythmus schlägt den guten Vorsatz.

Priorität. Bei 622 Lücken im Monat können Sie nicht nach Schweregrad sortieren. Das BSI verlangt, jeden Patch zeitnah zu bewerten und zu priorisieren, nennt aber keine Reihenfolge. Zwei Fragen reichen meist: Wird die Lücke bereits ausgenutzt? Ist das System aus dem Internet erreichbar? In dieselbe Richtung geht die US-Behörde CISA. Ihre im Juni 2026 erlassene Vorgabe wird erst am 7. Dezember 2026 wirksam und staffelt die Fristen nach Risiko: drei Tage für aktiv ausgenutzte, automatisiert angreifbare Lücken auf internetseitigen Systemen, sonst 14 oder 60 Tage. Sie gilt allein für US-Bundesbehörden. Als Maßstab taugt sie trotzdem.

Test und Rückweg. Hier lohnt der genaue Blick, weil das BSI zwischen Pflicht und Empfehlung unterscheidet. Planen, genehmigen, dokumentieren: Pflicht, alle drei mit »MÜSSEN«. Vorab testen: ausdrücklich nur eine Empfehlung – Patches »SOLLTEN vorab geeignet getestet werden«. Und bei der Installation »MÜSSEN Rückfall-Lösungen vorhanden sein«, wieder Pflicht. Für Sie heißt das: Testen ist dringend geraten, ein Rückweg ist verlangt. Vorher muss klar sein, wie Sie den Zustand von gestern zurückholen.

Bleibt die meistgestellte Frage: automatisch oder von Hand? Das BSI verlangt an dieser Stelle eine Festlegung, wie mit den eingebauten Auto-Update-Mechanismen umzugehen ist; welche Antwort Sie geben, bleibt Ihnen überlassen. Auf Debian und Ubuntu spielt das Paket unattended-upgrades Sicherheitsaktualisierungen automatisch ein und lässt neue Funktionen weg – es ist allerdings nicht überall vorinstalliert und manchmal installiert und trotzdem abgeschaltet. Auf der Windows-Seite hat Microsoft WSUS, den Update-Verteiler im eigenen Haus, bereits 2024 für veraltet erklärt: Er läuft weiter, bekommt aber nichts Neues mehr. Der Weg zeigt Richtung Intune und Autopatch, Microsofts Verwaltungsdienste aus der Cloud – also Richtung Abo.

Das Gegenargument, ehrlich benannt: Am 19. Juli 2024 legte ein fehlerhaftes Update des Sicherheitsanbieters CrowdStrike 8,5 Millionen Windows-Rechner lahm, viele kamen nur per Handarbeit zurück. Betroffen war dort ein Inhalts-Update eines Schutzprogramms, kein Betriebssystem-Patch – der Unterschied gehört in den Satz, sonst wird der Fall zum Strohmann. Wer daraus »Updates sind gefährlich« macht, dreht sich die Sache zurecht. Automatik bleibt richtig. Sie braucht nur einen Rückweg.

Was Sie mitschreiben – und warum es sich lohnt

Jetzt der Absatz, über den im Schadenfall das Geld läuft. Der Versicherer-Verband GDV empfiehlt seinen Mitgliedern Musterbedingungen für Cyberversicherungen. Verbindlich ist immer Ihre eigene Police, aber die meisten lehnen sich eng daran an. Dort steht als Pflicht des Kunden, dass die Systeme »einem Patch-Management-Verfahren unterliegen, das eine zeitnahe Installation von relevanten Sicherheitsupdates sicherstellt«. Und: »Systeme und Anwendungen mit bekannten Sicherheitslücken dürfen nicht ohne zusätzliche geeignete Maßnahmen zur Absicherung eingesetzt werden.«

Was bei Verstoß passiert, steht ebenfalls im Wortlaut: »Verletzt der Versicherungsnehmer eine Obliegenheit vorsätzlich, so ist der Versicherer von der Verpflichtung zur Leistung frei.« Bei grober Fahrlässigkeit darf er kürzen, je nach Schwere des Verschuldens. Ein Stück weiter im selben Muster steht die Gegenrichtung: Der Versicherer bleibt zur Leistung verpflichtet, wenn der Kunde nachweist, dass er die Pflicht nicht grob fahrlässig verletzt hat – oder dass die Verletzung für den Versicherungsfall und die Höhe der Leistung gar nicht ursächlich war. Ausgenommen ist Arglist. Diesen Nachweis führen Sie mit Unterlagen oder gar nicht. Wann eine Cyberversicherung zahlt, habe ich an anderer Stelle auseinandergenommen. Das ist die Stelle, an der Policen sterben.

Deshalb ist der wichtigste Satz aus dem BSI-Baustein dieser: Wird ein Patch nicht eingespielt, müssen die Entscheidung und die Gründe dafür dokumentiert werden. Das ist Ihre Rückendeckung. Ein bewusst ausgelassenes Update mit Begründung und Ersatzmaßnahme ist etwas anderes als ein vergessenes.

Drei Dinge trägt jedes Verfahren, das im Betrieb hält:

• Eine Liste. Ein Blatt, eine Zeile je Geräteklasse: Arbeitsplätze, Server, Router und Firewall, Netzwerkspeicher, Drucker, Telefonanlage, Website. Dahinter je ein Name. Ohne Namen passiert nichts.
• Ein fester Termin. Der Mittwoch nach dem zweiten Dienstag, eine Stunde, wiederkehrend im Kalender. Dass er direkt hinter Microsofts Patchday liegt, ist der ganze Sinn.
• Ein Protokoll. Eine Zeile pro Termin: Datum, was eingespielt wurde, was bewusst nicht und warum. Das ist Ihr Nachweis gegenüber dem Versicherer – und gegenüber Auftraggebern: Weil regulierte Unternehmen seit dem neuen BSI-Gesetz vom Dezember 2025 ihre Lieferkette absichern und Schwachstellen managen müssen, landet die Anforderung in Ihren Verträgen.

Wenn niemand im Betrieb diese Stunde übrig hat, ist auch das ein ehrliches Ergebnis – dann gehört die Aufgabe nach außen. Dafür gibt es meine laufende Betreuung: Updates, Kontrolle, Protokoll. Und falls Ihr Server auf Debian 11 läuft: Der 31. August ist näher, als er aussieht.

Häufige Fragen

Wie oft muss ich Updates einspielen?

Für kleine Betriebe gibt es keine gesetzliche Frist. Das BSI sagt »zeitnah« und nennt keine Zahl. Orientierung geben die Beispiele aus dem Muster-Risikofragebogen des GDV (Stand 2019): Arbeitsplätze alle 14 Tage, mobile Geräte binnen 24 Stunden, Webserver sofort. Wie weit die Praxis davon weg ist, zeigt der Verizon-Bericht: Bei Lücken, von denen bekannt ist, dass sie angegriffen werden, vergehen bis zur vollständigen Behebung im Median 43 Tage. Ein fester Monatstermin plus eine Sofort-Kategorie für aktiv ausgenutzte Lücken passt für die meisten Betriebe.

Kann ich Updates automatisch laufen lassen, ohne dass etwas kaputtgeht?

Eine Garantie gibt Ihnen niemand, und wer sie gibt, verkauft Ihnen etwas. Auf Arbeitsplätzen ist Automatik richtig: Ein kaputter Rechner ist ein kleineres Risiko als ein offener. Bei Servern und allem, was von außen erreichbar ist, gehören Fenster und Rückweg dazu. Das BSI verlangt dafür Planung, Genehmigung, Dokumentation und eine Rückfall-Lösung; das Testen empfiehlt es ausdrücklich, verlangt es aber nicht. Ohne Rückweg ist auch das Update von Hand ein Sprung ins Dunkle.

Was mache ich mit Software, für die es keine Updates mehr gibt?

Drei Wege, in dieser Reihenfolge. Erstens: ersetzen oder aktualisieren, wie beim Weg von Debian 11 über 12 auf 13. Zweitens: Zeit kaufen. Für Windows 10 gibt es die verlängerten Updates, für Debian die erweiterte Langzeitpflege ELTS. Für Firmengeräte kostet das Geld; für Privatgeräte im Europäischen Wirtschaftsraum, also auch in Deutschland, ist die Windows-Verlängerung kostenlos, nötig ist nur ein Microsoft-Konto. Beides hat ein festes Enddatum und ist nur mit paralleler Migration sinnvoll. Drittens, wenn beides ausfällt: das System vom Netz nehmen oder strikt abschotten und die Entscheidung schriftlich begründen. Das BSI ist unmissverständlich: Lässt sich ein nicht mehr unterstütztes Produkt nicht sicher betreiben, darf es nicht weiter verwendet werden.