Patch-Management

Patch-Management ist der geregelte Ablauf, mit dem Updates für Betriebssysteme, Anwendungen und Firmware erkannt, bewertet, getestet, verteilt und dokumentiert werden. In der Praxis schließt es bekannte Sicherheitslücken, bevor Angreifer sie ausnutzen, ohne dass ein fehlerhaftes Update den Betrieb stört.

Was dahinter steckt

Ein Patch ist eine Korrektur für Software, meist für eine Sicherheitslücke oder einen Fehler. Patch-Management sorgt dafür, dass diese Korrekturen planbar und nachvollziehbar auf allen Geräten ankommen. Der Ablauf hat meist sechs Schritte:

Bestand kennen: welche Geräte, Betriebssysteme und Anwendungen es gibt
Updates erkennen, etwa am Patchday von Microsoft am zweiten Dienstag im Monat
Bewerten und priorisieren, nach Schweregrad (CVSS-Wert) und danach, ob die Lücke schon ausgenutzt wird
Auf einer kleinen Gerätegruppe testen
In Wellen verteilen, mit Neustart im vereinbarten Zeitfenster
Ergebnis prüfen, Fehlschläge nacharbeiten, dokumentieren

Das BSI behandelt das Thema im IT-Grundschutz-Kompendium, Edition 2023, im Baustein OPS.1.1.3 Patch- und Änderungsmanagement. Nachfolger des Kompendiums ist das schrittweise eingeführte IT-Grundschutz++. Für Einrichtungen unter NIS2 nennt das deutsche BSI-Gesetz in § 30 Sicherheitsmaßnahmen bei der Wartung von Systemen einschließlich des Managements von Schwachstellen als Mindestmaßnahme.

In Österreich gilt seit 1. Oktober 2026 das NISG 2026 mit vergleichbaren Pflichten. Die EU-Durchführungsverordnung 2024/2690, die unter anderem für Managed Service Provider gilt, enthält einen eigenen Abschnitt zum Sicherheitspatch-Management.

Warum das für IT-Dienstleister wichtig ist

Patch-Management ist eine Kernleistung in Managed-Services- und Wartungsverträgen. Streit entsteht, wenn unklar ist, was dazugehört. Der Vertrag sollte deshalb festlegen:

welche Software umfasst ist: Betriebssystem, Drittanwendungen, Firmware
in welcher Frist kritische Updates eingespielt werden
wann Neustarts erlaubt sind
wer über Ausnahmen entscheidet, etwa bei Fachanwendungen, die ein Update nicht vertragen
welchen Nachweis der Kunde erhält, etwa einen monatlichen Bericht zum Patchstand

Beispiel

Ein Managed Service Provider betreut 1.200 Windows-Arbeitsplätze bei 40 Kunden. Von Hand würde jedes Gerät am Patchday rund 5 Minuten kosten, zusammen 100 Stunden im Monat.

Automatisiert verteilt er die Updates in drei Ringen: 60 Testgeräte am ersten Tag, 420 Geräte nach drei Tagen, die übrigen 720 nach einer Woche. Bei 2 % Fehlschlägen bleiben 24 Geräte zum Nacharbeiten. Mit je 20 Minuten sind das 8 Stunden statt 100.

So unterstützt timo365

Das Patch-Management selbst läuft in den Werkzeugen der Technik, timo365 übernimmt die kaufmännische Seite. Ist es als Monatspauschale Teil eines Wartungs- oder Managed-Services-Vertrags, rechnet timo365 ERP es als wiederkehrende Leistung ab. Nacharbeiten außerhalb des Vertrags, etwa an Fachanwendungen, die ein Update nicht vertragen, rechnet die Projektleitung im Projektleiter-Cockpit nach Aufwand ab.

Zur Gruppendemo anmelden

Häufige Fragen

Was ist der Patchday?

Der Patchday ist der Termin, an dem Microsoft die monatlichen Sicherheitsupdates veröffentlicht: der zweite Dienstag im Monat. Sie erscheinen in der Regel um 10 Uhr Pazifikzeit, in Mitteleuropa also am Abend. Besonders dringende Korrekturen veröffentlicht Microsoft bei Bedarf auch außerhalb dieses Rhythmus.

Was ist der Unterschied zwischen Patch und Update?

Ein Patch ist eine gezielte Korrektur, die einen Fehler behebt oder eine Sicherheitslücke schließt. Ein Update ist meist umfassender und kann neue Funktionen oder eine neue Version bringen. Im Alltag werden beide Begriffe oft gleich verwendet.

Stand: 05.11.2026