Sicherheitsupdates für Server einzuspielen, klingt nach einer technischen Routine. In der Praxis scheitert es selten am Herunterladen. Schwierig wird es, wenn niemand genau weiß, welche Systeme es gibt, wer über ein Update entscheidet und ob es wirklich überall angekommen ist. Patch-Management bedeutet deshalb mehr als Installieren: Es ist ein geregelter Ablauf mit festen Zuständigkeiten, Tests und Nachweisen.
Dieser Beitrag beschreibt den Ablauf, der für alle Server und Systeme gilt, unabhängig vom Betriebssystem. Die Besonderheiten bei Windows Server, etwa den monatlichen Update-Rhythmus von Microsoft, Supportenden und Hotpatching, behandelt unser Beitrag Patch-Management für Windows Server.
Was das BSI unter Patch-Management versteht
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt die Anforderungen im IT-Grundschutz-Baustein OPS.1.1.3 Patch- und Änderungsmanagement (Edition 2023). Ein Patch ist eine Korrektur für Software, zum Beispiel eine Sicherheitskorrektur. Aufgabe des Patch- und Änderungsmanagements ist es laut BSI, Eingriffe in Anwendungen, Infrastruktur und Verfahren steuer- und kontrollierbar zu gestalten. Der Baustein gilt für den gesamten Informationsverbund, also für alle IT-Systeme eines Unternehmens.
Zu den Basis-Anforderungen gehören:
- Ein Konzept: Vorgaben für Änderungen, die auch Sicherheitsaspekte berücksichtigen. Alle Patches und Änderungen werden geplant, genehmigt und dokumentiert.
- Zuständigkeiten: Für alle Bereiche sind Zuständige festgelegt, und das Berechtigungskonzept bildet diese Zuständigkeiten ab.
- Regeln für automatische Updates: Es ist festgelegt, wie mit eingebauten Update-Mechanismen der Software umgegangen wird und wie sie abgesichert sind.
- Regelmäßige Aktualisierung: Patches werden zeitnah nach Veröffentlichung bewertet und priorisiert. Es wird entschieden, ob ein Patch eingespielt wird.
Welche Systeme dazugehören
Bei Servern denken viele zuerst an das Betriebssystem. Updates brauchen aber auch Anwendungen und Datenbanken auf dem Server, die Virtualisierungsschicht sowie die Firmware von Servern, Speichersystemen und Netzwerkkomponenten. Firmware ist die fest eingebaute Steuersoftware eines Geräts. Für Speichersysteme verlangt das BSI im Baustein SYS.1.8 Speicherlösungen zum Beispiel, dass Software und Firmware vor dem produktiven Einsatz aktuell sind und dass Firmware-Updates in festen Wartungsfenstern stattfinden.
Der Ablauf in fünf Schritten
1. Bestand erfassen
Ein Update-Prozess kann nur steuern, was er kennt. Wir empfehlen deshalb, zuerst eine vollständige Liste aller Server und Systeme anzulegen. Für jedes System gehören hinein:
- Art des Systems: physischer Server, virtuelle Maschine, Cloud-Instanz oder Gerät mit eigener Firmware;
- Betriebssystem und Version sowie die wichtigen Anwendungen;
- Aufgabe im Betrieb und Abhängigkeiten, etwa Anmeldung, Datenbank oder Dateiablage;
- Bezugsweg für Updates: Welche Quelle liefert Korrekturen für dieses System?
- verantwortliche Person, die über Updates und Wartungsfenster entscheidet.
Systeme, die bei der Erfassung niemandem zugeordnet werden können, verdienen besondere Aufmerksamkeit. Sie werden oft nicht mehr gepflegt.
2. Bewerten und priorisieren
Nach OPS.1.1.3 werden Patches zeitnah nach Veröffentlichung bewertet. Dabei soll geprüft werden, ob es zum Patch bekannte Schwachstellen gibt. Für wichtige Änderungen sieht der Baustein ein festgelegtes Verfahren vor, mit dem sie beschleunigt werden können. Ein fester Monatstermin reicht also als Grundtakt, ersetzt aber nicht den Weg für dringende Fälle.
Wir empfehlen, die Server in wenige Klassen einzuteilen, etwa nach ihrer Bedeutung für den Betrieb. Daraus ergibt sich, wie schnell ein Update eingespielt wird und wer es freigibt.
3. Testen und freigeben
Patches und Änderungen sollen laut BSI vorab geeignet getestet werden. Die Details zu Test und Freigabe regelt der Baustein OPS.1.1.6 Software-Tests und -Freigaben. Außerdem soll vor der Installation geprüft werden, ob ein Softwarepaket echt und unverändert ist, zum Beispiel über Prüfsummen oder digitale Signaturen. Updates sollen nur aus vertrauenswürdigen Quellen stammen.
Betroffene Fachabteilungen werden über anstehende Änderungen informiert. Für Zweifelsfälle empfiehlt der Baustein eine Eskalationsebene aus der Unternehmensleitung, die über Priorität und Termin entscheidet.
4. Einspielen mit Rückweg
Wenn Patches installiert werden, müssen nach OPS.1.1.3 Rückfall-Lösungen vorhanden sein. Wir empfehlen, Updates stufenweise einzuspielen: zuerst Testsysteme oder weniger wichtige Server, dann die übrigen. Server mit derselben Aufgabe, etwa mehrere Knoten eines Clusters, werden nacheinander aktualisiert, damit der Dienst verfügbar bleibt.
Vor dem Update sollte eine aktuelle und wiederherstellbare Sicherung vorliegen. Ein Snapshot einer virtuellen Maschine ist hilfreich, um schnell zurückzukehren. Das BSI sieht Snapshots im Baustein CON.3 Datensicherungskonzept aber als Ergänzung zwischen vollständigen Datensicherungen, nicht als deren Ersatz.
5. Erfolg prüfen und nachweisen
Nach dem Einspielen soll laut BSI kontrolliert werden, ob der Patch auf allen relevanten Systemen erfolgreich angekommen ist. Wird ein Patch bewusst nicht eingespielt, müssen die Entscheidung und die Gründe dokumentiert werden. Änderungen sollen insgesamt nachvollziehbar dokumentiert sein.
Ein Bericht für die Geschäftsführung muss nicht umfangreich sein. Wir empfehlen diese Angaben:
- Stand der Sicherheitsupdates je Serverklasse;
- Systeme, auf denen ein Update fehlgeschlagen ist oder noch ein Neustart aussteht;
- offene Ausnahmen mit Grund, verantwortlicher Person, Schutzmaßnahme und Termin für die nächste Prüfung;
- nächstes Wartungsfenster.
Systeme ohne Herstellerunterstützung
Manche Server erhalten keine Updates mehr, weil der Hersteller den Support beendet hat. Für diesen Fall ist OPS.1.1.3 deutlich: Es muss geprüft werden, ob ein solches Produkt dennoch sicher betrieben werden kann. Ist das nicht der Fall, darf es nicht mehr verwendet werden. Supportenden gehören deshalb in die Bestandsliste, damit die Ablösung rechtzeitig geplant werden kann.
Werkzeuge auswählen
Für die Verteilung von Updates gibt es zentrale Werkzeuge. Das BSI empfiehlt, vorab Anforderungen für die Auswahl festzulegen und für die eingesetzten Werkzeuge eine eigene Sicherheitsrichtlinie zu erstellen. Das ist sinnvoll, denn ein Werkzeug, das Software auf alle Server verteilt, braucht weitreichende Rechte.
In Windows-Umgebungen ist Windows Server Update Services (WSUS) verbreitet. Microsoft entwickelt WSUS laut der Liste entfernter und nicht mehr entwickelter Funktionen nicht mehr aktiv weiter. Die vorhandenen Funktionen stehen weiter zur Verfügung, und abgekündigte Komponenten erhalten nach derselben Seite im Rahmen des Produktlebenszyklus weiterhin Sicherheits- und Qualitätsupdates. Wer heute ein Werkzeug neu auswählt, sollte die Abkündigung in die Entscheidung einbeziehen. Welche Alternativen Microsoft für Windows Server anbietet, beschreibt unser Beitrag zu Windows Server.
Patch-Management und NIS2
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz, wie das BSI mitteilt. Besonders wichtige und wichtige Einrichtungen müssen nach § 30 BSI-Gesetz Maßnahmen zum Risikomanagement ergreifen. Dazu zählen unter anderem Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen einschließlich des Umgangs mit Schwachstellen. Ein dokumentierter Patch-Prozess ist ein naheliegender Baustein dafür. Ob Ihr Unternehmen betroffen ist und was daraus folgt, erläutert unsere Seite NIS2 und Risikomanagement.
Unterstützung durch die GSL Groß GmbH
Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis. Managed Services bedeutet: Ein Dienstleister übernimmt vereinbarte IT-Aufgaben dauerhaft. Wie wir die Sicherheit Ihrer Systeme prüfen, lesen Sie auf unserer Seite zur IT-Sicherheit.
Sie möchten wissen, ob Ihr Update-Prozess alle Server erfasst und sich nachweisen lässt? Sprechen Sie uns an.