Patch-Management ist der Prozess, mit dem eine Organisation Patches, Updates und Upgrades für Software und Hardware ermittelt, bewertet und priorisiert, die Einführung plant, sie einspielt und deren Installation überprüft, unter anderem um bekannte Sicherheitslücken in IT-Systemen zu schließen.
Auf einen Blick
Nach dem IT-Grundschutz-Baustein OPS.1.1.3 müssen Patches zeitnah nach Veröffentlichung bewertet und entsprechend priorisiert werden.
Das US-amerikanische NIST unterscheidet zwischen Patchen im regulären Zyklus und Notfall-Patching, etwa bei schweren oder aktiv ausgenutzten Schwachstellen.
Die Delegierte Verordnung (EU) 2024/1774 zu DORA verlangt von Finanzunternehmen Verfahren für das Patch-Management, einschließlich Fristen für die Installation und eines Eskalationsverfahrens.
Was ist Patch-Management?
Nach dem BSI wird mit dem Patchmanagement Software aktualisiert, zum Beispiel durch Sicherheitskorrekturen, Service Packs und Hot Fixes. Das NIST fasst das Patch-Management einer Organisation als Prozess auf, Patches, Updates und Upgrades zu ermitteln, zu priorisieren, zu beschaffen, einzuspielen und die Installation zu überprüfen; Patching ist dabei der Vorgang, eine Änderung auf installierte Software anzuwenden. Aufgabe des Patch- und Änderungsmanagements ist es nach dem Baustein OPS.1.1.3 des IT-Grundschutzes allgemein, verändernde Eingriffe in Anwendungen, Infrastruktur, Dokumentationen, Prozesse und Verfahren steuer- und kontrollierbar zu gestalten. Innerhalb der Strategie zum Patch- und Änderungsmanagement muss definiert werden, wie mit integrierten Update-Mechanismen (Autoupdate) der eingesetzten Software umzugehen ist.
Ein unter DORA fallender Versicherer könnte im Patch-Management etwa festlegen, wie Software- und Hardware-Patches gegen bekannte Sicherheitslücken ermittelt, getestet und eingeführt werden; nach Artikel 10 der delegierten DORA-Verordnung setzen Finanzunternehmen dafür Fristen und legen Eskalationsverfahren fest, falls diese Fristen nicht eingehalten werden können. Nach Absatz 4 desselben Artikels dienen die Verfahren unter anderem dazu, verfügbare Patches und Aktualisierungen soweit möglich mithilfe automatisierter Tools zu ermitteln und zu bewerten.
Wie funktioniert Patch-Management?
Der Baustein OPS.1.1.3 des IT-Grundschutzes verlangt, Patches zeitnah nach Veröffentlichung zu bewerten und zu priorisieren, und dabei sollte geprüft werden, ob es zu dem Patch bekannte Schwachstellen gibt. Außerdem muss entschieden werden, ob der Patch eingespielt wird; wird er eingespielt, sollte kontrolliert werden, ob er auf allen relevanten Systemen zeitnah erfolgreich eingespielt wurde. Wird ein Patch nicht eingespielt, müssen die Entscheidung und die Gründe dafür dokumentiert werden. Nach den Empfehlungen des BSI für Unternehmen gehört dazu ein Überblick über die im Unternehmen eingesetzten Programme, damit Sicherheitsupdates so rasch wie möglich eingespielt werden können, manuell oder über die automatische Aktualisierungsfunktion, wenn ein Programm sie anbietet.
NIST unterscheidet das routinemäßige Patchen als Standardverfahren für Patches im regulären Veröffentlichungszyklus vom Notfall-Patching als Verfahren für Krisensituationen wie eine schwere oder aktiv ausgenutzte Schwachstelle. Verzögertes routinemäßiges Patchen macht das Notfall-Patching schwieriger, zeitaufwendiger und störender, weil zuerst frühere Patches installiert werden müssen, von denen neue abhängen.
Patch-Management im Vergleich
Patch-Management ist ein Weg, Schwachstellen zu beheben, und nicht dasselbe wie Schwachstellenmanagement. Zum Umgang mit Schwachstellen gehören nach der delegierten DORA-Verordnung unter anderem automatisierte Schwachstellenbewertungen und -scans, die Finanzunternehmen bei IKT-Assets kritischer oder wichtiger Funktionen mindestens einmal wöchentlich durchführen, während die Einführung von Patches und anderen Abhilfemaßnahmen nach Priorität erfolgt, um die ermittelten Schwachstellen zu beheben. Das Änderungsmanagement plant und steuert dagegen Änderungen allgemein, und der Baustein OPS.1.1.3 enthält kein vollständiges Änderungsmanagement, sondern lediglich Kernaspekte zur Informationssicherheit.
Woran erkenne ich ein wirksames Patch-Management?
| Merkmal | Worauf es ankommt |
|---|---|
| Richtige Priorisierung | Werden Änderungen falsch priorisiert, könnten beispielsweise zuerst unwichtige Patches installiert und wichtige zu spät installiert werden (Baustein OPS.1.1.3). |
| Mangelhafte oder fehlende Patches | Vorhandene Sicherheitslücken oder Betriebsstörungen sind nach dem BSI in der Praxis häufig auf mangelhafte oder fehlende Patches und Änderungen zurückzuführen. |
| Festgelegte Zuständigkeiten | Für alle Organisationsbereiche müssen Zuständige für das Patch- und Änderungsmanagement festgelegt werden (Basis-Anforderung des Bausteins OPS.1.1.3). |
| Integrität und Authentizität der Softwarepakete | Während des gesamten Patch- oder Änderungsprozesses sollte die Authentizität und Integrität von Softwarepaketen sichergestellt werden (Standard-Anforderung). |
| Auch nicht erreichbare Geräte erhalten Patches | Bei erhöhtem Schutzbedarf sollte im Änderungsmanagementprozess durch geeignete Mechanismen sichergestellt werden, dass auch zeitweise oder längerfristig nicht erreichbare Geräte die Patches und Änderungen erhalten (Anforderung des Bausteins OPS.1.1.3). |
Schutz im Ernstfall
Vorbeugen
- Nach dem BSI sollten IT-Systeme und Software regelmäßig aktualisiert und Patches grundsätzlich zeitnah nach Veröffentlichung eingespielt werden.
- Patches und Änderungen geeignet planen, genehmigen und dokumentieren, wie es der Baustein OPS.1.1.3 verlangt, und vorab geeignet testen.
- Für Hardware oder Software, die von den Herstellenden nicht mehr unterstützt wird, prüfen, ob sie dennoch sicher betrieben werden kann; auch das verlangt der Baustein OPS.1.1.3.
- Nach NIST trägt vorbeugende Wartung durch Patch-Management dazu bei, Kompromittierungen, Datenpannen und Betriebsstörungen zu verhindern.
Beispiele aus der Praxis
- Im Mai 2017 verschlüsselte das Schadprogramm WannaCry nach Angaben des BSI innerhalb von drei Tagen in über 150 Ländern Daten auf mehr als 200.000 Windows-Rechnern; sein Infektionsmechanismus nutzte eine Sicherheitslücke, für die ein Software-Patch bereits acht Wochen vor dem Ausbruch bereitgestellt worden war.
- Für Systeme, die sich nicht ohne Weiteres patchen lassen, nennt NIST Isolation oder andere Methoden, um das Risiko zu verringern.
- Ein Versicherer könnte etwa in einem Verfahren beschreiben, wie Software- und Hardware-Patches ermittelt, getestet und eingeführt werden, und eine Eskalation für den Fall vorsehen, dass eine Frist nicht gehalten werden kann.