Nach dem BSI wird mit dem Patchmanagement Software aktualisiert, zum Beispiel durch Sicherheitskorrekturen, Service Packs und Hot Fixes. Das NIST fasst das Patch-Management einer Organisation als Prozess auf, Patches, Updates und Upgrades zu ermitteln, zu priorisieren, zu beschaffen, einzuspielen und die Installation zu \u00fcberpr\u00fcfen; Patching ist dabei der Vorgang, eine \u00c4nderung auf installierte Software anzuwenden. Aufgabe des Patch- und \u00c4nderungsmanagements ist es nach dem Baustein OPS.1.1.3 des IT-Grundschutzes allgemein, ver\u00e4ndernde Eingriffe in Anwendungen, Infrastruktur, Dokumentationen, Prozesse und Verfahren steuer- und kontrollierbar zu gestalten. Innerhalb der Strategie zum Patch- und \u00c4nderungsmanagement muss definiert werden, wie mit integrierten Update-Mechanismen<\/strong> (Autoupdate) der eingesetzten Software umzugehen ist.<\/p>\n Ein unter DORA fallender Versicherer k\u00f6nnte im Patch-Management etwa festlegen, wie Software- und Hardware-Patches gegen bekannte Sicherheitsl\u00fccken ermittelt, getestet und eingef\u00fchrt werden; nach Artikel 10 der delegierten DORA-Verordnung setzen Finanzunternehmen daf\u00fcr Fristen<\/strong> und legen Eskalationsverfahren fest, falls diese Fristen nicht eingehalten werden k\u00f6nnen. Nach Absatz 4 desselben Artikels dienen die Verfahren unter anderem dazu, verf\u00fcgbare Patches und Aktualisierungen soweit m\u00f6glich mithilfe automatisierter Tools zu ermitteln und zu bewerten.<\/p>\n Der Baustein OPS.1.1.3 des IT-Grundschutzes verlangt, Patches zeitnah nach Ver\u00f6ffentlichung zu bewerten und zu priorisieren, und dabei sollte gepr\u00fcft werden, ob es zu dem Patch bekannte Schwachstellen gibt. Au\u00dferdem muss entschieden werden, ob der Patch eingespielt wird; wird er eingespielt, sollte kontrolliert werden, ob er auf allen relevanten Systemen<\/strong> zeitnah erfolgreich eingespielt wurde. Wird ein Patch nicht eingespielt, m\u00fcssen die Entscheidung und die Gr\u00fcnde daf\u00fcr dokumentiert werden. Nach den Empfehlungen des BSI f\u00fcr Unternehmen geh\u00f6rt dazu ein \u00dcberblick \u00fcber die im Unternehmen eingesetzten Programme, damit Sicherheitsupdates so rasch wie m\u00f6glich eingespielt werden k\u00f6nnen, manuell oder \u00fcber die automatische Aktualisierungsfunktion, wenn ein Programm sie anbietet.<\/p>\n NIST unterscheidet das routinem\u00e4\u00dfige Patchen als Standardverfahren f\u00fcr Patches im regul\u00e4ren Ver\u00f6ffentlichungszyklus vom Notfall-Patching als Verfahren f\u00fcr Krisensituationen wie eine schwere oder aktiv ausgenutzte Schwachstelle. Verz\u00f6gertes routinem\u00e4\u00dfiges Patchen macht das Notfall-Patching schwieriger, zeitaufwendiger und st\u00f6render, weil zuerst fr\u00fchere Patches installiert werden m\u00fcssen<\/strong>, von denen neue abh\u00e4ngen.<\/p>\n Patch-Management ist ein Weg, Schwachstellen zu beheben, und nicht dasselbe wie Schwachstellenmanagement. Zum Umgang mit Schwachstellen geh\u00f6ren nach der delegierten DORA-Verordnung unter anderem automatisierte Schwachstellenbewertungen und -scans, die Finanzunternehmen bei IKT-Assets kritischer oder wichtiger Funktionen mindestens einmal w\u00f6chentlich durchf\u00fchren, w\u00e4hrend die Einf\u00fchrung von Patches und anderen Abhilfema\u00dfnahmen nach Priorit\u00e4t erfolgt, um die ermittelten Schwachstellen zu beheben. Das \u00c4nderungsmanagement plant und steuert dagegen \u00c4nderungen allgemein, und der Baustein OPS.1.1.3 enth\u00e4lt kein vollst\u00e4ndiges \u00c4nderungsmanagement, sondern lediglich Kernaspekte zur Informationssicherheit.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[431,442,393],"class_list":["post-34257","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-security-operations","glossary_intl_topic-patch-exposure-angriffsflaechenmanagement","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"Patch-Management h\u00e4lt Software aktuell, indem Sicherheitskorrekturen bewertet, priorisiert und eingespielt werden.","nav_theme":"Security Operations","nav_subtheme":"Patch-, Exposure- & Angriffsfl\u00e4chenmanagement","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Patch-Management ist der Prozess, mit dem eine Organisation Patches, Updates und Upgrades f\u00fcr Software und Hardware ermittelt, bewertet und priorisiert, die Einf\u00fchrung plant, sie einspielt und deren Installation \u00fcberpr\u00fcft, unter anderem um bekannte Sicherheitsl\u00fccken in IT-Systemen zu schlie\u00dfen.","at_a_glance":[{"bullet":"Nach dem IT-Grundschutz-Baustein OPS.1.1.3 m\u00fcssen Patches zeitnah nach Ver\u00f6ffentlichung bewertet und entsprechend priorisiert werden."},{"bullet":"Das US-amerikanische NIST unterscheidet zwischen Patchen im regul\u00e4ren Zyklus und Notfall-Patching, etwa bei schweren oder aktiv ausgenutzten Schwachstellen."},{"bullet":"Die Delegierte Verordnung (EU) 2024\/1774 zu DORA verlangt von Finanzunternehmen Verfahren f\u00fcr das Patch-Management, einschlie\u00dflich Fristen f\u00fcr die Installation und eines Eskalationsverfahrens."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Im Mai 2017 verschl\u00fcsselte das Schadprogramm WannaCry nach Angaben des BSI innerhalb von drei Tagen in \u00fcber 150 L\u00e4ndern Daten auf mehr als 200.000 Windows-Rechnern; sein Infektionsmechanismus nutzte eine Sicherheitsl\u00fccke, f\u00fcr die ein Software-Patch bereits acht Wochen vor dem Ausbruch bereitgestellt worden war."},{"example":"F\u00fcr Systeme, die sich nicht ohne Weiteres patchen lassen, nennt NIST Isolation oder andere Methoden, um das Risiko zu verringern."},{"example":"Ein Versicherer k\u00f6nnte etwa in einem Verfahren beschreiben, wie Software- und Hardware-Patches ermittelt, getestet und eingef\u00fchrt werden, und eine Eskalation f\u00fcr den Fall vorsehen, dass eine Frist nicht gehalten werden kann."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34249,33703,33844,33697],"pillar_link":null,"sources":[{"publisher":"","name":"OPS.1.1.3 Patch- und \u00c4nderungsmanagement","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/IT-GS-Kompendium_Einzel_PDFs_2023\/04_OPS_Betrieb\/OPS_1_1_3_Patch_und_Aenderungsmanagement_Edition_2023.pdf?__blob=publicationFile&v=3","doc_type":"2023","group":"used"},{"publisher":"","name":"Guide to Enterprise Patch Management Planning: Preventive Maintenance for Technology","url":"https:\/\/nvlpubs.nist.gov\/nistpubs\/SpecialPublications\/NIST.SP.800-40r4.pdf","doc_type":"2022","group":"used"},{"publisher":"","name":"L_202401774DE.000101.fmx.xml","url":"https:\/\/publications.europa.eu\/resource\/cellar\/dc25b21e-328d-11ef-a61b-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Schritt 2: Schutzma\u00dfnahmen ergreifen","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Unternehmen-und-Organisationen\/Informationen-und-Empfehlungen\/Empfehlungen-nach-Angriffszielen\/Unternehmen-allgemein\/Erste-Schritte-fuer-mehr-Cyber-Sicherheit\/Schutzmassnahmen\/schutzmassnahmen_node.html","doc_type":"2021","group":"used"},{"publisher":"","name":"Ransomware \u2013 Vorsicht vor Erpressersoftware - Ransomware \u2013 Vorsicht vor Erpressersoftware","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Verbraucherinnen-und-Verbraucher\/Cyber-Sicherheitslage\/Methoden-der-Cyber-Kriminalitaet\/Schadprogramme\/Ransomware\/ransomware.html","doc_type":"2023","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-11"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Patch-Management?<\/h2>\n
Patch-Management im Vergleich<\/h2>\n
Woran erkenne ich ein wirksames Patch-Management?<\/h2>\n
\n\n
\n \nMerkmal<\/th>\n Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n \n Richtige Priorisierung<\/td>\n Werden \u00c4nderungen falsch priorisiert, k\u00f6nnten beispielsweise zuerst unwichtige Patches installiert und wichtige zu sp\u00e4t installiert werden (Baustein OPS.1.1.3).<\/td>\n<\/tr>\n \n Mangelhafte oder fehlende Patches<\/td>\n Vorhandene Sicherheitsl\u00fccken oder Betriebsst\u00f6rungen sind nach dem BSI in der Praxis h\u00e4ufig auf mangelhafte oder fehlende Patches und \u00c4nderungen zur\u00fcckzuf\u00fchren.<\/td>\n<\/tr>\n \n Festgelegte Zust\u00e4ndigkeiten<\/td>\n F\u00fcr alle Organisationsbereiche m\u00fcssen Zust\u00e4ndige f\u00fcr das Patch- und \u00c4nderungsmanagement festgelegt werden (Basis-Anforderung des Bausteins OPS.1.1.3).<\/td>\n<\/tr>\n \n Integrit\u00e4t und Authentizit\u00e4t der Softwarepakete<\/td>\n W\u00e4hrend des gesamten Patch- oder \u00c4nderungsprozesses sollte die Authentizit\u00e4t und Integrit\u00e4t von Softwarepaketen sichergestellt werden (Standard-Anforderung).<\/td>\n<\/tr>\n \n Auch nicht erreichbare Ger\u00e4te erhalten Patches<\/td>\n Bei erh\u00f6htem Schutzbedarf sollte im \u00c4nderungsmanagementprozess durch geeignete Mechanismen sichergestellt werden, dass auch zeitweise oder l\u00e4ngerfristig nicht erreichbare Ger\u00e4te die Patches und \u00c4nderungen erhalten (Anforderung des Bausteins OPS.1.1.3).<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n