Updates und Patches gehören zu den wichtigsten Maßnahmen für die Sicherheit von Computern, Smartphones, Routern und anderen vernetzten Geräten. Viele Aktualisierungen wirken auf den ersten Blick unspektakulär: Die Oberfläche verändert sich kaum, neue Funktionen sind nicht sofort sichtbar und der Installationsvorgang kostet Zeit. Im Hintergrund können jedoch Schwachstellen geschlossen werden, über die Angreifer Schadsoftware einschleusen, Konten übernehmen oder Daten auslesen könnten.
Ein Update ist eine überarbeitete Version einer Software, eines Betriebssystems oder einer Gerätefirmware. Der Begriff Patch bezeichnet häufig eine gezielte Korrektur, etwa für eine Sicherheitslücke oder einen konkreten Fehler. Die Begriffe werden im Alltag nicht immer einheitlich verwendet. Für die Sicherheitsbewertung ist entscheidend, welche Probleme die Aktualisierung behebt und ob sie für das eigene Gerät oder Programm relevant ist.
Das Risiko entsteht nicht erst dann, wenn ein Angriff bekannt wird. Sobald eine Schwachstelle öffentlich beschrieben oder durch eine Aktualisierung geschlossen wurde, können technische Details über die Ursache verfügbar werden. Angreifer können diese Informationen nutzen, um ältere, ungepatchte Systeme gezielt zu untersuchen. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, weist deshalb in seinen Empfehlungen zum IT-Grundschutz und zur sicheren Administration auf die Bedeutung eines geregelten Patch- und Änderungsmanagements hin.
Nicht jede Aktualisierung hat denselben Zweck. Eine realistische Einschätzung hilft dabei, Dringlichkeit und mögliche Auswirkungen zu beurteilen.
Bei einem Hinweis auf ein kritisches Sicherheitsupdate sollte die Installation nicht wie eine beliebige Programmverbesserung behandelt werden. Die genaue Einstufung stammt allerdings immer aus der Sicherheitsinformation des jeweiligen Herstellers oder der zuständigen Sicherheitsstelle. Begriffe wie „kritisch“ oder „hoch“ sind nicht über alle Produkte hinweg identisch definiert.
Das Aufschieben verlängert den Zeitraum, in dem ein Gerät mit einer bekannten Schwachstelle betrieben wird. Dabei muss kein Angriff unmittelbar bevorstehen. Sicherheitsarbeit zielt darauf, ein vorhandenes Einfallstor zu schließen, bevor es ausgenutzt wird. Je länger ein System ungepatcht bleibt, desto mehr Gelegenheiten können sich ergeben.
Ein Angreifer kann beispielsweise eine manipulierte Datei, eine präparierte Webseite oder eine speziell gestaltete Nachricht verwenden. Eine Schwachstelle in einem Browser, einem Dokumentenprogramm oder einer Bibliothek zur Verarbeitung von Bildern kann unter Umständen ausgenutzt werden, wenn eine bestimmte Datei geöffnet oder eine Webseite geladen wird. Bei einem Router oder einer Fernzugriffslösung kann eine Lücke die Anmeldung oder die Verarbeitung von Netzwerkdaten betreffen.
Mögliche Folgen reichen von der Installation weiterer Schadsoftware bis zum Diebstahl von Zugangsdaten. In einem Kleinbetrieb können auch gemeinsam genutzte Dateien, Kundendaten, Rechnungen, E-Mail-Konten und Sicherungssysteme betroffen sein. Ein kompromittiertes Gerät dient zudem möglicherweise als Ausgangspunkt für weitere Angriffe im Netzwerk.
Besonders problematisch ist die Annahme, ein Gerät sei wegen eines Virenschutzes oder einer Firewall automatisch ausreichend geschützt. Diese Schutzmaßnahmen sind wichtige Bestandteile einer Sicherheitsarchitektur, ersetzen aber keine Fehlerkorrekturen. Eine Firewall kann bestimmte Verbindungen blockieren, während eine Schwachstelle innerhalb einer erlaubten Anwendung weiterhin angreifbar bleibt.
Zwischen der Entdeckung einer Schwachstelle, ihrer Analyse und der Bereitstellung eines Patches können unterschiedliche Zeiträume liegen. Sobald eine Korrektur verfügbar ist, verändert sich die Lage: Der behobene Fehler kann durch den Vergleich älterer und neuerer Programmversionen teilweise nachvollziehbar werden. Diese technische Analyse wird als Diffing bezeichnet. Sie ist für Sicherheitsforschung nützlich, kann aber auch Angreifern Hinweise liefern.
Zusätzlich veröffentlichen Hersteller Sicherheitsbulletins, CVE-Einträge oder Hinweise zu betroffenen Produktversionen. Die Abkürzung CVE steht für „Common Vulnerabilities and Exposures“. Ein CVE-Eintrag beschreibt eine öffentlich bekannte Schwachstelle und dient der eindeutigen Zuordnung. Die Kennung allein sagt noch nicht, wie groß das Risiko für ein bestimmtes Unternehmen ist. Dafür müssen unter anderem Erreichbarkeit, betroffene Version, vorhandene Schutzmaßnahmen und die Bedeutung der verarbeiteten Daten geprüft werden.
Das BSI und die internationale Organisation ENISA empfehlen in ihren Veröffentlichungen zur Cybersicherheit, Sicherheitsmeldungen zu beobachten und Schwachstellen nach ihrer Relevanz zu behandeln. Daraus folgt keine Pflicht, jede Aktualisierung ohne Prüfung sofort auf allen Geräten auszurollen. Es folgt jedoch die Notwendigkeit, Meldungen nicht über längere Zeit unbeachtet zu lassen.
Ein geordnetes Vorgehen unterscheidet zwischen Dringlichkeit und Änderungsrisiko. Ein Sicherheitsupdate kann dringend sein, während ein großes Funktionsupdate zunächst getestet werden sollte. Umgekehrt darf ein Patch nicht allein deshalb ignoriert werden, weil die Versionsnummer oder die sichtbare Änderung klein wirkt.
| Frage | Bedeutung für die Entscheidung |
|---|---|
| Ist eine Sicherheitslücke betroffen? | Wenn ja, sollte die Aktualisierung gegenüber reinen Komfortänderungen bevorzugt behandelt werden. |
| Ist das Produkt aus dem Internet erreichbar? | Direkt erreichbare Dienste wie Router, Fernzugänge oder Webanwendungen benötigen besondere Aufmerksamkeit. |
| Welche Daten verarbeitet das System? | Geschäfts-, Gesundheits-, Zahlungs- oder Zugangsdaten erhöhen die möglichen Auswirkungen eines Vorfalls. |
| Gibt es eine getestete Sicherung? | Eine Wiederherstellungsmöglichkeit reduziert das Risiko eines fehlerhaften Updates, ersetzt aber keine Aktualisierung. |
| Ist die Version noch unterstützt? | Für nicht mehr unterstützte Systeme erscheinen möglicherweise keine Sicherheitskorrekturen mehr. |
Eine nachvollziehbare Priorisierung kann beispielsweise drei Stufen verwenden: sofortige Prüfung bei aktiv ausgenutzten oder öffentlich erreichbaren Schwachstellen, zeitnahe Installation bei relevanten Sicherheitskorrekturen und geplante Installation bei weniger dringenden Funktionsänderungen. Diese Einteilung sollte schriftlich dokumentiert werden, damit eine Verzögerung nicht unbeabsichtigt zur Dauerlösung wird.
Ein verlässlicher Update-Prozess braucht keine komplizierte Spezialsoftware, sondern klare Schritte und Zuständigkeiten. Für private Geräte und kleine Arbeitsumgebungen eignet sich folgende Reihenfolge:
Automatische Aktualisierungen verkürzen die Zeit zwischen der Veröffentlichung eines Patches und seiner Installation. Für Betriebssysteme, Browser, Smartphones und viele Schutzprogramme ist diese Einstellung in der Regel eine wichtige Sicherheitsmaßnahme. Sie verhindert, dass die Aktualisierung im Alltag wiederholt vergessen wird.
Automatik bedeutet jedoch nicht, dass jede Installation ohne Kontrolle erfolgen muss. In einer geschäftlichen Umgebung können zentrale Systeme, Spezialsoftware oder ältere Geräte von bestimmten Versionen abhängig sein. Dort kann ein kontrolliertes Verfahren sinnvoll sein: Updates werden zunächst auf ausgewählten Geräten geprüft und anschließend schrittweise verteilt. Diese Vorgehensweise wird häufig als gestaffelter Rollout bezeichnet.
Bei privaten Geräten sollte die automatische Installation nicht dauerhaft deaktiviert werden, nur weil ein Neustart störend ist. Wenn ein System einen Neustart aufschiebt, sollte ein geeigneter Zeitpunkt eingestellt werden. Meldungen über ausstehende Neustarts dürfen nicht über längere Zeit ignoriert werden, weil der Patch unter Umständen erst danach vollständig aktiv ist.
Auch automatische Firmware-Updates für Router und Netzwerkgeräte müssen beobachtet werden. Während der Aktualisierung kann die Internetverbindung kurz unterbrochen sein. Die Zugangsdaten für die Verwaltung sollten bekannt sein und die Konfiguration sollte, sofern das Gerät diese Möglichkeit anbietet, gesichert werden.
Smartphones enthalten persönliche Nachrichten, Fotos, Kontakte, Zahlungsinformationen und Zugangstoken. Ein veraltetes mobiles Betriebssystem oder eine ungepatchte App kann deshalb weitreichende Folgen haben. Aktualisierungen sollten über die Systemeinstellungen installiert werden. Vor einem größeren Versionssprung ist eine aktuelle Gerätesicherung sinnvoll. Außerdem sollte geprüft werden, ob ausreichend Speicherplatz vorhanden ist und ob das Gerät während der Installation zuverlässig mit Strom versorgt wird.
Router bilden die Verbindung zwischen dem lokalen Netzwerk und dem Internet. Eine Schwachstelle in der Router-Firmware kann besonders relevant sein, wenn die Verwaltungsoberfläche aus dem Internet erreichbar ist oder Fernwartung aktiviert wurde. Nicht benötigte Fernzugriffe sollten deaktiviert werden. Das Administratorkennwort darf nicht mit einem leicht erratbaren Standardkennwort übereinstimmen. Nach einem Firmware-Update sollte geprüft werden, ob wichtige Einstellungen wie WLAN-Verschlüsselung, Gastnetz und Fernzugriff unverändert sicher konfiguriert sind.
Bei Druckern, Kameras, Netzwerkspeichern und anderen Geräten des sogenannten Internet of Things wird der Update-Status oft nicht zentral angezeigt. Eine Inventarliste mit Modell, Firmware-Version und Supportstatus schafft Übersicht. Geräte ohne Sicherheitsupdates sollten vom Internet getrennt oder ersetzt werden, wenn ihre Funktion dies erlaubt. Ein bloßes Verstecken des Geräts im lokalen Netz ist keine vollständige Sicherheitsmaßnahme, weil auch interne Angreifer oder Schadsoftware Zugriff versuchen können.
Auch sorgfältig geprüfte Aktualisierungen können zu Inkompatibilitäten führen. Mögliche Ursachen sind veraltete Treiber, Erweiterungen, individuelle Konfigurationen oder Programme, die eine bestimmte Version voraussetzen. Das Risiko lässt sich durch Backups, Testgeräte und dokumentierte Wiederherstellungsschritte reduzieren.
Nach der Installation sollte zunächst geprüft werden, ob das System vollständig gestartet ist. Danach folgen die für den Arbeitsablauf wichtigen Funktionen. Bei einem Computer können das Anmeldung, Netzwerk, Drucker, Verschlüsselung und zentrale Programme sein. Bei einem Smartphone gehören Telefonie, mobile Daten, wichtige Apps und die Gerätesicherung dazu.
Bei Problemen sollte nicht vorschnell eine unbekannte Reparaturanleitung aus einer Nachricht oder einem Forum ausgeführt werden. Besser sind die Dokumentation des Updates, die offiziellen Wiederherstellungsoptionen und die bereits vorbereiteten Sicherungen. Wenn ein Rückgang auf eine vorherige Version angeboten wird, muss geprüft werden, ob dadurch der Sicherheits-Patch ebenfalls entfernt wird. Eine kurzfristige Fehlerbehebung darf nicht dauerhaft zu einem ungepatchten Zustand führen.
In einem Kleinbetrieb sollte festgelegt sein, wer bei einem fehlgeschlagenen Update entscheidet, ob ein Gerät vom Netz getrennt, ersetzt oder wiederhergestellt wird. Diese Vorbereitung spart im Störungsfall Zeit und verhindert unkoordinierte Eingriffe.
Viele Verzögerungen entstehen nicht aus bewusster Nachlässigkeit, sondern aus fehlender Übersicht. Geräte werden gemeinsam genutzt, Zuständigkeiten sind unklar oder eine Meldung wird als störende Unterbrechung wahrgenommen. Die folgenden Gegenmaßnahmen schaffen einen praktikablen Rahmen:
Auch ohne eigene IT-Abteilung lässt sich ein grundlegender Prozess etablieren. Zunächst werden alle Arbeitsgeräte, Server, Router, Smartphones, Cloud-Anwendungen und geschäftlich genutzten Programme erfasst. Für jedes Element werden verantwortliche Person, Version, Supportstatus und Updateweg notiert.
Danach werden feste Prüfintervalle eingerichtet. Die konkrete Häufigkeit sollte zur Umgebung und zur Dringlichkeit der Sicherheitsmeldungen passen. Kritische Warnungen werden außerhalb des normalen Rhythmus geprüft. Wichtig ist eine klare Regel, wer eine Meldung bewertet und wer die Installation freigibt.
Die Dokumentation kann wenige, aber aussagekräftige Felder enthalten:
Für die technische Orientierung können das BSI, die jeweiligen Sicherheitsinformationen der Anbieter, CVE-Datenbanken und Veröffentlichungen von ENISA oder NIST herangezogen werden. Eine Quelle sollte immer auf das konkrete Produkt und die konkrete Version bezogen werden. Allgemeine Warnungen ohne Prüfung der eigenen Umgebung führen dagegen leicht zu falschen Prioritäten.
Das hängt von der betroffenen Schwachstelle, der Erreichbarkeit des Systems und den vorhandenen Schutzmaßnahmen ab. Bei aktiv ausgenutzten oder öffentlich erreichbaren Lücken ist eine zeitnahe Prüfung besonders wichtig. Eine Verzögerung sollte begründet, dokumentiert und mit einem neuen Termin versehen werden.
Für viele Standardgeräte und Anwendungen bieten automatische Updates einen guten Schutz gegen vergessenes Patchen. In Umgebungen mit Spezialsoftware oder kritischen Systemen kann ein kontrollierter Test vor der breiten Verteilung erforderlich sein. Dauerhaft deaktivierte Updates erhöhen dagegen das Risiko.
Nein. Ein Virenschutz kann bekannte Schadsoftware erkennen oder verdächtige Vorgänge blockieren, schließt aber keine Schwachstelle in einem Betriebssystem, Browser oder Netzwerkgerät. Mehrere Schutzmaßnahmen ergänzen sich und ersetzen nicht gegenseitig.
Der Supportstatus sollte geprüft werden. Wenn keine Korrekturen mehr erscheinen, kommen Ersatz, Trennung vom Internet, eine Einschränkung der Nutzung oder eine technische Abschottung infrage. Welche Maßnahme geeignet ist, hängt von den verarbeiteten Daten und der Funktion des Geräts ab.
Die Versionsanzeige in den Systemeinstellungen, der Updateverlauf oder die Sicherheitsinformationen des Programms geben darüber Auskunft. Bei mehreren Geräten sollte das Ergebnis zusätzlich dokumentiert werden. Ein Neustart kann erforderlich sein, damit ein Patch vollständig aktiv wird.
