Patchmanagement nachweisen: welche Berichte Prüfer und Grosskunden tatsächlich sehen wollen

Die Updates laufen automatisch — nur belegen kann es niemand

Die Frage im Fragebogen klingt harmlos: „Innerhalb welcher Frist werden kritische Sicherheitsupdates installiert, und wie weisen Sie das nach?" Die ehrliche Antwort in vielen Betrieben lautet: Windows aktualisiert sich selbst, der Rest irgendwann, und nachweisen kann man es gar nicht. Genau an dieser Stelle scheitern Lieferantenprüfungen häufiger als an fehlender Technik.

Das Unangenehme daran: Der Betrieb ist oft besser aufgestellt, als er belegen kann. Die Systeme sind aktuell, aber niemand kann sagen, wie aktuell, seit wann, auf wie vielen Geräten und mit welcher Lücke. Dieser Beitrag zeigt, was Prüfer und Grosskunden tatsächlich sehen wollen, welche Berichte das liefern, wie sich die Patch-Module der gängigen Hersteller unterscheiden und welche Einschränkungen man vor dem Kauf kennen sollte.

Warum fragen Prüfer ausgerechnet zuerst nach dem Patchstand?

Weil ungepatchte, öffentlich bekannte Schwachstellen zu den häufigsten Einstiegswegen überhaupt gehören und weil sich der Punkt im Gegensatz zu vielen anderen objektiv prüfen lässt. Ein Prüfer kann nicht messen, wie gut Ihre Belegschaft Phishing erkennt. Er kann aber fragen, wie alt die älteste offene kritische Schwachstelle in Ihrem Bestand ist — und diese Zahl sagt viel über die gesamte Organisation aus.

Dazu kommt, dass das Thema in praktisch jedem Regelwerk auftaucht. Die ISO 27001 in der Fassung von 2022 führt die Handhabung technischer Schwachstellen als eigenen Steuerungspunkt unter der Nummer 8.8. Die NIS-2-Richtlinie nennt die Behandlung und Offenlegung von Schwachstellen ausdrücklich als eine der geforderten Massnahmenkategorien. Und der Schweizer IKT-Minimalstandard führt Schwachstellenmanagement in den Funktionen identifizieren und schützen. Wer einen Fragebogen entwirft, greift auf diese Quellen zurück — deshalb ähneln sich die Fragen so stark.

Wird das Update verlangt oder der Nachweis?

Beides, aber geprüft wird der Nachweis. Das ist der Punkt, an dem die meisten Betriebe die Frage unterschätzen. Ein Prüfer sieht nicht, ob Ihre Geräte aktuell sind — er sieht nur, was Sie ihm vorlegen.

Verlangt werden typischerweise vier Dinge. Erstens eine schriftliche Festlegung, die Zuständigkeiten und Fristen nach Schweregrad benennt, etwa kritische Lücken innerhalb von vierzehn Tagen. Zweitens Berichte, die belegen, dass regelmässig nach Schwachstellen gesucht wird, mit erkennbarem Zeitplan. Drittens eine Nachverfolgung vom Fund bis zum Abschluss, aus der hervorgeht, wer wann was erledigt hat. Viertens eine dokumentierte Ausnahmeregelung für alles, was nicht gepatcht werden kann.

Die häufigste Beanstandung ist dabei eine bestimmte: Der Betrieb markiert eine Schwachstelle als erledigt, ohne technisch überprüft zu haben, dass der Patch tatsächlich angekommen ist. Ein Häkchen in einer Liste ist kein Nachweis — ein erneuter Suchlauf, der die Lücke nicht mehr findet, schon.

Sicherheitsfragebogen von Grosskunden richtig beantworten
Zeigt, welche Punkte solcher Fragebogen sich mit Endpunktsoftware belegen lassen und welche organisatorisch nachgewiesen werden müssen.

Reichen die automatischen Windows-Updates nicht aus?

Für das Betriebssystem ja, für den Rest nein — und der Rest ist die grössere Angriffsfläche. Die automatischen Updates von Microsoft decken Windows und Microsoft-Anwendungen ab. Sie decken nicht ab, was auf einem typischen Arbeitsplatz sonst noch installiert ist: PDF-Programme, Browser abseits von Edge, Archivwerkzeuge, Laufzeitumgebungen, Fernwartungssoftware, Branchenanwendungen.

Genau diese Programme stehen im Fragebogen unter dem Stichwort Drittanbieter-Anwendungen, und genau sie sind in der Praxis am häufigsten veraltet, weil sie sich niemand einzeln vornimmt. Ein Patch-Modul deckt sie zentral ab und liefert dabei den Nebeneffekt, der eigentlich zählt: eine Liste, welche Software überhaupt im Bestand ist. Diese Bestandsaufnahme ist bei den meisten Prüfungen die erste verlangte Anlage.

Ein zweiter Punkt kommt dazu: Automatische Updates lassen sich nicht steuern. Wer nachweisen muss, dass ein Patch innerhalb einer bestimmten Frist installiert wurde, braucht einen Zeitplan und einen Bericht, nicht einen Mechanismus, der irgendwann von selbst läuft.

Was ist der Unterschied zwischen Schwachstellen- und Patchmanagement?

Schwachstellenmanagement findet und bewertet, Patchmanagement behebt. Die Trennung ist keine Wortklauberei, sondern der Grund, warum manche Fragen im Fragebogen mit einem Patch-Modul allein nicht zu beantworten sind.

Der Ablauf hat vier Stufen: erkennen, welche Software installiert ist und welche bekannten Lücken sie hat; bewerten, wie schwer und wie ausnutzbar diese Lücken im eigenen Umfeld sind; beheben, meist durch einen Patch; und überprüfen, dass die Behebung gewirkt hat. Die meisten Produkte in dieser Kategorie decken alle vier Stufen ab, deshalb heissen sie oft Vulnerability and Patch Management.

Wichtig wird die Unterscheidung dort, wo es keinen Patch gibt — weil der Hersteller noch keinen bereitstellt oder die Software am Ende ihres Lebenszyklus steht. Dann verlangt jedes Regelwerk eine Ersatzmassnahme und eine Entscheidung, nicht einfach Nichtstun. Genau dafür braucht es den Bewertungsteil.

Welche Fristen soll ich für kritische Lücken festlegen?

Eine, die Sie einhalten können. Das klingt banal, ist aber die einzige sinnvolle Regel: Eine Frist von sieben Tagen, die regelmässig gerissen wird, ist im Audit schlechter als eine Frist von dreissig Tagen, die steht. Sie haben eine Zusicherung gegeben und nicht eingehalten.

Üblich ist eine Staffelung nach Schweregrad mit unterschiedlichen Fristen für kritisch, hoch und mittel. Der Schweregrad allein ist allerdings ein schwacher Massstab. Aussagekräftiger wird die Einstufung, wenn zwei weitere Faktoren einfliessen: ob die Lücke bereits aktiv ausgenutzt wird, und ob das betroffene System aus dem Internet erreichbar ist. Eine mittelschwere Lücke auf einem Server, der am Internet hängt und für die es bereits Angriffswerkzeuge gibt, ist dringender als eine kritische Lücke auf einem isolierten Testsystem.

Schreiben Sie diese Logik in die Festlegung hinein. Ein Prüfer, der sieht, dass Sie nach Ausnutzbarkeit und Exponierung priorisieren statt stur nach Punktzahl, bewertet das als reifen Prozess — und akzeptiert längere Fristen für den unkritischen Teil.

Welche Berichte brauche ich konkret?

Fünf Auswertungen decken den grössten Teil aller Fragebogen und Audits ab, und alle fünf stammen aus der Verwaltungskonsole, nicht aus einer selbst geführten Tabelle.

Erstens die Bestandsliste: welche Geräte verwaltet werden und welche Software darauf installiert ist. Zweitens der Bericht über fehlende Patches, aufgeschlüsselt nach Schweregrad — dieser Bericht beantwortet die Frage nach dem aktuellen Stand. Drittens dieselbe Auswertung mit Altersangabe, also wie lange eine Lücke bereits offen ist; das ist die Kennzahl, an der ein Prüfer die Einhaltung Ihrer Fristen misst. Viertens die Liste der fehlgeschlagenen Installationen, denn ein Patch, der nicht durchgelaufen ist, wird ohne diesen Bericht nie bemerkt. Fünftens die Übersicht der bewusst ausgeschlossenen Patches samt Begründung.

Alle diese Berichte haben zwei Eigenschaften, die eine selbst gepflegte Tabelle nicht hat: ein Datum und einen Geltungsbereich. Der Bericht sagt nicht nur, dass zweiundneunzig Geräte aktuell sind, sondern auch, dass insgesamt vierundneunzig verwaltet werden. Diese Differenz ist genau das, wonach gefragt wird.

Was mache ich mit Systemen, die sich nicht patchen lassen?

Sie dokumentieren sie als Ausnahme — mit Begründung, Ersatzmassnahme, Befristung und Freigabe. Das ist ein anerkanntes Vorgehen und kein Eingeständnis von Schwäche. Nicht anerkannt ist, die betroffenen Systeme gar nicht erst zu erwähnen.

Typische Fälle sind eine Maschinensteuerung, deren Hersteller keine Freigabe für neuere Versionen erteilt, eine Branchenanwendung, die eine veraltete Laufzeitumgebung voraussetzt, oder ein Altsystem, das aus vertraglichen Gründen noch laufen muss. Als Ersatzmassnahmen kommen Netzwerktrennung, Einschränkung der Zugriffsrechte, eine Applikationssperre auf dem betroffenen System oder verschärfte Überwachung infrage.

Wichtig ist die Befristung. Eine Ausnahme ohne Ablaufdatum wird im nächsten Audit zur Beanstandung, weil sie zeigt, dass niemand den Zustand mehr überprüft. Setzen Sie ein Datum, an dem die Entscheidung erneut getroffen werden muss, auch wenn absehbar ist, dass sie gleich ausfällt.

Worin unterscheiden sich die Patch-Module der Hersteller?

Vergleichbar sind die Module, die Betriebssystem und Drittanbieter-Anwendungen zentral aktualisieren und dazu Berichte liefern. Kaspersky führt sein Vulnerability and Patch Management sowohl als eigenständiges Produkt als auch als Zusatzmodul zu bestehenden Paketen und wird deshalb weiter unten gesondert behandelt.

Eigenschaft	Bitdefender GravityZone Patch Management	ESET Vulnerability & Patch Management	Avast und AVG Business Patch Management
Windows und Drittanbieter-Apps	✓	✓	✓
macOS	✓	✓	✕
Linux	Eingeschränkt	✓	✕
Konsole lokal betreibbar	✓	✕	✕
Lokaler Patch-Zwischenspeicher	✓	See note	✓
CVE-Angabe je Patch	✓	See note	See note
Microsoft-ESU-Patches	See note	See note	✕
Bezugsform	Zusatzmodul	Ab Complete enthalten	Eigenes Produkt

Zu den offenen und eingeschränkten Feldern: Bitdefender aktualisiert unter Linux keine Anwendungen, die ausserhalb der Paketverwaltung installiert wurden, und installiert automatisch nur digital signierte Patches — bei allen anderen bleibt ein manueller Schritt, den Sie im Ablauf berücksichtigen müssen. Die Angaben zu CVE-Kennungen je Patch und zu einem lokalen Zwischenspeicher liegen für ESET nicht auf derselben Detailebene vor und gehören deshalb ins Angebot. Bei Avast und AVG ist ausdrücklich dokumentiert, dass erweiterte Sicherheitsupdates von Microsoft nicht unterstützt werden — relevant für jeden Betrieb, der ein System über das reguläre Supportende hinaus betreibt.

Welches Produkt passt zu welcher Umgebung?

Für reine Windows-Umgebungen, die noch kein Business-Paket eines der grossen Anbieter einsetzen, sind die eigenständigen Produkte der schnellste Weg: Avast Business Patch Management ⧉ und AVG Patch Management Business Edition ⧉. Beide lassen den Suchlauf täglich, wöchentlich oder monatlich planen, zeigen fehlende Patches mit Schweregrad und Freigabedatum und erlauben es, einzelne Hersteller oder Anwendungen auszuschliessen. Zur Bandbreitenschonung übernimmt ein ausgewähltes Gerät im Netz die Verteilung. Die Grenze ist klar: Windows, keine anderen Betriebssysteme.

Wer bereits GravityZone einsetzt, ergänzt Bitdefender GravityZone Patch Management ⧉ als Zusatzmodul. Es deckt Windows, Linux und macOS ab, weist zu jedem Patch die CVE-Kennung aus, kann einzelne Patches sperren, wenn sie einen Arbeitsablauf brechen, und den nötigen Neustart verschieben. Für die Verteilung im eigenen Netz lässt sich ein Gerät mit Relay-Rolle zusätzlich als Zwischenspeicher einrichten.

Bei ESET ist das Modul Teil der Paketstufe. Enthalten ist es ab ESET PROTECT Complete ⧉ sowie in ESET PROTECT Elite ⧉, das zusätzlich die Detection-and-Response-Komponente mitbringt. Für die Stufen Entry und Advanced ist es als separates Merkmal zubuchbar. Abgedeckt werden Windows, Linux und macOS samt Drittanbieter-Anwendungen, und die Funktion lässt sich auch auf Server ausdehnen, sofern dort die entsprechenden ESET-Serverprodukte in aktueller Version laufen.

Kaspersky bietet beide Wege an: Kaspersky Vulnerability and Patch Management ⧉ als eigenständiges Produkt und Kaspersky Vulnerability and Patch Management als Add-On ⧉ zur Ergänzung eines vorhandenen Kaspersky-Pakets. Welche Variante für Sie zulässig ist, hängt vom Ausgangsprodukt ab und sollte vor der Bestellung geklärt werden.

Base, Base Plus, Add-On oder Renewal — was diese Bezeichnungen bedeuten
Erklärt, wie die Paketbezeichnungen im Handel zu lesen sind und welche davon eine bestehende Lizenz voraussetzen.

Habe ich das Patch-Modul vielleicht schon?

Möglicherweise ja, und diese Prüfung lohnt sich vor jeder Bestellung. Mehrere Anbieter haben Patchverwaltung in ihre höheren Pakete gelegt, statt sie separat zu verkaufen.

Bei Kaspersky ist Patchverwaltung in der Stufe Next EDR Optimum enthalten, bei ESET ab PROTECT Complete, und ThreatDown Advanced ⧉ bringt sie ebenfalls im Bundle mit. Wer eine dieser Stufen bereits lizenziert hat, braucht kein zusätzliches Produkt, sondern muss die Funktion nur aktivieren und einrichten — was in der Praxis erstaunlich oft unterbleibt, weil niemand weiss, dass sie enthalten ist.

Umgekehrt gilt: Bei Bitdefender ist Patchverwaltung in keiner Paketstufe enthalten, sondern durchgängig ein kostenpflichtiges Zusatzmodul. Ein Angebot, das GravityZone ohne diesen Posten ausweist, deckt den Fragebogenpunkt nicht ab.

Welche Fallen gibt es beim Kauf?

Drei, die regelmässig erst nach der Bestellung auffallen.

Die erste betrifft ESET: Vulnerability und Patch Management steht laut Herstellerangabe in der lokal betriebenen Variante der Verwaltungskonsole nicht zur Verfügung, sondern setzt die Cloud-Konsole voraus. Betriebe, die ihre Verwaltung bewusst im eigenen Haus betreiben — etwa wegen Auflagen zum Betriebsort — können die Funktion dort nicht nutzen. Das ist kein Detail, sondern eine Grundsatzentscheidung, die vor dem Kauf getroffen werden muss.

Die zweite betrifft die Softwareliste. Jedes Modul aktualisiert nur, was in seinem Katalog steht. Diese Kataloge sind umfangreich und werden laufend erweitert, decken aber niemals alles ab. Bitdefender veröffentlicht die unterstützten Hersteller und Produkte als Liste zum Herunterladen, die monatlich aktualisiert wird. Prüfen Sie vor dem Kauf, ob Ihre wichtigsten Anwendungen darin vorkommen — insbesondere Branchensoftware steht selten drin und bleibt dann ein manueller Vorgang, den Sie separat dokumentieren müssen.

Die dritte betrifft Server. Ein Patch-Modul, das nur Arbeitsplätze abdeckt, beantwortet die Fragebogenfrage nur zur Hälfte, denn gefragt wird nach dem gesamten Bestand. Klären Sie, ob Serverlizenzen dieselbe Funktion einschliessen und ob dafür eigene Artikel nötig sind.

Serverschutz, Exchange und Dateiserver: warum Endpoint-Lizenzen nicht ausreichen
Erklärt, warum Server eigene Lizenzen und eigene Produkte brauchen und welche Rollen zusätzlich abgedeckt werden müssen.

Wie gehe ich mit Neustarts um?

Über geplante Wartungsfenster statt über Zurufe. Der Neustart ist der Grund, warum Patchverwaltung in vielen Betrieben scheitert: Niemand will den Server während der Arbeitszeit neu starten, und abends ist niemand da.

Die Module lösen das über zwei Mechanismen. Erstens lässt sich der Suchlauf vom Einspielen trennen — gesucht wird täglich, installiert wird zu einem festgelegten Zeitpunkt. Zweitens lässt sich der Neustart verschieben, sodass der Patch installiert, aber erst beim nächsten regulären Neustart wirksam wird.

Für den Nachweis ist dabei ein Punkt entscheidend, der leicht übersehen wird: Ein installierter, aber noch nicht wirksamer Patch schliesst die Lücke nicht. Wenn Ihr Bericht solche Fälle als erledigt zählt, weisen Sie einen Zustand nach, der nicht besteht. Legen Sie deshalb fest, wie lange ein ausstehender Neustart offen bleiben darf, und behandeln Sie Überschreitungen wie eine offene Lücke.

Wie hilft Patchmanagement bei der Meldepflicht in der Schweiz?

Seit dem 1. April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe innerhalb von 24 Stunden nach Entdeckung dem Bundesamt für Cybersicherheit melden, gestützt auf das revidierte Informationssicherheitsgesetz und die Cybersicherheitsverordnung; fehlende Angaben können innerhalb von 14 Tagen nachgereicht werden. Betroffen sind Behörden und Organisationen nach Art. 74b ISG, für kleinere Organisationen und Vorfälle mit geringen Auswirkungen bestehen Ausnahmen.

Für die Meldung selbst spielt der Patchstand keine direkte Rolle. Er wird aber unmittelbar danach wichtig, nämlich bei der Frage, wie der Angreifer hereinkam. Wenn sich zeigt, dass eine seit Monaten bekannte und behebbare Schwachstelle genutzt wurde, ist das eine andere Ausgangslage als ein Angriff über eine zum Zeitpunkt des Vorfalls unbekannte Lücke. Ein Bericht, der den damaligen Patchstand des betroffenen Systems belegt, ist deshalb eines der wertvollsten Dokumente überhaupt — vorausgesetzt, er wurde vor dem Vorfall erzeugt und aufbewahrt.

Was Patchmanagement nicht leistet: Es stellt nicht fest, ob Ihr Betrieb meldepflichtig ist, es erkennt keinen laufenden Angriff und es ersetzt keine benannte Zuständigkeit für die Meldung.

Was verlangt die NIS-2-Richtlinie zum Thema Schwachstellen?

Die Richtlinie nennt die Behandlung und Offenlegung von Schwachstellen als eine der Massnahmenkategorien, die betroffene Einrichtungen umsetzen müssen. Sie schreibt dafür keine bestimmte Software und keine konkrete Frist vor — verlangt wird ein Verfahren, das nachweislich angewendet wird.

Unterstützt wird das durch die Suchläufe, die Priorisierung und die Berichte aus einem Patch-Modul. Nicht abgedeckt sind die organisatorischen Teile: die schriftliche Festlegung der Fristen, die benannte Zuständigkeit, der Umgang mit Meldungen von aussen über gefundene Schwachstellen und die regelmässige Überprüfung, ob das Verfahren überhaupt wirkt. Diese Punkte kann kein Produkt liefern.

Betriebe, die sowohl Schweizer als auch europäische Anforderungen erfüllen müssen, stehen dabei vor zwei Regelwerken nebeneinander, die sich in Fristen und Begriffen unterscheiden.

Cybersicherheitspflichten in der Schweiz und in der EU im Vergleich
Stellt die schweizerische Meldepflicht und die Anforderungen der NIS-2-Richtlinie nebeneinander und zeigt, wo sie sich unterscheiden.

Was deckt ein Patch-Modul nicht ab?

Alles, was kein Betriebssystem und keine installierte Anwendung ist — und das ist mehr, als man annimmt.

Nicht abgedeckt sind die Firmware von Netzwerkgeräten, Firewalls, Zugangspunkten, Druckern und NAS-Systemen. Gerade dort liegen aber die Geräte, die direkt am Internet hängen und deren Schwachstellen besonders häufig ausgenutzt werden. Ebenfalls aussen vor bleiben Maschinensteuerungen, Cloud-Dienste, bei denen der Anbieter aktualisiert, und Software, die am Ende ihres Lebenszyklus steht und für die es schlicht keine Patches mehr gibt.

Für diese Bereiche brauchen Sie einen zweiten, meist manuellen Ablauf mit eigener Liste und eigenen Terminen. Wer im Fragebogen ankreuzt, dass alle Systeme in die Patchverwaltung eingebunden sind, während Firewall und NAS ausserhalb laufen, gibt eine Auskunft, die einer Nachfrage nicht standhält.

Wie fange ich in dreissig Tagen an?

In der ersten Woche schaffen Sie Sichtbarkeit: Modul aktivieren oder beschaffen, alle Geräte einbinden, einen ersten vollständigen Suchlauf durchführen. Das Ergebnis ist erfahrungsgemäss unangenehm und genau deshalb wertvoll — es zeigt zum ersten Mal den tatsächlichen Bestand.

In der zweiten und dritten Woche arbeiten Sie den Rückstand ab, beginnend bei allem, was aus dem Internet erreichbar ist, und schreiben parallel die Festlegung: Wer ist zuständig, welche Fristen gelten je Schweregrad, wann wird gesucht, wann installiert, wie werden Ausnahmen genehmigt. Eine Seite genügt, sie muss nur datiert und freigegeben sein.

In der vierten Woche erzeugen Sie den ersten Berichtssatz und legen ihn ab. Genau dieser abgelegte, datierte Bericht ist der Nachweis, nach dem gefragt wird — und ab dem Moment, in dem Sie ihn monatlich wiederholen, wird aus einer Momentaufnahme eine belegbare Historie. Das ist der eigentliche Unterschied zwischen einem Betrieb, der patcht, und einem, der es beweisen kann.

---