Die meisten Einbrüche in KMU, zu denen wir gerufen werden, kommen nicht durch einen genialen Angreifer oder einen Zero-Day aus den Schlagzeilen. Sie kommen über eine Schwachstelle, deren Patch seit acht, elf, manchmal siebzehn Monaten öffentlich verfügbar war — nur niemand hat ihn installiert.
Patch-Management klingt langweilig. Es ist langweilig. Und genau deshalb kümmert sich niemand strukturiert darum, bis um sechs Uhr morgens das Telefon klingelt und „die ganze Firma steht." In diesem Text geht es darum, wie man in einem 10–50-Mann-Betrieb einen vernünftigen Update-Rhythmus hält — ohne teure Tools, ohne halbjährige Einführungsprojekte und ohne ein Team zu lähmen, dessen Rechner plötzlich dreimal täglich neu startet.
Warum „wir patchen quartalsweise" nicht mehr reicht
Die häufigste Patch-Politik, auf die wir in KMU treffen, ist: „wir patchen, wenn etwas kaputt geht." Die zweithäufigste: „einmal im Quartal, während der Wartung." Beides war vor fünfzehn Jahren vernünftig. Heute reicht es aus drei Gründen nicht mehr.
Erstens: Der Abstand zwischen Veröffentlichung eines Patches und einem öffentlich verfügbaren Exploit ist drastisch geschrumpft. Eine kritische Schwachstelle in Microsoft Exchange, einem SonicWall- oder Fortinet-VPN hat üblicherweise innerhalb von 48–72 Stunden nach dem CVE einen funktionierenden Exploit im Umlauf. Ein Quartal ist für den Angreifer eine Ewigkeit.
Zweitens: Ransomware-as-a-Service hat das massenhafte Scannen des Internets nach ungepatchten Systemen normalisiert. Ihr öffentlicher Mailserver oder Ihre Firewall wird mehrere Dutzend Mal pro Tag gescannt — nicht weil jemand Sie hasst, sondern weil sie auf einer IP-Liste steht. Ein ungepatchter Exchange in einer 30-Mann-Firma sieht genauso attraktiv aus wie in einem Konzern.
Drittens: Die Hersteller selbst haben den Takt verändert. Microsoft liefert jeden Monat Patch Tuesday, Firewall-Hersteller veröffentlichen dringende Out-of-Band-Patches, NAS- und Druckerhersteller liefern Firmware häufiger als früher. „Einmal pro Quartal" heißt im Schnitt, dass Ihr Netz sechs Wochen lang mit Lücken läuft, deren Patch längst im Regal liegt.
Ein konkreter Fall — 30-Mann-Großhandel und ein ungepatchter Exchange
Bei einem unserer Kunden — einem 30-Mann-Großhandel für Autoteile in Mittelpolen — kam Ransomware über einen ins Internet exponierten Exchange-Server (für mobilen Mailzugriff) herein. Es fehlte ein kritischer Sicherheits-Patch von vor 11 Monaten. Die Schwachstelle stand in der Fachpresse, der Patch war seit Ewigkeiten verfügbar, aber „es gab nie ein Fenster, den Server neu zu starten."
Der Angreifer verschlüsselte den Dateiserver, die Comarch-Optima-Datenbank und — am schmerzhaftesten — die Backups auf einem NAS, auf das der Server permanenten SMB-Zugriff hatte. Der Betrieb stand 3 Werktage still. Die Gesamtkosten — nach interner Schätzung des Inhabers — überstiegen 80.000 PLN (~18.500 EUR): entgangene Aufträge, Überstunden, Beraterleistungen (auch unsere), neue Hardware und neue Lizenzen. Das Lösegeld wurde nicht bezahlt — der Wiederaufbau lief aus einer Offline-Kopie von vor zwei Wochen sowie aus PDF-Anhängen in Buchhaltungs-Mails.
Nach dem Vorfall haben wir mit ihnen einen einfachen Patch-Management-Prozess eingeführt: ein monatliches Fenster (Donnerstag 7:00–8:00 Uhr), 72-Stunden-Priorität für kritische Patches, automatische Updates auf den Arbeitsplätzen, manuelle Prüfung der Server. Tool-Kosten — 0 PLN (alles auf einem eingebauten WSUS plus PowerShell-Skript). Aufwand des Administrators — rund 4 Stunden pro Monat. Im Folgejahr sank die Zahl kritischer Schwachstellen im Netz von 47 auf 3 (gemessen mit einem kostenlosen externen Scanner).
Das ist keine Magie. Das ist die Geschichte davon, dass eine Stunde pro Monat 12 Stunden im Jahr kostet — und ein ungepatchter Server 80.000 PLN und eine Woche Nerven.
Was im KMU wirklich gepatcht werden muss
In einem typischen 30-Mann-Betrieb gibt es mehr Schichten, die Patches brauchen, als man denkt. Es lohnt sich, sie zu benennen, denn jede hat einen anderen Rhythmus und eine andere Methode.
- Betriebssysteme der Arbeitsplätze (Windows 10/11). Patch Tuesday, zweiter Dienstag im Monat. Am besten automatisch, mit 3–7 Tagen Verzögerung gegenüber der Veröffentlichung (damit fehlerhafte Patches Zeit haben, zurückgezogen zu werden).
- Server-Betriebssysteme. Ebenfalls Patch Tuesday, aber manuell und in einem geplanten Fenster. Server-Neustarts brauchen Koordination.
- Firewall / Edge-Router. Monatlich prüfen, ob der Hersteller neue Firmware veröffentlicht hat. Kritische Patches — innerhalb von 72 Stunden.
- Hypervisor (VMware, Hyper-V, Proxmox). Vierteljährlich, außer bei kritischen CVE.
- Geschäftsanwendungen — ERP, CRM, Lagerverwaltung. Nach Herstellerzyklus. Comarch Optima liefert monatliche Updates, Microsoft Dynamics AX vierteljährlich, kleinere Systeme unregelmäßig. Release Notes lohnen sich.
- Browser und Office-Suite. Meist automatisch. Prüfen, ob Auto-Update für Chrome / Edge / Firefox bei allen aktiv ist.
- Geräte-Firmware — NAS, Drucker, Access Points, Kameras. Die am häufigsten vergessene Schicht. Vierteljährliche Sichtung. Ein Drucker mit vier Jahre alter Firmware ist ein sehr realer Einstiegsweg.
- Drittsoftware (PDF-Reader, Grafiktools, Zoom, TeamViewer, AnyDesk). Adobe Acrobat und 7-Zip stehen genauso regelmäßig auf den Schwachstellen-Listen wie Windows.
Das sieht nach viel aus, aber in der Praxis erzeugen drei dieser Schichten (Arbeitsplätze, Server, Firewall) 90 % des Risikos. Den Rest kann man schrittweise dazunehmen.
Patch-Management ohne teure Tools
Anbieter verkaufen Ihnen gern eine eigene Plattform für 7.000–14.000 EUR im Jahr. In einer 30-Mann-Firma ist das überdimensioniert. Vier Dinge reichen — und zusammen kosten sie weniger als eine einzige Einstiegslizenz.
- Eine Asset-Liste. Ein Google-Sheet mit Spalten: Name, IP, Typ (Workstation/Server/Network/IoT), OS, Version, Verantwortlicher, letztes Patch-Datum. Ohne sie wissen Sie nicht, was Sie nicht gepatcht haben.
- Ein Verteilmechanismus. Für Windows — eingebautes Windows Update for Business (über GPO/Intune) oder kostenloses WSUS. Für Linux-Server —
unattended-upgrades. Für Firmware — manuell aus der Liste. - Ein Schwachstellenscanner. Kostenloses Nessus Essentials (16 IPs), OpenVAS oder ein externer Dienst wie Tenable Free für öffentliche IPs. Ein Scan pro Monat, Bericht an den Administrator.
- Ein Rhythmus und ein Verantwortlicher. Eine Person — intern oder extern — mit einem konkreten Fenster im Kalender. „Donnerstag 7:00, eine Stunde, Kaffee, Server-Neustart" muss in irgendjemandes Kalender stehen, sonst löst es sich auf.
Das lässt sich in einem Tag aufsetzen. Danach geht es nur noch um Disziplin.
Ein Wartungsfenster, das das Team nicht hasst
Der häufigste Grund, warum Patch-Management zerfällt, ist nicht technisch, sondern organisatorisch. Ein Mitarbeiter, dessen Rechner dreimal pro Woche „aktualisiert, bitte nicht ausschalten" sagt, schaltet automatische Updates einfach ab oder ignoriert Neustarts. Das Team braucht einen vorhersehbaren Rhythmus.
Was in der Praxis im KMU funktioniert:
- Arbeitsplätze — Nachtfenster plus ein geplanter Neustart pro Woche. Updates laden im Hintergrund, installieren nachts. Wenn ein Neustart nötig ist — erzwungen am Freitag um 17:00 Uhr, mit zwei Stunden Vorwarnzeit.
- Server — ein monatliches Fenster, eine Woche im Voraus angekündigt. Z. B. zweiter Donnerstag im Monat, 7:00–8:00 Uhr. Alle wissen Bescheid. Kritische Systeme — zuerst auf einer Testumgebung, sofern vorhanden.
- Firewall und Netzwerktechnik — in Zeiten mit null Verkehr. Meist Wochenendmorgen. Rollback-Plan steht vor dem Flashen der Firmware.
- Kommunikation — kurz, ein Satz, per Mail. „Donnerstag 7:00, Neustart des Optima-Servers. System ab 8:00 wieder verfügbar." Ohne Schnörkel. Die Glaubwürdigkeit dieser Nachricht ist der Schlüssel — wenn das Fenster einmal kommentarlos um zwei Stunden verrutscht, glaubt das Team der nächsten Nachricht nicht mehr.
Diese Kommunikationsdisziplin rund um Neustarts ist der Teil des Patch-Managements, den kein technischer Kurs lehrt — und sie entscheidet, ob der Prozess den zweiten Monat überlebt.
Was tun mit Altsystemen, die sich nicht patchen lassen
In jedem produzierenden KMU, das wir betreut haben, gab es mindestens ein Gerät, das sich nicht aktualisieren ließ. Eine CNC-Steuerung auf Windows XP. Eine alte Buchhaltungsanwendung, deren Hersteller verschwunden ist. Ein medizinischer Scanner mit Firmware aus 2012. Diese Systeme verschwinden nicht — und sie lassen sich oft weder morgen noch in diesem Quartal ersetzen.
Die Strategie ist eindeutig: isolieren statt patchen. Konkret:
- In ein eigenes VLAN ohne Internetzugang trennen, mit minimaler, klar dokumentierter Anbindung an den Rest des Netzes.
- Alle unnötigen Netzwerkdienste und offenen Ports deaktivieren.
- Eine aktuelle Kopie der Konfiguration sicher aufbewahren (für die Wiederherstellung).
- Ein expliziter Migrations- oder Austauschtermin im Kalender — auch wenn es „2027" ist. Ohne Datum kommt das Thema während des Angriffs zurück.
Das ist nicht ideal. Es ist vernünftig. Patch-Management im KMU heißt nicht, dass immer alles aktuell ist. Es heißt, zu wissen, was nicht aktuell ist — und es bewusst zu isolieren.
Plan für die ersten 30 Tage
Wenn Sie das hier mit einem mulmigen Gefühl lesen, weil Ihre Firma „eigentlich kein" Patch-Management hat: die gute Nachricht — in 30 Tagen lässt sich ein vernünftiger Ausgangszustand erreichen.
- Woche 1 — Inventur. Liste aller Geräte mit IP-Adresse. Welches System, wer ist zuständig, wann zuletzt gepatcht.
- Woche 2 — Scan. Kostenloser Schwachstellenscanner auf externer und interner IP. Bericht. Prioritätsliste: kritisch, wichtig, kosmetisch.
- Woche 3 — erstes Fenster. Schließen der 10 schwerwiegendsten Funde. Das erste echte Wartungsfenster für die Server. Kommunikation ans Team.
- Woche 4 — Prozess. Das Fenster für die nächsten 12 Monate in den Kalender. Prozessbeschreibung auf einer A4-Seite. Verantwortlichen benennen.
Nach 30 Tagen haben Sie keinen perfekten Zustand. Sie haben etwas viel Wertvolleres — eine Liste, einen Rhythmus und eine verantwortliche Person. Der Rest ist Wiederholung.
Wenn Sie das mit jemandem durchgehen möchten, der das in 10–50-Mann-Firmen regelmäßig macht — wir helfen KMU, Patch-Management so aufzusetzen, dass kein Vollzeit-Admin nötig ist. Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.
Die meisten Angriffe auf KMU nutzen keine genialen Techniken. Sie nutzen Patches, die seit elf Monaten im Regal liegen.