Säule 4NIS2CRADORABSI-GRUNDSCHUTZKRITIS

Patch-Management

Praxis-Szenario

Dezember 2021: Die Log4Shell-Schwachstelle wird bekannt. Unternehmen mit funktionierendem Patch-Management hatten den Fix innerhalb von 72 Stunden eingespielt. Ein mittelständisches Handelsunternehmen ohne Prozess brauchte 4 Wochen — in dieser Zeit wurden ihre Systeme kompromittiert und Kundendaten gestohlen. 60% aller erfolgreichen Angriffe nutzen bekannte Schwachstellen, für die bereits Patches existieren.

Rechtsfundament

NIS2NIS2 Art. 21 Abs. 2 lit. e

Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen einschließlich Schwachstellenmanagement

CRACRA Art. 10 Abs. 6

Pflicht zur Bereitstellung von Sicherheitsupdates über den gesamten Produktlebenszyklus

DORADORA Art. 7

Management und Dokumentation von Änderungen an IKT-Systemen

BSI IT-GrundschutzBSI OPS.1.1.3

Regelmäßige Aktualisierung und Patch-Management für alle IT-Systeme

Lösung & Umsetzung

1. Inventar aller Systeme und Software erstellen (automatisiert mit WSUS, Intune, oder Open Source) 2. Kritische Patches: Innerhalb von 72h nach Veröffentlichung einspielen 3. Reguläre Patches: Monatlicher Patch-Zyklus (z.B. erster Dienstag) 4. Test-Umgebung: Patches vor Produktiv-Rollout kurz testen 5. Legacy-Systeme: Isolieren wenn kein Patch möglich (Netzwerksegmentierung)

Ihr Mehrwert

Regelmäßiges Patching verhindert 60% aller Cyberangriffe. Automatisiertes Patch-Management spart 10h/Woche Administrationsaufwand. Pflichtanforderung für NIS2 und CRA.

Nächster Schritt