Automatik ist kein Nachweis.
Update-Dienste können ausfallen, Geräte können lange offline sein und Installationen können wiederholt fehlschlagen. Auch Anwendungen außerhalb des Betriebssystems besitzen eigene Aktualisierungswege.
Ein Unternehmen braucht deshalb eine Übersicht über den tatsächlichen Patchstand und nicht nur die Information, dass automatische Updates grundsätzlich aktiviert wurden.
Welche Kennzahlen sinnvoll sind.
Wichtig sind die Zahl verwalteter Geräte, der Anteil aktueller Systeme, fehlgeschlagene Installationen und überfällige kritische Updates. Zusätzlich sollte sichtbar sein, welche Geräte nicht mehr erreicht werden oder nicht mehr unterstützt sind.
Die Kennzahlen müssen nicht kompliziert sein. Sie müssen vor allem regelmäßig erhoben und mit klaren Verantwortlichkeiten verbunden werden.
Ausnahmen gehören dokumentiert.
Nicht jedes Update kann sofort installiert werden. Fachanwendungen, Produktionssysteme oder Herstellerfreigaben können Tests erforderlich machen. Eine Ausnahme ist deshalb nicht automatisch ein Fehler.
Problematisch wird sie erst, wenn niemand weiß, warum ein Patch fehlt, wie lange die Ausnahme gelten soll und welche Ersatzmaßnahmen bestehen.
Patchen ist ein Prozess.
Ein brauchbares Patch Management umfasst Erkennen, Priorisieren, Verteilen, Überwachen und Nacharbeiten. Erst die Rückmeldung über den tatsächlichen Zustand schließt den Prozess.
Damit wird aus einer technischen Update-Funktion eine steuerbare Betriebsaufgabe.
Betriebssysteme sind nur ein Teil der Fläche.
Browser, PDF-Programme, Java-Laufzeiten, Fernwartungssoftware und Fachanwendungen können eigene Schwachstellen mitbringen. Ein vollständig gepatchtes Windows-System ist deshalb nicht automatisch insgesamt aktuell.
Eine Bestandsaufnahme sollte alle regelmäßig genutzten Anwendungen erfassen und klären, wie deren Updates verteilt und kontrolliert werden.
Nicht erreichbare Geräte sind ein eigener Befund.
Ein Gerät, das seit Wochen keinen Status meldet, darf nicht stillschweigend als aktuell gelten. Es kann außer Betrieb sein, im Homeoffice stehen oder die Management-Verbindung verloren haben.
Solche Geräte benötigen eine separate Nachverfolgung. Sonst entstehen blinde Flecken genau dort, wo die zentrale Übersicht eigentlich Sicherheit schaffen soll.
Priorisierung statt wahllose Geschwindigkeit.
Nicht jedes Update hat dieselbe Dringlichkeit. Kritische Sicherheitslücken auf exponierten Systemen benötigen eine andere Reaktion als ein Funktionsupdate auf einem wenig kritischen Arbeitsplatz.
Die Priorisierung sollte Schweregrad, Erreichbarkeit, vorhandene Gegenmaßnahmen und betriebliche Auswirkungen berücksichtigen.
Ergebnisse regelmäßig berichten.
Eine kurze monatliche Übersicht kann bereits zeigen, wie viele Systeme aktuell sind, welche Ausnahmen offen bleiben und wo wiederkehrende Fehler auftreten. Das schafft eine Grundlage für Entscheidungen, ohne technische Detailberichte zu überladen.
Vor allem Trends sind wichtig. Steigt die Zahl überfälliger Systeme, muss die Ursache im Prozess gesucht werden und nicht nur auf einzelnen Geräten.