Warum regelmäßige Updates so wichtig sind

Ein großer Teil erfolgreicher Angriffe auf Unternehmensnetzwerke nutzt keine raffinierten neuen Methoden, sondern bekannte Sicherheitslücken, für die der Hersteller längst ein Update bereitstellt. Die Angreifer müssen also nichts erfinden – sie warten schlicht darauf, dass jemand nicht aktualisiert. Genau deshalb sind regelmäßige Updates eine der wirksamsten Sicherheitsmaßnahmen überhaupt und gleichzeitig eine der am häufigsten vernachlässigten.

Was ein Update tatsächlich schließt

Jede Software enthält Fehler. Die meisten sind harmlos und führen höchstens zu Abstürzen oder falschen Anzeigen. Einige aber lassen sich ausnutzen: um Schadsoftware einzuschleusen, Daten auszulesen oder sich weiter im Netzwerk auszubreiten. Sobald der Hersteller eine solche Schwachstelle erkennt, liefert er ein Sicherheitsupdate, das den Fehler behebt.

Der kritische Punkt: Mit der Veröffentlichung des Updates wird auch die Lücke selbst bekannt. Angreifer analysieren Updates gezielt, um daraus abzuleiten, wo die Schwachstelle liegt, und suchen anschließend automatisiert nach Systemen, die noch nicht aktualisiert sind. Zwischen der Veröffentlichung eines Updates und seiner Installation liegt also ein Zeitfenster, in dem Ihr System angreifbar ist, obwohl die Gegenmaßnahme schon existiert. Regelmäßiges Aktualisieren hält dieses Fenster klein.

Wichtig ist dabei die Unterscheidung: Sicherheitsupdates schließen Lücken und gehören zeitnah installiert. Funktionsupdates bringen neue Möglichkeiten und dürfen warten. Wer beides vermischt, erzeugt entweder Hektik, wo keine nötig ist, oder gefährlichen Aufschub, wo es dringend wäre.

Warum Updates in der Praxis liegen bleiben

In den meisten Betrieben scheitert es nicht am Wissen, sondern an drei Dingen. Erstens an der Angst vor Störungen: Das Update könnte eine Fachanwendung lahmlegen, also lässt man es lieber ganz. Zweitens an unklarer Zuständigkeit: Die Geschäftsführung denkt, der Dienstleister macht es, der Dienstleister denkt, jemand im Haus kümmert sich, und am Ende macht es niemand. Drittens an vergessenen Geräten: Während Arbeitsplatzrechner oft noch halbwegs aktuell sind, laufen Drucker, Router, NAS-Systeme, Telefonanlagen oder Überwachungskameras jahrelang mit der Firmware vom Auslieferungstag. Gerade diese Geräte sind beliebte Einfallstore, weil sie im Netz hängen, aber niemand sieht sie als Computer.

Wo Sie zuerst hinschauen

Beginnen Sie mit einer Bestandsaufnahme. Ohne eine Liste aller Geräte und Programme ist Update-Management reine Vermutung. Die Liste muss nicht perfekt sein, aber sie sollte Server, Arbeitsplätze, Netzwerkgeräte und die wichtigsten Fachanwendungen erfassen.

Priorisieren Sie dann nach Angriffsfläche. An oberster Stelle steht alles, was direkt mit dem Internet verbunden ist: Firewall, VPN-Zugänge, Mailserver, Remote-Wartungszugänge. Danach kommen Arbeitsplätze und Server, danach interne Geräte. Prüfen Sie bei jedem System drei Fragen: Sind automatische Updates aktiviert oder gibt es einen festen Rhythmus? Wann wurde zuletzt aktualisiert? Stellt der Hersteller für dieses Produkt überhaupt noch Updates bereit? Die letzte Frage ist entscheidend: Software, die keine Sicherheitsupdates mehr erhält, ist ein wachsendes Risiko, das sich nicht durch Warten lösen lässt, sondern nur durch Ablösung oder Isolation.

So sieht ein funktionierender Update-Prozess aus

Legen Sie zuerst die Zuständigkeit fest. Eine benannte Person – intern oder beim Dienstleister – ist für den Update-Stand verantwortlich und muss auf Nachfrage Auskunft geben können. Ohne diese Benennung bleibt es bei gutem Willen.

Sicherheitsupdates für Arbeitsplätze lassen sich in der Regel zentral steuern und automatisch verteilen. Bei Servern und kritischen Systemen ist ein gestaffeltes Vorgehen sinnvoll: Zuerst wird ein wenig kritisches System oder eine kleine Gruppe von Geräten aktualisiert; läuft alles stabil, folgt der Rest. Planen Sie dafür feste Wartungsfenster außerhalb der Arbeitszeiten, damit ein Neustart niemanden mitten in der Arbeit trifft. Das nimmt auch den Mitarbeitern den Grund, Update-Hinweise wegzuklicken.

Vor jedem größeren Update gehört eine aktuelle Sicherung oder ein Snapshot, damit Sie im Problemfall zurück können. Nach dem Update prüfen Sie stichprobenartig, ob die wichtigen Anwendungen laufen. Und dokumentieren Sie knapp, was wann aktualisiert wurde. Diese Aufzeichnung hilft bei der Fehlersuche und ist zugleich ein Nachweis, dass Sie Ihre Systeme pflegen – ein Punkt, der auch im Datenschutz eine Rolle spielt, denn die Datenschutz-Grundverordnung verlangt technische Maßnahmen, die dem Stand der Technik entsprechen. Systeme mit offenen, längst bekannten Sicherheitslücken lassen sich damit schwer vereinbaren.

Fragen, die Sie Ihrem IT-Dienstleister stellen sollten

Wenn ein externer Dienstleister Ihre Systeme betreut, klären Sie schriftlich, was er im Rahmen der Betreuung tatsächlich tut. Konkret: Wie erfährt er von kritischen Sicherheitsupdates, und wie schnell werden diese eingespielt? Gibt es eine Übersicht über den Update-Stand aller betreuten Systeme, und bekommen Sie diese zu sehen? Was passiert, wenn ein Update Probleme verursacht – existiert ein Rollback-Plan? Und: Welche Ihrer Systeme erhalten keine Updates mehr, und wie sieht der Plan für deren Ablösung aus? Ein Dienstleister, der diese Fragen nicht beantworten kann, betreut Ihre Systeme vermutlich reaktiv statt planmäßig.

Woran Sie erkennen, dass etwas schiefläuft

Einige Warnsignale lassen sich ohne Fachwissen prüfen. Niemand kann Ihnen sagen, welche Systeme auf welchem Stand sind. Updates passieren, wenn jemand zufällig daran denkt. Mitarbeiter berichten, dass sie Update-Hinweise regelmäßig wegklicken, weil sie zur Unzeit kommen. Es laufen Programme oder Betriebssysteme, für die der Hersteller die Unterstützung eingestellt hat. Und nach einem früheren Update funktionierte etwas nicht, ohne dass jemand wusste, wie man den vorherigen Stand wiederherstellt. Trifft mehreres davon zu, gibt es keinen Prozess, sondern Zufall.

Wann Zurückhaltung sinnvoll ist

Nicht jede Aktualisierung verdient dieselbe Eile. Funktionsupdates und große Versionswechsel dürfen Sie ruhig abwarten, bis erste Erfahrungen anderer Anwender vorliegen – hier ist Zurückhaltung kein Risiko, sondern Vernunft. Anders bei Sicherheitsupdates: Wer diese wochenlang aufschiebt, trägt ein bekanntes, dokumentiertes Risiko.

Es gibt auch Fälle, in denen ein Update tatsächlich nicht möglich ist, etwa weil eine alte Fachanwendung nur in einer veralteten Umgebung läuft. Dann ist „nicht aktualisieren“ aber kein Zustand, sondern eine Übergangslösung: Isolieren Sie das betroffene System in einem eigenen Netzsegment, nehmen Sie ihm den Internetzugang, beschränken Sie die Berechtigungen auf das Nötigste – und planen Sie parallel die Ablösung. Ebenso wenig lohnt es sich, jedes Gerät um jeden Preis am Leben zu halten: Bei Hardware, für die es keine Firmware mehr gibt, ist Ersatz meist die sicherere und auf Dauer günstigere Entscheidung.

Fazit

Regelmäßige Updates sind kein Projekt, das man einmal abschließt, sondern eine Routine wie das Sichern von Daten. Wer eine Bestandsliste hat, die Zuständigkeit klar geregelt hat und Sicherheitsupdates zeitnah einspielt, hat den größten Teil des Risikos bereits beseitigt – mit Mitteln, die in den allermeisten Fällen vorhanden sind.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.