Software-Updates: was das Aufschieben von Patches kostet

Der Verizon-Bericht zu Datenschutzverletzungen 2026 liefert drei Kennzahlen, die jede Geschäftsleitung kennen sollte:

• 31% Der Anteil der analysierten Verletzungen, die mit der Ausnutzung einer Softwarelücke begannen. Das ist jetzt das häufigste Einfallstor, noch vor gestohlenen Zugangsdaten.
• 26% Der Anteil der kritischen Lücken im Katalog ausgenutzter Schwachstellen der CISA, der US-Behörde für Cybersicherheit, der 2025 vollständig behoben wurde.
• 43 Tage Der Median bis zum Abschluss dieser Korrekturen, gegenüber 32 im Vorjahr. Angreifer warten nicht so lange.

Jede von einem Hersteller veröffentlichte Korrektur ist zugleich eine öffentliche Ankündigung, dass die Lücke existiert. Ab dann ist, wer nicht aktualisiert hat, ein identifiziertes Ziel.

Für Entscheider: Der CISA-Katalog ist in der Praxis die Liste der Schlösser, die Einbrecher bereits öffnen können. Die Behörde selbst empfiehlt allen Organisationen, ihm zu folgen und zuerst zu beheben, was dort steht. Steht ein Gerät des Unternehmens auf dieser Liste, ist das ein Thema dieser Woche, nicht des nächsten Quartals.

Simulation: der Preis eines Tages ohne Systeme

Illustrative Annahmen, keine Kundendaten: 30 Arbeitsplätze stehen einen Arbeitstag von 8 Stunden still, nach einem Angriff über eine bekannte Lücke, bei durchschnittlichen Kosten von 20 € pro Arbeitsstunde. Allein an verlorener Zeit sind das 30 × 8 × 20 = 4.800 €, ohne unterbrochene Abrechnung, Datenwiederherstellung, Technikerstunden und unzufriedene Kunden. Ein monatliches Wartungsfenster kostet einen Bruchteil davon.

Entscheidend ist die Unterscheidung zwischen Sicherheitskorrekturen, die Lücken schließen, und Funktionsupdates, die das Verhalten von Programmen ändern.

Mit Bedacht warten können: Funktionsupdates des Systems, bis sie eine Pilotgruppe durchlaufen haben, neue Versionen der Verwaltungssoftware, bis der Hersteller die Kompatibilität bestätigt, sowie Treiber oder Firmware ohne Sicherheitsbezug. Warten heißt nicht vergessen: jede Ausnahme erhält ein Datum und einen Verantwortlichen.

Die Richtlinie passt auf eine Seite und legt vier Rollen fest:

1. Geschäftsleitung: genehmigt Fristen und Wartungsfenster. Das ist eine Entscheidung des Risikomanagements, kein technisches Detail.
2. IT-Team oder Managed-Partner: spielt die Korrekturen ein und protokolliert, was wann mit welchem Ergebnis geschah.
3. Softwarehersteller: bestätigen die Kompatibilität vor Versionswechseln.
4. Benutzer: starten neu, wenn sie dazu aufgefordert werden; ein aufgeschobener Neustart ist eine nicht eingespielte Korrektur.

Das ist die Logik der präventiven gegenüber der korrektiven Wartung: Planen ist immer günstiger als Reagieren.

Microsoft veröffentlicht die Sicherheitskorrekturen für Windows am zweiten Dienstag jedes Monats und liefert außerplanmäßige Korrekturen, wenn die Lage es erfordert. Daraus ergibt sich ein planbarer Zyklus:

• Erste Woche Einspielen auf eine Pilotgruppe von 3 bis 5 Computern.
• Zweite Woche Ohne Probleme im Pilot Einspielen auf den restlichen Bestand, außerhalb der Hauptarbeitszeiten.
• Server Festes monatliches Fenster, immer nach Bestätigung des Backups.
• Notfälle Ausgenutzte Lücken in Firewall oder VPN werden noch am selben Tag behoben, ohne auf das Fenster zu warten.

Es gibt auch Geräte, die keine Korrekturen mehr erhalten: Windows 10 hat den Support am 14. Oktober 2025 verloren. Gibt es es noch im Unternehmen, lesen Sie, wie mit Windows-10-Arbeitsplätzen umzugehen ist. Ausgangspunkt ist ein verlässliches Inventar, wie in der Checkliste für das Audit des IT-Bestands.

Weil man nicht korrigiert, was man nicht sieht. Boost Portugal (12 Tourismusmarken mit Betrieben in Lissabon, Porto, im Douro-Tal und in Madrid) hat mit DataRoad einen Jahresvertrag zur Monatspauschale mit kontinuierlichem Monitoring aller Informationssysteme: Fernüberwachung, Alarmierung und Verfügbarkeitsberichte. Derselbe Vertrag deckt Backups, Telefonanlage, VPN-Verwaltung und Internetredundanz mit automatischer Umschaltung auf die zweite Leitung ab.

Mit vollständigem Monitoring weiß das Unternehmen, welche Geräte es hat, in welcher Version jedes läuft und welche zurückgeblieben sind. Den Unterschied zum Warten auf den Ausfall zeigt proaktives Monitoring und reaktiver Support im Vergleich.

DataRoad - IT Services and Consulting analysiert Firewall, Fernzugriff, Server und eine Stichprobe der Arbeitsplätze, gleicht das Ergebnis mit bekannten Lücken ab und liefert die Prioritätenliste. In 11 Jahren hatte DataRoad selbst nie einen Sicherheitsvorfall.

Das Update-Management ist in den Plänen IT Unlimited enthalten: Essential (ab 395 €/Monat zzgl. MwSt.) ist Remote- und Telefonsupport; Premium (ab 750 €/Monat zzgl. MwSt.) ergänzt unbegrenzte Vor-Ort-Betreuung, Anfahrten inklusive. Die kontinuierliche Überwachung erfolgt über den Service NOC und Monitoring.

Fordern Sie ein unverbindliches Angebot an: +351 211 459 950 * · sales@dataroad.pt. Über 10 Arbeitsplätze · Servicevertrag · Remote-, Vor-Ort- und Telefonsupport.

*Anruf ins portugiesische Festnetz.

• Verizon: Executive Summary des DBIR 2026
• CISA: Katalog ausgenutzter Schwachstellen
• Microsoft Learn: Update-Kalender von Windows
• Microsoft Learn: Lebenszyklus von Windows 10