Patchmanagement in KMUs: Praxisleitfaden ohne dediziertes Security-Team
Wie kleine und mittlere Unternehmen Patches planbar umsetzen — und warum externe Security-Signale der fehlende Baustein sind.
Patches sind keine lästige Pflicht — sie sind der billigste Weg, echte Angriffe zu verhindern. In Grossunternehmen gibt es Change Advisory Boards, Patch-SLAs und dedizierte Teams. In KMUs mit zehn bis hundert Mitarbeitenden läuft Patchmanagement meist nebenbei: zwischen Kundenprojekten, Releases und dem nächsten Ausfall. Das Ergebnis ist vorhersehbar: Systeme bleiben Monate auf verwundbaren Versionen, weil niemand weiss, welcher Patch gerade wirklich dringend ist.
Warum KMUs beim Patchmanagement scheitern
- Kein vollständiger Software-Bestand: Cloud-Dienste, SaaS-Tools und Libraries werden nicht wie Server inventarisiert.
- CVE-Flut ohne Kontext: Sicherheitsnews-Feeds melden alles — auch Risiken für Produkte, die Sie gar nicht nutzen.
- Fehlende Priorisierung: «Alles sofort patchen» ist unrealistisch; «wenn Zeit ist» ist zu spät.
- Kein fester Rhythmus: Ad-hoc-Patches unterbrechen den Betrieb; ohne Fenster werden sie aufgeschoben.
Gute Nachricht: Sie brauchen kein SOC und kein Vulnerability-Management-Portal à la Enterprise. Sie brauchen einen schlanken Prozess und eine zuverlässige Quelle für das, was Ihre konkreten Anbieter betrifft.
Vier Schritte, die in der Praxis funktionieren
1. Bestand erfassen (nicht perfekt, aber ehrlich)
Listen Sie die Systeme auf, deren Ausfall Ihr Geschäft stoppt: Datenbanken, Zahlungsanbieter, Identity-Provider, Cloud-Accounts, CI/CD, zentrale Libraries. Für KMUs reichen oft zehn bis zwanzig Einträge.
2. Nach Dringlichkeit priorisieren
Nicht jede CVE ist ein Notfall. Fragen Sie bei jeder Meldung: Betrifft das ein Produkt aus unserem Bestand? Ist ein Exploit bekannt oder wahrscheinlich? Ist das System internet-exposed? Hoch = sofortiger Patch oder Mitigation; Mittel = nächstes Wartungsfenster; Niedrig = Backlog. Diese Einordnung spart Nerven und verhindert Alarmmüdigkeit.
3. Feste Patch-Fenster einführen
Planen Sie z. B. jeden zweiten Dienstagabend oder den ersten Freitag im Monat für nicht-kritische Updates. Kritische Sicherheitslücken mit aktivem Exploit gehen ausserhalb des Fensters — aber alles andere wartet. So können Entwicklung und Betrieb planen, statt ständig unterbrochen zu werden.
4. Prüfen und kurz dokumentieren
Nach dem Patch: Funktionstest der betroffenen Anwendung, Versionsnummer notieren, Ticket schliessen. Für Audits und Kundenfragen reicht oft ein einfaches Log: Datum, System, alte/neue Version, CVE-Referenz. Fünf Minuten Dokumentation verhindern Stunden der Suche sechs Monate später.
Typische Fehler, die Sie vermeiden sollten
- Nur OS patchen, SaaS und Managed Services ignorieren — viele Angriffe zielen auf Anwendungsschichten.
- Security-Newsletter abonnieren statt anbieter-spezifisch zu filtern — das erzeugt Rauschen statt Handlung.
- Patches endlos testen ohne Risikoabwägung — bei aktivem Exploit ist «wir testen noch» ein Business-Risiko.
Fazit
Patchmanagement in KMUs scheitert selten an Technik — sondern an fehlender Priorität und zu viel Rauschen. Mit einem ehrlichen Bestand, klaren Prioritäten, festen Fenstern und gezielten Security-Signalen für Ihre Anbieter wird aus «wir sollten mal patchen» ein wiederholbarer Prozess. Starten Sie mit Ihrer Anbieterliste — der Rest folgt.