Windows Server | Risikobasiert patchen nach Microsoft

Microsoft empfiehlt für Windows Server, Updates nach Risiko zu priorisieren statt nach festen Zyklen. Die Meldung MC1535667 vom 2. November 2026 verweist auf einen Beitrag im Windows-Server Blog. Es gibt keine neue Funktion und keinen Termin. Die Meldung sagt: "This guidance is available now."

Maßgeblich sind vier Kriterien: Exploit-Aktivität, Exposition des Systems, Kritikalität der Workload und Auswirkung auf das Geschäft. Das Ziel laut Meldung: schneller auf kritische Schwachstellen reagieren und den Betrieb möglichst wenig stören. Das Problem fester Zyklen liegt auf der Hand: Ein monatlicher Patchtag behandelt eine aktiv ausgenutzte Lücke auf einem Internet-Server wie einen Fehler auf einem isolierten Dateiserver.

Die Meldung gliedert das in vier Aufgaben. Erstens das Risiko bewerten, mit einem Inventar aus Servern, Workloads, Abhängigkeiten und Exposition. Zweitens Prioritäten festlegen und drei Wege einrichten: Routine, beschleunigt und Notfall. Drittens den Notfall vorbereiten, mit dokumentierten und getesteten Schritten für Verteilung, Validierung und Rollback. Viertens Werkzeuge prüfen: Azure Update Manager, Azure Arc und die unterstützten Hotpatch-Funktionen von Windows Server.

Der Compliance-Hinweis der Meldung ist für deutsche Umgebungen der nützlichste Teil. Microsoft rät, Patch-Richtlinien gegen geltende Sicherheits- und Compliance-Vorgaben zu prüfen und risikobasierte Fristen, Freigabeprozesse, Ausnahmen, Ersatzmaßnahmen und Nachweise erfolgreicher Updates zu dokumentieren.

Das ist genau das, was ein Auditor sehen will. Eine Richtlinie "alle Server 14 Tage nach Patchday" liefert keine Begründung für den Ausnahmefall, ein Pfad mit definiertem Notfallfenster schon.

Konkrete Fristen pro Pfad nennt die Meldung nicht, ebenso wenig Zahlen. Auch zu Lizenz oder Kosten von Azure Update Manager, Azure Arc und Hotpatching steht dort nichts. Den Blogbeitrag selbst konnte ich nicht lesen, weil der Abruf per robots.txt gesperrt war. Die Details im Blog können über die Meldung hinausgehen. Lies ihn, bevor Du Fristen festlegst.

Beginne mit dem Inventar, denn ohne Exposition und Kritikalität pro Server gibt es keine Priorisierung. Definiere die drei Pfade mit Fristen, die Dein Betrieb leisten kann, und teste den Rollback vor dem ersten Notfall. Halte Ausnahmen fest, einschließlich der Ersatzmaßnahme, zum Beispiel einer Firewall-Regel bis zum Patch.

Die Empfehlung ist keine Neuerung, aber eine offizielle Grundlage für ein Gespräch mit Geschäftsführung und Auditor. Wer feste Patchzyklen durch drei Pfade mit Inventar, Notfallplan und Nachweisen ersetzt, erfüllt die Erwartungen aus NIS2 und ISO 27001 besser, weil er Entscheidungen begründen kann.

Die Werkzeuge nennt Microsoft, die Konditionen nicht. Prüfe Lizenz und Voraussetzungen von Azure Update Manager und Hotpatching, bevor Du sie in den Prozess schreibst.