Security & Compliance

Patch Management (Patchmanagement)

Overview

Patchmanagement sorgt dafür, dass Betriebssysteme, Anwendungen und Firmware zeitnah und kontrolliert aktualisiert werden. Microsoft veröffentlicht Sicherheitsupdates monatlich am Patch Tuesday, dem zweiten Dienstag im Monat, kritische Lücken auch außerhalb des Zyklus.

Patchmanagement ist ein Teil des Schwachstellenmanagements und umfasst mehr als Windows: Drittanbieter-Software, Hypervisoren, Firewalls, Switches, NAS-Systeme und BIOS/UEFI gehören dazu. Gerade dort bleiben Lücken oft am längsten offen.

Bei den Werkzeugen hat sich viel verschoben: Microsoft hat WSUS als veraltet eingestuft, es bleibt unterstützt und erhält Sicherheits- und Qualitätsupdates, aber keine neuen Funktionen. Azure Automation Update Management wurde am 31. August 2024 eingestellt und durch Azure Update Manager ersetzt. In Intune heißen die früheren „Windows Update for Business“-Einstellungen inzwischen Windows Update client policies.

How it works

Ein Patchprozess besteht aus festen Schritten:

  1. Bewertung: neue Updates sichten und nach Kritikalität und bekannter Ausnutzung einstufen.
  2. Test: Pilotgruppe oder Testsysteme aktualisieren und Fachanwendungen prüfen.
  3. Freigabe und gestaffelter Rollout in Ringen, mit Fristen und Neustartregeln.
  4. Verifikation: Compliance-Berichte prüfen und Nachzügler gezielt nachziehen.
  5. Dokumentation für Audits und Change Management.

Für Windows-Clients steuern Intune-Update-Ringe und Windows Update client policies die Verteilung, Windows Autopatch automatisiert die Ringe. Für Server dienen Azure Update Manager (Azure-VMs, Arc-fähige Server, VMware- und SCVMM-Maschinen, Azure Local), Configuration Manager oder WSUS. Drittsoftware braucht eigene Werkzeuge, etwa Intune Enterprise App Management, Paketquellen oder RMM-Tools.

Benefits

  • Bekannte Lücken schließen, bevor Angreifer sie ausnutzen
  • Weniger ungeplante Ausfälle, weil Updates getestet und gestaffelt verteilt werden
  • Nachweisbare Aktualität des Bestands für Audits, NIS2 und Cyberversicherer
  • Automatisierung spart Admin-Zeit bei wiederkehrenden Updates

Practical example

Ein Planungsbüro mit 60 Arbeitsplätzen verteilt Windows-Updates bisher manuell. Über Intune richtet es drei Ringe ein: IT-Team sofort, Pilotgruppe nach drei Tagen, alle anderen nach sieben Tagen mit Neustartfrist. Die Server patcht es über Azure Update Manager mit Arc in einem monatlichen Wartungsfenster am Samstag, mit vorherigem Snapshot. Drittsoftware wie PDF-Reader und Browser wird über Intune paketiert und automatisch aktualisiert.

Things to keep in mind

  • Drittanbieter-Software und Firmware einbeziehen, denn dort bleiben Lücken am längsten offen
  • Updates mit bekannter Ausnutzung außerhalb des Monatsrhythmus einspielen
  • Vor Server-Updates Backup oder Snapshot anlegen und einen Rückfallplan bereithalten
  • Neustarts planen und erzwingen, denn viele Updates wirken erst danach
  • Bei WSUS keine neuen Funktionen mehr erwarten und mittelfristig auf Intune, Autopatch und Azure Update Manager umplanen

Licensing & availability

WSUS ist in Windows Server enthalten. Intune und damit Update-Ringe sind in Microsoft 365 Business Premium, E3 und E5 enthalten. Azure Update Manager ist für Azure-VMs ohne Zusatzkosten nutzbar, für Arc-fähige Server außerhalb von Azure fällt eine Gebühr pro Server an, für die es Ausnahmen gibt; die aktuellen Konditionen stehen in der Azure-Preisübersicht und konnten hier nicht im Detail belegt werden. Stand: Oktober 2026.

Conclusion

Gutes Patchmanagement ist unspektakulär: feste Ringe, feste Wartungsfenster, klare Verantwortung. Für neue Umgebungen lohnt der Weg von WSUS zu Intune und Azure Update Manager.

Further reading

Related articles