Patch-Management für KMU: Warum veraltete Software 2026 Ihr größtes Sicherheitsrisiko ist
Aktualisiert am: 19.08.2026
Patch-Management ist unter NIS2 Pflicht: Schwachstellen müssen erkannt, risikobasiert priorisiert, geschlossen und dokumentiert werden. Das BSI registriert 119 neue Schwachstellen pro Tag, über 60 % der erfolgreichen Angriffe nutzen bereits gepatchte Lücken. Dieser Beitrag zeigt den Fünf-Schritte-Prozess, die Zeitfenster je Schweregrad und die typischen Hürden im Mittelstand.
Das Zeitfenster schrumpft: Vom Patch zur Attacke
Zwischen der Veröffentlichung einer Schwachstelle und dem ersten Exploit vergehen heute oft nur Stunden statt Wochen. Angreifer nutzen automatisierte Scanner, um verwundbare Systeme im Internet aufzuspüren – und KI-gestützte Tools beschleunigen die Exploit-Entwicklung zusätzlich. Wer manuell patcht und dabei Wochen oder Monate braucht, ist in dieser Realität chancenlos.
Ein Beispiel aus der Praxis: Die kritische SAP-NetWeaver-Schwachstelle wurde aktiv ausgenutzt, noch bevor viele Unternehmen den Patch eingespielt hatten – die ersten Angriffe reichten bis zu vier Wochen vor der offiziellen Patch-Veröffentlichung zurück. Ähnlich dramatisch: Rund 30.000 verwundbare Microsoft-Exchange-Server standen über Monate offen im Netz – in Krankenhäusern, Schulen und Behörden.
Das BSI meldet zusätzlich 280.000 neue Schadprogramme pro Tag. Viele davon zielen gezielt auf bekannte, ungepatchte Lücken. Ransomware-Gruppen wie Qilin, Akira und LockBit arbeiten nach dem Ransomware-as-a-Service-Modell und scannen systematisch das Internet nach verwundbaren Systemen – KMU sind dabei kein Kollateralschaden, sondern das primäre Ziel.
Reales Szenario: Ungepatchter VPN-Zugang als Einfallstor
Ein Produktionsbetrieb mit 120 Mitarbeitern nutzte eine VPN-Appliance mit einer seit drei Monaten bekannten Schwachstelle. Ein Angreifer verschaffte sich darüber Zugang zum internen Netzwerk, bewegte sich lateral bis zum Domain Controller und verschlüsselte sämtliche Produktivsysteme. Schaden: 14 Tage Betriebsstillstand, 480.000 € direkte Kosten. Der Patch für die VPN-Schwachstelle war seit Wochen verfügbar – er wurde schlicht nicht eingespielt.
Aktuell: Juli 2026 – Rekord-Patchday mit zwei Zero-Days
Microsofts Patch Tuesday am 14. Juli 2026 umfasst über 570 Sicherheitsupdates – der größte der Geschichte. Zwei Schwachstellen werden bereits aktiv ausgenutzt:
CVE-2026-56155 (AD FS): Rechteausweitung in Active Directory Federation Services (CVSS 7.8). Ein Angreifer mit lokalem Zugang kann sich zum Administrator hocharbeiten.
CVE-2026-56164 (SharePoint): Fehlende Authentifizierungsprüfung ermöglicht netzwerkbasierte Angriffe ohne Benutzerinteraktion. CISA hat beide Schwachstellen am selben Tag in den Known Exploited Vulnerabilities Catalog aufgenommen.
Warum KMU beim Patchen scheitern
Das Problem ist nicht mangelndes Bewusstsein – die meisten Geschäftsführer wissen, dass Updates wichtig sind. Das Problem ist die Umsetzung. Fünf Hürden sehe ich im Mittelstand immer wieder:
| Hürde | Typische Situation | Konsequenz |
|---|---|---|
| Kein IT-Team | Updates werden vom Geschäftsführer oder Praktikanten „nebenbei“ erledigt | Patches verzögern sich um Wochen oder Monate |
| Angst vor Ausfall | „Letztes Mal hat das Update den Drucker lahmgelegt“ | Updates werden dauerhaft verschoben |
| Keine Übersicht | Niemand weiß genau, welche Software auf welchem Rechner läuft | Systeme werden beim Patchen übersehen |
| Heterogene IT | Mix aus Windows, macOS, Linux, NAS-Systemen und Branchensoftware | Kein einheitlicher Patch-Prozess möglich |
| Legacy-Systeme | Branchensoftware läuft nur auf Windows Server 2016 | Veraltete Systeme können nicht gepatcht werden |
NIS2 macht Patch-Management zur Pflicht
Das NIS2-Umsetzungsgesetz lässt keinen Interpretationsspielraum: § 30 Abs. 2 Nr. 5 BSIG verlangt ausdrücklich das Management und die Offenlegung von Schwachstellen als Teil der zehn Pflichtmaßnahmen für betroffene Einrichtungen. Wer kein dokumentiertes Patch-Management nachweisen kann, riskiert nicht nur Cyberangriffe, sondern auch BSI-Sanktionen.
Was § 30 BSIG beim Patch-Management fordert
Schwachstellenerkennung: Systematische Identifikation von Schwachstellen in eingesetzter Hard- und Software – idealerweise durch regelmäßige automatisierte Schwachstellenscans.
Risikobasierte Priorisierung: Nicht jeder Patch hat die gleiche Dringlichkeit. Kritische Schwachstellen (CVSS ≥ 9.0) in internetexponierten Systemen müssen innerhalb von Stunden bewertet und innerhalb von Tagen geschlossen werden.
Dokumentation: Nachvollziehbarer Prozess mit Zeitstempeln: Wann wurde die Schwachstelle bekannt? Wann wurde bewertet? Wann wurde gepatcht? Diese Nachweise brauchen Sie bei einer BSI-Prüfung.
Notfallpatches: Für aktiv ausgenutzte Zero-Day-Schwachstellen muss ein beschleunigter Prozess existieren – unabhängig vom regulären Patch-Zyklus.
Von den Anforderungen betroffen sind rund 29.500 Unternehmen in Deutschland. Die BSI-Nachfrist für die NIS2-Registrierung endet am 31. Juli 2026; wer nicht registriert ist, riskiert allein dafür ein Bußgeld bis 500.000 Euro. Die Registrierung ist dabei nur der erste Schritt – die Sicherheitsmaßnahmen selbst müssen nachweisbar umgesetzt sein.
Die persönliche Haftung der Geschäftsführung unter NIS2 macht Patch-Management endgültig zur Chefsache. Wer als Geschäftsführer nachweislich keinen strukturierten Patch-Prozess etabliert hat, haftet im Schadensfall persönlich.
Patch-Management in fünf Schritten: So setzen KMU es um
Ein funktionierendes Patch-Management muss nicht komplex sein. Für KMU reichen fünf klar definierte Schritte, die sich mit überschaubarem Aufwand etablieren lassen.
1. Inventar: Wissen, was im Netzwerk läuft
Sie können nur patchen, was Sie kennen. Der erste Schritt ist ein vollständiges Asset-Inventar: alle Server, Clients, Netzwerkgeräte, IoT-Devices und Cloud-Dienste. Viele KMU scheitern bereits hier – Shadow-IT, vergessene Testserver oder nicht inventarisierte Drittanbieter-Software bilden blinde Flecken, die Angreifer gezielt suchen.
2. Priorisieren: Nicht alles gleichzeitig patchen
Bei 119 neuen Schwachstellen pro Tag ist flächendeckendes Sofort-Patching unrealistisch. Stattdessen brauchen KMU eine risikobasierte Priorisierung:
| Priorität | Kriterien | Zeitfenster |
|---|---|---|
| P1 – Sofort | CVSS ≥ 9.0, aktive Ausnutzung bekannt, internetexponiertes System | 24–48 Stunden |
| P2 – Hoch | CVSS 7.0–8.9, geschäftskritisches System, Remote-Exploit möglich | 7 Tage |
| P3 – Mittel | CVSS 4.0–6.9, lokaler Exploit, internes System | 30 Tage |
| P4 – Niedrig | CVSS < 4.0, kein bekannter Exploit, isoliertes System | Nächster Wartungszyklus |
3. Testen: Patches vor dem Rollout prüfen
Ein fehlerhafter Patch kann genauso viel Schaden anrichten wie die Schwachstelle selbst – das hat die CrowdStrike-Panne im Juli 2024 eindrücklich gezeigt. KMU sollten kritische Patches zunächst auf einer kleinen Gruppe von Testsystemen ausrollen, bevor sie flächendeckend verteilt werden. Für P1-Patches muss dieses Testfenster möglichst kurz sein – aber es darf nicht entfallen.
4. Ausrollen: Automatisierung ist kein Luxus
Manuelles Patchen skaliert nicht – schon bei 50 Endpoints wird es zur Vollzeitaufgabe. KMU sollten Patch-Verteilung automatisieren:
Patch-Tools für KMU im Überblick
- Microsoft WSUS / Intune: Für Windows-Umgebungen der Standard. WSUS für On-Premise, Intune für Cloud-verwaltete Geräte – beide kostenfrei in bestehenden Microsoft-Lizenzen enthalten.
- Linux: Unattended-Upgrades (Debian/Ubuntu), dnf-automatic (RHEL/Fedora) oder Ansible Playbooks für heterogene Server-Landschaften.
- Drittanbieter-Software: Tools wie ManageEngine Patch Manager Plus oder NinjaOne schließen die Lücke für Java, Adobe, Browser und andere Nicht-Microsoft-Software.
- Netzwerk & Firmware: Router, Switches, Firewalls und IoT-Geräte werden oft vergessen. Hersteller-Portale regelmäßig auf Firmware-Updates prüfen und in den Patch-Zyklus einbinden.
5. Dokumentieren und messen
Jeder Patch-Vorgang muss dokumentiert werden: welches System, welche Schwachstelle, wann bewertet, wann gepatcht. Diese Nachweise sind unter NIS2 Pflicht und werden bei BSI-Prüfungen abgefragt. Zusätzlich sollten KMU eine Kennzahl tracken: die Mean Time to Patch (MTTP) – die durchschnittliche Zeit zwischen Veröffentlichung eines Patches und dessen Installation. Ein MTTP von unter 14 Tagen für kritische Schwachstellen ist ein guter Zielwert.
Die häufigsten Patch-Management-Fehler bei KMU
Diese Fehler sehen wir bei Kunden immer wieder
Nur Windows patchen: Viele KMU aktualisieren regelmäßig Windows, vergessen aber Drittanbieter-Software wie Java, Adobe Reader, Browser-Plugins oder Netzwerk-Firmware. Genau dort lauern oft die kritischsten Lücken.
Kein Inventar: Wer nicht weiß, welche Software in welcher Version auf welchem System läuft, kann weder priorisieren noch nachweisen, dass gepatcht wurde. Shadow-IT ist der blinde Fleck Nummer eins.
Patches ignorieren, weil „nichts passiert“: Die Abwesenheit eines Vorfalls beweist nicht die Sicherheit des Systems. Angreifer scannen automatisiert – ob Ihr Unternehmen angegriffen wird, ist keine Frage des Ob, sondern des Wann.
End-of-Life-Software im Einsatz: Betriebssysteme und Anwendungen, die vom Hersteller nicht mehr mit Sicherheitsupdates versorgt werden, sind tickende Zeitbomben. Windows Server 2012, Office 2016 oder veraltete PHP-Versionen müssen migriert oder isoliert werden.
Sonderfall: Systeme, die sich nicht sofort patchen lassen
In der Praxis gibt es Systeme, bei denen ein sofortiger Patch nicht möglich ist – etwa Produktionssteuerungen (OT), medizintechnische Geräte oder legacy ERP-Systeme mit Herstellerabhängigkeit. Für diese Fälle muss der Patch-Prozess kompensatorische Maßnahmen vorsehen:
Netzwerksegmentierung isoliert verwundbare Systeme vom restlichen Netzwerk. Virtual Patching über Web Application Firewalls oder IPS-Regeln schützt, bis der eigentliche Patch eingespielt werden kann. Verstärktes Monitoring mit einem SIEM oder EDR erkennt verdächtige Aktivitäten auf ungepatchten Systemen frühzeitig. Konkret heißt das für Legacy-Systeme ohne Hersteller-Support: eigenes VLAN ohne Internetzugang, Application Whitelisting und Überwachung des Netzwerkverkehrs auf Anomalien – damit das ungepatchte System zumindest kein Sprungbrett für Angreifer wird. Jede kompensatorische Maßnahme muss dokumentiert und befristet sein – sie ersetzt den Patch nicht, sondern überbrückt die Zeit bis zur Installation.
Patch-Management als Teil der NIS2-Compliance
Patch-Management steht nicht isoliert. Es verzahnt sich mit weiteren NIS2-Pflichtmaßnahmen und bildet gemeinsam mit automatisierten Schwachstellenscans, Angriffsflächen-Management, Incident Response und Risikomanagement ein geschlossenes Sicherheitskonzept. Die TSMONDO-Compliance-Plattform unterstützt KMU dabei, alle zehn NIS2-Maßnahmen strukturiert zu dokumentieren und gegenüber dem BSI nachzuweisen.
Fazit: Patchen ist die günstigste Sicherheitsmaßnahme
Kein anderer IT-Security-Prozess bietet ein besseres Kosten-Nutzen-Verhältnis als strukturiertes Patch-Management. Die Tools sind oft bereits vorhanden (WSUS, Intune), die Patches kostenfrei – es fehlt in den meisten KMU nur der dokumentierte Prozess dahinter. Angesichts von 119 neuen Schwachstellen täglich und einer Exploit-Geschwindigkeit, die sich dramatisch verkürzt hat, ist Abwarten keine Option. Wer jetzt einen Patch-Prozess etabliert, schließt das größte Einfallstor für Cyberangriffe – und erfüllt gleichzeitig eine zentrale NIS2-Anforderung.
Patch-Management & Schwachstellenanalyse für Ihr Unternehmen
TSMONDO prüft Ihre IT-Infrastruktur auf ungepatchte Schwachstellen, bewertet das Risiko und unterstützt Sie beim Aufbau eines NIS2-konformen Patch-Management-Prozesses – pragmatisch und auf KMU zugeschnitten.
