15 Oktober 2026

Patch Management ist der geregelte Umgang mit Softwareaktualisierungen von ihrer Bewertung bis zur überprüften Installation. Dazu gehören das Erkennen betroffener Systeme, die Priorisierung, Tests und die Dokumentation des erreichten Zustands. In der Produktion müssen die Risiken ungepatchter Schwachstellen mit den Auswirkungen einer Änderung auf Anlagen und Prozesse abgestimmt werden.

Was bedeutet Patch Management?

Ein Patch verändert Software, beispielsweise um eine Schwachstelle oder einen Fehler zu beheben. Patch Management organisiert den Umgang mit solchen Änderungen über viele Systeme hinweg. Es umfasst damit mehr als das technische Starten eines Installationsprogramms.

NIST SP 800-40 Revision 4 beschreibt den Prozess von Identifikation und Priorisierung über Beschaffung und Installation bis zur Verifikation. Der Leitfaden ordnet Patchen als vorbeugende Wartung von Informationstechnik ein. Die Ausgabe wurde im April 2022 veröffentlicht und ersetzt die vorherige Revision 3.

In einer Produktionsumgebung können Betriebssysteme, Anwendungen, Firmware und weitere Softwarebestandteile betroffen sein. Welche Änderungen geeignet sind, hängt von der konkreten Systemkonfiguration ab. Eine Versionsnummer allein erklärt noch nicht, ob eine Aktualisierung zur gesamten Anlage passt.

Patch, Update und Upgrade unterscheiden

Bezeichnung	Übliche Bedeutung	Prüffrage
Patch	Gezielte Korrektur, etwa einer Schwachstelle	Welche konkrete Änderung wird vorgenommen?
Update	Aktualisierung mit Korrekturen oder weiteren Änderungen	Welche Funktionen und Abhängigkeiten sind betroffen?
Upgrade	Größerer Versions- oder Funktionswechsel	Welche zusätzliche Umstellung und Qualifizierung wird benötigt?

Die Begriffe werden von Herstellern nicht vollständig einheitlich verwendet. Für die Bewertung zählen deshalb die beschriebenen Änderungen und Voraussetzungen. Auch eine kleine Aktualisierung kann einen Neustart erfordern oder das Verhalten einer Anwendung beeinflussen.

Patch Management ist Teil eines umfassenderen Schwachstellen- und Änderungsmanagements. Nicht jede Schwachstelle lässt sich durch einen Patch beseitigen. Möglicherweise sind Konfigurationsänderungen, ergänzende Schutzmaßnahmen oder der Ersatz eines Systems erforderlich.

Warum ist Patch Management in der OT anspruchsvoll?

Industrielle Systeme arbeiten in einem konkreten Prozessverbund. Eine Änderung an einem Rechner kann beispielsweise Kommunikation, Treiber oder notwendige Bedienfunktionen beeinflussen. Zudem stehen Wartungsfenster möglicherweise nur begrenzt zur Verfügung. Diese Bedingungen müssen in die Planung einfließen.

Gleichzeitig können ungepatchte Schwachstellen erhebliche Risiken erzeugen. Das bloße Argument, eine Anlage dürfe nicht verändert werden, ist daher keine vollständige Risikobehandlung. Erforderlich ist eine nachvollziehbare Entscheidung über Dringlichkeit, geeignete Umsetzung und gegebenenfalls zeitlich begrenzte Ersatzmaßnahmen.

Das BSI-ICS-Security-Kompendium ordnet die Installation von Sicherheitsupdates oder Workarounds in das Änderungsmanagement ein. Es behandelt auch die Abstimmung mit Herstellern und Integratoren. Für den Betrieb ist deshalb frühzeitig zu klären, wer Informationen bewertet, Tests unterstützt und Aktualisierungen freigibt.

Wie werden Aktualisierungen priorisiert?

Eine Priorisierung benötigt sowohl Informationen zur Schwachstelle als auch zum betroffenen Einsatz. Ein technischer Schweregrad ist ein wichtiger Hinweis, aber nicht die einzige Entscheidungsgrundlage. Erreichbarkeit, vorhandene Schutzmaßnahmen und mögliche Auswirkungen auf den Prozess müssen hinzukommen.

Betroffenheit: Ist die verwundbare Funktion in der vorhandenen Version enthalten und genutzt?
Erreichbarkeit: Über welche Wege kann auf das System zugegriffen werden?
Bedrohung: Liegen belastbare Hinweise auf Ausnutzung vor?
Auswirkung: Welche betrieblichen Funktionen könnten beeinträchtigt werden?
Änderungsrisiko: Welche Tests und Voraussetzungen benötigt die Installation?
Alternativen: Welche vorübergehenden Maßnahmen begrenzen das Risiko tatsächlich?

Die Entscheidung sollte Verantwortliche und einen nächsten Prüfungstermin besitzen. Wenn ein Patch zunächst zurückgestellt wird, darf die Ausnahme nicht unbemerkt dauerhaft werden. Veränderte Bedrohung oder neue Herstellerinformationen können eine Neubewertung auslösen.

Ein geregelter Patch-Prozess

Bestand kennen: Systeme, Versionen und verantwortliche Stellen erfassen.
Informationen prüfen: Herstellerhinweise und relevante Schwachstellenmeldungen auswerten.
Priorität festlegen: Sicherheits- und Betriebsrisiken zusammen bewerten.
Änderung vorbereiten: Voraussetzungen, Tests, Sicherung und Rückfallverfahren bestimmen.
Kontrolliert installieren: Den freigegebenen Ablauf im abgestimmten Zeitfenster ausführen.
Ergebnis verifizieren: Installationsstand und notwendige Anlagenfunktionen prüfen.
Dokumentation aktualisieren: Konfiguration, offene Punkte und weitere Maßnahmen nachführen.

Ein erfolgreich gemeldetes Installationsprogramm ist noch kein Nachweis für den vollständigen betrieblichen Erfolg. Die Anwendung muss ihre benötigten Funktionen weiterhin erfüllen. Ebenso ist zu prüfen, ob der vorgesehene Patchstand tatsächlich aktiv ist oder beispielsweise ein notwendiger Neustart noch aussteht.

Praxisbeispiel: Update eines Bedienrechners

Das folgende Beispiel ist fiktiv. Für das Betriebssystem eines Bedienrechners liegt eine sicherheitsrelevante Aktualisierung vor. Der Rechner ist für Diagnose und Bedienung einer Produktionszelle erforderlich. Die Verantwortlichen prüfen zunächst die konkrete Betroffenheit und die Kompatibilitätsinformationen des Anlagenlieferanten.

In einer geeigneten Testumgebung werden die relevanten Bedien-, Kommunikations- und Neustartabläufe überprüft. Für die Umsetzung im Werk stehen 120 Minuten zur Verfügung. Installation und geplante Funktionsprüfung werden mit zusammen 60 Minuten angesetzt; für das vorgesehene Rückfallverfahren sind weitere 45 Minuten eingeplant. Damit verbleiben unter diesen Annahmen 15 Minuten Zeitreserve.

Die Rechnung ist nur eine Planungsannahme. Unerwartete Laufzeiten oder zusätzliche Prüfungen können das Fenster verändern. Vor Beginn wird deshalb festgelegt, wann die Umsetzung abgebrochen und das Rückfallverfahren gestartet werden muss. Nach erfolgreicher Prüfung werden Version und Ergebnis dokumentiert.

Das Beispiel zeigt, warum Patch Management technische und organisatorische Vorbereitung verbindet. Ein vorhandenes Wartungsfenster genügt nicht, wenn Rückfall und Funktionsprüfung zeitlich nicht hineinpassen.

Was tun, wenn ein Patch nicht verfügbar oder noch nicht einsetzbar ist?

Dann ist eine konkrete Risikobehandlung erforderlich. Je nach Ursache können Zugriffe stärker begrenzt, nicht benötigte Funktionen deaktiviert oder zusätzliche Überwachung eingerichtet werden. Solche Maßnahmen müssen zur Schwachstelle passen; eine beliebige Firewall-Regel ist kein allgemeiner Ersatz für jedes Update.

Die verbleibenden Risiken, Zuständigkeiten und die weitere Vorgehensweise sollten dokumentiert werden. Bei nicht mehr unterstützten Systemen kann eine Modernisierung oder Ablösung erforderlich sein. Diese Entscheidung gehört auch in die langfristige Anlagenplanung und darf nicht ausschließlich als kurzfristige IT-Aufgabe behandelt werden.

Netzwerksegmentierung und kontrollierte Zugänge können Teil der Behandlung sein. Sie beseitigen jedoch nicht automatisch die Schwachstelle im System. Der Unterschied zwischen Risikobegrenzung und technischer Behebung sollte ausdrücklich erkennbar bleiben.

Patch Management bewerten

Ein pauschaler Anteil aktualisierter Geräte kann einen Überblick geben, reicht aber für die Risikobewertung nicht aus. Ein einzelnes kritisches und erreichbares System kann wichtiger sein als viele weniger relevante Geräte. Aussagekräftig sind beispielsweise offene priorisierte Maßnahmen, überfällige Ausnahmen und nachgewiesene Funktionsprüfungen.

Auch die Qualität des Inventars ist entscheidend. Unbekannte Systeme tauchen in einer Patchquote möglicherweise gar nicht auf. Kennzahlen sollten deshalb ihren Umfang und ihre Grenzen offenlegen und zu den tatsächlich verantworteten Anlagen passen.

Häufige Fragen zum Patch Management

Müssen alle Updates sofort installiert werden?

Die Dringlichkeit hängt von der konkreten Schwachstelle und dem Einsatz ab. In der Produktion müssen zugleich Auswirkungen auf Betrieb und Sicherheit geprüft werden. Erforderlich ist eine begründete Priorisierung mit passenden Tests und Maßnahmen. Weder ungeprüfte Sofortinstallation noch pauschales Aufschieben ist eine allgemeingültige Lösung für alle Systeme.

Reicht eine Herstellerfreigabe aus?

Sie ist eine wichtige Grundlage, deckt aber möglicherweise nicht jede lokale Konfiguration und Schnittstelle ab. Der Betrieb muss prüfen, ob die Freigabe auf seine konkrete Umgebung passt. Notwendige Funktionsprüfungen und ein geeigneter Rückfall bleiben relevant. Die Aufgabenverteilung sollte mit Hersteller und Integrator ausdrücklich abgestimmt sein.

Ist ein Backup dasselbe wie ein Rückfallplan?

Nein. Eine Sicherung kann ein Bestandteil sein. Zusätzlich muss geklärt sein, wie und in welcher Zeit der vorherige Zustand wiederhergestellt und geprüft werden kann. Auch Software, Lizenzen und Konfigurationen können erforderlich sein. Ein Rückfallplan beschreibt den praktisch ausführbaren Ablauf, nicht nur die Existenz gesicherter Dateien.

Was ist bei nicht mehr unterstützten Systemen zu tun?

Die verbleibenden Risiken müssen bewertet und geeignete Maßnahmen geplant werden. Begrenzte Zugänge oder zusätzliche Trennung können bestimmte Risiken reduzieren, ersetzen aber nicht jede fehlende Sicherheitskorrektur. Wenn ein tragfähiger Betrieb nicht mehr gewährleistet werden kann, ist eine Ablösung zu planen. Zuständigkeiten und Termine sollten dabei nachvollziehbar festgelegt sein.

Wann ist ein Patch erfolgreich abgeschlossen?

Wenn der vorgesehene Stand tatsächlich installiert und aktiv ist, erforderliche Funktionen geprüft sind und das Ergebnis dokumentiert wurde. Eine reine Erfolgsmeldung des Installationsprogramms reicht dafür nicht immer aus. Offene Neustarts, Einschränkungen oder weitere Maßnahmen müssen sichtbar bleiben, damit der tatsächliche Zustand im Betrieb bekannt ist.

Quellen und fachliche Einordnung

NIST SP 800-40 Revision 4: Guide to Enterprise Patch Management Planning, April 2022, Prozess und vorbeugende Wartung.
BSI: ICS-Security-Kompendium, industrielles Änderungs- und Patchmanagement.

Das Zeitfensterbeispiel und die betrieblichen Prüffragen sind eigenständige Erläuterungen. Stand: Oktober 2026.