Inhalt
Kurzantwort
Beginnen Sie mit Schwachstellen, die bereits aktiv ausgenutzt werden, und mit Systemen, die aus dem Internet erreichbar sind – etwa Firewalls, VPN und Fernzugänge. Danach folgen zentrale Anmelde- und Administrationssysteme, Server mit wichtigen Daten, häufig genutzte Anwendungen und Endgeräte. Die Reihenfolge ist eine Orientierung: Ausschlaggebend sind tatsächliche Ausnutzbarkeit, Erreichbarkeit, Kritikalität und vorhandene Schutzmaßnahmen.
Erst der Überblick, dann das Patchen
Warum Inventar zuerst
Sie können nicht sinnvoll aktualisieren, was Sie nicht kennen. Das BSI empfiehlt KMU, ihre IT-Systeme zu kennen und Verantwortlichkeiten klar festzulegen.
Minimaler Überblick
Eine einfache Tabelle genügt: Gerät oder System, Software, Version, verantwortliche Person, aus dem Internet erreichbar ja/nein, Hersteller-Support vorhanden, Kritikalität, letzter Update-Stand. Ein komplexes Asset-Management-System ist dafür nicht nötig.
Priorisierung zur Orientierung
- 1. Aktiv ausgenutzte kritische Schwachstellen
- 2. Öffentlich erreichbare Systeme wie Website, Shop oder Mailserver
- 3. Firewalls, VPN, Gateways und Fernzugänge
- 4. Zentrale Identitäts- und Administrationssysteme
- 5. Server mit kritischen Unternehmensdaten
- 6. Browser, E-Mail-Programme und häufig genutzte Anwendungen
- 7. Endgeräte
- 8. Weniger kritische interne Systeme
- Keine starre Rangfolge: Ein internes System mit aktiv ausgenutzter Lücke kann dringender sein als ein gut geschütztes öffentliches System.
Schritt für Schritt
- 01
Inventar anlegen
Erfassen Sie Systeme und Software mit den Feldern oben. Beginnen Sie mit allem, was aus dem Internet erreichbar ist.
- 02
Verantwortung festlegen
Jedes System braucht eine Person oder einen Dienstleister, der für Updates zuständig ist.
- 03
Automatische Updates nutzen
Wo möglich, automatische Updates aktivieren. So bleibt Zeit für die Systeme, die Handarbeit erfordern.
- 04
Sicherheitshinweise verfolgen
Abonnieren Sie Hinweise der Hersteller Ihrer wichtigsten Systeme und des BSI.
- 05
Nach Dringlichkeit einspielen
Aktiv ausgenutzte und öffentlich erreichbare Systeme zuerst, dann der Rest nach Kritikalität.
- 06
Ergebnis prüfen
Kontrollieren Sie, ob das Update tatsächlich installiert ist, und vermerken Sie den Stand.
Was tun, wenn es keine Sicherheitsupdates mehr gibt?
Systeme ohne Hersteller-Support bleiben dauerhaft verwundbar. Mögliche Wege, in dieser Reihenfolge zu prüfen:
- Ersetzen – die dauerhafte Lösung
- Auf eine unterstützte Version aktualisieren, wenn möglich
- Übergangsweise isolieren, etwa ohne direkten Internetzugang
- Zugriff auf das Nötigste begrenzen
- Übergangslösung mit Enddatum dokumentieren
- Isolation ist eine Übergangsmaßnahme und kein gleichwertiger dauerhafter Ersatz für Sicherheitsupdates.
Checkliste
- Ein einfaches Inventar mit Version, Verantwortlichem und Erreichbarkeit existiert.
- Jedes System hat eine zuständige Person oder einen Dienstleister.
- Automatische Updates sind, wo möglich, aktiv.
- Öffentlich erreichbare Systeme und Fernzugänge werden zuerst aktualisiert.
- Altsysteme ohne Support sind bekannt und haben einen Ersatzplan.
- Der Update-Stand wird dokumentiert.
Typische Fehler
- Ohne Überblick patchen und wichtige Systeme übersehen.
- Firewall, VPN oder Router vergessen, weil sie „einfach laufen“.
- Eine feste Rangfolge stur anwenden, ohne Ausnutzung und Erreichbarkeit zu prüfen.
- Altsysteme dauerhaft isoliert weiterbetreiben, ohne Ersatz zu planen.
- Nicht kontrollieren, ob Updates wirklich installiert wurden.
Häufige Fragen
Was ist wichtiger: Server oder Laptops?
Das hängt vom Einzelfall ab. Öffentlich erreichbare Systeme und solche mit aktiv ausgenutzten Lücken haben meist Vorrang; Endgeräte sind zahlreich und trotzdem wichtig.
Wie schnell sollten Updates eingespielt werden?
Das BSI empfiehlt, Sicherheitsupdates zeitnah einzuspielen. Konkrete Fristen können sich aus Verträgen, Versicherungsbedingungen oder Ihrem Risiko ergeben.
Brauchen wir ein Asset-Management-System?
Für den Start nicht. Eine gepflegte Tabelle mit den wichtigsten Feldern reicht vielen kleinen Unternehmen.
Was ist der CISA-KEV-Katalog?
Eine Liste von Schwachstellen, deren Ausnutzung bekannt ist. Er hilft bei der Priorisierung, ersetzt aber keine eigene Bewertung.
Können wir ein altes System einfach vom Internet trennen?
Als Übergang kann das Risiken senken. Dauerhaft ersetzt es keine Sicherheitsupdates.
Quellen
- BSI – Cybersicherheit für KMU: Die TOP 14 Fragen (3. Auflage, PDF)
- BSI IT-Grundschutz – OPS.1.1.3 Patch- und Änderungsmanagement (Edition 2023, PDF)
- CISA – Known Exploited Vulnerabilities Catalog
Geprüft am 07.10.2026.
Die Inhalte dienen der allgemeinen Orientierung. Keine Maßnahme garantiert, dass ein Angriff oder Ausfall verhindert wird.