Patchmanagement mit RMM

Fast jede Woche veröffentlichen Hersteller Sicherheitsupdates für Betriebssysteme, Anwendungen und Netzwerkgeräte. Patchmanagement sorgt dafür, dass diese Updates im Unternehmen geplant, getestet und vollständig eingespielt werden. Bleibt eine bekannte Lücke offen, nutzen Angreifer sie oft innerhalb kurzer Zeit. Ohne Überwachung bemerkt zudem niemand, wenn ein Server ausfällt oder ein Backup fehlschlägt. Dieser Beitrag zeigt, wie Sie Patchmanagement und Monitoring mit einer RMM-Lösung strukturiert aufbauen.

Was ist Patchmanagement?

Patchmanagement bezeichnet den geregelten Prozess, mit dem Unternehmen Updates für Software und Geräte erfassen, bewerten, testen, verteilen und dokumentieren. Ein Patch ist ein Update, das Fehler oder Sicherheitslücken behebt. Ziel ist ein bekannter und aktueller Stand aller Systeme.

Bestandteile des Patchmanagements:

• Inventar: vollständige Liste aller Geräte und Anwendungen
• Bewertung: Dringlichkeit eines Updates nach Schweregrad und Ausnutzung
• Test: Prüfung an einer Pilotgruppe vor der breiten Verteilung
• Verteilung: zeitgesteuertes Einspielen mit Neustartplanung
• Nachweis: Bericht über Erfolg, Fehler und Ausnahmen

Patchmanagement, Monitoring und RMM

Die Begriffe hängen zusammen, meinen aber Unterschiedliches. Die Tabelle grenzt sie ab.

Was gehört ins Patchmanagement?

Viele Unternehmen aktualisieren Windows automatisch und halten das Thema damit für erledigt. Die Lücken liegen meist woanders.

Betriebssysteme und Microsoft-Produkte

Windows-Clients und Server erhalten monatliche Sicherheitsupdates.[1] Dazu kommen Updates für Microsoft 365 Apps und Serverprodukte wie Exchange Server. Exchange braucht eigene Planung, weil Updates dort oft manuell installiert werden.

Drittanwendungen

Browser, PDF-Reader, Java-Laufzeitumgebungen und Fachanwendungen haben eigene Update-Zyklen. Sie werden von Windows Update nicht erfasst.

Häufig vergessene Anwendungen:

• Browser: Chrome, Firefox und Erweiterungen
• Laufzeitumgebungen: Java, .NET, Python
• Werkzeuge: PDF-Reader, Archivprogramme, Fernwartungssoftware
• Fachanwendungen: ERP, Branchensoftware, Datenbanken

Netzwerk und Geräte

Firewalls, Switches, WLAN-Access-Points, Drucker und NAS-Systeme haben eigene Firmware. Gerade Geräte, die aus dem Internet erreichbar sind, brauchen schnelle Updates. Prüfen Sie außerdem, ob Hersteller noch Updates liefern.

Altsysteme ohne Herstellerunterstützung

Manche Systeme erhalten keine Updates mehr, weil der Hersteller den Support eingestellt hat. Ein Beispiel sind Exchange Server 2016 und 2019 nach dem Ende des ESU-Programms im Oktober 2026.[5] Solche Systeme sollten Sie ersetzen oder zumindest vom Internet trennen und streng abschotten.

Umgang mit Altsystemen:

• Erfassen: Liste aller Systeme ohne Herstellerunterstützung
• Bewerten: welche Daten und Prozesse daran hängen
• Abschotten: eigenes Netzsegment, kein Internetzugang
• Ersetzen: Termin und Budget für die Ablösung festlegen

Neustarts planen

Viele Updates werden erst nach einem Neustart wirksam. Legen Sie feste Neustartfenster fest, die den Betrieb nicht stören, etwa nachts oder am Wochenende. Für Server mit Abhängigkeiten gehört die Reihenfolge der Neustarts in den Plan. Prüfen Sie nach jedem Fenster, ob alle Dienste wieder laufen.

Monitoring: Probleme erkennen, bevor sie auffallen

Monitoring überwacht laufend, ob Systeme funktionieren. Es ergänzt das Patchmanagement um den Blick auf den Betrieb.

Was überwacht werden sollte

Sinnvoll sind Prüfungen, die auf echte Probleme hinweisen. Zu viele Warnungen führen dazu, dass wichtige übersehen werden.

Typische Prüfpunkte:

• Verfügbarkeit: Server, Dienste und Internetanbindung
• Ressourcen: Speicherplatz, Arbeitsspeicher, Prozessorlast
• Backups: Erfolg oder Fehler jeder Sicherung
• Sicherheit: Virenschutzstatus, fehlende Updates, auffällige Anmeldungen
• Hardware: Festplattenzustand, Temperatur, Netzteile

Reaktion auf Warnungen

Eine Warnung nützt nur, wenn jemand sie bearbeitet. Legen Sie fest, wer welche Warnung zu welcher Zeit erhält und wie schnell reagiert wird. Unterscheiden Sie dabei zwischen Warnungen, die sofort Handeln erfordern, und Hinweisen für den nächsten Arbeitstag. Prüfen Sie die Schwellenwerte nach einigen Wochen und passen Sie sie an, damit Ihr Team nicht mit unwichtigen Meldungen überflutet wird. Bei einem Managed Service regelt das ein Service Level Agreement.

RMM-Software: die technische Grundlage

RMM-Software verbindet Fernwartung, Monitoring und Update-Verteilung in einer Plattform. Auf jedem Gerät läuft ein kleiner Agent, der Daten an eine zentrale Konsole meldet.

Was RMM leistet

Mit RMM verwalten Sie viele Geräte, ohne vor Ort zu sein. Updates werden nach Richtlinien verteilt, und Berichte zeigen den Stand aller Systeme.

Typische RMM-Funktionen:

• Agent: erfasst Hardware, Software und Zustand jedes Geräts
• Richtlinien: Update-Zeitfenster, Neustartregeln, Ausnahmen
• Skripte: wiederkehrende Aufgaben automatisieren
• Fernzugriff: Unterstützung ohne Vor-Ort-Termin
• Berichte: Patch-Stand und Warnungen für die Geschäftsleitung

Sicherheit der RMM-Plattform

Eine RMM-Plattform hat weitreichende Rechte auf allen Geräten. Sie muss deshalb selbst besonders geschützt sein. Achten Sie auf MFA für alle Konsolenzugänge, minimale Berechtigungen und Protokollierung jeder Aktion. Fragen Sie Ihren Dienstleister, wie er die Plattform selbst aktualisiert und überwacht.

Checkliste: Patchmanagement einführen

Die folgenden Schritte helfen beim Aufbau eines geregelten Prozesses. Der BSI-Baustein OPS.1.1.3 bietet eine ausführliche Grundlage.[2]

• Inventar erstellen: alle Geräte, Betriebssysteme und Anwendungen
• Verantwortung festlegen: wer bewertet, testet und gibt frei
• Zeitfenster definieren: reguläre Updates und Notfall-Updates
• Pilotgruppe bilden: wenige Geräte für den Test vor der Verteilung
• Drittanwendungen einbeziehen: Browser, Laufzeitumgebungen, Fachsoftware
• Netzwerkgeräte planen: Firmware von Firewall, Switches und NAS
• Monitoring einrichten: fehlgeschlagene Updates und Ausfälle melden
• Ausnahmen dokumentieren: Systeme, die nicht aktualisiert werden können
• Berichte erstellen: Stand monatlich an die Geschäftsleitung

Kritische Updates schneller einspielen

Für besonders kritische Lücken brauchen Sie einen beschleunigten Ablauf. Der BSI-Baustein sieht vor, dass wichtige Änderungen beschleunigt umgesetzt werden können.[2] Legen Sie vorher fest, wer ein Notfall-Update freigeben darf.

Was passiert ohne Patchmanagement?

Ohne geregelten Prozess bleiben Lücken unbemerkt offen. Das Risiko steigt mit jedem Monat.

Folgen fehlender Updates:

• Angriffe: bekannte Schwachstellen werden ausgenutzt, etwa für Ransomware[4]
• Ausfälle: unbemerkte Probleme führen zu Stillstand
• Nachweislücken: fehlende Dokumentation bei Prüfungen, Versicherung oder NIS2
• Altsysteme: Geräte ohne Herstellerunterstützung bleiben im Netz

Wie Sie sich auf einen Angriff vorbereiten, lesen Sie im Beitrag Ransomware-Angriff: Backup und Notfallplan. Ob Sie den Betrieb auslagern sollten, beschreibt Managed Services statt eigener IT-Abteilung.

Patchmanagement mit Blured

Patchmanagement ist Routinearbeit, die nicht liegen bleiben darf. Als Managed Service Provider (MSP) aus Düsseldorf übernehmen wir Updates und Monitoring für Unternehmen mit 25 bis 250 Mitarbeitenden. Dafür nutzen wir unsere RMM-Plattform.

Ihre Vorteile:

• vollständiges Inventar: alle Geräte und Anwendungen erfasst
• geplante Updates: feste Zeitfenster und Pilotgruppen
• Überwachung: Warnungen zu Ausfällen, Backups und Sicherheit
• Berichte: monatlicher Patch-Stand für Ihre Geschäftsleitung

Jetzt Erstgespräch vereinbaren · Telefon: +49 211 822 00 80

FAQ

Über den AutorMehmet YükselGründer & Geschäftsführer

Mehmet Yüksel ist Gründer und Geschäftsführer der BDT Group GmbH (Blured Digital Technologies), eines 2018 gegründeten Managed Service Providers in Düsseldorf. Seine Schwerpunkte sind IT-Infrastruktur, Cyber Security und Managed Services.