Patchsteuerung mitnachweisbarer Wirkung.
Patchsteuerung beginnt nicht mit der Installation. Sie verbindet einen qualifizierten Sicherheitsbefund mit einem verantworteten Entscheid, einer kontrollierten Änderung und dem technischen Nachweis, dass die Schwachstelle tatsächlich geschlossen wurde.
Ein Befund wird
kontrolliert geschlossen.
Herstellerhinweise, CVE und Scannerfunde entstehen in grosser Zahl. Erst der Bezug zu Produkt, Version, Asset, Exposition und Geschäftskritikalität macht daraus eine belastbare Behandlung. Die Übergaben bleiben sichtbar, damit ein geschlossenes Ticket nicht mit einem geschlossenen Risiko verwechselt wird.
Erfassen
Herstellerhinweise, Schwachstellenquellen, Scanner und Threat Intelligence zusammenführen.
Eingang mit Quelle
Betroffenheit
Produkt, Version, Asset, Owner, Erreichbarkeit und vorhandene Schutzmassnahmen prüfen.
Qualifizierter Befund
Entscheiden
Priorität, Behandlungsweg, Frist und verantwortlichen Risk Owner festlegen.
Behandlungsentscheid
Vorbereiten
Abhängigkeiten, Test, Freigabe, Wartungsfenster und Rückfallweg kontrollieren.
Freigegebener Change
Verteilen
Update beschaffen, gestuft ausrollen, Fehler behandeln und Zielabdeckung messen.
Verifizierter Patchstand
Nachprüfen
Installation, geschlossene Schwachstelle und verbleibende Exposition technisch prüfen.
Wirksamkeitsnachweis
Rezertifizieren
Fehlschläge und Ausnahmen mit Kompensation, Ablaufdatum und erneuter Risikoentscheidung führen.
Rezertifiziertes Restrisiko
Überwachung ist
nicht Durchführung.
Die Organisation darf Rollen personell zusammenlegen. Der Entscheid, die technische Ausführung und die Prüfung müssen dennoch unterscheidbar bleiben. Genau an diesen Übergaben gehen in der Praxis Befunde, Fristen und Nachweise verloren.
Qualifiziert und verfolgt. Sie bewertet eigene Betroffenheit, Exposition und Dringlichkeit. Sie kontrolliert, ob der beschlossene Behandlungsweg termingerecht zu einem prüfbaren Ergebnis führt.
Verändert den technischen Zustand. Sie prüfen Abhängigkeiten, testen, planen den Rollout, installieren und behandeln technische Fehler. Ein Rollback beendet die Sicherheitsanforderung nicht.
Verantworten Entscheidung und Nachweis. Der Risk Owner akzeptiert Frist oder Ausnahme. Die Kontrollfunktion prüft, ob Befund, Umsetzung und Restlücke nachvollziehbar zusammenpassen.
Geschlossen heisst
technisch geprüft.
Der Nachweis entsteht nicht in einem einzigen Werkzeug. Er verbindet Quelle, Bewertung, Entscheidung, Change, Deployment und Nachprüfung. Jede Lücke lässt erkennen, welcher Prozess noch nicht abgeschlossen ist.
Qualifizierter Befund
Quelle, betroffene Version, eigene Assets, Exposition, Kritikalität und Zeitpunkt der Bewertung.
Behandlungsentscheid
Patch, Konfigurationsänderung, Kompensation, Isolation oder befristete Ausnahme mit Owner und Frist.
Freigegebene Änderung
Testumfang, Abhängigkeiten, Wartungsfenster, Genehmigung und technisch nutzbarer Rückfallweg.
Deploymentnachweis
Zielmenge, tatsächlich erreichte Systeme, Erfolg, Fehler, Ausnahmen und abweichende Versionen.
Technische Nachprüfung
Installationsstand und erneute Prüfung des Befunds. Wo möglich wird nicht nur der Paketstand, sondern auch die geschlossene Exposition bestätigt.
Offene Restlücke
Nicht erreichte Systeme, fehlende Patches und akzeptierte Ausnahmen bleiben mit Kompensation, Ablaufdatum und Termin der Rezertifizierung sichtbar.
Risiko bestimmt
die Uhr.
Eine universelle Patchfrist wäre fachlich falsch. Die Organisation definiert Reaktionsklassen anhand von Ausnutzung, Exposition, möglicher Auswirkung, Verfügbarkeit eines Patches und betrieblicher Veränderungsfähigkeit. Gesetzliche Meldefristen bleiben davon getrennt.
| Auslöser | Steuerungsbedarf | Fristquelle | Abschlussbedingung |
|---|---|---|---|
| Aktive Ausnutzung und eigene Exposition | Sofortige Betroffenheitsprüfung, Eindämmung und priorisierte Behandlung. | Interne Notfallklasse sowie anwendbare Melde- und Eskalationspflichten. | Exposition reduziert, Änderung nachgewiesen oder verantwortete Zwischenmassnahme aktiv. |
| Kritische Schwachstelle ohne bestätigte Exposition | Asset- und Versionsabgleich, Angriffspfad und Schutzmassnahmen bewerten. | Risikobasierte interne Behandlungsfrist. | Patch oder andere Behandlung umgesetzt und technisch geprüft. |
| Regulärer Sicherheitsupdate | In geplanten Wartungszyklus aufnehmen und Zielabdeckung kontrollieren. | Interner Patchzyklus, Herstellerunterstützung und Serviceanforderung. | Definierte Zielmenge erreicht, Abweichungen dokumentiert. |
| Patch nicht verfügbar oder nicht installierbar | Kompensation, Isolation, Nutzungseinschränkung oder Risikoakzeptanz entscheiden. | Befristete Ausnahme mit Ablaufdatum und festgelegter Rezertifizierung. | Patch nachgeführt oder Restrisiko erneut bewertet, akzeptiert oder abgelehnt. |
Kennzahlen mit
Entscheidungswert.
Die Zahl offener CVE misst vor allem Datenmenge. Jede Kennzahl braucht einen benannten Informationsbedarf, eine Datenquelle, einen Messzeitpunkt und eine verantwortliche Auswertung. Erst dann zeigt sie, ob Betroffenheit, Frist, Abdeckung und Nachprüfung zusammenpassen.
Zeit vom Eingang eines relevanten Signals bis zur geklärten eigenen Betroffenheit.
Kritische und erreichbare Befunde ausserhalb ihrer entschiedenen Behandlungsfrist.
Anteil der vorgesehenen Systeme mit technisch nachgewiesener Installation.
Installationen mit Fehler, Rücknahme oder unerwarteter Betriebswirkung.
Geschlossene Befunde, deren neuer technischer Zustand erneut geprüft wurde.
Überfällige Ausnahmen, fehlende Kompensationen und Risikoakzeptanzen ohne rechtzeitige Rezertifizierung.
Werkzeuge tragen
den Prozess.
Kein Produkt besitzt die Patchsteuerung allein. Scanner, Vulnerability Management, Change Workflow und technische Verteilung unterstützen verschiedene Übergaben. Die STOP.LI Vergleiche zeigen ihre jeweilige Reichweite.
Vulnerability ManagementBetroffenheit, Priorisierung, Behandlung und Status über Bestände hinweg.Vergleich öffnen →
Patch ManagementBeschaffung, Verteilung, Zielabdeckung und technischer Installationsstatus.Vergleich öffnen →
Change und Remediation WorkflowFreigabe, Orchestrierung, Ausnahme und nachvollziehbare Übergabe an den Betrieb.Vergleich öffnen →
Normbezug.
Klare Grenze.
Die Quellen beschreiben unterschiedliche Ebenen. ISO 27001 verankert Risiko, Betrieb und Wirksamkeit im Managementsystem. NIST strukturiert Enterprise Patch Management. CIS und BSI konkretisieren operative Praktiken. STOP.LI verbindet sie zu einer verantwortbaren Prozesskette.
Managementsystem
Klauseln 8.2, 8.3 und 9.1 sowie Annex A.8.8, A.8.19 und A.8.32 tragen Bewertung, Behandlung, Softwareinstallation, Änderungen und Wirksamkeitsprüfung.
Messung
Verbindet Informationsbedarf, Messmethode, Daten, Analyse und Auswertung, damit Leistung und Wirksamkeit des ISMS beurteilt werden können.
Risikologik
Ordnet Identifikation, Bewertung, Behandlung, Akzeptanz und laufende Überwachung von Informationssicherheitsrisiken in einen zusammenhängenden Prozess ein.
Patchplanung
Ordnet Enterprise Patch Management als vorbeugende Wartung ein und umfasst Identifizieren, Priorisieren, Beschaffen, Installieren und Verifizieren.
Cyberhygiene
Control 7 verbindet den dokumentierten Schwachstellenprozess mit risikobasierter Behebung und automatisiertem Betriebssystem- sowie Anwendungspatching.
Betrieb
Verbindet Patch- und Änderungsmanagement mit Zuständigkeiten, Informationsfluss, Dokumentation und kontrollierter Umsetzung.
Änderung wird
nachgewiesen.
Patchsteuerung verbindet qualifizierte Schwachstellen mit dem kontrollierten technischen Eingriff. Referenzen strukturieren Risiko und Betrieb, die Nachbarprozesse liefern Entscheidung und Wirksamkeitsnachweis.
| Referenz | Beitrag zum Prozess | Grenze |
|---|---|---|
| ISO/IEC 27001:2022 | A.8.8 verbindet technische Schwachstelleninformation mit Bewertung und Behandlung. | Ersetzt keine betriebliche Patchstrategie oder Freigabeentscheidung. |
| NIST SP 800-40 Rev. 4 | Beschreibt Patch Management als organisationsweiten, risikobasierten Prozess. | Schreibt keine pauschale Patchfrist vor. |
| CIS Controls v8.1 | Control 7 stützt kontinuierliches Vulnerability Management und automatisierte Behebung. | Automatisierung ersetzt keine Risiko- und Wirkungskontrolle. |
| Inhalt | Beitrag | Weiter |
|---|---|---|
| 10 Schwachstellen | Liefert qualifizierte Betroffenheit, Priorität und Behandlungsentscheid. | Prozess öffnen → |
| 17 Änderungen | Sichert Freigabe, Test und Rückfall des technischen Eingriffs. | Prozess öffnen → |
| 24 Wirksamkeit | Prüft, ob die Änderung im festgelegten Umfang wirksam ist. | Prozess öffnen → |
Security Tool Navigator · Werkzeuge zum Prozess
Werkzeuge nach Gebiet einordnen.
Die Werkzeugklassen dieses Prozesses sind im Security Tool Navigator nach Sicherheitsgebieten geordnet. Die Gebietsseiten zeigen Abgrenzung, Auswahlfragen für CIO und CISO und alle Werkzeugklassen im Zusammenhang.