Patch
Management.
Patch Management übersetzt eine erkannte Schwachstelle in eine kontrollierte Änderung. Entscheidend sind Abdeckung, Testbarkeit, Geschwindigkeit, Rollback und der Nachweis, dass der Zustand wirklich behoben ist.
Behebung ist ein Betriebsprozess.
Patch Management beginnt nicht erst beim Installieren eines Updates. Es braucht Inventar, Erkennung, Priorisierung, Testfenster, Verteilung, Ausnahmebehandlung und belastbare Rückmeldung aus dem Betrieb.
Der Unterschied zwischen guten und schwachen Plattformen zeigt sich bei Drittanbieter-Software, verteilten Endpunkten, Servern ohne Wartungsfenster und Systemen, die nicht sofort gepatcht werden dürfen.
Vulnerability Management sagt, was relevant ist. Patch Management setzt die Änderung um. Exposure Management prüft, ob dadurch ein erreichbarer Weg verschwindet. Diese Rollen dürfen sich überlappen, sollten aber nicht verwechselt werden.
Für regulierte Umgebungen zählt am Ende nicht nur die Patchquote. Zählen muss, ob kritische Lücken fristgerecht behandelt, Ausnahmen begründet und Restlücken kontrolliert wurden.
Abdeckung schlägt Aktionismus.
Die Matrix zeigt, welche Plattformen eher als eigenständiges Patch Management, UEM-Modul, Cloud-Endpoint-Lösung oder integrierter Teil einer Risk- und Exposure-Plattform einzuordnen sind.
| Hersteller | Produkt | Einordnung | Betrieb | OS- und Third-Party-Abdeckung | Patch Erkennung und Assessment | Automatisierung und Deployment (Testing/Staging) |
|---|---|---|---|---|---|---|
| ManageEngine (Zoho Corp.) | ManageEngine Patch Manager Plus | Spezialisiertes Patch Management / UEM | SaaS / On-Premises | Windows, macOS, Linux & 850+ Third-Party-Anwendungen | Automatische Erkennung fehlender Patches & System-Vulnerabilities | Vordefinierte Deployment-Ringen, automatischer Test- & Freigabe-Workflow |
| Ivanti, Inc. | Ivanti Neurons for Patch Management | Enterprise Patch Management / UEM | SaaS (Cloud Native) / Hybrid | Windows, macOS, Linux & umfangreiche Dritthersteller-Kataloge | KI-gestützte Risiko-Erkennung & Erkennung aktiver Exploits | Phasenweises Staging, automatisiertes Testing & Ring-Deployments |
| Automox Inc. | Automox Cloud-Native Patch Management | Cloud-Native Endpoint & Patch Management | SaaS (Cloud Native) | Windows, macOS, Linux & gängige Third-Party-Software | Agentenbasierte Echtzeit-Erkennung von OS- & App-Updates | Policy-gesteuerte Automatisierung & benutzerdefinierte Worklets (Scripts) |
| Action1 Corporation | Action1 Autonomous Endpoint Management | Cloud-Native Patch Management | SaaS (Cloud Native) | Windows, macOS, Linux & breites Third-Party-Anwendungsportfolio | Automatisiertes Scannen ohne VPN-Pflicht für Remote-Endgeräte | Vollautomatische Patch-Pipelines mit Testgruppen & Freigabe-Zyklen |
| Qualys, Inc. | Qualys Patch Management (Qualys PM) | Enterprise Cyber Risk & Exposure Platform | SaaS (Cloud Platform) | Windows, macOS, Linux & Dritthersteller-Applikationen | Direkte Nutzung der Qualys VMDR Schwachstellen-Erkennung | Orchestriertes Patch-Testing, Staging & automatisierte Zuweisung |
| Microsoft Corporation | Microsoft Intune (inkl. Windows Autopatch & Update for Business) | UEM & Cloud Workspace Management | Cloud-SaaS | Windows, macOS, iOS, Android (Third-Party via Winget / Win32 Apps) | Kontinuierliche Überprüfung des Patch-Status via Intune-Agent & OS Telemetrie | Einsatz von Quality/Feature Update Rings & automatischem Windows Autopatch |
| NinjaOne LLC | NinjaOne Patch Management | Cloud-Native RMM & Endpoint Management | SaaS (Cloud Native) | Windows, macOS, Linux & 130+ Third-Party-Anwendungen | Automatisches Scannen nach fehlenden Patches nach Zeitplan | Automatisiertes Testen, Genehmigen & Staging nach Patch-Kategorien |
| Tanium Inc. | Tanium Patch | Enterprise Endpoint Management & Security | SaaS / On-Premises | Windows, macOS, Linux & gängige Dritthersteller-Software | Sekunden-schnelle Abfrage des Patch-Status über lineare Ketten-Architektur | Dynamische Patch-Listen, Staging-Ringe & bandbreitenschonende Verteilung |
| Vicarius Ltd. | Vicarius vRx | Cloud Native Vulnerability & Patch Management | SaaS | Windows, macOS, Linux & Third-Party-Applikationen | Integrierte x360 Risk & Vulnerability Detection | Automatisierte Patch-Deployments, Staging & In-Memory Protection |
| baramundi software GmbH | baramundi Patch Management / Management Suite | DACH Unified Endpoint Management (UEM) | On-Premises / Hybrid | Windows, macOS & qualitätsgeprüfte Third-Party-Software (DACH) | Automatischer Abgleich des Systemstands mit der baramundi-Datenbank | Automatisierter Import qualitätsgeprüfter Software-Pakete & Staging-Prozesse |
| Matrix42 AG | Matrix42 Patch Management | DACH Enterprise Service & Endpoint Management | On-Premises / Cloud (Hybrid) | Windows, macOS & breites Paket-Portfolio für Dritthersteller | Regelmässige Überprüfung des Update-Status direkt am Client | Phasenweise Verteilung, Test-Deployments & Freigabe-Regeln |
| Heimdal Security | Heimdal Patch & Asset Management | Endpoint Protection & Patching Suite | SaaS | Windows, macOS, Linux & 120+ Third-Party-Anwendungen | Scannen nach fehlenden Updates in Echtzeit ohne Neustart-Unterbrechung | Automatisierte Deployment-Policies, Silent-Installations & Staging |
| SolarWinds Corporation | SolarWinds Patch Manager | Network & IT Operations Patch Management | On-Premises / Virtual | Windows Server, Workstations & Drittanbieter-Anwendungen | Erweitert Microsoft WSUS / SCCM um Dritthersteller-Patches | Erweiterte WSUS-Pipelines, geplante Deployments & Paket-Testing |
| PDQ.com Corporation | PDQ Deploy & Inventory / PDQ Connect | Endpoint Management & Deployment Specialists | On-Premises (PDQ Deploy) / SaaS (PDQ Connect) | Windows OS & umfangreiche Bibliothek gängiger Dritthersteller-Apps | Schnelles agentenloses/agentenbasiertes Inventar-Scanning | Skript- & Paket-basierte Deployment-Pipelines mit Zeitplänen |
Welche Lücke wird geschlossen.
ManageEngine (Zoho Corp.)
ManageEngine Patch Manager Plus
Frühere Namen / Kontext: Endpoint Central Patch Module
Windows, macOS, Linux & 850+ Third-Party-Anwendungen
Automatische Erkennung fehlender Patches & System-Vulnerabilities
Vordefinierte Deployment-Ringen, automatischer Test- & Freigabe-Workflow
Ankonfigurierbare Reboots, User-Notifikationen & Aufschub-Optionen
Directes Mapping auf CVEs & Risiko-Klassifizierung
Sehr breite Unterstützung von Dritthersteller-Software & flexible Deployment-Polizzen
Bei On-Premise-Setups höherer Wartungsaufwand für Datenbank/Server
Ivanti, Inc.
Ivanti Neurons for Patch Management
Frühere Namen / Kontext: Shavlik / HEAT Software / Lumension
Windows, macOS, Linux & umfangreiche Dritthersteller-Kataloge
KI-gestützte Risiko-Erkennung & Erkennung aktiver Exploits
Phasenweises Staging, automatisiertes Testing & Ring-Deployments
Flexible Neustart-Optionen zur Minimierung von Betriebsstörungen
Risikobasiertes Patching gekoppelt mit VPR & Ransomware-Intelligence
KI-gestützte Priorisierung basierend auf aktiver Bedrohungslage & Ransomware-Risiko
Komplexes Lizenz- und Modulgefüge in der Ivanti-Neuronalen-Plattform
Automox Inc.
Automox Cloud-Native Patch Management
Frühere Namen / Kontext: Automox Platform
Windows, macOS, Linux & gängige Third-Party-Software
Agentenbasierte Echtzeit-Erkennung von OS- & App-Updates
Policy-gesteuerte Automatisierung & benutzerdefinierte Worklets (Scripts)
Benutzerdefinierte Neustart-Benachrichtigungen & Aufschub-Fenster
Direkte Verbindung mit Vulnerability-Scannern (z. B. Rapid7)
Keine lokale Infrastruktur/VPN nötig; extrem schnelle Cloud-Inbetriebnahme
Drittanbieter-Katalog ohne eigene Skripte nicht so tief wie bei Spezial-ITAMs
Action1 Corporation
Action1 Autonomous Endpoint Management
Frühere Namen / Kontext: Action1 Patch Management
Windows, macOS, Linux & breites Third-Party-Anwendungsportfolio
Automatisiertes Scannen ohne VPN-Pflicht für Remote-Endgeräte
Vollautomatische Patch-Pipelines mit Testgruppen & Freigabe-Zyklen
Custom Reboot-Schedules & Aufschub-Optionen für Endanwender
Risikobasierte Filterung nach CVE-Kritizität & Vuln-Feeds
Sehr benutzerfreundliche Cloud-Konsole & attraktives Freemium-Modell für KMUs
Für sehr komplexe Legacy-On-Premises-Infrastrukturen weniger optimiert
Qualys, Inc.
Qualys Patch Management (Qualys PM)
Frühere Namen / Kontext: Qualys Guard
Windows, macOS, Linux & Dritthersteller-Applikationen
Direkte Nutzung der Qualys VMDR Schwachstellen-Erkennung
Orchestriertes Patch-Testing, Staging & automatisierte Zuweisung
Benutzerdefinierte Pop-up-Meldungen & flexible Reboot-Steuerung
Unmittelbare Verknüpfung von TruRisk Scoring mit Patch-Bereitstellung
Lückenloser Workflow von der Schwachstellenerkennung direkt zum Patching
Setzt den Qualys Agenten auf den Endpunkten zwingend voraus
Microsoft Corporation
Microsoft Intune (inkl. Windows Autopatch & Update for Business)
Frühere Namen / Kontext: Microsoft Endpoint Manager / SCCM / WSUS
Windows, macOS, iOS, Android (Third-Party via Winget / Win32 Apps)
Kontinuierliche Überprüfung des Patch-Status via Intune-Agent & OS Telemetrie
Einsatz von Quality/Feature Update Rings & automatischem Windows Autopatch
Feingranulares Reboot-Schutzzonen-Management (Active Hours, User Prompts)
Nahtlose Kopplung mit Microsoft Defender Vulnerability Management
Perfekte, nahtlose Integration in Windows 10/11 & Cloud-Native Management
Drittanbieter-Software-Patching erfordert zusätzliche Verpackung / Pakete
NinjaOne LLC
NinjaOne Patch Management
Frühere Namen / Kontext: NinjaRMM
Windows, macOS, Linux & 130+ Third-Party-Anwendungen
Automatisches Scannen nach fehlenden Patches nach Zeitplan
Automatisiertes Testen, Genehmigen & Staging nach Patch-Kategorien
Re-Boot-Steuerung mit Benutzerbenachrichtigungen & Erzwingung
Integration mit Schwachstellen-Datenbanken & Priorisierungs-Feeds
Hohe Benutzerfreundlichkeit, All-in-One RMM-Integration & starke Automatisierung
Tiefere Enterprise-Risiko-Analysen (CRQ/Attack Path) nicht integriert
Tanium Inc.
Tanium Patch
Frühere Namen / Kontext: Tanium Platform
Windows, macOS, Linux & gängige Dritthersteller-Software
Sekunden-schnelle Abfrage des Patch-Status über lineare Ketten-Architektur
Dynamische Patch-Listen, Staging-Ringe & bandbreitenschonende Verteilung
Anpassbares Endanwender-Reboot-Verhalten mit Zeitfenstern
Nahtlose Verknüpfung mit Tanium Comply (Schwachstellen-Assessment)
Extrem schnelle Ausführung & minimaler Bandbreitenbedarf im Grossnetz
Hoher Infrastruktur- und Administrationsaufwand für kleinere Teams
Vicarius Ltd.
Vicarius vRx
Frühere Namen / Kontext: TOPIA
Windows, macOS, Linux & Third-Party-Applikationen
Integrierte x360 Risk & Vulnerability Detection
Automatisierte Patch-Deployments, Staging & In-Memory Protection
Benutzerdefinierte Neustart-Meldungen & Wartungsfenster
Direct Risk-to-Patch Mapping mit Ausnutzbarkeits-Scoring
Alleinstellungsmerkmal durch virales Virtual Patching vor offizieller Patch-Verfügbarkeit
Bei sehr grossen, komplexen Legacy-Architekturen weniger etabliert
baramundi software GmbH
baramundi Patch Management / Management Suite
Frühere Namen / Kontext: baramundi bMS
Windows, macOS & qualitätsgeprüfte Third-Party-Software (DACH)
Automatischer Abgleich des Systemstands mit der baramundi-Datenbank
Automatisierter Import qualitätsgeprüfter Software-Pakete & Staging-Prozesse
Flexible Neustart-Optionen für Endanwender mit Zeitaufschub
Schnittstelle zum Schwachstellen-Scanning & Risikobewertung
Vorgeprüfte, fertig paketierte Patches für Dritthersteller (DACH-Support)
Starke Ausrichtung auf den DACH-Markt, weniger globale Cloud-SaaS-Automation
Matrix42 AG
Matrix42 Patch Management
Frühere Namen / Kontext: Empirum / FastTrack
Windows, macOS & breites Paket-Portfolio für Dritthersteller
Regelmässige Überprüfung des Update-Status direkt am Client
Phasenweise Verteilung, Test-Deployments & Freigabe-Regeln
Konfigurierbare Dialoge für Endanwender mit Aufschubsperren
Verknüpfung mit Asset-Kritizität & ITSM-Service-Katalogen
Nahtlose Kopplung von Patch Management mit ITSM und Asset Management
Einrichtung erfordert fundierte Kenntnisse der Matrix42 UEM-Architektur
Heimdal Security
Heimdal Patch & Asset Management
Frühere Namen / Kontext: Heimdal Thor
Windows, macOS, Linux & 120+ Third-Party-Anwendungen
Scannen nach fehlenden Updates in Echtzeit ohne Neustart-Unterbrechung
Automatisierte Deployment-Policies, Silent-Installations & Staging
Benutzerdefinierte Benachrichtigungen & Reboot-Aufschubsperren
Direkte Koppelung mit EDR/EPP Threat Intelligence & Vuln Feeds
Kombination aus klassischem Patching, Virtual Patching und EPP/EDR
Geringere Anzahl an Third-Party-Katalogen im Vergleich zu ManageEngine
SolarWinds Corporation
SolarWinds Patch Manager
Frühere Namen / Kontext: SolarWinds
Windows Server, Workstations & Drittanbieter-Anwendungen
Erweitert Microsoft WSUS / SCCM um Dritthersteller-Patches
Erweiterte WSUS-Pipelines, geplante Deployments & Paket-Testing
Konfigurierbare Neustart-Optionen & Wartungsfenster
Mapping auf CVE-Datenbanken & Microsoft Security Bulletins
Effiziente Aufwertung bestehender Microsoft WSUS/SCCM-Infrastrukturen
Fokussiert auf On-Premises Windows-Umgebungen; weniger Cloud-Native
PDQ.com Corporation
PDQ Deploy & Inventory / PDQ Connect
Frühere Namen / Kontext: PDQ
Windows OS & umfangreiche Bibliothek gängiger Dritthersteller-Apps
Schnelles agentenloses/agentenbasiertes Inventar-Scanning
Skript- & Paket-basierte Deployment-Pipelines mit Zeitplänen
Benachrichtigungssysteme & flexible Agenten-Neustart-Optionen
Zuordnung von fehlenden Patches zu bekannten Software-Versionen
Äusserst geschätzt bei Sysadmins für schnelle, unkomplizierte Paketausführung
Eingeschränkter Fokus auf Nicht-Windows-Systeme & Enterprise-Risikomodelle
Relevante Kandidaten.
Einige Werkzeuge sind naheliegend, aber noch nicht sauber genug als eigenständige Patch-Management-Klasse belegt. Sie bleiben für spätere Vertiefung vorgemerkt.
- Syxsense Enterprise / PatchCloud-native UEM- & Patch-Lösung mit integriertem Vuln-Scanning.
- Atera Patch ManagementIntegrierte Patch-Automatisierung innerhalb der Atera-RMM-Plattform für MSPs.
- Kaseya VSA Patch ManagementRMM-basiertes Patch Management für Managed Service Provider.
- GFI LanGuardNetzwerk-Schwachstellen-Scanner mit integrierter Patch-Verteilung.
Mit echten Patch-Konflikten testen.
- Windows, macOS, Linux und Drittanbieter-Software getrennt prüfen.
- Kritische CVEs mit Wartungsfenstern, Ausnahmen und Rollback testen.
- Remote-Endpunkte ohne VPN und Server mit Change-Fenster einbeziehen.
- Nachweis der erfolgreichen Installation und Reboot-Logik kontrollieren.
- Übergang von Risk Prioritization zu Behebung und Reporting prüfen.
Security Tool Navigator · Gebiet 02
Im Gebiet Asset, Vulnerability und Exposure einordnen.
Diese Werkzeugklasse gehört zum Gebiet Asset, Vulnerability und Exposure. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.