Ist Patch-Management dasselbe wie ein Virenscanner?

Nein, beide lösen unterschiedliche Probleme und ersetzen sich nicht gegenseitig. Ein Virenscanner erkennt Schadsoftware, die bereits auf einem System aktiv ist oder versucht, sich einzunisten. Patch-Management schließt dagegen die Sicherheitslücken, über die Schadsoftware überhaupt erst eindringen könnte, bevor es zum Vorfall kommt. Viele erfolgreiche Angriffe nutzen Schwachstellen aus, für die längst ein Update verfügbar war, es wurde nur nicht eingespielt. Ein aktueller Virenschutz ohne konsequentes Patch-Management ist deshalb eine Lücke mit Alarmanlage, die Tür bleibt trotzdem offen, und umgekehrt schützt ein perfekt gepatchtes System nicht vor Phishing oder gestohlenen Zugangsdaten. Beide Bausteine greifen ineinander und sollten deshalb nie einzeln betrachtet werden. Wie sie zusammen mit Mehrfaktor-Authentifizierung und Backup ein wirksames Schutzniveau ergeben, beschreibt unser Ratgeber zur IT-Sicherheit im Mittelstand im Detail.

Was kostet Patch-Management für einen Betrieb mit 10 bis 30 Arbeitsplätzen?

Als eigenständige Position wird Patch-Management selten abgerechnet, in der Praxis ist es fast immer Teil eines Managed-Services-Vertrags mit laufendem Monitoring, dort bewegen sich die Mehrkosten gegenüber einer reinen Störungsbehebung meist im niedrigen bis mittleren zweistelligen Bereich je Arbeitsplatz und Monat. Wer es separat mit eigener Software umsetzen will, zahlt zusätzlich zur internen Zeit für Test und Freigabe Lizenzkosten für ein Verwaltungswerkzeug, die je nach Gerätezahl variieren. Günstiger, aber riskanter ist der Verzicht auf zentrale Steuerung und stattdessen die Hoffnung, dass jeder Mitarbeiter selbst rechtzeitig aktualisiert, das ist in der Praxis unzuverlässig. Eine belastbare Zahl für den eigenen Betrieb nennen wir nach einer kurzen Bestandsaufnahme der vorhandenen Geräte und Software.

Lässt sich auch Software wie Browser oder PDF-Reader zentral patchen, nicht nur Windows?

Ja, allerdings nicht mit den einfachsten Bordmitteln. Der von Microsoft bereitgestellte WSUS-Dienst deckt zuverlässig Windows und andere Microsoft-Produkte ab, bei Drittanbieter-Software wie Browsern, PDF-Readern oder Java-Laufzeitumgebungen endet seine Reichweite. Genau diese Lücke wird in der Praxis häufig unterschätzt, dabei zählen veraltete Drittanbieter-Anwendungen zu den häufigsten Einfallstoren, weil sie seltener im Blick sind als das Betriebssystem selbst. Zentrale Verwaltungswerkzeuge oder ein Managed-Services-Vertrag mit entsprechendem Leistungsumfang schließen diese Lücke, indem sie den Update-Status der gesamten installierten Software erfassen und Aktualisierungen gesteuert ausrollen, nicht nur für Windows. Genau das ist bei uns im Rahmen der laufenden Betreuung Standard, nicht eine gesondert zu beauftragende Zusatzleistung.

Ratgeber · IT-Support & Managed Services

Patch-Management für KMU: Ablauf, Tools, Kosten

Q: Wie oft sollten Updates eingespielt werden?

Für die meisten Betriebssysteme reicht ein monatlicher Rhythmus, orientiert am sogenannten Patch Tuesday, an dem Microsoft und andere Hersteller planmäßig Sicherheitsupdates veröffentlichen. Kritische Lücken, die bereits aktiv ausgenutzt werden, sogenannte Zero-Day-Schwachstellen, sollten dagegen außerplanmäßig und zeitnah eingespielt werden, ohne auf den nächsten Monatstermin zu warten. Server verdienen ein vorsichtigeres Tempo als Arbeitsplatzrechner, weil ein fehlerhaftes Update dort mehr Schaden anrichtet, ein kurzer Testlauf vor dem produktiven Rollout ist sinnvoll. Drittanbieter-Software wie Browser oder PDF-Reader aktualisiert sich oft häufiger und in eigenem Takt. Wichtiger als ein starrer Kalender ist ein verlässlicher Prozess, der Updates weder ungeprüft sofort noch monatelang unbeachtet lässt.

Von Luis Waidmann · Stand: Juli 2026 · Lesezeit: ca. 7 Minuten

Kurz gesagt: Patch-Management heißt, Sicherheitsupdates für Betriebssystem und Software nicht dem Zufall oder einzelnen Mitarbeitern zu überlassen, sondern zentral zu steuern, zu testen und zeitnah auszurollen. Die weit überwiegende Zahl erfolgreich ausgenutzter Sicherheitslücken ist zum Zeitpunkt des Angriffs längst geschlossen, der passende Patch war nur noch nicht eingespielt. Für Betriebe ohne eigene IT-Abteilung ist ein zentral gesteuertes Patch-Management deshalb eine der wirksamsten Einzelmaßnahmen gegen Cyberangriffe, meist ist es bereits Teil eines Managed-Services-Vertrags.

Warum ungepatchte Systeme das größte Einfallstor sind

Neue Sicherheitslücken in Windows, Office oder verbreiteter Standardsoftware werden fast wöchentlich bekannt, die meisten davon schließen die Hersteller innerhalb weniger Tage mit einem Update. Das Problem in der Praxis liegt selten in fehlender Software, sondern in fehlender Steuerung: Ein Update-Fenster wird weggeklickt, ein Server-Neustart auf „irgendwann später" verschoben, ein älterer Laptop im Homeoffice bleibt monatelang unbeachtet. Angreifer setzen genau darauf, automatisierte Scans suchen gezielt nach Systemen mit bekannten, längst geschlossenen Lücken, weil sich das massenhaft und ohne großen Aufwand ausnutzen lässt.

Aus unserer Praxis als Systemhaus ist das der mit Abstand häufigste Befund bei der Übernahme einer gewachsenen Infrastruktur: Updates, die zwar grundsätzlich verfügbar waren, aber nie zentral nachverfolgt wurden. Kein einzelner Mitarbeiter ist daran schuld, es fehlt schlicht ein Prozess, der die Verantwortung nicht bei jedem Einzelnen belässt.

Was gehört zu einem funktionierenden Patch-Management?

Ein Patch nach dem nächsten aus einer langen Liste einzuspielen, ist noch kein Patch-Management. Ein belastbarer Prozess braucht vier Bausteine:

Inventarisierung: eine aktuelle Übersicht, welche Geräte mit welchem Betriebssystem und welcher Software im Einsatz sind. Ohne diese Übersicht bleibt jede Update-Strategie lückenhaft, weil unbekannte Geräte gar nicht erst berücksichtigt werden.
Priorisierung: nicht jede Lücke ist gleich kritisch. Updates, die eine aktiv ausgenutzte Schwachstelle schließen, haben Vorrang vor kosmetischen Fehlerbehebungen.
Testen vor dem Rollout: ein Update zuerst auf einer kleinen Testgruppe einspielen, bevor es auf die gesamte Belegschaft ausgerollt wird, verhindert, dass ein fehlerhaftes Update den ganzen Betrieb gleichzeitig lahmlegt.
Nachverfolgung und Dokumentation: welches Gerät hat welchen Stand, welches Update ist überfällig. Ohne diese Nachverfolgung bleibt unklar, ob ein Prozess tatsächlich funktioniert oder nur so aussieht.

Diese vier Punkte lassen sich manuell mit viel Disziplin umsetzen, in der Praxis tragen sie sich aber erst mit einem zentralen Werkzeug zuverlässig über Monate und Jahre.

Manuell, WSUS oder zentral verwaltet: Was passt zu welchem Betrieb?

Für die Umsetzung gibt es grob drei Wege, mit deutlich unterschiedlichem Aufwand und unterschiedlicher Zuverlässigkeit:

Ansatz	Aufwand	Deckt Drittanbieter-Software ab?	Geeignet für
Manuell, jeder Mitarbeiter selbst	Gering für die IT, hoch verteilt auf alle Mitarbeiter	Nein, unzuverlässig und ohne Nachverfolgung	Praktisch niemanden, hohes Restrisiko
WSUS im Eigenbetrieb	Mittel, braucht eigenes Server-Know-how und laufende Pflege	Nein, nur Microsoft-Produkte	Betriebe mit eigenem IT-Mitarbeiter und überwiegend Windows-Umgebung
Zentrale Verwaltung über Managed-Services-Vertrag	Gering für den Betrieb, Umsetzung liegt beim Dienstleister	Ja, inklusive Browser, PDF-Reader und weiterer verbreiteter Software	Betriebe ohne eigene IT-Abteilung, die Verlässlichkeit ohne eigenen Pflegeaufwand wollen

Die manuelle Variante ist streng genommen kein Patch-Management, sondern das Fehlen eines solchen, sie taucht hier nur auf, weil sie in der Praxis noch erstaunlich verbreitet ist. WSUS im Eigenbetrieb ist eine solide Lösung für Betriebe, die bereits einen IT-Mitarbeiter mit Zeit für die laufende Pflege haben, stößt aber bei Drittanbieter-Software an Grenzen. Für die meisten Betriebe unter 30 Arbeitsplätzen ohne eigene IT-Abteilung ist die zentrale Verwaltung im Rahmen eines Managed-Services-Vertrags der Weg mit dem besten Verhältnis aus Aufwand und Wirkung.

Wie oft sollten Updates eingespielt werden?

Ein starrer Jahresplan verfehlt den Zweck, ein tägliches Einspielen ungeprüfter Updates ebenso. In der Praxis hat sich ein gestufter Rhythmus bewährt: reguläre Sicherheitsupdates werden monatlich eingespielt, orientiert am Patch-Tuesday-Turnus großer Hersteller, nach einer kurzen Testphase auf einer kleinen Gerätegruppe. Kritische Lücken, die bereits aktiv ausgenutzt werden, weichen von diesem Rhythmus ab und werden außerplanmäßig innerhalb weniger Tage geschlossen, hier überwiegt das Risiko eines Angriffs das Risiko eines fehlerhaften Updates deutlich. Server bekommen meist ein engeres Zeitfenster außerhalb der Geschäftszeiten, damit ein nötiger Neustart niemanden mitten in der Arbeit trifft.

Typische Stolpersteine bei der Umsetzung

Ein paar Muster wiederholen sich bei Betrieben, die Patch-Management neu aufbauen oder von einem lückenhaften Zustand übernehmen:

Geräte im Homeoffice werden vergessen. Ein Laptop, der selten oder nie ins Firmennetz eingebunden wird, bleibt bei rein netzwerkbasierten Lösungen außen vor. Cloud-gestützte Verwaltung löst das, weil sie über das Internet erreicht, unabhängig vom Standort.
Server-Neustarts werden aus Angst vor Ausfall dauerhaft verschoben. Damit wächst das Sicherheitsrisiko schneller als das Ausfallrisiko eines geplanten, kurzen Wartungsfensters.
Drittanbieter-Software wird nicht mitgedacht. Ein aktuelles Windows bei veraltetem Browser oder PDF-Reader ist trügerische Sicherheit, gerade diese Programme sind häufige Angriffsziele.
Kein Rollback-Plan. Wenn ein Update tatsächlich Probleme verursacht, sollte klar sein, wie es sich zurücknehmen lässt, ohne dass der Arbeitstag für den betroffenen Mitarbeiter verloren geht.

Patch-Management als Teil der laufenden Betreuung in Ravensburg

Als Systemhaus mit Sitz in Ravensburg ist Patch-Management für uns kein separates Produkt, sondern fester Bestandteil unseres Managed-Services-Vertrags: Sicherheitsupdates für Windows, Server und verbreitete Drittanbieter-Software werden zentral erfasst, getestet und in einem festen Rhythmus ausgerollt, ohne dass ein einzelner Mitarbeiter dafür verantwortlich ist. Server-Neustarts planen wir in Wartungsfenstern außerhalb der Geschäftszeiten, damit der Betrieb davon nichts merkt. Was wir dabei offen sagen: Patch-Management allein macht ein System nicht sicher, es ist eine von mehreren notwendigen Maßnahmen. Welche weiteren Schutzebenen dazugehören und wie sie zusammenspielen, beschreibt unser Ratgeber zur IT-Sicherheit im Mittelstand im Detail.

Wer noch grundsätzlich zwischen einem eigenen IT-Mitarbeiter und einem externen Partner abwägt, findet die Entscheidungskriterien und den ehrlichen Kostenvergleich in unserem Ratgeber zu Managed Services für KMU, Patch-Management ist dort einer von mehreren Bausteinen, die üblicherweise mitabgedeckt werden.

Luis Waidmann

B.Sc. Wirtschaftsinformatik · Digitale Transformation · COS Waidmann Systemhaus, Ravensburg