Patch Management
Strukturiertes Update-Verfahren
TL;DR
Patch Management nach § 30 Abs. 2 Nr. 5 BSIG ist die strukturierte Identifikation, Bewertung, Testung und Anwendung von Software-Updates. Standard: NIST SP 800-40, ISO 27002 (8.8).
Was ist Patch Management?
Patch-Management-Zyklus:
- Vulnerabilität erkennen (CVE-Feed, Vendor-Advisory)
- Kritikalität bewerten (CVSS-Score)
- Patch testen (Staging-Umgebung)
- Anwenden + Rollout-Plan
- Verifizieren + Dokumentieren
Best-Practice-Zyklen:
- Kritische Patches: 24-72h
- Hohe: 1 Woche
- Mittlere: 1 Monat
- Niedrige: 3 Monate
Praxisbeispiel
Microsoft Patch Tuesday: 12 Patches. CVSS >9: 2 Stück → sofort. CVSS 7-8.9: 4 Stück → 1 Woche. Restliche: 1 Monat.
Hinweis: Zyklus- und CVSS-Angaben sind Best-Practice-Empfehlungen (NIST SP 800-40, ISO/IEC 27002 Nr. 8.8) und keine gesetzlich fixierten Fristen.
Rechtsgrundlage in Deutschland und Österreich
Patch- und Schwachstellenmanagement ist Teil der Risikomanagementmaßnahmen nach NIS2. Es fällt unter die Maßnahme „Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Management und Offenlegung von Schwachstellen" (Art. 21 Abs. 2 Buchst. e der NIS-2-Richtlinie (EU) 2022/2555). Die nationale Umsetzung unterscheidet sich in Fundstelle und Aufsichtsbehörde:
Deutschland
Maßgeblich ist § 30 Abs. 2 Nr. 5 BSIG: „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen". Patch- und Schwachstellenmanagement fällt hierunter — nicht unter Nr. 7, der ausschließlich „grundlegende Schulungen und Sensibilisierungsmaßnahmen" erfasst. Zuständige Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Österreich
Das inhaltlich entsprechende Pendant ist § 32 Abs. 4 lit. e NISG 2026 (BGBl. I Nr. 94/2025): „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen". Zuständige Aufsichtsbehörde ist die Cybersicherheitsbehörde (nachgeordnete Behörde des Bundesministers für Inneres).