Vorhaben besprechen

TOOLBOX · DOWNLOAD

Patch-Management mitFristen.

Sobald eine Sicherheitslücke öffentlich bekannt ist, steigt das Risiko in der Regel, weil Angreifer dann eher Exploits dafür entwickeln. Diese Checkliste macht Patch-Management zu einem festen Ablauf: Sie wissen, welche Systeme und Programme Sie betreiben, bewerten neue Updates nach dem tatsächlichen Risiko, halten Fristen ein und dokumentieren Ausnahmen. Grundlage sind der Baustein OPS.1.1.3 des BSI IT-Grundschutz-Kompendiums, NIST SP 800-40 Rev. 4 und die Fristen der US-Behörde CISA aus BOD 26-04. Für Einrichtungen unter dem NISG 2026 nennt die Checkliste die Anforderungen aus Anhang Nr. 6.6 und 6.10 der DVO (EU) 2024/2690.

PDF herunterladen (11 Seiten)Was drinsteht

Kostenloses PDF · Checkliste

Patch-Management: Checkliste mit Fristen, Rollen und Nachweis

Thema
Security-Grundlagen
Format
PDF, A4
Umfang
11 Seiten
Größe
136 KB
Stand
25.10.2026
Quellen
11
Nutzung
Weitergabe in unveränderter Form erlaubt
Als Webseite lesen

FÜR WEN

Für wen
das gedacht ist.

Inventar, Priorisierung nach ausgenutzten Lücken, Fristen je Risiko, Ausnahmen und Nachweis, nach BSI OPS.1.1.3, NIST SP 800-40 und NISV 2026.

  • IT-Leitung und Administration, die Updates für Server, Arbeitsplätze und Netzwerkgeräte verantworten
  • Informationssicherheitsbeauftragte, die Fristen, Ausnahmen und Nachweise festlegen
  • Geschäftsführung wesentlicher und wichtiger Einrichtungen nach dem NISG 2026
  • IT-Dienstleister, die Patch-Management für ihre Kunden übernehmen

9 ABSCHNITTE

Was drin
steht.

Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.

  • 01

    Patch-Management als fester Prozess

    Was Patch-Management umfasst und welche Vorgaben dafür gelten

  • 02

    Voraussetzung: Inventar und Wartungsgruppen

    Ohne aktuelles Inventar bleibt jede Priorisierung lückenhaft

  • 03

    Priorisieren nach tatsächlichem Risiko

    KEV, EPSS und CVSS richtig einsetzen und die Fristen der CISA kennen

  • 04

    Fristen festlegen: Empfehlung von TOMORIS

    Die Stufen der CISA übernehmen und mit dem monatlichen Update-Rhythmus verbinden

  • 05

    Der Ablauf je Update

    Von der Sicherheitsmeldung bis zur Kontrolle der Installation

  • 06

    Wenn kein Patch kommt

    Notfall-Abschwächung, nicht patchbare Systeme und Produkte ohne Herstellersupport

  • 07

    Rollen und Zuständigkeiten

    Wer entscheidet, wer umsetzt und wer kontrolliert

  • 08

    Nachweis und Kennzahlen

    Was Sie dokumentieren und wie Sie die Wirksamkeit messen

  • 09

    Häufige Fehler

    Was Patch-Management in der Praxis aushebelt

AUSZUG

Priorisieren nach tatsächlichem Risiko

OPS.1.1.3.A15 verlangt, Patches zeitnah nach Veröffentlichung zu bewerten und zu priorisieren; dabei soll geprüft werden, ob es zu dem Patch bekannte Schwachstellen gibt. Drei frei verfügbare Quellen helfen bei der Einstufung.

KEV-Katalog der CISA
Schwachstellen mit CVE-Nummer, für die es verlässliche Belege einer Ausnutzung und eine klare Abhilfe gibt, etwa ein Update des Herstellers. Die CISA empfiehlt allen Organisationen, den Katalog zu verfolgen, die Lücken vorrangig zu beheben und ihn als Eingangsgröße der eigenen Priorisierung zu nutzen.
EPSS (FIRST)
Schätzt täglich für jede veröffentlichte CVE die Wahrscheinlichkeit, dass sie in den nächsten 30 Tagen ausgenutzt wird, als Wert zwischen 0 und 1; frei als CSV-Datei und über eine Schnittstelle abrufbar.
CVSS (FIRST)
Beschreibt die technischen Merkmale einer Schwachstelle und ihre Schwere im Vergleich zu anderen. Laut Spezifikation eine Eingangsgröße für das Schwachstellenmanagement, das für die Rangfolge auch Faktoren außerhalb von CVSS berücksichtigt.

Die CISA hat ihre Vorgaben für US-Bundesbehörden am 10.06.2026 mit BOD 26-04 neu gefasst; sie ersetzt BOD 22-01 und BOD 19-02. Die Fristen der Tabelle gelten für die Behörden spätestens 180 Tage nach Erlass (Phase III). Die Frist hängt von vier Fragen ab: Ist das System öffentlich erreichbar? Steht die Lücke im KEV-Katalog? Kann ein Angreifer alle Schritte der Ausnutzung automatisieren? Erlangt er teilweise oder vollständige Kontrolle? Die Antworten zu den letzten drei Fragen veröffentlicht die CISA für jede CVE, etwa über ihr Programm Vulnrichment.

CISA BOD 26-04, Tabelle 1: Fristen für US-Bundesbehörden in Kalendertagen
InternetKEVAutomatisierbarKontrolleFrist
jajajavollständig3 Tage + Forensik
jajajateilweise3 Tage
jajaneinvollständig3 Tage + Forensik
jajaneinteilweise14 Tage
janeinjavollständig3 Tage
janeinjateilweise14 Tage
janeinneinvollständig14 Tage
janeinneinteilweise60 Tage
neinjajavollständig3 Tage + Forensik
neinjajateilweise14 Tage
neinjaneinvollständig14 Tage
neinjaneinteilweise14 Tage
neinneinjavollständig60 Tage
neinneinjateilweise60 Tage
neinneinneinvollständigbei Erneuerung
neinneinneinteilweisebei Erneuerung

„Forensik“ heißt: innerhalb der drei Tage beheben oder abschwächen und das System auf eine Kompromittierung untersuchen. „Bei Erneuerung“ heißt: bei der nächsten geplanten größeren Aktualisierung oder Neuinstallation. Die Frist beginnt, sobald die CISA die Lücke in den KEV-Katalog aufnimmt oder die Behörde sie auf einem System findet, je nachdem, was früher eintritt. Nimmt man ein System vom Internet, verlängert sich die Frist meist; kommt die Lücke in den KEV-Katalog, verkürzt sie sich.

Komplett als PDF

QUELLEN

Belegt,
nicht behauptet.

  1. NIST SP 800-40 Rev. 4: Guide to Enterprise Patch Management Planning (April 2022) (öffnet in neuem Tab)Abschnitte 2.1, 3.2 bis 3.6, gelesen am 25.10.2026
  2. BSI IT-Grundschutz-Kompendium, Baustein OPS.1.1.3 Patch- und Änderungsmanagement (Edition 2023) (öffnet in neuem Tab)Anforderungen A1 bis A3, A5, A7, A10, A11, A13 bis A15 und Rollen, gelesen am 25.10.2026
  3. CISA: Binding Operational Directive 26-04, Prioritizing Security Updates Based on Risk (10.06.2026) (öffnet in neuem Tab)Hintergrund, Ablösung von BOD 22-01 und 19-02, Anhang A mit Tabelle 1, gelesen am 25.10.2026
  4. CISA: Reducing the Significant Risk of Known Exploited Vulnerabilities (KEV-Katalog) (öffnet in neuem Tab)Drei Kriterien für die Aufnahme, Empfehlung für alle Organisationen, FAQ, gelesen am 25.10.2026
  5. CISA: Binding Operational Directive 26-02, Mitigating Risk From End-of-Support Edge Devices (05.02.2026) (öffnet in neuem Tab)Hintergrund, Begriffe, Required Actions, gelesen am 25.10.2026
  6. NISG 2026, BGBl. I Nr. 94/2025, geltende Fassung im RIS (öffnet in neuem Tab)§ 27, § 31 Abs. 1, § 32 Abs. 4 lit. e, § 33 Abs. 1, gelesen am 25.10.2026
  7. NISV 2026, BGBl. II Nr. 290/2026 (öffnet in neuem Tab)§ 2 Anwendbarkeit der DVO, § 4 kompensierende Maßnahmen, gelesen am 25.10.2026
  8. Durchführungsverordnung (EU) 2024/2690, deutsche Fassung auf EUR-Lex (öffnet in neuem Tab)Anhang Nr. 6.6, 6.10 und 7.1, gelesen am 25.10.2026
  9. FIRST: Exploit Prediction Scoring System (EPSS) (öffnet in neuem Tab)Beschreibung des Modells, gelesen am 25.10.2026
  10. FIRST: Common Vulnerability Scoring System v4.0, Specification Document (öffnet in neuem Tab)Abschnitt Introduction, gelesen am 25.10.2026
  11. Microsoft Learn: Update-Releasezyklus für Windows-Clients (öffnet in neuem Tab)Monatliches Sicherheitsupdate, außerplanmäßige Updates, gelesen am 25.10.2026

Diese Checkliste ist eine Empfehlung von TOMORIS und ersetzt keine Rechtsberatung. Die Fristen der CISA gelten verbindlich nur für US-Bundesbehörden und dienen hier als Orientierung. Für Einrichtungen unter dem NISG 2026 maßgeblich sind der Gesetzestext, die NISV 2026 und die DVO (EU) 2024/2690 in der geltenden Fassung; Angaben von Herstellern können sich ändern.

TOOLBOX

Passend
dazu.

SECURITY-GRUNDLAGEN

Mehr zum
Thema.

Weitere kostenlose PDFs aus dem Bereich Security-Grundlagen.

Alle Downloads zu Security-Grundlagen

IHR NÄCHSTER SCHRITT

Vom Papier
in die Praxis.

Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Umsetzung besprechenAlle Downloads