Effiziente IT-Sicherheit per UEM Warum automatisiertes Patch-Management Pflicht und nicht Kür ist

Anbieter zum Thema

Aagon GmbH

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Wenn die Software auf dem Notebook der Vertriebsmitarbeiterin im Homeoffice veraltet ist, reiben sich Trojaner, Viren & Co. die Hände. Besonders perfide: Solche offenen Flanken bleiben der zentralen IT oft verborgen – Stichwort dezentrale Strukturen und Personalmangel. Die Lösung? Automatisiertes Patch-Management über Unified-Endpoint-Management-Lösungen (UEM).

Software-Updates sind umfassende Aktualisierungen, die verschiedene Verbesserungen und Änderungen enthalten. Ein Patch hingegen dient der gezielten Behebung eines bestimmten Problems oder einer Schwachstelle. Beides ist essenziell für die IT-Sicherheit eines Unternehmens. Die individuellen Anforderungen an die eigene Sicherheit, rechtliche Vorgaben, Unternehmensgröße und Ausgestaltung der Softwarelandschaft sind hierbei natürlich bestimmende Faktoren.

Gleichwohl sollten Patches und Updates regelmäßig eingespielt werden – mit definierter Priorisierung und Reporting. Jede Organisation sollte sich zudem vorab ein Vorgehen für das Notfall-Patching zurechtlegen und dies dann auch umfassend dokumentieren können. Tests vor dem Rollout eines Updates sind unerlässlich, ebenso wie ein zuverlässiges Backup für ein eventuelles Rollback.

Vorteile der Automatisierung

Nächste Stufe wäre dann die Automatisierung der Patch-Vorgänge. Sie hat zwei wesentliche Vorteile gegenüber dem manuellen Procedere: Zum einen werden menschliche Fehler minimiert und zum anderen nimmt der Automatismus auf Urlaub oder Krankheit keine Rücksicht, es treten also keine Verzögerungen ein.

Zunächst ist dabei zu definieren, welche Updates in welcher Geschwindigkeit und in welcher Reihenfolge eingespielt werden sollen. Kritische und sicherheitsrelevante Updates sollten stets Priorität vor reinen Feature-Updates haben. Hilfreich für eine durchgehende Erfolgskontrolle ist die Verknüpfung des Patch Managements mit einem Schwachstellenmanagement.

Eine erfolgreiche Automatisierung des Patch Managements kann sich an Konzepten wie SOAR (Security Orchestration and Response) orientieren, die bewährte Prozesse bereitstellen. Eine zentrale Voraussetzung für die Automatisierung sind vollständige Inventardaten, denn nur bekannte Geräte lassen sich schützen. Schatten-IT muss daher vermieden werden.

Neue Arbeitswelten, neue Herausforderungen

Früher lautete die vergleichsweise einfache Aufgabe: Patche 50 personalisierte Windows-Rechner in der Firma! Mittlerweile greift heute Kollege A, morgen Kollegin B auf ein Notebook zu und arbeitet damit an beliebigen Orten. Die veränderten Arbeitsbedingungen, insbesondere durch Homeoffice und dezentrale Arbeitsplätze, stellen demnach neue Herausforderungen für Admins dar. Patchen fand früher während der klassischen Bürozeiten statt, heute müssen individuelle Lösungen gefunden und die Mitarbeitenden in den Prozess einbezogen werden.

Zeitnahes und sicheres Patchen unter Einbeziehung der Mitarbeitenden heißt also das Ziel. Die IT sollte diese stets über die Bedeutung des jeweiligen Patches/Updates informieren. Je größer das Unternehmen, desto wichtiger die Einbeziehung. Denn mit der Größe steigt üblicherweise auch die Individualität von Anwesenheiten. Es muss also genauer und auf den Einzelfall heruntergebrochen definiert werden, wann der oder die Einzelne am Arbeitsplatz ist, so dass sich Updates und Patches unterbrechungsfrei installieren lassen.

UEM-Lösungen als zentrales Werkzeug

Moderne UEM-Lösungen bieten Kiosksysteme, in denen Nutzer ihre Software auch selbst zum gewünschten Zeitpunkt installieren können. Alternativ erhalten sie Hinweise auf anstehende Updates und können diese eigenständig einplanen. Dadurch gewinnen Prozessüberwachung und Reporting weiter an Bedeutung. UEM- und Secure-UEM-Systeme kombinieren dabei nicht nur automatisierte Updates, sondern auch Schwachstellen-, Verschlüsselungs- und Antivirenmanagement in einem zentralen System.

Effizienz durch automatisiertes Schwachstellenmanagement

Dass IT-Abteilungen über keine üppigen Personalressourcen verfügen, ist bekannt. Daher ist eine Kombination aus automatisiertem Patch- und Schwachstellenmanagement sinnvoll, um Patches gezielt priorisieren zu können. Dadurch werden hoch bewertete Schwachstellen, die ein tatsächliches Unternehmensrisiko darstellen, schon einmal als erstes geschlossen. Der Automatismus sollte immer aus einer gefundenen Schwachstelle heraus gestartet werden. So ist es ideal, dass eine Unified-Endpoint-Management-Lösung betroffene Geräte automatisch erkennt. Dies gilt auch für neu hinzukommende oder wiederauftauchende Geräte mit bekannten Schwachstellen.

Kosten-Narrativ aufbrechen: Angriff ist teurer als Prävention

Oft vernachlässigen es Unternehmen, ein stringentes Berichtswesen rund um das Patch Management aufzubauen, sowohl beim Asset Management im Vorfeld als auch bei der Erfolgskontrolle nach dem Rollout. Dashboards und automatische Reports bieten hier eine wertvolle Unterstützung. Dort kann der Admin eine selbst generierte Benachrichtigung einrichten, die das UEM-System nur dann ersetzt, wenn ein Gerät nach einer festgelegten Zeit noch nicht aktualisiert wurde. Große Unternehmen führen häufig eine doppelte Erfolgskontrolle mit Hilfe eines zweiten Schwachstellenmanagements durch, um sicherzustellen, dass alle Sicherheitslücken tatsächlich geschlossen sind.

Hürden für ein professionelles Patch Management sind immer wieder die angeblich hohen Kosten. IT-Verantwortliche sollten der Geschäftsführung daher verdeutlichen, dass potenzielle Schäden durch Cyberangriffe im Endeffekt viel teurer sind als das Aufsetzen eines ordentlichen Patch Managements. Nicht nur die Schäden eines Angriffs zu beheben, auch die folgende Handlungsunfähigkeit über Tage oder Wochen hinweg ist hier in die Rechnung aufzunehmen. Zudem spart eine automatisierte Lösung wertvolle Arbeitszeit und steigert die Effizienz der IT-Abteilung. Beispiele gehackter Unternehmen aus der gleichen Branche eignen sich in solchen Gesprächen immer hervorragend als Abschreckung.

Test- und Rolloutprozesse: Vertrauen ist gut, Testen ist besser

Einige Anbieter von Patch-Management-Lösungen stellen ihren Kunden mittlerweile getestete Patches zur Verfügung. Dennoch sollte sich ein IT-Verantwortlicher nie zu 100 Prozent darauf verlassen. Auch von Herstellern wie Microsoft veröffentlichte Patches können in bestimmten Konstellationen zu Problemen führen.

Daher sollte ein Unternehmen immer definierte Prozesse für das Testen neuer Patches etablieren. Diese können so aussehen, dass Updates zunächst in einer Testumgebung installiert werden. Treten dort keine Probleme auf, erfolgt der Rollout auf eine kleine Gruppe unkritischer Geräte, bevor das Update unternehmensweit ausgespielt wird. Moderne UEM-Lösungen wie etwa ACMP von Aagon bieten auch hierfür wiederum Automatismen. Die Administrationsabteilung muss den Prozess lediglich überwachen und nur bei Problemen eingreifen.

Fazit

Ein professionelles Patch Management ist ein essenzieller Bestandteil der IT-Sicherheit und trägt maßgeblich zur Stabilität und Sicherheit der Unternehmens-IT bei. Durch Automatisierung, Schwachstellenmanagement und klare Prozesse lassen sich Risiken minimieren und die Effizienz der IT-Abteilung steigern.

Über den Autor

Sebastian Weber ist Chief Evangelist bei der Aagon GmbH in Soest. Aagon entwickelt und vertreibt seit rund 30 Jahren Lösungen für unternehmensweite Betriebssystemstandards auf Clients und Servern sowie für das effektive Client Management.

Weber ist als Experte für Client- und Unified-Endpoint-Management-Systeme sowohl von Aagon-Kunden und -Partnern als auch von Medien häufig zu aktuellen unternehmensrelevanten IT-Themen gefragt.

(ID:50393702)