Patchday oder jeden Tag patchen?

Früher wurden Patches und Software-Updates lediglich als Standardroutinen der IT betrachtet, doch durch Cyberangriffe wie WannaCry sind sie zu unverzichtbaren Sicherheitsmaßnahmen geworden.

Vor einigen Monaten gab das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Sicherheitswarnung heraus, die sich auf den jüngsten Cybersicherheitsvorfall beim Anbieter der Fernwartungssoftware Anydesk bezog. Ohne ordnungsgemäße Aktualisierung der Software inklusive geeigneter Patches können Angreifer die vorhandenen Sicherheitslücken ausnutzen. Darauf geht auch Microsoft am sogenannten Patchday ein: An diesem Tag veröffentlicht das Unternehmen gesammelte Softwareaktualisierungen für seine Produkte. Dies geschieht in der Regel am zweiten Dienstag eines Monats, weshalb auch der Begriff „Patch Tuesday“ gebräuchlich ist.

Die zeitnahe Aktualisierung von Software und die Installation von Sicherheitspatches sind grundlegende Anforderungen, die innerhalb von 30 Tagen erfüllt sein sollten, wie die Cyber-Wiederherstellungs-Checkliste von Veritas Technologies zeigt. Verzögerungen können eine Einladung für Cyberkriminelle darstellen, insbesondere nach dem „Patch Tuesday“, wenn Bedrohungsakteure schnell handeln. Im April 2024 veröffentlichte auch Microsoft an dem betreffenden Tag 149 CVEs (Common Vulnerabilities and Exposures) – ein anschaulicher Beleg dafür, wie groß die Zahl der Patches ist, die in dem Monat benötigt wurden. Selbst eine Verzögerung bei der Implementierung von nur einem Monat könnte ein Unternehmen extrem anfällig machen.

Veritas teilt fünf Empfehlungen, wie Unternehmen Updates und Patches effektiv verwalten können:

1. Tools

Für die Entwicklung eines Plans für Patch-Releases und Sicherheitsupdates ist es entscheidend, dass alle im Unternehmen verwendeten Anwendungen und Software-Assets vollständig transparent sind. Nur durch ein umfassendes Verständnis der gesamten Umgebung kann ein effektiver Update- und Patch-Plan entwickelt werden.

2. Regelmäßig ausführen

Verzögerungen oder Aufschübe sind zu vermeiden, da Patches und Updates veröffentlicht werden, um die Sicherheit zu verbessern. Nachdem ein Plan für die Implementierung von Patches und Updates festgelegt wurde, sollte er konsequent umgesetzt werden.

3. Menschen

Eine einzige Person kann ausreichen, um eine Organisation versehentlich für Cyberkriminelle angreifbar zu machen. Wenn Unternehmen ihre Mitarbeiter darin schulen, Softwareaktualisierungen zu priorisieren, können sie nicht nur solche Vorfälle verhindern, sondern auch das Unternehmen insgesamt besser schützen. Eine weitere Verteidigungsmaßnahme besteht darin, sicherzustellen, dass die Mitarbeiter ordnungsgemäß im Management von Schwachstellen geschult sind. Das Team sollte darauf trainiert werden, bei der kleinsten Anomalie misstrauisch zu sein und Aktualisierungshinweise ernst zu nehmen.

4. Prozesse

Auch wenn alles gut geplant ist, kann immer etwas schiefgehen. Daher ist es entscheidend, einen Business-Continuity-Plan zum Schutz vor allen Arten von Bedrohungen und Vorfällen zu haben. Bei der Entwicklung dieser Prozesse sollten Zero-Trust-Prinzipien berücksichtigt werden.

5. Test

Es sollte nicht so weit kommen, dass Patches im gesamten Unternehmen fehlschlagen, bevor das Unternehmen seinen Prozess überprüft. Stattdessen sollte der Plan regelmäßig getestet und bei Bedarf verbessert werden.

Fazit

Der Fall Anydesk beweist, wie wichtig Software-Updates und Sicherheitspatches sind und was für eine entscheidende Komponente sie für eine starke Abwehr von Cyberbedrohungen sind. Veraltete Software hat mehrere Auswirkungen, unter anderem ermöglicht sie es Angreifern, uneingeschränkt Sicherheitslücken auszunutzen. Das Ignorieren von Software- und Sicherheitsupdates kann sich häufen, weil es im Moment zeitaufwendig erscheinen mag. Dennoch ist es unter keinen Umständen zeitaufwendiger als die Folgen eines Cyberangriffs.

(vp/Veritas Technologies)