Kaum ein Unternehmen sagt von sich, es patche nicht. Fast jedes sagt, es habe »die Updates aktiviert« — und das ist auch richtig, es steht auf »automatisch«. Der Unterschied zwischen dieser Aussage und einem aktuellen Stand ist die eigentliche Arbeit, und sie besteht nicht aus Klicken.
Was wir bei einer Übernahme vorfinden
Windows lädt, aber niemand startet neu
Die Updates sind heruntergeladen, teils installiert, und warten auf einen Neustart, der seit Wochen verschoben wird — weil immer etwas offen ist. Ein Patch, der auf einen Neustart wartet, ist ein nicht angewendeter Patch. Das ist die häufigste Einzelabweichung überhaupt, und sie kostet nichts außer einer Entscheidung, wann neu gestartet wird.
Die Software neben dem Betriebssystem
Browser, PDF-Programme, Archivierer, Laufzeitumgebungen, das Werkzeug, das ein Kollege 2019 für einen Datenimport gebraucht hat. Windows Update pflegt davon nichts. Diese Schicht ist über die Jahre die verlässlichste Fundstelle für Versionen mit bekannten, öffentlich dokumentierten Lücken.
Firmware, die niemandem gehört
Firewall, Switch, Access Points, NAS, der Drucker mit Weboberfläche. Geräte, die still funktionieren, fallen aus der Aufmerksamkeit — und wenn das Randgerät die Firewall ist, ist die veraltete Software genau die, die außen sichtbar ist.
Der eine Server, der nicht neu starten darf
Jeder Betrieb hat ihn. Eine Maschine, bei der sich niemand sicher ist, ob nach einem Neustart alles wieder läuft, also wird sie nicht angefasst. Das ist kein Patchproblem: Das ist ein Verfügbarkeitsproblem, das sich als Patchproblem tarnt.
Warum die Schicht daneben die eigentliche Fläche ist
Betriebssystem-Updates sind gut organisiert: fester Rhythmus, klarer Mechanismus, hoher Automatisierungsgrad. Die Anwendungen daneben haben nichts davon gemeinsam — jede hat ihren eigenen Aktualisierungsweg, ihren eigenen Rhythmus und ihre eigene Meinung dazu, ob ein Anwender ohne Administratorrechte sie aktualisieren darf.
Genau deshalb ist das die Schicht, die man nicht »aktiviert«, sondern verwaltet: mit einer Liste, die es gibt, und einem Werkzeug, das ausrollt. Ohne beides gibt es keinen Stand, sondern Vermutungen pro Gerät — und die Frage »welche Version läuft bei uns« hat dann keine Antwort, sondern eine Rundmail.
Ein Patchstand ist kein Zustand, den man erreicht. Er ist eine Geschwindigkeit, die man hält.
Wie eine Routine aussieht, die hält
Inventar
Welche Geräte gibt es, welche Software läuft darauf, in welcher Version. Ohne diesen Schritt patcht man das, woran man sich erinnert. Er ist unbeliebt, weil er Arbeit ist und nichts sichtbar verbessert, und er ist die Voraussetzung für alles Folgende.
Wartungsfenster
Ein vereinbarter Zeitraum, in dem neu gestartet werden darf, bekannt in der Belegschaft. Nicht »wir melden uns vorher«: ein Fenster, das im Kalender steht. Damit hört der Neustart auf, eine Verhandlung zu sein, und wird ein Termin.
Ringe statt alles gleichzeitig
Eine kleine Gruppe zuerst — technisch geübte Anwender, ein unkritischer Server. Bleibt es dort einige Tage ruhig, folgt der Rest. Das kostet Tage und fängt genau die Updates ab, die ein Fachprogramm stören.
Der Neustart gehört zum Patchen
Nicht danach, nicht bei Gelegenheit. Wer die Installation als Erfolg zählt und den Neustart offen lässt, führt eine Statistik über Absichten.
Ausnahmen mit Ablaufdatum
Es gibt sie immer: die Maschine an der Fertigungslinie, das Programm, das eine alte Laufzeitumgebung braucht. Jede Ausnahme wird eingetragen — mit Grund, mit ausgleichender Maßnahme (Netzsegment, eingeschränkter Zugriff) und mit einem Datum, an dem sie erneut angesehen wird.
Ein Bericht, der eine Zahl nennt
Wie viele Geräte sind auf Stand, welche nicht, seit wann, und was ist der Grund. Ein Bericht ohne diese Zahl ist eine Beruhigung; einer mit ihr ist eine Entscheidungsgrundlage.
Patchen als Projekt
- Wird angestoßen, wenn etwas passiert ist
- Große Aktion, viele Neustarts, ein unruhiger Montag
- Ergebnis ist ein Stichtag, der ab dem nächsten Tag altert
- Ausnahmen entstehen unter Zeitdruck und bleiben unnotiert
Patchen als Routine
- Läuft im vereinbarten Fenster, auch wenn nichts passiert ist
- Kleine Wellen, gestaffelt, im Betrieb kaum bemerkt
- Ergebnis ist eine Zahl, die jede Woche wieder gemessen wird
- Ausnahmen sind eingetragen, begründet und terminiert
Und der Server, der nicht neu starten darf
Der ehrliche Satz dazu ist unangenehm: Wenn ein Neustart ein Risiko ist, dann ist dieses System auch ohne Patch nicht verfügbar — es hat nur noch niemand nachgesehen. Ein ungeplanter Ausfall wird dieselbe Frage stellen, nur zu einem Zeitpunkt, den nicht Sie wählen.
Der Weg heraus ist deshalb kein Patchplan, sondern ein geprüfter Wiederanlauf: dokumentierte Abhängigkeiten, ein Neustart im Wartungsfenster mit jemandem daneben, und eine Wiederherstellung, die einmal tatsächlich durchgeführt wurde. Danach ist der Neustart eine Routinehandlung — das ist der Punkt, an dem sich Recover und diese Frage berühren.
Die Routine selbst — Inventar, Fenster, Ringe, Bericht — ist der Kern von Manage, und Monitoring rund um die Uhr ist das, was aus dem Bericht eine Reaktion macht: Es hat wenig Wert zu wissen, dass ein Gerät zurückfällt, wenn es niemandem auffällt. Wenn Sie wissen möchten, wie Ihr Stand heute aussieht, ist die erste Antwort eine Bestandsaufnahme — und die kostet nicht mehr als ein Gespräch.