So priorisieren Sie Drittanbieter-Patches anhand von Anbieter-Risikoscores

Ein professionelles Patch-Management für Dritte priorisiert App-Updates nach dem Risikoscore des Anbieters., Dieser Score schätzt ein, wie stark ein Anbieter die Sicherheit, die Compliance und den Betrieb Ihrer Kund:innen beeinflussen könnte. Werden Updates für risikoreiche Anwendungen bevorzugt behandelt, sinkt die Angriffsfläche Ihres Unternehmens und Sie können Ihre Ressourcen dort einsetzen, wo sie am meisten bewirken.

Dieser Artikel zeigt konkrete Schritte für Patch-Management und Risikobewertung, die internationale Standards für Cyber-Versicherungen erfüllen, etwa NIST CSF 2.0 und ISO/IEC 27001:2022.

Sie bevorzugen eine visuelle Anleitung? Dann sehen Sie sich unser Video-Tutorial „So priorisieren Sie Drittanbieter-Patches anhand von Anbieter-Risikoscores“ an.

Was bedeutet Patch-Priorisierung nach Anbieterrisiko?

Bei der Patch-Priorisierung nach Anbieterrisiko werden Updates für Drittanbieter-Software nach dem Sicherheits- und Betriebsrisiko sortiert, das die Produkte des jeweiligen Anbieters mit sich bringen (anhand des CVSS-Schweregrads, der EPSS-Daten zur Ausnutzbarkeit und des CISA-KEV-Status). Die Patch-Fenster werden anschließend entsprechend geplant, statt jedes Update als gleich dringend zu behandeln.

Ihre Richtlinie für Schwachstellen- und Patch-Management im Griff

Mit diesen Schritten bewerten Sie Drittanbieter-Dienste anhand des Anbieter-Risikoscores und ordnen sie nach Dringlichkeit.

📌 Voraussetzungen:

• Windows 11 (beliebige Edition) oder Windows 10, aber nur bei Registrierung für Extended Security Updates (der Support für nicht registrierte Windows-10-Geräte endete am 14. Oktober 2025; die ESU-Abdeckung für Privatkund:innen läuft nun bis zum 12. Oktober 2027)
• Administratorrechte
• Asset-Inventar mit den installierten Drittanbieter-Anwendungen
• Zugriff auf Schwachstellen-Feeds oder Datenbanken mit Anbieter-Scores (z. B. CVSS, CISA KEV, VulnDB)
• RMM-Tool oder Plattform für Patch-Management (z. B. NinjaOne)
• Festgelegte Risikostufen (z. B. kritisch, hoch, mittel, niedrig)

📌 Empfohlene Bereitstellungsstrategien:

Schritt 1: Ein Stufenmodell für Anbieterrisiken festlegen

Beginnen Sie mit einer Liste von Kriterien, die auf Ihr Unternehmen zugeschnitten sind. So passen Sie Schwachstellen- und Patch-Management an Ihren Bedarf an.

📌 Anwendungsfälle: Software-Bedrohungen erfassen und priorisieren.

Nutzen Sie dieses Grundgerüst, um die Reaktionsfähigkeit der Anbieter sichtbar zu machen. Für noch mehr Klarheit erweitern Sie Ihr Modell um Allgemeine Schwachstellen und Sicherheitslücken (CVE) und CISA-Alarmierungen.

Schritt 2: Installierte Software per PowerShell inventarisieren

Erstellen Sie mit spezialisierten Skripten oder einfachen Befehlen eine Liste der installierten Apps und ordnen Sie diese anschließend Ihrem Stufenmodell zu.

📌 Anwendungsfälle: Alle installierte Software programmatisch auflisten, mit zusätzlichen Spalten für App-Name, Version, Herausgeber und Installationsdatum.

1. Drücken Sie Win + R, geben Sie PowerShell ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Führen Sie diesen Befehl aus:

Get-ItemProperty HKLM:\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\* |

Select-Object DisplayName, DisplayVersion, Publisher, InstallDate

⚠️ Hinweis: Dieser Befehl fragt nur die 32-Bit-Registry-Struktur ab. Führen Sie auf 64-Bit-Systemen denselben Befehl gegen HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* aus, um 64-Bit-Anwendungen zu erfassen, und gegen HKCU:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*, um benutzerbezogene Installationen zu erfassen. Lassen Sie einen der Pfade weg, erhalten Sie ein unvollständiges Inventar.

Schritt 3: Installierte Apps mit Schwachstellen- und Risikoscore-Quellen abgleichen

Ergänzen Sie Ihr Software-Inventar um aktuelle Schwachstellen-Informationen, um datenbasiert vergleichen zu können.

📌 Anwendungsfälle: Risikoreiche Software der passenden Risikostufe des Anbieters zuordnen.

CVSS-Werte der NVD

Die 1999 gegründete National Vulnerability Database (NVD) ist eines der umfassendsten Verzeichnisse bekannter digitaler Schwachstellen. Die Datenbank enthält die offizielle CVSS-Score-Matrix (aktuell CVSS v4.0, veröffentlicht zusammen mit den älteren v3.1-Werten für frühere CVEs), die Schweregradstufen und die betroffene Software.

Exploit Prediction Scoring System (EPSS)

Das EPSS schätzt anhand realer Bedrohungsdaten, wie wahrscheinlich es ist, dass eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird. Die Kombination aus EPSS und CVSS liefert ein genaueres Signal für die Priorisierung als der Schweregrad allein: Eine Schwachstelle mit hohem CVSS-Wert, die in der Praxis kaum ausgenutzt wird, muss nicht zwingend noch am selben Tag behandelt werden.

CISA-KEV-Katalog

Der Katalog bekannter ausgenutzter Schwachstellen (KEV) führt CVEs auf, für die eine aktive Ausnutzung in freier Wildbahn nachgewiesen ist. Bundesbehörden müssen in der KEV gelistete Schwachstellen gemäß Binding Operational Directive 22-01 innerhalb der von der CISA vorgegebenen Fristen beheben, und viele Teams in der Privatwirtschaft übernehmen dieselben Fristen als faktischen SLA-Maßstab für das Patching von Stufe 1.

Beachten Sie allerdings, dass sich das Rahmenwerk für die Behebung auf Bundesebene seit Juni 2026 geändert hat: Die BOD 26-04 der CISA hat die früheren BOD 22-01 und BOD 19-02 abgelöst. Starre, rein KEV-basierte Fristen weichen damit einem Risikomodell mit vier Faktoren (Exponierung des Assets, KEV-Status, Automatisierung des Exploits und Auswirkungen nach erfolgreicher Ausnutzung), das die Fristen bei den risikoreichsten Kombinationen auf bis zu drei Tage verkürzen kann. Teams in der Privatwirtschaft, die ihre eigenen SLAs an den Fristen des Bundes ausrichten, sollten dieses gestufte Vorgehen abbilden statt einer einzigen festen Frist.

Microsoft Security Update Guide

Das Update-Center von Microsoft liefert produktspezifische Berichte zu Exploits, listet deren Auswirkungen auf und informiert Sie über bevorstehende Patches. Für freihändige Workflows stehen zudem API-Zugriff und PowerShell-Module zur Verfügung.

Drittanbieter-Scanner für das Patch-Management für Dritte

Diese Plattformen zur Überwachung von Schwachstellen sind eine sinnvolle Ergänzung für den Werkzeugkasten Ihrer Abteilung:

• Qualys
• Tenable
• VulnDB

⚠️ Wichtig: Laden Sie Anwendungen ausschließlich aus vertrauenswürdigen, legitimen Quellen herunter.

💡 Hinweis: Diese Apps lassen sich in der Regel mit SIEMs und RMMs (z. B. NinjaOne) integrieren, was zusätzliche Transparenz schafft.

Schritt 4: Geräte über die Registry oder das RMM nach Patch-Priorität kennzeichnen

Stellen Sie zentral Skripte bereit, die über die Registry Kennzeichnungen für Ihre Endpunkte setzen.

📌 Anwendungsfälle: Patch-Prioritätsstufen manuell auf alle Endpunkte anwenden.

📌 Voraussetzungen: NinjaOne; die Endpunkte sind online und frei erreichbar.

1. Drücken Sie Win + R, geben Sie PowerShell ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Führen Sie diesen Befehl aus:

New-Item -Path "HKLM:\SOFTWARE\Org\PatchPriority" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\PatchPriority" -Name "PatchTier" -Value "<VendorRiskTierLabel>"

Ersetzen Sie <VendorRiskTierLabel> durch die Risikostufe des jeweiligen Endpunkts (z. B. Tier1)

3. Schließen Sie den Registrierungs-Editor.
4. Drücken Sie Win + R, geben Sie cmd ein und drücken Sie Strg + Umschalt + Eingabetaste.
5. Prüfen Sie mit folgendem Befehl, ob die Kennzeichnung korrekt gesetzt wurde:

reg query HKLM\SOFTWARE\Org\PatchPriority

6. Suchen Sie mit NinjaOne nach den Registry-Werten PatchPriority und gruppieren Sie Endpunkte bequem für ein effizientes Patch-Management für Dritte.

Schritt 5: Patch-Fenster nach Prioritätsstufe planen

Planen Sie Updates so, dass kritische Schwachstellen schnellstmöglich geschlossen werden und Unterbrechungen minimal bleiben. Der folgende präventive Leitfaden für Patch-Fenster orientiert sich an den Release-Zyklen von Microsoft.

Schritt 6: Patching risikoarmer Software per GPO blockieren oder verzögern

Vermeiden Sie Bandbreitenprobleme, indem Sie Updates für risikoarme Apps verschieben.

📌 Anwendungsfälle: Ressourcen auf Systemupdates mit hoher Priorität konzentrieren.

📌 Voraussetzungen: Windows 10/11 Enterprise oder Education mit AppLocker und dem Dienst „Anwendungsidentität“.

1. Drücken Sie Win + R, geben Sie gpedit.msc ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Navigieren Sie zu:

Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows Update

3. Steuern Sie über die folgenden Richtlinien, wann Updates installiert werden:

• • Automatische Updates konfigurieren
  • Fristen für automatische Updates und Neustarts angeben
  • Zugriff auf alle Windows Update-Funktionen entfernen

4. Navigieren Sie zu:

Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Richtlinien für Anwendungssteuerung > AppLocker

5. Erstellen Sie Regeln, um ungepatchte Apps zu blockieren, die Installation von .msi-Dateien mit niedriger Priorität zu unterbinden und nur bestimmte App-Versionen zuzulassen.

⚠️ Darauf sollten Sie achten

Wichtige Überlegungen

Diese Hinweise helfen Ihnen, das Patch-Management für Dritte zu verschlanken und typische Fehler zu vermeiden.

BYOD- und Remote-Geräte

Updates für Fremdsoftware sind besonders wichtig bei Bring-your-own-Device-Endpunkten (BYOD), die außerhalb der Firewall Ihres Unternehmens betrieben werden. Behalten Sie diese Geräte genau im Blick, denn jede ungepatchte Schwachstelle vergrößert Ihre Angriffsfläche.

Patch-Verifizierung

Stellen Sie sicher, dass Ihre Patches sicher und wirksam sind. Bei Remote- oder Offline-Systemen werden diese Schritte häufig übergangen. Dabei sind das Testen von Hotfixes an einer kleinen Stichprobe, vorbereitete Rollback-Strategien und die Überwachung nach dem Patchen entscheidend für ein wirksames Patch-Management für Dritte.

Anbieter-Überwachung

Verfolgen Sie alle Sicherheitshinweise zu Schwachstellen, damit Sie Patch-Zeitpläne und Stufeneinordnungen bei Bedarf anpassen können. Ein verpasstes Update kann zu Lücken bei Sicherheit und Compliance führen, halten Sie Ihre Informationskanäle daher offen.

Abstimmung mit der QBR beim Patch-Management für Dritte

Richten Sie Berichte zu Fremdsoftware an den Quartalszielen des Unternehmens aus, um Stakeholder oder Abteilungsleitungen abzuholen. Heben Sie dafür Kennzahlen hervor wie:

• Quoten zur Risikoreduzierung
• Einhaltung der SLAs
• Incident-Trends vor und nach der Patch-Bereitstellung
• Mittlere Erkennungszeit (MTTD)

Fehlerbehebung beim Patch-Management für Dritte

Mit diesen zentralen Schritten lösen Sie typische Probleme rund um Schwachstellen- und Patch-Management.

Patches werden nicht angewendet

Wenn Ihre Rollouts nicht greifen, können folgende Ursachen dahinterstecken:

• Versionskonflikte: Prüfen Sie die Kompatibilität mit dem Betriebssystem und vereinheitlichen Sie die Geräteversionen mit RMM-Tools (z. B. NinjaOne).
• Netzwerkprobleme: Beheben Sie Verbindungsprobleme und stellen Sie sicher, dass Ihre Firewall keine Patch-URLs blockiert.
• Konflikte mit anderer Software: Deaktivieren Sie störende Anwendungen wie Antivirensoftware, prüfen Sie die Ereignisprotokolle oder deinstallieren Sie Blocker vorübergehend.

Falsche Stufenkennzeichnung

Werden mehrere Geräte falsch eingeordnet, leidet die Patch-Reihenfolge und geschäftskritische Infrastruktur gerät in Gefahr. Sind Ihre Endpunkte falsch gekennzeichnet, müssen Sie die Registry-Kennzeichnungen manuell korrigieren oder den Vorgang mit einer Lösung für Endpunkt-Management vereinfachen.

Verzögerte Patch-Synchronisierung

Synchronisiert sich Ihre Geräteflotte nicht richtig, liegt das meist an Bandbreitengrenzen, getrennten Geräten oder deaktivierten Software-Clients. Automatisierte Synchronisierungszeitpläne mit cloudnativen Management-Plattformen beugen solchen Fällen in der Regel vor.

Risikoarme Software falsch eingestuft

Werden Apps mit niedriger Priorität mit risikoreichen verwechselt (oder umgekehrt), binden sie Systemressourcen an der falschen Stelle und das Risiko steigt. Achten Sie beim Einstufen Ihrer Software nach Anbieter-Risikoscores in erster Linie auf CVSS-Werte und Exploit-Daten.

So verbessert KI das Patchen von Drittanbieter-Software

Im Zeitalter der künstlichen Intelligenz hat das Patch-Management große Fortschritte gemacht, wodurch Patch-Prozesse für Fremdsoftware effizienter und wirksamer werden. Eine der nützlichsten Funktionen von KI im Patch-Management ist die bessere Priorisierung von Patches. KI ergänzt die klassische Risikobewertung von Anbietern um Echtzeitanalysen und zusätzliche Erkenntnisse für das Schwachstellenmanagement.

Mit KI-gestütztem Patch-Management können IT-Teams:

• Entscheidungen im Patch-Management durch Echtzeitanalysen verbessern
• Patches anhand des realen Kontexts präziser priorisieren
• Wiederkehrende Patch-Analysen durch automatisierte Zusammenfassung und Bewertung von Updates reduzieren
• Mögliche Probleme mit Patches schon vor dem Rollout erkennen
• Patch-Entscheidungen verlässlich dokumentieren
• Sich zuerst auf stabile Patches konzentrieren und riskante zurückstellen

So vereinfacht NinjaOne das Patch-Management für Dritte

🥷🏽 NinjaOne erleichtert die Risikobewertung im Patch-Management auf folgende Weise:

Autonomes Patch-Management ist nur eine von vielen zentralen Funktionen der einheitlichen Plattform für IT-Betrieb von NinjaOne, die außerdem Endpunkt-Management, Backup, Fernzugriff und Service-Desk umfasst.

Risikoreiche Apps zuerst: effizientes Patch-Management für Dritte

Wer Drittanbieter-Apps nach dem Risikoscore des Anbieters priorisiert, ermöglicht IT-Teams und MSPs, die Ressourcen der Kund:innen dort einzusetzen, wo sie am dringendsten gebraucht werden. So bleiben Patch-Zeitpläne optimiert und Ihre IT-Umgebung so sicher wie möglich.

Verwandte Themen:

• NinjaOne Patch-Management für Dritte: Mehr Endpunkt-Sicherheit
• Betriebssystem-Patching für einen schlanken IT-Betrieb
• Gängige Business-Anwendungen mit NinjaOne installieren und patchen