Patch Drift messen: Geräte melden, die kritische Updates über längere Zeit versäumt haben

Patch Drift bezeichnet die Abweichung eines Endpunkts von den Sicherheitsrichtlinien im Lauf der Zeit: Versäumte Patches, fehlgeschlagene Bereitstellungen und fehlende zentrale Kontrolle untergraben nach und nach Ihr Sicherheitsniveau. Sie können dieses Risiko jedoch verringern, indem Sie Abweichungen mit integrierten Funktionen und den besten verfügbaren RMM-Tools nachverfolgen.

Dieser Artikel erklärt, wie Sie ein Patch-Audit für unternehmensweite Lösungen und nachvollziehbare Berichte durchführen.

Den Schweregrad von Patch Drift ermitteln

Mit den folgenden Schritten erfassen, analysieren und überwachen Sie die Patch-Compliance über längere Zeiträume mit PowerShell.

📌 Voraussetzungen:

• Administratorrechte
• Windows 10/11 oder Server 2016+
• PowerShell 5.1 oder höher
• WSUS, Intune oder Microsoft Update konfiguriert
• Optional: Integration von NinjaOne RMM
• Optional: Liste des Basis-Patch-Stands (KB-Nummern, CVEs oder Veröffentlichungsdaten)
• GPO-basierte Patch-Richtlinie zur Durchsetzung

📌 Empfohlene Bereitstellungsstrategien:

Klicken Sie, um einen Schritt zu wählen	💻 Am besten für Einzelbenutzer:innen	💻💻💻 Am besten für Unternehmen
Schritt 1: Einen Patch-Basisstand definieren	✓	✓
Schritt 2: Installierte Updates mit PowerShell abfragen	✓	✓
Schritt 3: Die Eingabeaufforderung für eine schlanke manuelle Prüfung nutzen	✓
Schritt 4: Patch-Drift-Metadaten für die RMM-Sichtbarkeit in der Registry speichern		✓
Schritt 5: Entwicklung der Patch-Compliance über die Zeit verfolgen		✓

🎥 Sehen Sie sich die Video-Zusammenfassung zu „Patch Drift messen: Geräte melden, die kritische Updates über längere Zeit versäumt haben“ an.

Schritt 1: Einen Patch-Basisstand definieren (zu prüfende kritische Updates)

Erstellen Sie zunächst ein eigenes Skript, das die Patch-Compliance abbildet.

📌 Anwendungsfälle: Einen Compliance-Standard festlegen.

1. Drücken Sie Win + R, geben Sie powershell ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Erstellen oder importieren Sie eine Liste der kritischen Wissensdatenbank-Updates (KB), die auf einem System vorhanden sein müssen, damit es vollständig compliant ist.

Zum Beispiel: $baselineKBs = @("KB5030211", "KB5029263", "KB5034122")

Ein Basisstand lässt sich auf zwei Arten definieren: 1) als Liste der kritischen Patches, die installiert sein müssen (proaktiv), oder 2) als Konfiguration eines bekanntermaßen einwandfreien Endpunkts, eines „Golden Image“ (reaktiv).

3. Exportieren Sie eine .txt-Datei mit Ihren KBs zur Dokumentation.

Zum Beispiel: $baselineKBs | Out-File "C:\Scripts\CriticalPatchBaseline.txt"

Schritt 2: Installierte Updates mit PowerShell abfragen

Rufen Sie installierte Updates ab und vergleichen Sie sie mit Ihren Compliance-Kriterien.

📌 Anwendungsfälle: Erfolgreiche Updates auflisten und mit dem Basisstand vergleichen.

1. Drücken Sie Win + R, geben Sie powershell ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Um installierte Patches aufzulisten, führen Sie Folgendes aus:

$installed = Get-HotFix | Select-Object -ExpandProperty HotFixID

3. Um Patch Drift zu erkennen, führen Sie Folgendes aus:

$missing = $baselineKBs | Where-Object { $installed -notcontains $_ }

if ($missing.Count -gt 0) {

$patchDriftReport = [PSCustomObject]@{

ComputerName = $env:COMPUTERNAME

MissingKBs = $missing -join ", "

Timestamp = (Get-Date).ToString("u")

}

}

4. Um einen Patch-Drift-Bericht zu exportieren, führen Sie Folgendes aus:

$patchDriftReport | Export-Csv "C:\Reports\PatchDrift_$env:COMPUTERNAME.csv" -NoTypeInformation

Nachdem der Bericht $missing erzeugt wurde, müssen IT-Fachkräfte in einem weiteren Schritt jedem fehlenden KB einen Sicherheitswert zuordnen, bevor sie die Behebung priorisieren.

💡 Tipp: Fragen Sie Sessions.xml in C:\Windows\Servicing\Sessions ab, um alle Update-Typen einzubeziehen.

PowerShell-Abfragen können installierte Patches zwar auflisten, moderne RMM-Plattformen wie NinjaOne liefern jedoch tiefere Einblicke und bündeln alle Details zu Patch Drift auf einer einheitlichen Benutzeroberfläche.

Schritt 3: Die Eingabeaufforderung für eine schlanke manuelle Prüfung nutzen

📌 Anwendungsfälle: Endpunkte mit Altsystemen schnell prüfen, wenn der Zugriff auf PowerShell eingeschränkt ist.

1. Drücken Sie Win + R, geben Sie cmd ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Um installierte Updates in einer schlanken Shell aufzulisten, führen Sie Folgendes aus:

wmic qfe get HotFixID

💡 Hinweis: WMIC-Befehle werden schrittweise eingestellt, um sicherere PowerShell-Skripte zu unterstützen.

Schritt 4: Patch-Drift-Metadaten für die RMM-Sichtbarkeit in der Registry speichern

Nutzen Sie Plattformen für Endpunkt-Management wie NinjaOne, um mehr Erkenntnisse zur Einhaltung des Basisstands zu gewinnen.

⚠️ Warnung: Änderungen an der Registry können Systemprobleme verursachen. Erstellen Sie ein Backup, bevor Sie fortfahren.

📌 Anwendungsfälle: Registry-basierte Metadaten für die Integration mit Fernwartung und -Verwaltung (RMM) erstellen.

1. Drücken Sie Win + R, geben Sie powershell ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Um Patch-Metadaten in der Registry eines Endpunkts zu speichern, führen Sie Folgendes nacheinander aus:

New-Item -Path "HKLM:\SOFTWARE\Org\PatchDrift" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\PatchDrift" -Name "LastChecked" -Value (Get-Date).ToString("u")

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\PatchDrift" -Name "MissingKBs" -Value ($missing -join "; ")

3. Um die hinzugefügten Werte zu prüfen, führen Sie Folgendes in der Eingabeaufforderung aus:

reg query HKLM\SOFTWARE\Org\PatchDrift

Schritt 5: Entwicklung der Patch-Compliance über die Zeit verfolgen

So planen Sie Patch-Drift-Prüfungen, die ohne manuelles Eingreifen laufen.

📌 Anwendungsfälle: Erkennung von Abweichungen automatisieren und steuern, wo Berichte gespeichert werden.

1. Drücken Sie Win + R, geben Sie powershell ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Nutzen Sie NinjaOne oder führen Sie die Cmdlets der Aufgabenplanung manuell aus, um Patch-Drift-Prüfungen zu planen (z. B. täglich, wöchentlich):

schtasks /create /tn "PatchDriftAudit" /tr "powershell.exe -File C:\Scripts\PatchDriftAudit.ps1" /sc weekly /ru SYSTEM

3. Um Ihre Ergebnisse in einer gespeicherten .csv-Datei zu protokollieren, führen Sie Folgendes aus:

$patchDriftReport | Export-Csv "\\server\compliancelogs\DriftLog.csv" -Append -NoTypeInformation

Statt geplante Aufgaben von Hand zu skripten, können Sie die Funktionen von NinjaOne für Unified Endpoint Management (UEM) in Ihre Abläufe einbinden. So wird die Compliance kontinuierlich überwacht und Systemadministrator:innen werden in Echtzeit benachrichtigt.

⚠️ Darauf sollten Sie achten

Risiken	Mögliche Folgen	Gegenmaßnahmen
Veraltete KB-Liste	Patch Drift wird übersehen	Aktualisieren Sie die Basis-KBs regelmäßig anhand vertrauenswürdiger Quellen.
Beschädigte Registry auf dem Endpunkt	Falsche Daten in den RMM-Tools	Stellen Sie die Registry wieder her und exportieren Sie .reg-Sicherungsdateien, bevor Sie Änderungen vornehmen.
Geplante Aufgabe schlägt fehl	Lücken in der Patch-Compliance	Nutzen Sie Echtzeit-Alarmierungsfunktionen für fehlgeschlagene Ausführungen.

Wichtige Aspekte beim Messen von Patch Drift

Diese Faktoren sollten Sie im Blick behalten, wenn Sie Patch Drift über Ihren gesamten Gerätebestand hinweg verfolgen.

Ersetzte Updates

Wenn alte Patches durch neue abgelöst werden, gelten sie als ersetzt. Berücksichtigen Sie beim Aufbau Ihres Patch-Basisstands eine Logik für ersetzte Updates, um Unklarheiten bei der Compliance zu vermeiden.

Priorisierung nach CVSS

Das Absichern Ihres Systems ist zwar grundsätzlich wichtig, bestimmte Anwendungen haben jedoch Vorrang, wenn ihre Anbieter eine schlechte Bilanz vorweisen und Updates nur langsam veröffentlichen. Ein Wert im Common Vulnerability Scoring System, kurz CVSS, gibt den Schweregrad möglicher Vorfälle an und dient als Grundlage für die Priorisierung von Patches.

Patches mehrerer Anbieter

Die meisten Unternehmen setzen mehrere Drittanbieter-Anwendungen ein, um ihre Arbeitsabläufe zu unterstützen. Für die zentrale Kontrolle gibt es übersichtliche Dashboards, Sie sollten Ihre Tools aber auch so einrichten, dass sie Daten aus unterschiedlichen Quellen verarbeiten.

Hybride Umgebungen

Wenn physische und cloudbasierte Systeme nebeneinander bestehen, wird das Patching komplexer. Verwalten und automatisieren Sie Ihr PowerShell-Patch-Audit mit kosteneffizienten Lösungen, die Ihnen die halbe Arbeit abnehmen.

Fehler beim Patch-Audit beheben

So lösen Sie die häufigsten Probleme, mit denen IT-Fachkräfte bei der Überwachung von Patch Drift heute zu tun haben.

Installierte KBs werden als fehlend gemeldet

Manchmal taucht ein installiertes Update in Get-Hotfix-Skripten nicht auf. Das passiert, wenn die Installation nicht von WMI erfasst wurde oder wenn bestimmte Registry-Einträge fehlen.

Schließen Sie die Lücke, indem Sie die CBS-Protokolle und die Registry-Daten unter HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\Packages auf Patch-Daten prüfen, die Sie möglicherweise übersehen haben.

Zugriff verweigert

PowerShell-Skripte, die auf HKLM zugreifen, benötigen erhöhte Rechte. Wenn dieser Fehler auftritt, prüfen Sie die UAC-Einstellungen und kontrollieren Sie, ob alle Voraussetzungen erfüllt sind.

HotFixID liefert eine unvollständige Liste

Produkte, die nicht über Drittanbieter-Tools installiert wurden, erscheinen bei Get-Hotfix oder wmic qfe möglicherweise nicht in der Liste. Für einen vollständigen Überblick führen Sie DISM /Online /Get-Packages aus oder fragen Sie die CBS-Protokolle ab.

Schreibfehler in der Registry

Fehlende Berechtigungen oder gesperrte Schlüssel können beim Speichern von Metadaten in der Registry zu Fehlern führen. Verwenden Sie dann Test-Path und Try/Catch-Blöcke in PowerShell, um die Protokolle zu fehlgeschlagenen Schreibvorgängen einzusehen und auszuwerten.

Sie können außerdem die Berechtigungen mit Get-Acl prüfen und die Vererbung der Registry-Schlüssel kontrollieren.

So hilft NinjaOne beim Nachverfolgen von Patch Drift

Mit NinjaOne verbessern Sie Ihre Patch-Compliance nach weniger als einer Stunde Einrichtung. Integrierte Funktionen wie zentrale Dashboards und automatisierte Berichterstattung helfen Ihnen, Abläufe zu optimieren und sich von Mitbewerbern abzuheben. So funktioniert es:

Aspekt	Manuelle Methode (PowerShell, Eingabeaufforderung, GPO)	Mit NinjaOne RMM
Einrichtungszeit	Das Schreiben und Testen von Basis-Skripten sowie das manuelle Planen von Aufgaben dauert Stunden	Benötigt nur 15 Minuten, um automatisierte Workflows mit der integrierten Skriptbibliothek einzurichten.
Pflege des Basisstands	Tabellen mit Gerätelisten müssen ständig manuell aktualisiert werden.	Basisstände werden in der Plattform automatisiert aktualisiert.
Zeitplanung	Techniker:innen müssen GPO-Richtlinien und die Aufgabenplanung konfigurieren.	Integrierte, automatisierte Patch-Planung.
Sichtbarkeit der Daten	CSV-Exporte oder Registry-Änderungen sind nötig.	Bündelt alle Endpunkt-Kennzahlen in einem einzigen, übersichtlichen Dashboard.
Erkennung von Abweichungen	Erfolgt nur während der Skriptausführung.	Geräte werden über schlanke Agents kontinuierlich überwacht.
Patch-Kontext	Begleitende Details über längere Zeit manuell zu verfolgen, ist mühsam.	Patch Intelligence kennzeichnet riskante Patches anhand weltweiter Daten vorausschauend.
Handlungsfähigkeit	Manuelle Prüfungen und Nachfassen können Abläufe verzögern.	Automatisierte Alarmierungen und Compliance-Berichte, die sich direkt für QBRs nutzen lassen.

Darum ist NinjaOne die klügere Alternative

Berichte zur Patch-Compliance geben Kund:innen mehr Kontext dazu, wie gesund ihre Infrastruktur ist. RMM-Plattformen wie NinjaOne liefern deshalb einen Rundumblick auf das Sicherheitsniveau Ihres Gerätebestands und fassen alles in einem einzigen Dashboard zusammen.

Patch Intelligence von NinjaOne wertet zudem Rückmeldungen aus aller Welt und bekannte Probleme aus, um mögliche Compliance-Risiken proaktiv für Sie zu kennzeichnen. Das entlastet Ihre Ressourcen und verbessert Ihre Arbeitsabläufe.

Fehlgeschlagene Bereitstellungen mit Echtzeit-Alarmierungen abfedern

Patch Drift ist der stille Killer der Systemgesundheit. Wer früh vorbeugt und dabei auf erstklassige Plattformen setzt, verschafft sich einen echten Vorteil. Erstellen Sie immer Backups, bevor Sie Einstellungen auf niedriger Systemebene ändern, so bleibt Ihr Patch-Drift-Management sicher und nachhaltig.

Verwandte Themen:

• Einen problematischen Patch deinstallieren: eine Schritt-für-Schritt-Anleitung
• Windows-Update-Protokolle lesen: eine Anleitung
• Software für Patch-Management für Dritte
• Was ist ein Computer-Patch?
• Was ist Patch-Compliance?