So erstellen Sie eine Patch-Management-SOP für MSPs

Eine klar definierte Standardprozedur (SOP) für das Patch-Management ist für jedes Unternehmen ein Muss, und nein, das ist weder übertrieben noch ein Clickbait-Satz. Patch-Management haben wir bereits in mehreren anderen Artikeln ausführlich behandelt (Links finden Sie am Ende dieses Artikels). In diesem Leitfaden konzentrieren wir uns darauf, eine Patch-Management-SOP für MSPs aufzubauen, und zwar konkret für Windows, macOS und Anwendungen von Drittanbietern.

Ziel dieses Artikels ist es, Ihnen beim Aufbau eines wiederholbaren, skalierbaren und sicheren Patching-Prozesses für Ihre verwalteten Endpunkte zu helfen, inklusive technischer Details zur Umsetzung von Automatisierung, Auditing und Compliance.

Sie brauchen noch mehr Informationen? Sehen Sie sich „So erstellen Sie eine Patch-Management-SOP für MSPs“ für eine detaillierte Aufschlüsselung an.

📌 Empfohlene Bereitstellungsstrategien:

Ein Hinweis zur Wahl der Methode und zu den SOP-Schritten

Bevor wir fortfahren: Es ist wichtig, den Unterschied zwischen Bereitstellungsmethoden und SOP-Schritten zu verstehen. Beide greifen ineinander, erfüllen aber unterschiedliche Zwecke.

Schritte beschreiben, was Sie in der SOP tun. Das sind allgemeingültige Handlungen, die Sie in jedem Patch-Management-Prozess durchlaufen.

Methoden beschreiben, wie Sie die SOP umsetzen. Das sind Umsetzungsansätze, die sich nach Ihren Tools, der Größe Ihrer Umgebung und Ihrem technischen Setup richten. Die folgenden Bereitstellungsstrategien zeigen, welche Methoden Ihnen zur Umsetzung einer wirksamen Patch-Management-SOP zur Verfügung stehen. Denken Sie daran: Sie müssen sich nur für eine Methode entscheiden (zum Beispiel für eine RMM-Plattform), und zwar für diejenige, die am besten zu Ihrer Umgebung passt.

Außerdem ist zu beachten, dass es zwischen Schritten und Methoden durchaus Überschneidungen geben wird.

📌 Voraussetzungen:

• Die Geräte müssen in einem RMM, MDM oder einer zentralen Patching-Plattform registriert sein.
• Administratorrechte auf den Ziel-Endpunkten.
• Internetzugang zu den Update-Diensten der Anbieter (Microsoft, Apple, Drittanbieter von Anwendungen)
• PowerShell 5.1+ unter Windows (siehe PowerShell-Version überprüfen)
• Terminal- oder Shell-Zugriff auf macOS-Endpunkten
• Optional: Zugriff auf WSUS, JAMF, Munki oder ein plattformübergreifendes Tool wie NinjaOne

Eine Patch-Management-SOP erstellen: Schritt-für-Schritt-Anleitung

Schritt 1: Inventarisierung und Klassifizierung der Patch-Ziele

Sie können nicht patchen, wovon Sie nichts wissen. In diesem Schritt erfassen Sie alle Endpunkte in Ihrer Umgebung und kategorisieren sie nach Betriebssystem, Version und installierter Version.

A. Für Windows-Geräte

1. Öffnen Sie PowerShell und führen Sie diesen Befehl aus:

Get-HotFix

Dieser Befehl listet alle Windows-Updates und Patches (Hotfixes) auf, die auf dem System des Endpunkts installiert sind, inklusive HotFixID, Beschreibung, Installationsdatum und installierender Person.

2. Öffnen Sie die Eingabeaufforderung und führen Sie diesen Befehl aus:

systeminfo | findstr /B /C:“OS Name“ /C:“OS Version“

B. Für macOS

1. Öffnen Sie das Terminal.

2. Führen Sie die folgenden Befehle aus:

sw_vers – Zeigt die aktuelle macOS-Version und die Build-Informationen an

softwareupdate –history – Zeigt alle Software-Updates an, die über das Update-System von Apple installiert wurden

ls /Applications – Listet die installierten Anwendungen auf

C. Für Anwendungen von Drittanbietern

1. Unter Windows:
Get-WmiObject -Class Win32_Product | Select-Object Name, Version

2. Unter macOS (im Terminal ausführen):
Use ls /Applications or Munki to inventory

💡 Tipp: Versehen Sie Endpunkte mit Tags nach Patch-Gruppe oder Kritikalität, um Updates effizient gestaffelt auszurollen.

Schritt 2: Patch-Kategorien und Häufigkeit festlegen

Jetzt kategorisieren Sie die Patches und legen fest, wie oft jeder Update-Typ eingespielt wird.

💡 Tipp: Nutzen Sie Tools wie NinjaOne, um Patch-Zeitpläne verbindlich durchzusetzen.

Schritt 3: Windows-Updates anstoßen

Windows-Updates automatisiert anzustoßen ist ein einfacher und wirksamer Weg, menschliche Fehler zu reduzieren, gerade wenn Sie eine große Geräteflotte verwalten. Wir haben einige Methoden zusammengestellt und dabei vermerkt, welche Schritte den Prozess wirklich automatisieren und welche ein Windows-Update nur einmalig ausführen.

1. Über PowerShell – einmaliges Update

1. Öffnen Sie PowerShell.
2. Führen Sie diese Befehle aus, um Windows-Updates automatisiert herunterzuladen und zu installieren:

Install-Module PSWindowsUpdate

Get-WindowsUpdate -AcceptAll -Install -AutoReboot

2. Über den Gruppenrichtlinienpfad – vollständige Automatisierung

1. Drücken Sie Win + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste.
2. Navigieren Sie zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows Update.
3. Aktivieren Sie:
   • Automatische Updates konfigurieren
   • Geplanter Installationstag/-zeitpunkt
   • Kein automatischer Neustart bei angemeldeten Benutzer:innen

💡 Hinweis: Je nach Windows-Version können diese Richtlinien in Unterordnern wie Legacy Policies, Managed End Users oder Managed Updates innerhalb des Ordners Windows Update liegen.

3. Über die Registry – vollständige Automatisierung

⚠️ Warnung: Erstellen Sie unbedingt ein Backup Ihrer Registry, bevor Sie fortfahren. Fehlerhafte Konfigurationen können zu Systeminstabilität führen.

1. Drücken Sie Win + R, geben Sie regedit ein und drücken Sie die Eingabetaste.
2. Wählen Sie: HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
3. Setzen Sie die Werte wie folgt:
   • AUOptions = 4 (Automatisch herunterladen und Installation planen)
   • ScheduledInstallDay = 2 (Dienstag)
   • ScheduledInstallTime = 3 (3 Uhr morgens)
   • NoAutoRebootWithLoggedOnUsers = 1

💡 Hinweis: Passen Sie die Werte gerne nach Bedarf oder Wunsch an.

4. Über die Eingabeaufforderung – einmalige Ausführung

1. Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten.
2. Führen Sie den folgenden PowerShell-Befehl direkt aus der Eingabeaufforderung aus:

powershell -Command „(New-Object -ComObject Microsoft.Update.AutoUpdate).DetectNow()“

Dieser Befehl veranlasst den Windows Update-Agent, nach verfügbaren Updates zu suchen. Beachten Sie, dass er sie nicht installiert. Für die Installation nutzen Sie PowerShell (Schritt A) oder die Automatisierungsmethoden aus den Schritten B/C.

Hinweis: Ältere Befehle wie wuauclt /detectnow und usoclient StartScan wurden in früheren Windows-Versionen verwendet, sind unter Windows 10/11 inzwischen jedoch veraltet oder unzuverlässig. Die Eingabeaufforderung bietet keine integrierte Möglichkeit mehr, Updates direkt aus Windows Update herunterzuladen und zu installieren.

⚠️ Worauf Sie achten sollten

• Neustarts und Auswirkungen auf Benutzer:innen: Selbst mit „Kein automatischer Neustart bei angemeldeten Benutzer:innen“ erfordern manche Updates zum Abschluss weiterhin einen Neustart. Planen Sie Ihre Wartungsfenster entsprechend.
• Unterschiede zwischen Editionen: Manche Gruppenrichtlinienpfade oder Richtliniennamen unterscheiden sich je nach Windows-Edition und -Version. Prüfen Sie wie beschrieben auch die Unterordner.
• Verwaltete Umgebungen: Wenn Sie WSUS/Intune einsetzen, stellen Sie sicher, dass diese Einstellungen zu Ihren Verwaltungsrichtlinien passen, um Konflikte zu vermeiden.

Schritt 4: macOS-Updates einspielen

Dieser Schritt sorgt dafür, dass Apple-Geräte zuverlässig und sicher aktualisiert werden. Beachten Sie: Dieser Schritt automatisiert den Prozess nicht, sondern spielt die Updates einmalig ein.

1. Führen Sie diese Befehle im Terminal aus, um nach Updates zu suchen, sie zu installieren und das Gerät anschließend neu zu starten:

softwareupdate –list

softwareupdate -i -a

sudo shutdown -r now

Schritt 5: Drittanbieter-Apps patchen

Anwendungen wie Browser, Zoom und Java bieten eine enorme Angriffsfläche und müssen regelmäßig gepatcht werden.

1. Für Windows (Deinstallation/Installation per PowerShell oder mit Chocolatey)

1. Installieren Sie Chocolatey.
2. Führen Sie diesen Befehl aus:

Set-ExecutionPolicy Bypass -Scope Process -Force

iex ((New-Object System.Net.WebClient).DownloadString(‚https://chocolatey.org/install.ps1‘))

choco upgrade all -y

2. Für macOS (mit Homebrew)

1. Installieren Sie Homebrew.
2. Führen Sie diesen Befehl aus:

/bin/bash -c „$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)“

brew upgrade

💡 Hinweis: Optional können Sie Logs oder Exit-Codes auf Fehler überwachen und die Automatisierung bei Bedarf erneut ausführen lassen.

Schritt 6: Freigabe- und Test-Workflow für Patches

Tests und eine gestaffelte Bereitstellung sind unverzichtbar, um sicherzustellen, dass alle Patches stabil laufen.

• Legen Sie eine Testgruppe fest (5 bis 10 % der Geräteflotte)
• Stellen Sie die Patches auf den Testgeräten bereit und dokumentieren Sie die Ergebnisse
• Staffeln Sie größere Rollouts in Patch-Wellen
  Erfassen Sie KBs oder App-Versionen pro Welle
• Nutzen Sie NinjaOne oder SharePoint, um Patch-Ausnahmen nachzuverfolgen

Schritt 7: Rollback-Strategie

Manchmal laufen Patches schief. Dann brauchen Sie einen schnellen und zuverlässigen Weg, sie rückgängig zu machen, ohne Daten oder Produktivität zu verlieren.

1. Für Windows

1. Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten.
2. Führen Sie diesen Befehl aus:

wusa /uninstall /kb:XXXXXXX /quiet /norestart – Entfernt ein bestimmtes Windows-Update

Checkpoint-Computer -Description „Pre-Patch Restore“ -RestorePointType „MODIFY_SETTINGS“ – Erstellt einen Wiederherstellungspunkt der Systemwiederherstellung, bevor Änderungen am System vorgenommen werden.

💡 Hinweis: Denken Sie daran, „XXXXXXX“ durch die tatsächliche KB-Nummer des Updates zu ersetzen, das entfernt werden soll.

2. Für macOS

• Nutzen Sie Time Machine oder Snapshots.
• Vor größeren Upgrades empfiehlt sich dringend ein vollständiges Backup.

Schritt 8: Berichterstattung, Compliance und Alarmierungen

Alarmierungen helfen Ihnen, fehlgeschlagene Patches frühzeitig zu erkennen, und Berichte zeigen Kund:innen oder dem Management, dass Sie sicher und compliant aufgestellt bleiben.

1. Für Windows

Dieser Befehl erstellt eine CSV-Datei mit einer detaillierten Liste der installierten Updates. Mit dieser Datei können Sie den Update-Verlauf bequem prüfen, Patch-Informationen teilen und die Daten für Compliance-Prüfungen oder die Fehlersuche nutzen.

1. Öffnen Sie PowerShell.
2. Führen Sie diesen Befehl aus:

Get-HotFix | Export-Csv "patch_report.csv"

Get-WindowsUpdateLog

2. Für macOS

1. Führen Sie diesen Befehl aus:

softwareupdate –history

3. Nutzen Sie NinjaOne oder ein RMM eines Drittanbieters

• Um bei fehlgeschlagenen Patches zu alarmieren
• Um Compliance-Zusammenfassungen zu erstellen
• Um den Patch-Status von Drittanbieter-Software zu verfolgen
• Um Patch-Berichte für die Geschäftsleitung zu erzeugen

Bereitstellungsmethoden

Methode 1: Manuelles Scripting

📌 Anwendungsfälle: Für Umgebungen ohne zentrale Verwaltung sowie für Tests und kleine Bereitstellungen.

📌 Voraussetzungen:

• Lokale Administratorrechte auf den Endpunkten
• PowerShell 5.1+ unter Windows installiert oder Terminal-Zugriff unter macOS
• Internetzugang für die Update-Dienste der Anbieter
• (Optional) Lässt sich das Modul PSWindowsUpdate nicht installieren, müssen Sie unter Umständen zuerst den NuGet-Provider installieren und das Repository PowerShell Gallery registrieren.

Schritte:

1. Für Windows (über PowerShell)

1. Öffnen Sie PowerShell.
2. Führen Sie diese Befehle der Reihe nach aus:

1. • Installieren Sie das Modul PSWindowsUpdate: Install-Module PSWindowsUpdate
   • Führen Sie einen Update-Scan durch und installieren Sie alle verfügbaren Patches: Get-WindowsUpdate -AcceptAll -Install -AutoReboot
   • Erzwingen Sie bei Bedarf manuell einen Scan.

wuauclt /detectnow

usoclient StartScan

2. Für macOS (über das Terminal)

1. Führen Sie diese Befehle der Reihe nach aus:
   • Verfügbare Updates auflisten: softwareupdate –list
   • Alle verfügbaren Updates installieren: softwareupdate -i -a
   • Falls erforderlich, nach dem Update neu starten: sudo shutdown -r now

Methode 2: Gruppenrichtlinien und Registry (nur Windows)

📌 Anwendungsfälle: Ideal für Windows-Umgebungen, die auf Domänenverwaltung setzen und eine einheitliche Durchsetzung von Richtlinien benötigen.

📌 Voraussetzungen:

• In eine Domäne eingebundene Windows-Geräte
• Zugriff auf die Gruppenrichtlinien-Verwaltungskonsole
• (Optional) Administratorzugriff zum Bearbeiten der Registry

Schritte:

1. Über Gruppenrichtlinien

1. Drücken Sie Win + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste.
2. Navigieren Sie zu:
   Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows Update
3. Aktivieren und konfigurieren Sie:
   • Automatische Updates konfigurieren = Aktiviert.
   • Legen Sie Installationstag und -zeitpunkt fest.
   • Aktivieren Sie „Kein automatischer Neustart bei angemeldeten Benutzer:innen“.
   • (Optional) Geben Sie über WSUS eine interne Update-Quelle an.

💡 Hinweis: Je nach Windows-Version können diese Richtlinien in Unterordnern wie Legacy Policies, Managed End Users oder Managed Updates innerhalb des Ordners Windows Update liegen.

2. Durchsetzung über die Registry (Legacy oder ohne Domäne)

1. Drücken Sie Win + R, geben Sie regedit ein und drücken Sie die Eingabetaste.
2. Navigieren Sie zu: HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
3. Setzen Sie die Werte:
   • AUOptions = 4 (Automatisch herunterladen und Installation planen)
   • ScheduledInstallDay = 2 (Dienstag)
   • ScheduledInstallTime = 3 (3 Uhr morgens)
   • NoAutoRebootWithLoggedOnUsers = 1

💡 Passen Sie die Werte gerne nach Bedarf oder Wunsch an.

Methode 3: RMM-Plattformen wie NinjaOne

📌 Anwendungsfälle: Ideal für skalierbares, automatisiertes Patching in großen Umgebungen, mit Dashboards, Alarmierungen, Rollback und Compliance-Berichterstattung.

📌 Voraussetzungen:

• Endpunkte, die in einer RMM-Plattform wie NinjaOne registriert sind
• Erstellte und Gruppen zugewiesene Patch-Richtlinien
• Administratorzugriff zum Festlegen von Automatisierungsregeln und Zeitplänen

Schritte:

1. Melden Sie sich in der NinjaOne-Konsole an.
2. Erstellen Sie eine Patch-Richtlinie, die Windows, macOS und Drittanbieter-Apps abdeckt.
3. Organisieren Sie Geräte nach Tags, Gruppen oder Dringlichkeitsstufen.
4. Richten Sie wiederkehrende Patch-Zeitpläne mit definierten Wartungsfenstern ein.
5. Aktivieren Sie Alarmierungen für Fehlschläge, überfällige Patches oder erforderliche Neustarts.
6. Behalten Sie Compliance-Dashboards und Berichte in Echtzeit im Blick.
7. Stellen Sie bei Bedarf Rollback- oder Behebungsskripte bereit.

💡 Tipp: Kombinieren Sie das Patching mit nachgelagerten Aufgaben wie Bereinigungsskripten, verschobenen Neustarts oder Dienst-Neustarts, indem Sie die Automatisierung von NinjaOne nutzen. So laufen Updates reibungsloser und Störungen bleiben minimal. Ausführlichere Anleitungen finden Sie hier:

• Windows-Updates mit NinjaOne aktivieren und verwalten
• macOS-Patch-Management mit NinjaOne

So unterstützt NinjaOne Ihre Patch-Management-SOP

• Automatisiertes Patching von Betriebssystemen und Anwendungen unter Windows/macOS: NinjaOne vereinfacht die Patch-Bereitstellung für Betriebssysteme und Anwendungen von Drittanbietern mit anpassbaren Richtlinien und Zero-Touch-Automatisierung. Patches lassen sich also ohne manuelles Eingreifen automatisiert bereitstellen, was menschliche Fehler reduziert und die betriebliche Effizienz steigert.
• Patch-Fenster, Testgruppen und Ausnahmen definieren: Sie können wiederkehrende Patch-Zeitpläne einrichten, Geräte Testgruppen zuweisen und Ausnahmeregeln erstellen, um besonderen Compliance- oder Geschäftsanforderungen gerecht zu werden.
• Dashboards und Compliance-Berichterstattung: Visuelle Echtzeit-Dashboards und exportierbare Berichte zeigen Ihnen den Patch-Status, die Compliance-Quoten Ihrer Geräte und belegen die Einhaltung von SLAs oder regulatorischen Vorgaben.
• Alarmierungen bei Fehlschlägen, ausgebliebenen Neustarts oder Patch-Verzögerungen: NinjaOne informiert Techniker:innen automatisiert, wenn ein Patch fehlschlägt, ein Endpunkt einen Neustart benötigt oder ein geplantes Update-Fenster verpasst wurde.
• Skriptgesteuerte Rollback- oder Behebungsschritte: Administrator:innen können in NinjaOne eigene PowerShell- oder Shell-Skripte ausführen, um problematische Updates zu deinstallieren, Dienste neu zu starten oder defekte Software ohne manuelles Eingreifen zu reparieren.
• Endpunkte nach Patch-Dringlichkeit oder Umgebung gruppieren und taggen: Geräte lassen sich nach Standort, Funktion oder Kritikalität taggen, um unterschiedliche Patching-Prioritäten durchzusetzen und das Risiko für geschäftskritische Systeme zu senken.

So bauen Sie eine wirksame Patch-Management-SOP auf

Eine solide Patch-Management-SOP sorgt für sichere, konsistente und effiziente Update-Zyklen über alle Umgebungen hinweg. Nehmen Sie dieses Verfahren nicht auf die leichte Schulter: Auch kleinere Unternehmen brauchen eine belastbare Patch-Management-SOP, um das Risiko durch Malware und andere Bedrohungen zu senken.

Verwandte Themen:

• Was ist Patch-Management? Definition, Vorteile und Best Practices
• Darum ist Patch-Management für MSPs so wichtig
• Patch-Management-Prozess: Best Practices
• So erstellen Sie eine Patch-Management-Richtlinie: Definition und Schritte
• Patch-Management leicht gemacht [download]
• Patch-Management neu gedacht mit der Patch Intelligence KI von NinjaOne
• Patch-Management-Prozess: Best Practices
• Der Lebenszyklus im Patch-Management erklärt