Im Namen meines damaligen Arbeitgebers, der Boreus GmbH (heute WIIT AG), habe ich 2022 auf der IT-Sicherheitskonferenz den Vortrag „Patchmanagement am Beispiel einer heterogenen eCommerce-Umgebung“ gehalten. Er basiert auf meiner Praxis als Teamleiter im Betrieb von Kundenplattformen im Bereich eCommerce und Public Cloud.
Worum ging es?
Der Vortrag begleitet den Weg zum ersten Patchlauf anhand eines realen Beispiels: einer dedizierten eCommerce-Plattform mit einigen hundert Systemen (Server unter Windows, Linux und VMware sowie Firewall- und Loadbalancer-Cluster und Switche). Wartungsarbeiten mussten in lastarmen Zeiten stattfinden und neuen Kundenrichtlinien genügen.
- Die Situation: Ziele und Rahmenbedingungen, Trafficverlauf über Tag und Woche sowie die Stakeholder auf Kunden- und Dienstleisterseite.
- Die Organisation: Systeme nach Stage, Funktion und Kritikalität gruppieren, passende Patch-Intervalle festlegen (monatlich, quartalsweise, halbjährlich) und günstige Wochentage und Wartungsfenster wählen. Dazu gehören ein klar abgegrenzter Scope mit Zuständigkeiten und die Entscheidung, ob nur Sicherheitspatches oder auch Bugfixes eingespielt werden.
- Der Scope: Anwendungen und Container, Betriebssysteme und Appliances sowie Firmware, dazu die Einordnung der Errata (Enhancement, Bugfix, Security) und ihrer Schweregrade.
- Der Ablauf: Verfügbare Updates prüfen, Ist-Zustand dokumentieren, Monitoring deaktivieren, Updates einspielen, bei Bedarf neu starten, System prüfen, Änderung dokumentieren und Monitoring wieder aktivieren. Kundeninformation vor, während und nach der Wartung gehört fest dazu.
- Heterogene Werkzeuge: Von Paketmanagern der Linux-Distributionen über den Windows-Updatemanager bis zu Update-Utilities für Appliances und Firmware.
Kernbotschaft
Gutes Patchmanagement ist zuerst eine Organisationsaufgabe und erst dann eine technische: Wer mit dem Kunden Gruppen, Intervalle, Zeitfenster, Zuständigkeiten und Kommunikation klar vereinbart hat, kann die Technik zuverlässig und wiederholbar anwenden. Und: Nach dem ersten Patchlauf sollte man festhalten, was schiefgelaufen ist, und daraus lernen.
Stand: 2022. Die genannten Produkt- und Versionsstände spiegeln den damaligen Einsatz wider.