Patch Tuesday
Patch Tuesday ist der zweite Dienstag eines jeden Monats, an dem Microsoft gebündelt Sicherheitsupdates für Windows und andere eigene Software veröffentlicht. Der Begriff hat sich als fester Begriff in der IT-Sicherheitsbranche etabliert und wird auch von anderen Herstellern als Orientierungspunkt genutzt.
Patch Tuesday ist der zweite Dienstag im Monat — und für IT-Abteilungen weltweit ein fester Termin im Kalender. An diesem Tag veröffentlicht Microsoft gesammelt alle Sicherheitsupdates, die sich seit dem letzten Mal angesammelt haben. Ein Update, das eine Sicherheitslücke schließt, nennt man Patch — wie ein aufgenähtes Flicken auf einer kaputten Stelle. Statt solche Flicken unregelmäßig herauszugeben, bündelt Microsoft sie auf einen festen Tag. Das macht es einfacher, sie zu planen und einzuspielen. Microsoft führte diesen Rhythmus im Jahr 2003 ein, nachdem chaotisch verteilte Updates die Arbeit von Systemadministratoren — also den Menschen, die Computer in Firmen verwalten — unnötig erschwert hatten.
Warum ein fester Termin die IT-Sicherheit verändert hat
Vor dem Patch Tuesday gab es keine Vorhersage, wann ein Update erscheinen würde. Für Firmen war das ein Problem: Jedes Update musste sofort geprüft, getestet und auf tausende Geräte verteilt werden — ohne Vorwarnung, jederzeit. Das band ständig Personal und störte den laufenden Betrieb.
Ein fester Termin löst das. IT-Teams wissen im Voraus, wann Arbeit auf sie zukommt, und können sich vorbereiten. Sie können Updates zuerst auf Testgeräten ausprobieren, bevor sie sie auf alle Firmenrechner ausrollen. Das klingt nach einem kleinen Vorteil, ist in der Praxis aber enorm — gerade in Krankenhäusern, Behörden oder Banken, wo ein fehlerhaftes Update den Betrieb lahmlegen kann.
Gleichzeitig hat der feste Rhythmus eine Kehrseite: Wer eine Sicherheitslücke kennt, weiß, dass Microsoft sie frühestens am nächsten Patch Tuesday schließen wird — es sei denn, sie ist so gefährlich, dass ein außerordentliches Update nötig ist. Diese Lücke zwischen Entdeckung und Schließung nennt sich Angriffsfenster. Angreifer können es gezielt ausnutzen.
Was an einem Patch Tuesday tatsächlich passiert
Microsoft veröffentlicht nicht einfach Dateien zum Herunterladen. Zusammen mit den Updates erscheint ein sogenannter Security Update Guide — eine Liste aller geschlossenen Lücken mit technischen Details. Jede Lücke bekommt eine eigene Kennnummer, die sogenannte CVE-Nummer (Common Vulnerabilities and Exposures). Sicherheitsforscher und Angreifer lesen diese Liste aufmerksam, denn sie zeigt genau, wo vorher etwas kaputt war.
Pro Patch Tuesday werden typischerweise zwischen 50 und 150 Sicherheitslücken geschlossen. Manche sind harmlos und betreffen kaum jemanden. Andere werden als „kritisch“ eingestuft — das bedeutet, ein Angreifer könnte sie aus der Ferne ausnutzen, ohne dass der Benutzer etwas tun muss. Für IT-Teams ist die Einstufung entscheidend: Kritische Updates werden zuerst eingespielt.
Wenn eine Lücke so schwerwiegend ist, dass sie nicht bis zum nächsten regulären Termin warten kann, veröffentlicht Microsoft auch außer der Reihe. Man spricht dann von einem Out-of-Band-Patch. Das ist die Ausnahme — aber sie kommt vor, zum Beispiel wenn eine Lücke bereits aktiv von Angreifern ausgenutzt wird, bevor ein offizieller Fix existiert.
Patch Tuesday in Nachrichten und Alltag
In Tech-Medien taucht der Begriff jeden Monat auf. Typische Schlagzeilen lauten: „Patch Tuesday schließt kritische Zero-Day-Lücke in Windows“ — wobei Zero-Day eine Lücke meint, die Angreifer schon ausgenutzt haben, bevor Microsoft überhaupt davon wusste. Wer solche Nachrichten liest, versteht sie besser, wenn er weiß, dass hinter dem Datum kein Zufall steckt, sondern ein System.
Für normale Windows-Nutzer läuft der Patch Tuesday meist unsichtbar ab. Windows Update lädt die Patches automatisch herunter, und beim nächsten Neustart sind sie installiert. Die Meldung „Updates werden installiert, bitte nicht ausschalten“ — die kennt fast jeder. Sie erscheint besonders häufig am zweiten Mittwoch des Monats, weil Windows die am Dienstag bereitgestellten Updates über Nacht herunterlädt.
Mittlerweile orientieren sich auch andere Hersteller an diesem Rhythmus. Adobe, SAP und Intel veröffentlichen ihre Sicherheitsupdates ebenfalls bevorzugt am zweiten Dienstag des Monats — nicht weil sie müssten, sondern weil IT-Teams ohnehin an diesem Tag Updates einplanen. Der Patch Tuesday hat sich damit von einem Microsoft-internen Prozess zu einem branchenweiten Taktgeber entwickelt.