Patch-Tempo

Software enthält immer Fehler. Manche davon sind gefährlich, weil Fremde über sie in ein System eindringen können. Solche Fehler heißen Sicherheitslücken. Der Hersteller repariert sie mit einem kleinen Korrektur-Update, das man Patch nennt — englisch für Flicken. Das Patch-Tempo ist die Zeit, die zwischen dem Bekanntwerden einer Lücke und dem fertig eingespielten Flicken vergeht. Gemessen wird es in Tagen, manchmal in Stunden, in schlechten Fällen in Monaten.

Das offene Zeitfenster für Angreifer

Sobald eine Lücke öffentlich bekannt ist, wissen auch Kriminelle davon. Sicherheitsforscher veröffentlichen ihre Funde meist mit einer technischen Beschreibung. Angreifer lesen dieselben Berichte und bauen daraus fertige Angriffswerkzeuge. Bei bekannten Lücken vergehen zwischen Veröffentlichung und den ersten massenhaften Angriffsversuchen oft nur wenige Tage.

In dieser Spanne ist ein System praktisch ungeschützt. Die Schwachstelle ist beschrieben, das Gegenmittel aber noch nicht eingespielt. Fachleute sprechen deshalb vom Verwundbarkeitsfenster. Ein schnelles Patch-Tempo macht dieses Fenster klein, ein langsames hält es wochenlang offen.

Für Unternehmen ist das inzwischen auch eine Frage von Recht und Geld. Aufsichtsbehörden und Versicherungen fragen nach, wie lange ein Betrieb für kritische Updates braucht. Wer nach einem Einbruch nachweisen muss, dass ein Patch seit acht Wochen bereitlag, hat ein Problem. Das Patch-Tempo ist damit eine der wenigen Sicherheitskennzahlen, die sich einfach in Zahlen fassen lässt.

Vom Fehlerbericht bis zum eingespielten Update

Der Ablauf hat zwei Hälften, und beide kosten Zeit. Zuerst ist der Hersteller dran: Er muss den gemeldeten Fehler nachstellen, die Ursache finden, eine Korrektur programmieren und sie testen. Ein schlecht getesteter Patch kann Programme zum Absturz bringen und richtet dann mehr Schaden an als die Lücke selbst. Große Anbieter bündeln ihre Korrekturen deshalb oft zu festen Terminen, etwa Microsoft an jedem zweiten Dienstag im Monat.

Die zweite Hälfte liegt beim Kunden. Ein Patch, der auf einem Server des Herstellers liegt, schützt niemanden. Er muss verteilt und installiert werden, und viele Systeme muss man dafür neu starten. Bei einem Handy dauert das Minuten. Bei einer Fabriksteuerung oder einem Krankenhaussystem plant man den Neustart Wochen im Voraus, weil ein Ausfall im laufenden Betrieb teuer oder gefährlich wäre.

Ein häufiger Irrtum ist, Patch-Tempo mit dem Erscheinen des Updates gleichzusetzen. Gemessen wird üblicherweise bis zur Installation. Ein Unternehmen mit 10.000 Rechnern gilt erst dann als gepatcht, wenn nahezu alle davon das Update haben. Der eine vergessene Server im Keller ist genau der, über den der Angriff später läuft.

Wo die Zahl in Nachrichten auftaucht

Auf dem eigenen Handy begegnet einem das Patch-Tempo als Datum im Menü. Android-Geräte zeigen unter den Systeminformationen einen sogenannten Sicherheitspatch-Stand. Liegt der ein Jahr zurück, fehlen dem Gerät alle Korrekturen aus diesem Jahr. Wie lange ein Hersteller solche Updates überhaupt liefert, ist inzwischen ein Verkaufsargument und in der EU teilweise vorgeschrieben.

In Wirtschaftsnachrichten taucht der Begriff nach großen Angriffswellen auf. Ein wiederkehrendes Muster: Eine Lücke in einer weit verbreiteten Unternehmenssoftware wird bekannt, ein Patch erscheint, und Monate später werden immer noch tausende ungepatchte Systeme gekapert. Behörden wie das deutsche BSI veröffentlichen dann Warnungen mit konkreten Fristen.

Bei KI-Systemen bekommt das Thema eine neue Note. Viele Firmen bauen ihre Anwendungen aus fremden Softwarebausteinen zusammen, die sie kaum überblicken. Steckt in einem dieser Bausteine eine Lücke, muss man erst einmal wissen, wo er überall verbaut ist. Genau daran scheitert schnelles Patchen in der Praxis am häufigsten.