Was ist ein Update, was ein Patch?

Einfach erklärt

Ein Update ist eine neue Version einer Software. Ein Patch ist ein kleineres Update, das gezielt einen Fehler behebt, häufig eine Sicherheitslücke. Das englische Wort bedeutet Flicken. Software ist wie ein Haus, an dem immer wieder Schwachstellen entdeckt werden: ein Fenster, das sich von außen öffnen lässt, ein Schloss, das sich leicht nachmachen lässt. Ein Patch repariert genau diese Stelle.

Warum es eilig sein kann

Sobald ein Hersteller eine Lücke schließt, ist sie öffentlich beschrieben. Angreifer suchen dann gezielt nach Systemen, die das Update noch nicht haben. Je länger es fehlt, desto leichter wird der Angriff. Updates betreffen nicht nur Laptops. Auch Server, Router, Firewall, Website, Plugins und Container brauchen sie.

Was Sie tun können

• Klären Sie, wer für welche Systeme Updates einspielt und wie oft.
• Fragen Sie, ob Sicherheitsupdates automatisch kommen und wer größere Updates vorher testet.
• Lassen Sie sich sagen, welche Systeme keine Updates mehr bekommen. Solche Software hat ihr Support-Ende erreicht und gehört ersetzt.

Tipp: Vor jedem größeren Update sollte ein aktuelles Backup bereitliegen. Geht etwas schief, lässt sich der alte Stand wiederherstellen.

Was ein Update nicht leistet

Ein Update schließt bekannte Lücken in genau dieser Software. Gegen schwache Passwörter, falsche Einstellungen oder Lücken, für die es noch keinen Patch gibt, hilft es nicht. Mehr dazu unter Sicherheitslücke.

Versionen und Kennungen

Bei semantischer Versionierung (SemVer 2.0.0) steht MAJOR.MINOR.PATCH für inkompatible Änderungen, neue kompatible Funktionen und kompatible Fehlerbehebungen. Viele Projekte folgen dem nur ungefähr, die Release Notes bleiben Pflichtlektüre. Sicherheitslücken tragen eine CVE-Kennung, etwa CVE-2024-6387 für eine Lücke im OpenSSH-Server. Hersteller und Distributionen ordnen ihre Korrekturen darüber zu. Linux-Distributionen portieren Sicherheitskorrekturen oft in die bestehende Version zurück (Backport). Eine scheinbar alte Versionsnummer belegt dann noch keine offene Lücke.

Der BSI-Baustein OPS.1.1.3 „Patch- und Änderungsmanagement“ verlangt, Patches zeitnah nach Veröffentlichung zu bewerten und zu priorisieren, den Erfolg auf allen Systemen zu kontrollieren und zu dokumentieren, warum ein Patch nicht eingespielt wird (A15). Produkte ohne Herstellerunterstützung dürfen nur weiterlaufen, wenn eine Prüfung ergibt, dass sie dennoch sicher betrieben werden können.

Viele Hersteller veröffentlichen Updates in festen Abständen, Microsoft etwa am zweiten Dienstag im Monat (Patch Tuesday). Kritische Lücken schließen sie außer der Reihe. Verbreitet ist eine Trennung: Sicherheitsupdates laufen automatisch, neue Haupt- und Funktionsversionen werden geplant, getestet und mit frischem Backup eingespielt.

# Debian/Ubuntu: Updates anzeigen, automatische Sicherheitsupdates einrichten
apt update && apt list --upgradable
apt install unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades

# Container: neue Images holen und neu starten
docker compose pull && docker compose up -d

Typische Fehler

• Nur das Betriebssystem aktualisiert. Anwendungen in Containern, Plugins oder von Hand installierte Programme bleiben stehen.
• Kernel-Update ohne Neustart. Der neue Kernel ist installiert, läuft aber erst nach dem Neustart. Unter Ubuntu zeigt die Datei /var/run/reboot-required das an.
• Hauptversionen übersprungen. Manche Anwendungen, etwa Nextcloud, lassen sich nur über jede Hauptversion einzeln aktualisieren.
• Kein Rückweg. Weder Backup noch Snapshot, die alte Version ist nicht notiert.
• Automatik ohne Kontrolle. unattended-upgrades läuft, scheitert aber seit Wochen still.

Prüfen

apt list --upgradable
docker compose images
tail -n 20 /var/log/unattended-upgrades/unattended-upgrades.log

Die eingesetzten Versionen mit den Release Notes der Hersteller vergleichen und bei jeder gemeldeten CVE prüfen, ob die eigene Version betroffen ist.