Die Geschichte des Microsoft Patch Managements

Laut dem 2021 erschienen Lagebericht der IT-Sicherheit in Deutschland entstehen jeden Tag 394.000 neue Schadprogramm-Varianten. Um sich davor bestmöglich zu schützen, zählen regelmäßiges Patchen und das Installieren von Updates zu den Hautaufgaben eines IT-Verantwortlichen. Doch wie sind die heute bekannten Patches, Updates und Upgrades überhaupt entstanden und wieso sollte man überhaupt reparieren, was nicht kaputt ist? Dieser Beitrag wird Ihnen die Informationen dazu liefern.

Der Unterschied von Patches, Updates und Upgrades

Aufgrund ihrer Ähnlichkeit werden diese drei Begriffe häufig verwechselt.
Dennoch gibt es eindeutige Unterschiede, die wir hier für Sie zusammengefasst haben:

PATCH
Kurzgefasst stellt ein Patch eine Fehlerbehebung zum Schließen einer Schwachstelle dar.

UPDATE
Ein Update dagegen bringt ein neues, kleineres Funktionsupdate mit sich und kann somit neue Features bereithalten oder ältere verbessern.

UPGRADE
Bei einem Upgrade wird eine neue, überarbeitete Version aufgespielt.

Von Security Rollup Packages zum modernen Patchen

Die Microsoft Update Dienste haben sich im Lauf der Zeit folgendermaßen entwickelt:

Vor Windows 2000 SP3 wurden Updates von Microsoft in sogenannten Security Rollup Packages und Service Packs organisiert [1]. So wurden in längeren, mehr oder weniger unregelmäßigen Abständen diverse Fehler behoben und neue Funktionen eingeführt, was eher einem umfangreichen Upgrade entsprach als einem dedizierten Patch für ein konkretes Problem. Mangels flächendeckend verfügbarem Breitbandausbau wurden diese teils sogar auf Medien bereitgestellt, z. B. auch über Heft-CDs bekannter Computermagazine. Mit dem Feature der „automatischen Aktualisierungen“ (später Windows Update Agent) stellte Microsoft seit 2002 eine Möglichkeit bereit, einzelne Updates automatisiert im Hintergrund bereitzustellen und installieren zu lassen. Parallel wurden mit dem SUS (Software Update Services) und dem Nachfolger WSUS (Windows Server Update Services – zwischenzeitlich auch MUS und WUS[2]), welcher seit Windows Server 2003 enthalten ist, ein Dienst bereitgestellt, um Updates lokal in der Firma bereitzustellen und freigeben zu können. Seither fiebern viele Administratoren dem zweiten Dienstag im Monat, dem sogenannten „Patch Tuesday“ entgegen, an dem Microsoft neue Updates bereitstellt. Patche, die ungeplant außerhalb des regulären Rhythmus notwendig und kurzfristig veröffentlicht werden, bezeichnet Microsoft aktuell als Out-of-Band-Updates (OOB).

Mit Windows 10 sollte die “letzte” Windows-Version erscheinen, welche mittels sogenannter Rolling Releases und halbjährlichen Funktionsupdates (04 April und 09 September, später H1 und H2) [3]) auf dem aktuellen Stand bleibt. Patches für sicherheitsrelevante Updates oder zur Fehlerbehebung wurden weiterhin innerhalb dieser Releases am Patch Tuesday bereitgestellt. Um in Unternehmensumgebungen die Zyklen für einen Updatezwang verlängern oder gar aussetzen zu können, wurde nebenher auch der Long Term Servicing Branch (LTSB) (später Long Term Servicing Channel (LTSC)) eingeführt, welcher für Enterprise und IoT Enterprise Versionen in 2- bis 3-jährigem Rhythmus bereitstellt. Bei der Umstellung von LTSB auf LTSC wurden primär die Channels für Privatanwender, Current Branch (CB), und Geschäftskunden, Current Branch for Business (CBB), zu einem Semi-Annual Channel (SAC) zusammengefasst.

Um den Updatevorgang weiter zu beschleunigen und zu vereinfachen, wurden noch weitere Methodiken wie die Kumulativen Updates ([4] CCU – fassen alle Updates bis zu einem gewissen Stand in einem gemeinsamen Update zusammen) und Servicing Stack Updates (SSU – umfasst die wichtigsten Komponenten für den Updatemechanismus und das Windows Deployment) eingeführt.

Doch nicht nur die Betriebssysteme (hier am Beispiel Microsoft Windows), sondern auch weitere installierte Applikationen wurden von ihren Herstellern mehr und mehr mit Fehlerbehebungen (Patches) oder kleineren Funktionsupdates versorgt. Ganze überarbeitete Versionen, sogenannte Upgrades, bringen teilweise neue Voraussetzungen und Abhängigkeiten mit sich und können so z. B. in der Produktion auch gänzlich neue Hardware voraussetzen (vgl. TPM-2.0 bei Windows 11), was deutlich größere Auswirkungen zur Folge hat.

Zur Vereinfachung der Lesbarkeit wird im Weiteren der Begriff Update häufig stellvertretend verwendet.

Warum also reparieren, was nicht kaputt ist?

Updates bringen nicht nur Fehlerbehebung z. B. für Speicherleaks oder zum Schließen von Schwachstellen mit sich, sondern können ggf. neue Features und Technologien mit sich bringen wie beispielsweise die Windows Firewall mit XP SP2 [5]. Zur Absicherung von Systemen wurden im Laufe der Zeit weitere Mechanismen entwickelt wie Schreibschutzfilter, Sandboxing, Systemhärtung, Application Whitelisting, Ausführungsbeschränkungen, virtuelles Patchen und einige weitere. Mit diesen Verfahren kann das Ausnutzen bestehender Schwachstellen gegebenenfalls gemindert oder gar verhindert werden, allerdings werden dadurch nur die Symptome und nicht die Ursache behoben. Daher dienen diese Möglichkeiten je nach Einsatzgebiet häufig der schnellen Umsetzung, bis ein Update durch den Hersteller zur Verfügung gestellt wird, oder auch als Ultima Ratio bei nicht mehr unterstützten Altsystemen.