Microsoft hat rekordverdächtige 622 Lücken gepatcht: Die Routine, die jedes kleine Unternehmen braucht

Im Juli 2026 hat Microsoft das größte Sicherheitsupdate seiner Firmengeschichte veröffentlicht: 622 Fehlerbehebungen in einem einzigen Release, mehr als dreimal so viele wie die rund 200 aus dem Vormonat. In diesem Paket steckten zwei Lücken, die Angreifer bereits ausnutzten, bevor Microsoft überhaupt einen Patch bereitstellen konnte: eine in SharePoint Server, über die ein Angreifer ein System übernehmen konnte, ohne sich überhaupt anzumelden, eine weitere in Active Directory Federation Services, mit der ein bereits eingedrungener Angreifer direkt zu Administratorrechten aufsteigen konnte. Eine dritte Lücke, in BitLocker, war öffentlich bekannt, bevor überhaupt ein Patch existierte.

Die meisten kleinen Unternehmen lesen eine solche Schlagzeile, empfinden kurz Unbehagen und machen weiter, weil 622 eine abstrakte Zahl ist und nichts davon nach einer Aufgabe klingt, die ein Betrieb mit 20 Mitarbeitern persönlich angeht. Genau diese Reaktion ist das eigentliche Problem. Der Rekordmonat ist nur das Symptom. Das eigentliche Risiko steckt in den gewöhnlichen Monaten, in denen zwölf oder zwanzig Patches still erscheinen und niemand im Unternehmen die Aufgabe hat, sie tatsächlich einzuspielen.

Dieser Text erklärt, warum die Reaktionszeit wichtiger ist als die schiere Anzahl der Fehlerbehebungen, wie eine Patch-Routine für ein Unternehmen mit 10 bis 50 Mitarbeitenden konkret aussieht, und was Sie tun können, wenn ein System sich nicht sofort patchen lässt.

Warum die Größe des Updates weniger zählt als die Reaktionszeit

Ein "Zero-Day" bedeutet lediglich, dass Angreifer die Lücke fanden, bevor der Hersteller es tat, sodass selbst ein vorbildlich geführtes Unternehmen keinen Patch installieren konnte. Diese Fälle machen die Schlagzeilen. Die meisten Einbrüche entstehen aber nicht durch Zero-Days. Der Verizon Data Breach Investigations Report 2026 stellt fest, dass das Ausnutzen bekannter Schwachstellen, für die längst ein Patch existierte, gestohlene Passwörter als häufigsten Einstiegsweg abgelöst hat und inzwischen an rund 31 % aller Sicherheitsvorfälle beteiligt ist. Der Patch war da. Nur eingespielt hatte ihn niemand.

Diese Lücke zählt, weil Angreifer nach Veröffentlichung eines Patches schnell handeln. Ein Patch verrät öffentlich, was genau kaputt war, und ihn zurückzuentwickeln, um einen funktionierenden Exploit zu bauen, dauert inzwischen oft weniger als eine Woche. Ein Unternehmen, das einen kritischen Patch innerhalb weniger Tage einspielt, schließt das Zeitfenster, bevor die meisten Angreifer dort ankommen. Ein Unternehmen, das ihn erst einspielt, wenn gerade jemand Zeit findet, einen Monat später, beim nächsten geplanten Wartungsfenster, lässt genau das Zeitfenster offen, das jene Angreifer suchen, die Microsofts Sicherheitshinweis gelesen haben und gezielt nach Nachzüglern Ausschau halten.

Warum Patches gerade in kleinen Unternehmen liegen bleiben

Selten ist es ein technisches Problem. Es ist ein Zuständigkeitsproblem. Windows Update läuft auf einem Laptop und fragt nach einem Neustart; der Inhaber oder eine Mitarbeiterin klickt auf "Später erinnern", weil gerade etwas anderes ansteht, und drei Wochen vergehen. Ein Server-Update braucht ein Wartungsfenster, das niemand eingeplant hat, weil niemand dafür zuständig war. Eine betriebswichtige Anwendung läuft noch auf einer alten Framework-Version, also fürchtet die IT-Person, sofern es eine gibt, ein Update könnte etwas zerstören, und verschiebt es auf unbestimmte Zeit, statt es ordentlich zu testen.

Software von Drittanbietern macht es noch schlimmer. Windows- und Office-Updates bekommen wenigstens etwas Aufmerksamkeit, weil Microsoft ständig daran erinnert. Chrome, Adobe Reader, ein Buchhaltungsprogramm, ein CRM-Plugin, die Firmware des Routers, das alles wird nach der Installation kaum noch angerührt. Der Sophos State of Ransomware Report 2025 nennt ungepatchte Software als technische Ursache hinter 32 % aller Ransomware-Infektionen, und in den meisten dieser Fälle war nicht das Betriebssystem die betroffene Software.

Ein Managed-IT-Service existiert genau, um diese Lücke zu schließen: jemand, dessen Aufgabe es ist, den Patch-Status über jedes System hinweg zu verfolgen, nicht nur über die, an die Microsoft von selbst erinnert.

Wie eine funktionierende Patch-Routine aussieht

Dafür braucht es kein großes Budget und keine Vollzeitstelle. Es braucht vier Dinge, die schriftlich festgehalten und einer konkreten Person zugewiesen sind, statt als stille Annahme im Raum zu stehen, dass sich schon jemand darum kümmert.

Erstens: Eine Person oder ein Dienstleister ist für den Patch-Status über jedes Gerät und jeden Server verantwortlich, nicht nur für die, die von selbst nach Updates fragen. Zweitens: Patches werden gestaffelt eingespielt, eine kleine Testgruppe zuerst, der Rest folgt innerhalb eines festgelegten Zeitfensters, sobald nichts kaputtgegangen ist. Drittens: Dieses Zeitfenster hat echte, an die Schwere gekoppelte Fristen, nicht "irgendwann". Viertens: Vor jedem unternehmensweiten Update existiert ein aktuelles Backup, sodass ein fehlerhafter Patch ein Rollback bleibt und keine Krise wird.

Das muss nicht kompliziert sein. Es muss nur irgendwo anders existieren als im Kopf einer einzelnen Person, und jemand muss dafür verantwortlich sein zu prüfen, dass es auch wirklich passiert ist.

Was tun mit Systemen, die sich nicht schnell genug patchen lassen

Manche Updates können tatsächlich nicht am selben Tag eingespielt werden. Eine betriebswichtige Anwendung braucht vielleicht echte Tests, bevor ein Windows-Update den Server berührt, auf dem sie läuft, und diese Tests dauern länger als die 72 Stunden, die ein Zero-Day eigentlich verdient. Das ist eine berechtigte Einschränkung, keine Ausrede, um das Patchen ganz zu lassen, aber es bedeutet, dass das Unternehmen länger ein Risiko trägt, als ihm lieb ist.

Zwei Dinge verringern dieses Risiko, solange der Patch noch aussteht. Eine Microsoft 365 Sicherheitsanalyse prüft, ob kompensierende Maßnahmen wie Conditional Access, Multi-Faktor-Authentifizierung und eingeschränkte Administratorrechte bereits greifen, damit ein ungepatchtes System nicht gleichzeitig ein ungeschütztes ist. Und ein getesteter, funktionierender Backup- und Wiederherstellungsplan sorgt dafür, dass im schlimmsten Fall vor Einspielen des Patches das Unternehmen Stunden verliert, nicht seine Existenz.

Keines von beidem ersetzt das Patchen selbst. Beides ist der Unterschied zwischen einem verzögerten Patch als akzeptiertem, gesteuertem Risiko und einem, das niemand bemerkt hat, bis es zu spät war.

Was Microsoft für Sie patcht, und was weiterhin Ihre Aufgabe ist

Hier entsteht ein Großteil der Verwirrung. Wer sein Unternehmen mit Microsoft 365 und Standard-Azure-Diensten betreibt, dessen zugrunde liegende Plattform patcht Microsoft selbst: die Server hinter Exchange Online, die Infrastruktur hinter Teams, den Dienst hinter SharePoint Online. Diese Ebene fassen Sie nie an, und Sie müssen es auch nicht. Das ist ein echter Vorteil des Umzugs in die Cloud, und er ist real.

Aber kaum ein kleines Unternehmen läuft ausschließlich über Cloud-Dienste. Die SharePoint-Lücke vom Juli 2026, die ausgenutzt wurde, bevor ein Patch existierte, betraf SharePoint Server, also die Version, die auf eigener Hardware im Unternehmen installiert läuft, nicht SharePoint Online. Die AD-FS-Lücke traf Active Directory Federation Services, eine Infrastruktur, die Unternehmen vor Ort betreiben, um eigene Identitätssysteme mit Cloud-Logins zu verbinden. Viele kleine Unternehmen haben eines von beidem noch im Einsatz, oft vor Jahren von einem Dienstleister installiert, der längst nicht mehr zuständig ist, und läuft still in einem Serverraum, an den niemand mehr denkt, bis etwas schiefgeht.

Selbst wo wirklich alles cloudbasiert ist, verschwindet das Patchen nicht vollständig von Ihrem Tisch. Jeder Laptop, jedes Telefon und jeder Desktop Ihrer Mitarbeitenden braucht weiterhin ein gepatchtes Betriebssystem, einen gepatchten Browser und aktuell gehaltene Fachsoftware. Microsoft kann kein Gerät patchen, das es nicht verwaltet. Diese Verantwortung, und die September-, Oktober- und November-Serien gewöhnlicher, unspektakulärer Updates, die auf einen Rekordmonat wie den Juli folgen, liegt bei demjenigen, der für Ihre Endgeräte zuständig ist. Wenn dafür niemand benannt wurde, kümmert sich auch niemand darum.

Häufige Fragen

Müssen wir uns darum kümmern, wenn wir nur Cloud-Dienste wie Microsoft 365 nutzen?

Weniger als ein Unternehmen mit eigenen Servern, aber nicht gar nicht. Microsoft patcht die Cloud-Plattform selbst. Ihre Laptops, Telefone, Browser und jede lokal installierte Software bleiben weiterhin Ihre Verantwortung, oder die Ihres Dienstleisters, und genau das benennt die oben zitierte Sophos-Studie als üblichen Einstiegspunkt für Ransomware.

Wie schnell sollte ein kleines Unternehmen einen kritischen Sicherheitspatch tatsächlich einspielen?

Innerhalb weniger Tage für alles, was aktiv ausgenutzt wird, idealerweise innerhalb von 24 bis 72 Stunden, sobald bestätigt ist, dass kompensierende Maßnahmen wie Multi-Faktor-Authentifizierung und Conditional Access tatsächlich greifen. Für Patches, die als kritisch eingestuft sind, aber noch nicht aktiv ausgenutzt werden, ist eine Woche eine vertretbare Obergrenze, kein Monat.

Eine kurze Checkliste für diesen Monat

• Benennen Sie eine Person, intern oder extern, die für den Patch-Status über jedes Gerät, jeden Server und jede Drittanbieter-Anwendung zuständig ist.
• Prüfen Sie, wann die letzten Windows-, Office- und Browser-Updates tatsächlich installiert wurden, nicht nur genehmigt.
• Stellen Sie sicher, dass vor jedem unternehmensweiten Update ein funktionierendes Backup aus den letzten 24 Stunden existiert.
• Setzen Sie eine echte, schriftliche Frist für kritische und aktiv ausgenutzte Patches, nicht "so schnell wie möglich".
• Lassen Sie sich von Ihrem Dienstleister, falls vorhanden, den aktuellen Patch-Status über Ihre gesamte Geräteflotte zeigen, statt es einfach anzunehmen.