Microsoft Security Updates: Warum der monatliche Patch-Prozess saubere Priorisierung braucht

Microsoft veröffentlicht jeden zweiten Dienstag im Monat Sicherheitsupdates für Windows, Office, Exchange, Edge, Entra ID und weitere Produkte. Der Juni-Patchday 2026 brachte 198 Schwachstellen, davon 32 als kritisch eingestuft. Im Mittelpunkt stand CVE-2026-45648, ein Stack Buffer Overflow in Active Directory Domain Services, der Remote Code Execution auf Domain Controllern ermöglicht. Für Administratoren bedeutet das: Ein strukturierter Patch-Prozess ist keine Kür, sondern Pflicht.

Warum Priorisierung wichtig ist

Nicht jede der monatlich veröffentlichten Schwachstellen ist gleich dringend. Microsoft bewertet mit dem Severity Rating und Exploitability Index, aber die tatsächliche Priorität im eigenen Unternehmen hängt von drei Faktoren ab:

Ein Domänencontroller ist zwar nicht direkt aus dem Internet erreichbar, aber ein erfolgreicher Angriff bedeutet vollständige Übernahme der IT-Umgebung. Exchange-Server mit OWA-Freigabe sind dagegen direkt exponiert. Beide Kategorien haben höchste Priorität, aber aus unterschiedlichen Gründen.

Empfohlener Patch-Ablauf

Ein wiederholbarer Prozess funktioniert besser als improvisierte Reaktionen. Folgender Ablauf hat sich in KMU bewährt:

1. Microsoft Security Update Guide filtern: Nach eingesetzten Produkten filtern und kritische Updates identifizieren. Den CISA-KEV-Katalog parallel prüfen.
2. Serverrollen und Exposition bewerten: Welche Systeme sind internet-exponiert? Welche Systeme tragen hohe Rechte (Domänencontroller, Exchange, RDS)?
3. Testgruppe definieren: Ein oder zwei weniger kritische Systeme zuerst patchen, um Nebenwirkungen zu erkennen.
4. Patch produktiv ausrollen: Nach erfolgreicher Testphase auf die restlichen Systeme ausrollen, mit Wartungsfenstern und dokumentiertem Reboot.
5. Nachkontrolle: Fehlgeschlagene Updates und ausstehende Reboots im Monitoring erfassen. Ein nicht installiertes Update ist schlimmer als keins, weil es ein falsches Sicherheitsgefühl erzeugt.
6. Forensik bei aktiven Angriffen: Wenn eine Lücke bereits aktiv ausgenutzt wird, nach dem Patch auf Kompromittierungszeichen prüfen. CISA nennt das Forensics Triage.

Besondere Situationen

Nicht immer reicht der monatliche Zyklus. Wenn CISA eine Lücke in den KEV-Katalog aufnimmt oder Hersteller vor aktiver Ausnutzung warnen, muss außerplanmäßig gepatcht werden. Ein Beispiel war CVE-2026-42897 in Exchange OWA, bei dem Zero-Day-Angriffe bereits beobachtet wurden, bevor Microsoft den Patch veröffentlichte. In solchen Fällen gilt: sofort patchen, danach forensische Prüfung.

Exchange Server und Active Directory Domain Services verdienen besondere Aufmerksamkeit. Ein kompromittierter Domänencontroller bedeutet Vollzugriff auf das gesamte Netzwerk. Ein kompromittierter Exchange-Server bedeutet Zugriff auf alle E-Mails, Kalender und Kontakte. Diese Systeme sollten immer in der ersten Patch-Welle sein.

Passende Anleitungen auf S-EDV

1. Microsoft Patchday Juni 2026: CVE-2026-45648 – Kritische RCE-Lücke in Active Directory – Detaillierte Analyse des aktuellen Patchday.
2. Windows LAPS mit Entra ID und Intune – Schutz lokaler Administratorkonten als Ergänzung zum Patchmanagement.
3. Active Directory: Domäne einrichten – Grundlagen für einen sauberten AD-Betrieb.

Quellen

1. Microsoft Security Update Guide
2. Microsoft Security Blog
3. CISA Known Exploited Vulnerabilities Catalog