Modul 5 · 5.1
Updates und veraltete Software
Modul 5: Geräte, Software und Netzwerk · Lesezeit: 10 Minuten
Lernziel: Nach dieser Lektion können Sie eine Updaterichtlinie für Betriebssysteme, Apps, Plugins, Router und andere Geräte aufstellen und erklären, was "Supportende" bedeutet und was Sie dann tun sollten.
Kernbegriffe: Schwachstelle, Patch, Zero-Day, automatische Updates, Firmware, Plugin, Inventar, Supportende (End of Life), Randgerät (Edge Device)
Ein Update ist ein Schloss, das Sie nachrüsten
Software enthält Fehler. Manche Fehler sind nur lästig (ein Button, der nicht funktioniert), andere sind eine Schwachstelle: ein Fehler, mit dem ein Angreifer etwas tun kann, was nicht vorgesehen ist, zum Beispiel sich ohne Passwort anmelden oder eigenen Code ausführen lassen. Der Hersteller behebt das mit einem Patch, der bei Ihnen als Update ankommt.
Das Tückische liegt in der Reihenfolge. Sobald ein Update erscheint, ist die Schwachstelle praktisch öffentlich. Angreifer vergleichen die alte und die neue Version, sehen, was repariert wurde, und bauen darauf einen Angriff. Danach durchsuchen sie automatisch das gesamte Internet nach Geräten, die das Update noch nicht haben. Das ist genau der opportunistische Angriff aus Lektion 1.1: Sie suchen nicht gezielt Sie, sie suchen jeden, der hinterherhinkt.
Ein Zero-Day ist eine Schwachstelle, die bereits ausgenutzt wird, bevor es einen Patch gibt. Dagegen können Sie wenig tun, ausser den Empfehlungen des Herstellers zu folgen und den Schaden zu begrenzen (Backups, minimale Rechte). Aber der weitaus grösste Teil der Einbrüche bei kleinen Unternehmen geschieht über Schwachstellen, für die das Update längst bereitstand.
Die frühere Digital Trust Center, inzwischen Teil des niederländischen NCSC, stellte 2024 in seinem CyberVeilig Check fest, dass bei mehr als einem von drei kleinen Unternehmen (36 %) nicht auf allen internetfähigen Geräten automatische Updates aktiviert waren. Die Empfehlung des BSI ist einfach: Warten Sie mit dem Aktualisieren nicht, und aktivieren Sie automatische Updates, wo immer möglich.
Was haben Sie eigentlich? Das Inventar
Sie können nicht aktualisieren, was Sie vergessen haben. Die meisten Unternehmen denken bei Updates an Laptops und Telefone, aber die gefährlichsten Geräte sind oft die stillen:
| Art | Beispiele | Wie es üblicherweise aktualisiert wird |
|---|---|---|
| Computer und Telefone | Windows, macOS, Linux, Android, iOS | Automatisch, wenn Sie es aktivieren und den Neustart nicht endlos aufschieben |
| Programme und Apps | Browser, Office-Paket, PDF-Reader, Buchhaltungs-App | Oft automatisch; einzelne Programme manchmal nicht |
| Website | CMS, Plugins, Themes, PHP-Version | Teils automatisch; Plugins und Themes oft manuell |
| Netzwerkgeräte | Router, Modem, WLAN-Access-Points, Firewall, VPN-Server | Firmware, oft manuell oder über den Provider |
| Randgeräte | NAS, Netzwerkdrucker, IP-Kamera, intelligente Türklingel, Alarmanlage, Kassensystem | Firmware, oft manuell, manchmal nie |
| Cloud-Dienste | E-Mail, Buchhaltung, Webshop-Plattform | Der Anbieter aktualisiert; Sie verwalten die Einstellungen |
Geräte, die direkt am Internet hängen und von aussen erreichbar sind (Router, VPN-Server, NAS mit Fernzugriff, Kamera), nennen wir Randgeräte (Edge Devices). Diese sind am häufigsten Ziel, weil ein Angreifer ohne Klick eines Mitarbeiters an sie herankommt. Ein anonymisiertes Beispiel: Ein Steuerberatungsbüro hatte an einem NAS "Zugriff von überall" aktiviert. Der Hersteller brachte ein Sicherheitsupdate heraus, das Büro installierte es nicht, und einige Wochen später waren alle Dateien auf dem NAS verschlüsselt. Niemand hatte auf etwas geklickt.
Eine Updaterichtlinie in fünf Absprachen
Eine Richtlinie muss kein zehnseitiges Dokument sein. Für ein kleines Unternehmen funktionieren diese Absprachen:
- Automatisch, wo immer möglich. Aktivieren Sie automatische Updates für Betriebssysteme, Browser, Apps und, wo möglich, für CMS und Plugins sowie für die Firmware von Router und NAS.
- Neustart gehört dazu. Viele Updates wirken erst nach einem Neustart. Vereinbaren Sie, dass jeder mindestens einmal pro Woche neu startet, und schieben Sie einen Neustart nicht wochenlang auf.
- Randgeräte zuerst. Prüfen Sie bei Geräten, die von aussen erreichbar sind, selbst, ob es Updates gibt, zum Beispiel einmal im Monat, und installieren Sie ein Sicherheitsupdate innerhalb weniger Tage. Warnt der Hersteller oder das BSI vor aktiver Ausnutzung, dann noch am selben Tag.
- Ein Verantwortlicher pro Gerät. Im Inventar steht pro Zeile, wer es aktualisiert: Sie selbst, ein Kollege, Ihr IT-Dienstleister oder Ihr Webentwickler. Steht dort niemand, dann macht es auch niemand.
- Was nicht mehr gebraucht wird, verschwindet. Ein Plugin, das Sie nicht nutzen, ein alter Laptop im Schrank, der noch ans Netzwerk geht, eine Testseite auf einer Subdomain: entfernen Sie es, dann müssen Sie es auch nicht aktualisieren.
Sind Sie unsicher, ob ein Update etwas kaputt macht? Erstellen Sie zuerst ein Backup (Modul 6) und aktualisieren Sie dann. Ein Update aus Angst vor Problemen nicht zu installieren, ist fast immer das grössere Risiko.
Supportende: wenn keine Updates mehr kommen
Jede Version von Software oder Firmware hat ein Enddatum. Danach liefert der Hersteller keine Sicherheitsupdates mehr. Das heisst Supportende (End of Life, EOL). Das Gerät funktioniert noch ganz normal, und genau das ist das Tückische: Niemand merkt etwas, während jede neue Schwachstelle für immer offen bleibt.
Beispiele:
- Windows 10. Der reguläre Support endete am 14. Oktober 2025. Danach gibt es nur noch Sicherheitsupdates über das ESU-Programm von Microsoft, mit Enddaten, die je nach Situation unterschiedlich sind. Sehen Sie auf der Website von Microsoft nach, was für Ihre Geräte gilt, und planen Sie den Umstieg auf eine unterstützte Version oder ein anderes Gerät.
- PHP und andere Website-Sprachen. Jede PHP-Version erhält einige Jahre lang Sicherheitsupdates. Läuft Ihre Website auf einer alten Version, ist der Server vielleicht sicher, Ihre Website aber nicht.
- Router, NAS und Kameras. Günstige Geräte erhalten manchmal nur wenige Jahre lang Firmware-Updates, manchmal gar keine. Das BSI empfiehlt, vor dem Kauf zu prüfen, wie lange der Hersteller das Gerät unterstützt, und Geräte, die keine Updates mehr erhalten, zu ersetzen.
- Plugins und Themes. Ein Plugin, dessen Entwickler aufgehört hat, erhält keine Fixes mehr. Suchen Sie einen Ersatz.
Können Sie etwas nicht sofort ersetzen, begrenzen Sie das Risiko: Nehmen Sie es vom Internet, platzieren Sie es in einem separaten Netzwerk (Lektion 5.3), und geben Sie ihm keinen Zugriff auf wichtige Daten.
Sicher aktualisieren: nur über den offiziellen Weg
Angreifer missbrauchen auch das Wort "Update". Ein Pop-up auf einer Website "Ihr Browser ist veraltet, laden Sie hier das Update herunter" oder eine E-Mail "installieren Sie das Sicherheitsupdate im Anhang" ist fast immer Malware. Echte Updates kommen über das Betriebssystem, den App Store, die Update-Funktion im Programm selbst oder die Website des Herstellers. Niemals über einen Link in einer E-Mail oder ein Pop-up auf einer beliebigen Seite.
In der Praxis: so sieht es aus
Bei einem Hostingpaket mit DirectAdmin, wie bei WebOké, wählen Sie die PHP-Version Ihrer Website über Select PHP version. Möchten Sie vor dem Aktualisieren Ihrer Website oder Plugins zuerst ein Backup erstellen, geht das zum Beispiel in Installatron mit der Schaltfläche Back-up, wonach Sie bei Problemen die vorherige Version wiederherstellen. Bei anderen Anbietern funktioniert es ähnlich: Suchen Sie nach "PHP-Version" und nach der Backup- oder Staging-Funktion Ihres CMS.
Bei Computern und Telefonen finden Sie die Update-Funktion in den Einstellungen des Betriebssystems. Für Ihren Router schauen Sie in die Verwaltungsseite (die Adresse steht im Handbuch oder auf dem Aufkleber des Routers) oder in die App Ihres Providers.
Zusammenfassung
- Ein Update schliesst eine bekannte Schwachstelle; nach dessen Erscheinen durchsuchen Angreifer das Internet nach allen, die hinterherhinken.
- Erstellen Sie ein Inventar, auch von Router, NAS, Drucker, Kameras, Website und Plugins, mit einem Verantwortlichen pro Zeile.
- Automatisch aktualisieren, wo immer möglich, Neustart gehört dazu, Randgeräte zuerst und schnell.
- Supportende bedeutet: keine Sicherheitsupdates mehr. Ersetzen oder vom Netz trennen und abschirmen.
- Updates nur über den offiziellen Weg, niemals über ein Pop-up oder eine E-Mail.
Quiz
Aufgabe
Aufgabe D5.1: Ihre Update-Inventur. Erstellen Sie eine Liste all Ihrer Geräte und Software, einschliesslich Router, NAS, Drucker, Kameras, Website und Plugins. Notieren Sie pro Zeile die Version, ob automatische Updates aktiviert sind, wer verantwortlich ist und ob es noch unterstützt wird. Aktualisieren Sie, was hinterherhinkt, und beantworten Sie die Reflexionsfragen.
Aufgabe D5.1: Ihre Update-Inventur
So gehen Sie vor: (1) Erstellen Sie eine Tabelle mit den Spalten: Gerät oder Software, Art (Computer, Telefon, Programm, Website, Netzwerk, Peripheriegerät, Clouddienst), Version, automatische Updates (ja/nein/nicht möglich), Verantwortlicher (wer ist zuständig), noch unterstützt (ja/nein/unbekannt), von aussen erreichbar (ja/nein). Eine Vorlage zum Herunterladen (CSV oder Tabellenkalkulation) finden Sie bei der Aufgabe. (2) Gehen Sie Ihr Büro und Homeoffice-Arbeitsplätze durch. Vergessen Sie nicht: Router und Modem, WLAN-Access-Points, NAS, Netzwerkdrucker, IP-Kameras, smarte Türklingel oder Alarmanlage, Kassensystem, den alten Laptop im Schrank, Ihre Website mit CMS, Plugins und Themes, die PHP-Version Ihres Hostingpakets. (3) Prüfen Sie für jedes Gerät auf der Website des Herstellers, bis wann es Updates erhält. Für Windows 10: Schauen Sie auf der Lebenszyklus-Seite von Microsoft nach, was für Ihre Geräte gilt. (4) Aktivieren Sie automatische Updates, wo immer möglich. Installieren Sie ausstehende Updates, Peripheriegeräte zuerst. Starten Sie anschliessend neu. (5) Markieren Sie alles, was keine Updates mehr erhält, und legen Sie pro Zeile fest: ersetzen (mit Datum), vom Internet trennen, oder separates Netzwerk (Lektion 5.3).
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.
- DirectAdmin Anleitung 14.1: Die PHP-Version auswählen (Select PHP version)
- DirectAdmin Anleitung 13.6: Backups erstellen und wiederherstellen in Installatron
- Niederländisches NCSC, Ein Drittel der kleinen Unternehmen führt keine automatischen Updates durch: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
- BSI, Patchmanagement einrichten: https://www.bsi.bund.de/
- BSI, Grundlegende Sicherheitsmassnahmen für smarte Geräte: https://www.bsi.bund.de/
- Microsoft, Lebenszyklus von Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro