Software-Updates gelten als unverzichtbar für die IT-Sicherheit. Gleichzeitig können sie neue Schwachstellen verursachen oder sogar komplette Systeme destabilisieren. Der IT-Dienstleister Avision beschreibt vier zentrale Widersprüche im Umgang mit Updates und zeigt, warum Unternehmen zwischen Sicherheit, Stabilität und Verfügbarkeit permanent abwägen müssen. Zudem nennt das Unternehmen Best Practices für ein kontrolliertes Update-Management.
Software-Updates gehören zu den wichtigsten Maßnahmen, um IT-Systeme gegen Angriffe abzusichern. Sicherheitslücken werden geschlossen, Anwendungen modernisiert und Systeme auf dem aktuellen Stand gehalten. Gleichzeitig bergen Updates jedoch selbst Risiken – etwa durch neue Fehler, unerwartete Nebenwirkungen oder fehlerhafte Rollouts. Unternehmen stehen deshalb vor einem permanenten Spannungsfeld: Einerseits müssen sie schnell reagieren, andererseits dürfen Stabilität und Verfügbarkeit nicht gefährdet werden.
Der IT-Dienstleister Avision hat vier zentrale Widersprüche identifiziert, die den Umgang mit Updates prägen.
Updates reduzieren bekannte Risiken, können aber zugleich neue Schwachstellen schaffen. Jede Änderung an bestehender Software – unabhängig davon, ob es sich um Fehlerkorrekturen, Funktionsanpassungen oder Erweiterungen handelt – verändert bestehende Systemstrukturen. Dadurch entstehen potenziell neue Angriffsflächen oder unerwartete Nebeneffekte. Sicherheit bleibt damit kein statischer Zustand, sondern muss mit jedem Update neu bewertet werden.
Hinzu kommt ein weiteres Problem: Sobald eine Schwachstelle öffentlich bekannt wird und ein Hersteller einen Patch bereitstellt, beginnt häufig ein Wettlauf gegen die Zeit. Angreifer analysieren veröffentlichte Updates gezielt, um daraus neue Exploits abzuleiten. Je bekannter eine Schwachstelle wird, desto größer kann somit kurzfristig das Risiko werden. Fälle wie „CrackArmor“ zeigen laut Avision, wie klein das Zeitfenster zwischen Veröffentlichung eines Patches und ersten Angriffen sein kann.
Sicherheitssoftware als besonders sensibler Faktor
Besonders kritisch sind Updates bei Sicherheitssoftware. Anwendungen aus diesem Bereich benötigen weitreichende Systemrechte, um Schutzfunktionen ausführen zu können. Genau diese hohen Berechtigungen erhöhen jedoch gleichzeitig die Risiken. Fehlerhafte oder manipulierte Updates können sich dadurch systemweit auswirken.
Avision verweist in diesem Zusammenhang auf das Beispiel „Trivy“. Sicherheitslösungen verändern mit jedem Patch potenziell hochsensible Zugriffspunkte im System. Fehler in diesem Bereich können deshalb weitreichendere Folgen haben als bei gewöhnlicher Standardsoftware.
Ein zusätzliches Risiko entsteht durch fehlerhafte Rollouts. Während Cyberangriffe häufig gezielt einzelne Systeme betreffen, können problematische Updates ganze Infrastrukturen gleichzeitig beeinträchtigen. Der CrowdStrike-Vorfall aus dem Jahr 2024 gilt hierfür als prominentes Beispiel. Ein einzelnes fehlerhaftes Update führte damals weltweit zu massiven Ausfällen von IT-Systemen.
Balance zwischen Aktualität und Stabilität
Für Unternehmen bedeutet dies, dass Updates nicht ausschließlich unter Sicherheitsaspekten betrachtet werden dürfen. Ebenso wichtig sind kontrollierte Prozesse, Tests und Rückfallmechanismen.
Quelle: Avision„Auch wenn es keine ultimative Lösung für das allgemeine Update-Paradoxon gibt, so können Unternehmen dennoch einige Best Practices aus vergangenen Vorfällen ableiten. Dazu gehört etwa die Absicherung größerer Updates durch Backups sowie die Möglichkeit, im Fehlerfall schnell auf eine vorherige Version zurückzukehren. Ebenso sinnvoll ist es, Release Notes und Rückmeldungen aus der Community zu prüfen, um bekannte Probleme frühzeitig zu erkennen, sowie Updates zunächst in sicheren Testumgebungen zu validieren. Aber auch eine risikobasierte Bewertung ist entscheidend: Kritische Systeme sollten in der Regel schnell aktualisiert werden, während weniger exponierte Systeme gegebenenfalls zunächst beobachtet und zeitlich gestaffelt aktualisiert werden können. Im Nachhinein lassen sich solche Entscheidungen meist einfach bewerten, in der Praxis bleibt es jedoch auch weiterhin eine kontinuierliche Abwägung zwischen Sicherheit, Stabilität und Verfügbarkeit“, erklärt Nadine Riederer, CEO von Avision.
Zu den empfohlenen Maßnahmen zählen laut Avision insbesondere:
- Backups vor größeren Updates erstellen
- Rollback-Möglichkeiten vorbereiten
- Release Notes und Community-Feedback prüfen
- Updates zunächst in Testumgebungen validieren
- Systeme nach Kritikalität priorisieren
- Rollouts zeitlich gestaffelt durchführen
Unternehmen werden sich daher auch künftig mit der grundlegenden Widersprüchlichkeit von Software-Updates auseinandersetzen müssen. Denn dieselben Mechanismen, die Systeme schützen sollen, können unter bestimmten Umständen selbst zur Ursache neuer Risiken werden.
Weitere Informationen zu Avision finden Sie hier.