Patch Management bezeichnet den geregelten Ablauf, mit dem ein Unternehmen verfügbare Updates erfasst, bewertet, testet, ausrollt und den Erfolg kontrolliert. Nötig ist das, weil unkoordiniertes Aktualisieren zwei Fehler erzeugt: Systeme bleiben ungepatcht, weil sich niemand zuständig fühlt, oder ein Update legt eine Fachanwendung lahm, weil es ungeprüft eingespielt wurde.
Der Ablauf beginnt beim Bestandsverzeichnis, denn nur was erfasst ist, kann gepatcht werden, und gerade Nebenschauplätze wie Netzwerkgeräte, Drucker, Kameras und Fernwartungszugänge fallen regelmäßig heraus. Bewertet wird nach Dringlichkeit, wofür Schweregrade wie der CVSS-Wert und die Frage dienen, ob die Lücke bereits aktiv ausgenutzt wird; kritische Fälle rechtfertigen ein Einspielen außerhalb des Turnus. Für Systeme, die aus betrieblichen Gründen nicht zeitnah aktualisiert werden können, braucht es dokumentierte Ersatzmaßnahmen, etwa Netzwerktrennung oder eingeschränkte Erreichbarkeit.
Rechtlich zählt ein funktionierender Update-Prozess zum Stand der Technik und damit zu den angemessenen Maßnahmen nach Art. 32 DSGVO; im Schadensfall ist er einer der ersten Punkte, nach denen Aufsicht und Versicherung fragen.