Die Sicherheit von Software zu erhalten ist ein Prozess, welcher kontinuierlicher Prüfung bedarf. Durch die zunehmende Komplexität und fehlende zeitlichen Ressourcen wird es jedoch immer schwieriger, relevante Problemstellen ausfindig zu machen. Dies betrifft vor allem das Patch-Management.

Laut unserer aktuellen Studie findet ein Großteil der IT- und Sicherheitsexperten Patches zu komplex, umständlich und zeitaufwendig. Während der Pandemie hat sich diese Tendenz sogar noch weiter verstärkt. So sind 57 Prozent aller Befragten der Meinung, dass die Komplexität und der Umfang des Patch-Managements mit der Remote-Arbeit gestiegen ist. Dies führt dazu, dass das Thema Patching bei den IT-Experten nicht nur unbeliebt geworden ist, sondern noch viel schlimmer, dass es zunehmend vernachlässigt wird.  

Das Hauptproblem vieler IT- und Sicherheitsexperten: es fehlen einfach die zeitlichen Ressourcen. Das Management und die Priorisierung von kritischen Problemstellen nehmen die meiste Zeit in Anspruch. Weitere zeitaufwendige Prozesse sind die Bereitstellung von Lösungen für fehlgeschlagene Patches sowie ihr Testen und schlussendlich die Koordination mit anderen Abteilungen.

Somit ist es nicht überraschend, dass fast die Hälfte aller Befragten IT-Experten der Meinung ist, dass aufgrund der Schwierigkeiten welche im Zusammenhang mit Patching auftreten, Patch-Management-Protokolle nicht ausreichen um Angriffe wirksam abzuwehren. 

Denn die Geschwindigkeit und Quantität von Angriffen auf potenzielle Schwachstellen nimmt exponentiell zu. Dies wird vor allem deutlich, wenn man bedenkt, dass es ca. 120 Tage dauert, bis Unternehmen einen verfügbaren Patch bereitstellen. Analysen von Rand Corporation zufolge, brauchen Angreifer dagegen lediglich 22 Tage, um nach der Schwachstellensichtung einen funktionierenden Exploit zu entwickeln.

Ein nennenswertes Beispiel in diesem Zusammenhang ist der berühmte WannaCry-Ransomware-Angriff, bei dem schätzungsweise 200.000 Computer in 150 Ländern verschlüsselt wurden. Hier wird das potenzielle Schadensausmaß von nicht rechtzeitig angewendeten Patches erst sichtbar. Dabei wurde der Patch für das Sicherheitsproblem bereits einige Monate vor dem ersten Vorfall zur Anwendung bereitgestellt. Und das erschreckende dabei: selbst nach mehreren Jahren haben zwei Drittel der beteiligten Unternehmen ihre Systeme noch nicht mit Patches ausgestattet.

Trotz dieser alarmierenden Ereignisse sind Unternehmen weltweit immer noch nicht ausreichend vor dem zerstörerischen Ausmaß von WannaCry-Ransomware-Angriffen geschützt. Seit Januar bis März 2021 ist die Zahl der von WannaCry-Ransomware betroffenen Organisationen um 53 Prozent gestiegen.

Die meisten Unternehmen verfügen nicht über den Überblick oder die Ressourcen, um aktuelle Bedrohungen wie Ransomware mit allen dazugehörigen ausgenutzten Schwachstellen in Verbindung zu bringen. Die Kombination aus risikobasierter Schwachstellenpriorisierung und automatisierter Patch Intelligence aber kann Schwachstellen offenlegen, die aktiv in Verbindung mit Ransomware ausgenutzt werden. So können IT- und Sicherheitsteams nahtlos Patches bereitstellen und Probleme lösen, die ein Risiko für Unternehmen darstellen 

Weitere Erkenntnisse und Ergebnisse gibt es hier: Download der Studie.