Fast 1.000 geschlossene Sicherheitslücken, zwei bereits aktiv ausgenutzte Schwachstellen und nur wenige Tage später außerplanmäßige Korrekturen für Probleme mit Remotedesktopdiensten.
Der Microsoft-Patchday im September 2026 zeigt ziemlich anschaulich, warum Updates für Unternehmen längst mehr sind als die Frage, ob Windows nachts automatisch neu startet.
Denn grundsätzlich gilt natürlich: Sicherheitsupdates sollten möglichst schnell installiert werden.
In einer Unternehmensumgebung kommt aber eine zweite Frage hinzu: Was passiert eigentlich, wenn genau dieses Update anschließend einen zentralen Dienst lahmlegt?
Genau an diesem Punkt beginnt professionelles Patch-Management.
Fast 1.000 Sicherheitslücken in einem Monat
Der September 2026 war für Microsoft ein ungewöhnlich umfangreicher Patch-Monat. Über verschiedene Microsoft-Produkte hinweg wurden fast 1.000 Sicherheitslücken adressiert.
Besonders relevant für Unternehmen: Zwei Schwachstellen wurden zum Zeitpunkt der Veröffentlichung bereits aktiv für Angriffe ausgenutzt.
Das bedeutet nicht, dass jedes Unternehmen unmittelbar gefährdet war. Es zeigt aber sehr deutlich, warum das dauerhafte Aufschieben von Sicherheitsupdates keine gute Strategie ist.
Sobald eine Schwachstelle öffentlich dokumentiert und ein Update verfügbar ist, beginnt im Grunde ein Wettlauf.
Administratoren versuchen, betroffene Systeme zu aktualisieren. Gleichzeitig analysieren Sicherheitsforscher und Angreifer, was genau verändert wurde und welche Systeme möglicherweise weiterhin verwundbar sind.
Ein Rechner, der seit Monaten keine Updates erhalten hat, wird dadurch nicht automatisch morgen angegriffen. Das Risiko wächst aber mit jeder bekannten und ungepatchten Schwachstelle.
Für Unternehmen kommt erschwerend hinzu, dass heute kaum noch ein Arbeitsplatz isoliert arbeitet.
Ein PC hat Zugriff auf E-Mails, Netzlaufwerke, Microsoft 365, Cloudspeicher, Kundendaten, Buchhaltung oder branchenspezifische Anwendungen. Ein kompromittierter Arbeitsplatz kann deshalb schnell zum Ausgangspunkt für ein wesentlich größeres Problem werden.
Dann machte ausgerechnet das Sicherheitsupdate selbst Probleme
Interessant wurde der September-Patchday wenige Tage später aus einem anderen Grund.
Nach der Installation der September-Updates konnten in bestimmten Umgebungen Probleme mit den Microsoft Remotedesktopdiensten auftreten.
RDP-Verbindungen und Anmeldungen konnten fehlschlagen. Einige Server reagierten während der Remotedesktopkonfiguration nicht mehr zuverlässig. Auch Verwaltungswerkzeuge konnten betroffen sein.
Microsoft veröffentlichte daraufhin am 14. September außerplanmäßige Updates, sogenannte Out-of-Band-Updates, um die Probleme zu korrigieren.
Und genau dieser Vorgang ist für Unternehmen eigentlich interessanter als die reine Zahl der geschlossenen Sicherheitslücken.
Er zeigt nämlich das Dilemma moderner IT sehr schön:
Ein wichtiges Sicherheitsupdate nicht zu installieren kann riskant sein. Es völlig unkontrolliert auf sämtliche Systeme auszurollen kann ebenfalls Probleme verursachen.
Die richtige Antwort liegt irgendwo dazwischen.
Automatische Windows-Updates sind noch kein Patch-Management
Bei einem privaten Notebook funktioniert das Prinzip meistens gut.
Windows meldet ein Update, der Rechner startet neu und anschließend arbeitet man weiter.
In einem Unternehmen sieht die Situation häufig anders aus.
Vielleicht laufen zehn, zwanzig oder hundert Arbeitsplätze im Netzwerk. Dazu kommen Server, virtuelle Maschinen, Microsoft 365, Drucksysteme, VPN-Zugänge, Terminalserver, Fachanwendungen, Backup-Software und weitere Dienste.
Plötzlich hängt an einem scheinbar simplen Update deutlich mehr.
Ein Beispiel:
Ein Unternehmen arbeitet hauptsächlich über einen Terminalserver. Zwanzig Mitarbeiter melden sich jeden Morgen dort an. Wird das Windows-Update nachts automatisch installiert und funktioniert danach der Remotedesktopdienst nicht mehr, betrifft das nicht einen PC.
Im schlimmsten Fall können am nächsten Morgen zwanzig Mitarbeiter nicht arbeiten.
Das ist der Unterschied zwischen einem Windows-Update und Patch-Management.
Beim Patch-Management geht es nicht nur darum, dass ein Update installiert wird. Es geht auch darum, wann, wo und unter welchen Bedingungen es installiert wird.
Welche Systeme sind überhaupt betroffen?
Das klingt banal, ist in vielen gewachsenen IT-Umgebungen aber bereits die erste Herausforderung.
Welche Rechner befinden sich im Unternehmen?
Welche Windows-Versionen laufen darauf?
Gibt es Geräte, die nur selten eingeschaltet werden?
Welche Server sind vorhanden?
Welche Anwendungen sind für den täglichen Betrieb besonders wichtig?
Welche Systeme können problemlos neu gestartet werden und bei welchen würde ein Ausfall sofort den Geschäftsbetrieb beeinträchtigen?
Je größer ein Unternehmen wird, desto schwieriger ist es, diese Fragen aus dem Kopf zu beantworten.
Deshalb gehören Inventarisierung, Dokumentation und Monitoring unmittelbar zu einer professionell betriebenen IT-Infrastruktur.
Nur wer weiß, welche Systeme vorhanden sind, kann sie auch zuverlässig aktualisieren.
Nicht jedes Update hat dieselbe Priorität
Auch Sicherheitsupdates unterscheiden sich.
Eine Schwachstelle, die bereits aktiv ausgenutzt wird, muss anders bewertet werden als ein Fehler, der nur unter sehr speziellen Bedingungen relevant ist.
Gleichzeitig gibt es Systeme, die von außen erreichbar sind und deshalb eine höhere Priorität besitzen können als ein isolierter Arbeitsplatzrechner.
Ein vernünftiger Update-Prozess betrachtet deshalb mehrere Faktoren:
Wie kritisch ist die Schwachstelle?
Wird sie bereits aktiv ausgenutzt?
Welche Systeme sind betroffen?
Ist ein Neustart notwendig?
Sind bereits Probleme mit dem Update bekannt?
Welche Auswirkungen hätte ein Ausfall des Systems?
Diese Bewertung muss bei einem kleinen Handwerksbetrieb natürlich nicht aussehen wie in einem internationalen Konzern.
Das Prinzip bleibt trotzdem dasselbe.
Kritische Systeme brauchen mehr Aufmerksamkeit
Besonders wichtig wird das bei zentralen Systemen.
Ein Update auf einem einzelnen Arbeitsplatz kann ärgerlich sein.
Ein fehlerhaftes Update auf einem Terminalserver, Domain Controller, Fileserver oder zentralen Anwendungssystem kann dagegen einen kompletten Standort betreffen.
Deshalb kann es sinnvoll sein, verschiedene Systeme unterschiedlich zu behandeln.
Arbeitsplätze können beispielsweise innerhalb eines definierten Zeitfensters automatisiert aktualisiert werden. Kritische Server werden dagegen kontrollierter aktualisiert und anschließend überprüft.
Das Ziel ist nicht, Updates künstlich hinauszuzögern.
Das Ziel ist ein kontrollierter Prozess.
Ein Backup gehört zur Update-Strategie
Backups werden meistens mit Hardwaredefekten, Ransomware oder versehentlich gelöschten Dateien in Verbindung gebracht.
Sie spielen aber auch bei Wartung und Updates eine wichtige Rolle.
Bevor an einem geschäftskritischen System größere Änderungen vorgenommen werden, sollte klar sein, wie der vorherige Zustand wiederhergestellt werden kann.
Und genau hier gibt es einen wichtigen Unterschied:
Ein vorhandenes Backup ist noch lange kein funktionierendes Backup.
Datensicherungen sollten überwacht werden.
Sind die letzten Sicherungsläufe erfolgreich gewesen?
Werden die richtigen Daten gesichert?
Ist genügend Speicher vorhanden?
Sind Sicherungen vor Manipulation geschützt?
Und vor allem: Wurde eine Wiederherstellung überhaupt schon einmal getestet?
Eine grüne Anzeige in einer Backup-Software ist beruhigend. Entscheidend ist aber, ob sich die Daten im Ernstfall tatsächlich wiederherstellen lassen.
Nach dem Update ist die Arbeit noch nicht unbedingt erledigt
Ein Rechner startet wieder. Das Update wurde installiert. Fertig?
Nicht immer.
Gerade bei Servern oder zentralen Diensten sollte anschließend geprüft werden, ob die wichtigsten Funktionen weiterhin verfügbar sind.
Ist der Server erreichbar?
Funktionieren die benötigten Dienste?
Können sich Benutzer anmelden?
Läuft die Fachanwendung?
Sind Backup-Jobs weiterhin erfolgreich?
Gibt es ungewöhnliche Fehlermeldungen?
Genau dabei hilft Remote Monitoring.
Statt darauf zu warten, dass am nächsten Morgen der erste Mitarbeiter anruft, weil etwas nicht funktioniert, können viele Probleme bereits durch die Überwachung der Systeme erkannt werden.
Idealerweise bemerkt die IT ein Problem, bevor der Anwender überhaupt weiß, dass es existiert.
Warum dieses Thema gerade für kleine und mittlere Unternehmen relevant ist
Große Unternehmen besitzen eigene IT-Abteilungen, Security-Teams und definierte Wartungsprozesse.
In kleinen und mittelständischen Unternehmen sieht es häufig anders aus.
Dort ist IT historisch gewachsen.
Am Anfang gibt es vielleicht fünf Rechner, einen Router und Microsoft 365.
Einige Jahre später arbeiten zwanzig Mitarbeiter mit mehreren Servern, Cloud-Diensten, mobilen Geräten, Homeoffice-Zugängen, Fachanwendungen und verschiedenen Standorten.
Die Infrastruktur wächst schrittweise.
Die Betreuung wächst aber nicht unbedingt mit.
Updates werden installiert, wenn jemand daran denkt. Backups laufen irgendwo im Hintergrund. Administratorrechte besitzen mehrere Mitarbeiter, weil irgendwann einmal schnell etwas installiert werden musste. Dokumentation gibt es teilweise nur im Kopf einer Person.
Das funktioniert häufig erstaunlich lange.
Bis etwas passiert.
Professionelle IT-Betreuung bedeutet deshalb nicht zwangsläufig, alles neu zu kaufen oder die komplette Infrastruktur umzubauen.
Der erste Schritt besteht häufig einfach darin, Ordnung und Transparenz in die vorhandene Umgebung zu bringen.
Was Managed Services damit zu tun haben
Der Begriff Managed Services klingt zunächst größer, als er eigentlich ist.
Im Kern bedeutet er, dass bestimmte IT-Aufgaben nicht erst dann erledigt werden, wenn ein Problem entstanden ist.
Stattdessen werden Systeme dauerhaft betreut und überwacht.
Dazu können zum Beispiel Patch-Management, Remote Monitoring, Backup-Überwachung, Endpoint-Security, Microsoft-365-Administration, Serverbetreuung und Anwendersupport gehören.
Der Unterschied zum klassischen IT-Support liegt vor allem im Zeitpunkt.
Beim klassischen Modell passiert etwas und anschließend wird ein Techniker angerufen.
Beim Managed-Service-Modell versucht die IT bereits vorher zu erkennen, dass etwas passieren könnte.
Updates sind dafür ein gutes Beispiel.
Das Ziel ist nicht:
„Der Kunde meldet, dass seit dem Update niemand mehr auf den Server kommt.“
Besser wäre:
„Auf dem System steht ein sicherheitskritisches Update an. Für vergleichbare Umgebungen wurden Probleme gemeldet. Wir prüfen die Situation und steuern die Installation entsprechend.“
Das ist ein grundsätzlich anderer Ansatz.
Managed Services in Wuppertal: IT betreuen statt nur reparieren
Für Unternehmen in Wuppertal und dem Bergischen Land kommt noch ein weiterer Punkt hinzu.
Viele Aufgaben moderner IT lassen sich heute problemlos remote erledigen.
Patch-Management, Monitoring, Microsoft 365, Benutzerverwaltung, Backup-Kontrolle und ein großer Teil des Supports benötigen keinen Techniker, der jedes Mal ins Auto steigt.
Trotzdem gibt es Situationen, in denen jemand vor Ort benötigt wird.
Ein Switch fällt aus.
Eine Firewall muss ersetzt werden.
Neue Arbeitsplätze werden eingerichtet.
Ein Standort zieht um.
Das WLAN funktioniert in einem Gebäudeteil nicht zuverlässig.
Deshalb kann die Kombination aus Remote Management und regionaler Betreuung sinnvoll sein.
Innovate Systems betreut als IT-Systemhaus in Wuppertal kleine und mittelständische Unternehmen in Wuppertal, Remscheid, Solingen und weiteren Teilen Nordrhein-Westfalens.
Viele alltägliche Aufgaben werden zentral und remote erledigt. Wenn ein Problem tatsächlich Hardware, Netzwerk oder Infrastruktur vor Ort betrifft, ist gleichzeitig ein regionaler Ansprechpartner verfügbar.
Braucht jedes Unternehmen Managed Services?
Nein.
Ein Unternehmen mit zwei Arbeitsplätzen, einer einfachen Cloudlösung und wenigen Anwendungen benötigt nicht automatisch eine umfangreiche Managed-Service-Struktur.
Es wäre wenig sinnvoll, technische Komplexität zu erzeugen, wo sie überhaupt nicht notwendig ist.
Mit der Größe und Bedeutung der IT verändert sich die Situation allerdings.
Wenn zehn, zwanzig oder fünfzig Mitarbeiter nicht arbeiten können, weil ein Server ausfällt, bekommt IT plötzlich einen messbaren wirtschaftlichen Wert.
Dann geht es nicht mehr nur um Computer.
Es geht um Arbeitszeit, Erreichbarkeit, Kundendaten und Geschäftsprozesse.
Ein guter Ausgangspunkt ist deshalb eine ehrliche Bestandsaufnahme.
Welche Systeme sind vorhanden?
Wer kümmert sich aktuell darum?
Werden Sicherheitsupdates zuverlässig installiert?
Gibt es eine funktionierende Datensicherung?
Werden kritische Systeme überwacht?
Sind Zugänge und Administratorrechte sinnvoll organisiert?
Ist dokumentiert, wie die Infrastruktur aufgebaut ist?
Wenn diese Fragen klar beantwortet werden können, ist bereits viel gewonnen.
IT-Sicherheit besteht selten aus einem einzelnen Produkt
Gerade beim Thema Cybersecurity wird gern nach der einen Lösung gesucht.
Der besseren Firewall.
Dem besseren Virenscanner.
Der zusätzlichen Sicherheitssoftware.
Natürlich sind diese Systeme wichtig.
In der Praxis entsteht Sicherheit aber durch mehrere Ebenen, die zusammenarbeiten.
Ein aktuelles Betriebssystem hilft wenig, wenn jeder Mitarbeiter lokale Administratorrechte besitzt.
Eine gute Firewall schützt nicht vor jeder Phishing-Mail.
Ein Backup hilft nur, wenn es im Ernstfall wiederhergestellt werden kann.
MFA schützt Konten, löst aber keine ungepatchten Schwachstellen auf Servern.
Und das beste Monitoring bringt wenig, wenn auf Warnungen niemand reagiert.
Deshalb gehören Patch-Management, Endpoint-Schutz, Backup, Zugriffsrechte, MFA, Monitoring und die Sensibilisierung der Mitarbeiter zusammen.
Nicht jedes Unternehmen braucht davon sofort die größte verfügbare Lösung.
Die einzelnen Bausteine sollten aber aufeinander abgestimmt sein.
Was Unternehmen aus dem September-Patchday mitnehmen können
Der Microsoft-Patchday vom September 2026 ist deshalb weniger wegen der ungewöhnlich hohen Zahl geschlossener Sicherheitslücken interessant.
Viel spannender ist, was unmittelbar danach passiert ist.
Microsoft schließt eine große Zahl von Schwachstellen.
Unternehmen müssen aktualisieren.
Ein Update verursacht in bestimmten Umgebungen neue Probleme.
Microsoft veröffentlicht wenige Tage später eine außerplanmäßige Korrektur.
Das ist kein Argument gegen Updates.
Ganz im Gegenteil.
Es ist ein Argument für professionelles Update-Management.
Denn moderne Unternehmens-IT ist inzwischen zu wichtig, um Updates dauerhaft aufzuschieben.
Sie ist aber häufig auch zu wichtig, um Veränderungen völlig unkontrolliert durchzuführen.
Fazit: Gute IT fällt im Alltag möglichst wenig auf
Die beste IT ist für Mitarbeiter meistens ziemlich unspektakulär.
Der Rechner funktioniert.
Die Anmeldung funktioniert.
E-Mails kommen an.
Dateien sind verfügbar.
Der Server läuft.
Das Backup läuft.
Und Updates werden installiert, ohne dass sich jemand im Unternehmen damit beschäftigen muss.
Hinter dieser scheinbaren Einfachheit steckt allerdings Arbeit.
Systeme müssen überwacht, aktualisiert, dokumentiert und abgesichert werden.
Genau das ist der eigentliche Gedanke hinter Managed IT.
Nicht möglichst viele technische Produkte verkaufen.
Sondern dafür sorgen, dass die vorhandene IT zuverlässig, sicher und planbar funktioniert.
Der Microsoft-Patchday im September 2026 liefert dafür gerade ein ziemlich gutes Praxisbeispiel.
IT-Betreuung und Managed Services in Wuppertal
Innovate Systems unterstützt kleine und mittelständische Unternehmen bei der laufenden Betreuung ihrer IT-Infrastruktur.
Dazu gehören unter anderem Remote Monitoring, Patch-Management, Serveradministration, Backup und Wiederherstellung, Microsoft 365, IT-Sicherheit und Anwendersupport.
Als IT-Systemhaus in Wuppertal verbinden wir zentrale Remote-Betreuung mit persönlichem Support in der Region.
Wer nicht direkt über einen vollständigen Managed-Service-Vertrag sprechen möchte, kann auch mit einer Bestandsaufnahme der vorhandenen IT beginnen.
Oft lässt sich bereits dabei recht schnell erkennen, wo die Infrastruktur gut aufgestellt ist und an welchen Stellen unnötige Risiken bestehen.