Patchflut im Herbst: So kommen Sie mit wenig Personal durch über 1.400 gemeldete Lücken

Microsoft hat am 13. Oktober 2026 so viele Sicherheitslücken an einem Patchtag behoben wie nie zuvor: je nach Zählweise rund 1.410 bis 1.420 — die Chromium-Lücken in Edge noch nicht mitgezählt. Rund 70 bis 76 davon stuft der Hersteller als kritisch ein. Eine Windows-Shell-Lücke (CVE-2026-96951, CVSS 8,8) wird bereits aktiv ausgenutzt; die CISA hat sie am 13.10.2026 in ihren KEV-Katalog aufgenommen, Frist für US-Bundesbehörden: 16.10.2026. Für ein kleines IT-Team stellt sich damit nicht die Frage, ob es alle Patches einspielt — das schafft niemand. Sondern die Frage: in welcher Reihenfolge.

Warum die Zahl so stark steigt

Bevor diese Zahl im Haus Panik auslöst, gehört sie eingeordnet. Microsoft zählt breiter als früher und bündelt Vorschau- wie Kumulativpakete; verschiedene Auswerter kommen dadurch auf unterschiedliche Gesamtzahlen — Tenable nennt 1.407, BleepingComputer 1.411, CrowdStrike 1.413, SANS 1.417. Die Spanne ist methodisch, nicht verschleiernd; wer eine Zahl zitiert, sollte den Zähler nennen. Bedrohlich wird das Paket weniger durch seine Breite als durch die Enge an wenigen Stellen: eine aktiv ausgenutzte Shell-Lücke, dazu kritische Schwachstellen in Exchange, SharePoint, Hyper-V und SQL Server — und erstmals sechsstellige CVE-Nummern, die die schiere Menge selbst dokumentieren.

Vier Schritte, die Zeit sparen

Priorisierung ist kein Bauchgefühl, sondern eine Kette von vier Fragen. Wer sie in dieser Reihenfolge beantwortet, kommt auch mit wenig Personal weit:

Der wichtigste Schritt zuerst: Lücken, die bereits aktiv ausgenutzt werden, bekommen sofort einen Patch — auch wenn harmlosere Schwachstellen dadurch noch warten. Für Oktober ergibt das nach dieser Regel drei Sonderfälle: eine aktiv ausgenutzte und zwei vor dem Patch schon öffentlich bekannte Lücke. Im Vordergrund steht die Windows-Shell-Lücke CVE-2026-96951: Eine präparierte Datei oder ein Link schaltet die Warnung aus, die sonst erscheint, wenn man eine aus dem Internet geladene Datei öffnet. Erfolg hat der Angreifer dabei nur, wenn jemand die Datei anklickt oder dem Link folgt. Die gefährlichste der öffentlich bekannten Lücken steht im .NET Framework (CVE-2026-108398, Risikobewertung 8,8 von 10): Sie erlaubt, Software auszuführen, die eigentlich durch Richtlinien gesperrt ist. Ob Ihr Bestand betroffen ist, beantwortet aber erst der zweite Schritt — und der funktioniert nur mit einer vollständigen Inventarliste.

Reihenfolge im Wartungsfenster

Aus diesen Schritten ergibt sich eine Reihenfolge, die mit wenig Personal planbar bleibt:

1. Internetnahe Systeme — Webserver, Gateways, Exchange. Was von außen erreichbar ist, ist zuerst dran.
2. Privilegierte Arbeitsplätze — Admin-Workstations. Ein kompromittierter Admin-Rechner hebelt jede Reihenfolge aus.
3. Verzeichnisdienste — Domänencontroller, NPS. Hier wird aus einem Initialzugriff ein Flächenzugriff.
4. Dienste mit Kettenwirkung — DHCP, Mail, Datei. Ausfall wie Missbrauch treffen alle.
5. Office und Rest — kritische Pakete zuerst, der Rest im regulären Takt.

Kleines Fenster, große Liste? Dann lieber zwei Systeme vollständig als zwanzig halb. Ein halber Patch ist ein ungesehener Patch.

Erfolgskontrolle: Was wirklich auf welcher Maschine liegt

Nach dem Fenster zählt nicht der Kalenderhaken, sondern der Nachweis: Welcher Patch liegt tatsächlich auf welchem Gerät, war der Neustart erfolgreich, läuft der Dienst wieder? Genau die Lücke zwischen „ausgerollt“ und „wirksam“ ist der häufigste Grund, warum gemeldete Lücken faktisch offen bleiben. Ein Monitoring, das den Patchstand je Gerät fortlaufend liest statt einmal im Quartal zu schätzen, macht die Erfolgskontrolle zur Nebenwirkung — und liefert die Dokumentation gleich mit, die Auditor und Versicherung sehen wollen. PRAEMON erkennt früh und erklärt, was zu tun ist: Der Patchstand je Server erscheint im Leitstand, Abweichungen melden mit Kontext; die Entscheidung über das Wartungsfenster bleibt beim Menschen.

Grenzen: Ohne Inventar keine Entscheidung

So ehrlich muss man sein: Schritt zwei ist die Stelle, an der die meisten Planungen scheitern. Wenn niemand verlässlich sagen kann, welche Software auf welchem Server läuft, ist jede Priorisierungsliste ein Gutachten über Unsichtbares. Die Investition, die vor jedem Patchday zinst, ist deshalb zuerst keine Technik, sondern Bestandsführung — Geräte, Rollen, Softwarestände, jederzeit aktuell. Was ohne vollständiges Inventar nicht entscheidbar ist, sollte zumindest als Risiko akzeptiert und dokumentiert werden, statt übersehen zu werden.

Checkliste für Ihr nächstes Wartungsfenster

• KEV-Katalog gegen den eigenen Bestand prüfen — Aufnahmedatum der Oktober-Lücken notieren
• Betroffenheitsliste aus dem Inventar ziehen, nicht aus der Erinnerung
• Serverrollen kennzeichnen: internetnah, Verzeichnis, Mail, DHCP
• Reihenfolge festlegen: internetnah → privilegierte Arbeitsplätze → Verzeichnis → Dienste → Office
• Workarounds erfassen, wo der Patch erst später einspielt
• Erfolgskontrolle einplanen: Patchstand je Gerät, Neustart, Wiedervorlage für die Restliste
• Nachweis ablegen: was wurde wann und warum priorisiert — ein Absatz genügt

Für die vertiefende Praxis: Der Beitrag „Aktiv ausgenutzt zuerst: Was der KEV-Katalog der CISA leistet“ zeigt, wie die Datenqualität dafür aussieht; „Updates im Wartungsfenster und danach die Erfolgskontrolle“ begleitet die Ausführung; „Welche Herstellermeldung betrifft meinen Server wirklich?“ sortiert die tägliche Meldungsflut. Die Einordnung des Oktober-Patchdays als Lagebild finden Sie im Lagebeitrag zur Rekordmenge, unser Prüfangebot unter Sicherheit.

Hinweis: Stand der Angaben 26.10.2026; Nachlieferungen von Microsoft sind möglich, abweichende Zählweisen sind als Spanne ausgewiesen. Keine Rechtsberatung.