974 CVEs und die Drei-Tage-Regel: Wie schnell darf man patchen, wenn die Updates selbst Server lahmlegen?

Microsoft empfiehlt inzwischen, Qualitätsupdates spätestens drei Tage nach Erscheinen zu installieren – weil Angreifer bekannte Lücken mit KI-Unterstützung immer schneller ausnutzen. Im selben Monat haben die Updates Terminalserver, VPN-Verbindungen und Hyper-V-Hosts beschädigt. Zwei Wahrheiten, die nicht zusammenpassen wollen. Ein Versuch, beide ernst zu nehmen.

Die Zahlen: Patchdays in neuer Größenordnung

Der September-Patchday umfasste laut Microsofts Security Update Guide 974 CVEs über alle Produkte, davon 723 in der Windows-Produktfamilie einschließlich Windows Server. Eine Rechteausweitung im Windows Update Stack (CVE-2026-81963) wurde bereits aktiv ausgenutzt. Der Trend ist eindeutig:

Microsoft selbst erklärt den Anstieg mit mehr Meldungen von Forschern und vor allem mit eigenen KI-Systemen, die Schwachstellen in großer Zahl finden. Dieselbe Technik steht Angreifern zur Verfügung – und die Zeit zwischen Patch und Exploit schrumpft entsprechend.

Die neue Empfehlung im Detail

Seit Juli 2026 empfiehlt Microsoft für Windows Update for Business bzw. Intune-Updateringe:

Das klassische Modell „Pilot in Woche 1, Breite in Woche 2, Server in Woche 3“ ist damit aus Microsofts Sicht nicht mehr vertretbar.

Die andere Wahrheit: Der September

Allein die September-Updates brachten bestätigte Probleme mit Remote Desktop Services auf Windows Server, mit Always On VPN unter Windows 11, mit Hyper-V, USB-Audio, Domänenanmeldungen und dem Dateiversionsverlauf. Mehrere davon erforderten Out-of-Band-Updates. Wer am ersten Tag alles auf alle Server verteilt hätte, hätte bei RDS-Farmen Stunden später einen Totalausfall gehabt.

Ein verdichtetes Ringmodell für Clients

Entscheidend ist der Pilotring: Er muss die Konfigurationen abbilden, die tatsächlich kaputtgehen können. Im September hätte genau ein Außendienstler mit automatischer VPN-Protokollwahl im Ring 1 gereicht, um das VPN-Problem vor dem Breitenrollout zu sehen.

Und die Server?

Für Server lässt sich die Drei-Tage-Regel nicht blind übernehmen – Wartungsfenster, Clusterabhängigkeiten und Fachanwendungen setzen Grenzen. Ein realistischer Rahmen:

• Tag 0–1: Testserver und je ein Vertreter jeder Rolle (DC, RDS, Hyper-V, Datei, SQL).
• Tag 2–3: Internet-exponierte Systeme und alles mit aktiv ausgenutzten CVEs – hier wiegt das Angriffsrisiko schwerer als das Regressionsrisiko.
• Bis Tag 7: restliche Server im regulären Wartungsfenster.
• Windows Server 2025: Hotpatching nutzen, wo verfügbar – es verkürzt die Zeit bis zum Schutz ohne Neustart. Achtung: Baseline-Monate wie der September erfordern trotzdem einen Neustart.

Compliance-Bezug

BSI OPS.1.1.3 verlangt beides: zeitnahes Einspielen sicherheitsrelevanter Updates und vorheriges Testen. NIS2 Art. 21 Abs. 2 lit. e fordert ein wirksames Schwachstellenmanagement, und Prüfer fragen zunehmend nach messbaren Fristen. Ein dokumentiertes Ringmodell mit festen Tagen ist genau der Nachweis, der in einem Audit überzeugt – deutlich besser als „wir patchen zeitnah“.

Fazit

Die Frage ist nicht mehr, ob man schneller patchen muss, sondern wie man schneller testet. Kürzere Ringe, ein Pilotring mit echten Problemkonfigurationen, Server nach Exposition priorisiert und ein Monitoring, das Regressionen sofort meldet – damit lassen sich Microsofts drei Tage einhalten, ohne dass der nächste fehlerhafte Patchday zum Betriebsausfall wird.

Quellen: Microsoft Security Update Guide (September 2026); Microsoft Tech Community – Deploy Windows updates to counter AI-discovered threats; MSRC – A note on Patch Tuesday (Mai 2026).