Die Patch-Kennzahl stand auf null — und lag drei Tage daneben

Mein Dashboard zeigte: 0 offene Updates. Gleichzeitig liefen neun Server seit drei Tagen mit einer ersetzten Systembibliothek — im Init-Prozess, also in PID 1.

Kein Angriff, kein Ausfall, nur eine Messlücke. Die Updates waren installiert, die Kennzahl war also korrekt. Aktiv waren sie nicht: Ein Prozess, der eine Bibliothek beim Start geladen hat, benutzt die alte Version weiter, bis er neu startet. Bei PID 1 heisst das: bis zum Reboot.

Das ist kein Homelab-Problem. Genau diese Zahl — „Patches installiert" — steht in vielen ISMS-Reports und Audit-Nachweisen zu ISO 27001 A.8.8. Sie beantwortet die bequeme Frage, nicht die richtige.

Wo die Kennzahl sonst noch täuscht — alles in den letzten Wochen selbst erlebt:

→Installiert ist nicht aktiv. Ersetzte Bibliotheken in laufenden Diensten gehören in die Kennzahl. Werkzeuge wie needrestart liefern das — man muss sie nur fragen, auch wenn die automatischen Updates „alles erledigt" haben.

→Die Simulation sieht keine neuen Kernel. Ein Trockenlauf mit apt-get -s upgrade zeigt nur Updates bereits installierter Pakete, ein neuer Kernel ist aber ein neues Paket. Wer so plant, plant „kein Reboot" — und steht danach vor fünf.

→Die lokale Paketliste ist nicht die Wahrheit. Ohne frisches apt update meldet der Collector, was er gestern wusste. Zwei Server wären so fast aus einer Patchrunde gefallen — mit offenem Kernel-Update.

→Ein Update ist nicht immer ein Neustart. Das Debian-Paket für Docker ersetzt die Binary, startet den Daemon aber bewusst nicht neu. Die verwundbare Version läuft weiter, bis es jemand tut.

→Security kommt in Wellen. Nach glibc, OpenSSL oder Codec-Bibliotheken folgen am nächsten Tag oft Nachzügler. Eine Patchrunde ist nicht „für heute erledigt".

Ein Ergebnis, das zu gut aussieht, ist für mich inzwischen ein Messfehler-Verdacht, kein Erfolg. Die nützlichere Kennzahl lautet nicht „wie viel ist installiert", sondern „wie lange läuft noch verwundbarer Code". Die liefert kein Standard-Report — die muss man selbst bauen.

Was misst euer Patch-Report — installiert oder aktiv?

#PatchManagement#ISO27001#InfoSec#Compliance#Betrieb