Rekord-Patchday: Warum Sie diese Windows-Updates nicht bis zum Wochenende aufschieben sollten

Was steckt hinter dem Juli-Patchday 2026?

Der „Patchday" ist Microsofts fester Termin am zweiten Dienstag im Monat, an dem gebündelt Sicherheitsupdates erscheinen. Der Juli-Termin 2026 sticht heraus: Microsoft hat 622 Sicherheitslücken geschlossen — der höchste Wert, den es an einem einzelnen Patchday je gab. Unter den Lücken sind mehrere Zero-Days, also Schwachstellen, die schon aktiv ausgenutzt wurden, bevor überhaupt ein Update verfügbar war.

Besonders kritisch sind Lücken in Active Directory Federation Services (AD FS) und in SharePoint mit einem CVSS-Score von 9,8 (von maximal 10) sowie eine Schwachstelle in der Hyper-V-Netzwerkkomponente VMSwitch mit 9,9. Der CVSS-Wert misst, wie gefährlich eine Lücke ist — alles über 9 gilt als „kritisch". Das BSI hat für Azure und Microsoft 365 die höchste Risikostufe ausgerufen, und Microsofts Empfehlung ist ungewöhnlich deutlich: betroffene Systeme binnen drei Tagen patchen.

Warum ist dieser Patchday gefährlicher als sonst?

Drei Faktoren kommen zusammen. Erstens werden mehrere Lücken bereits angegriffen — es gibt keine Schonfrist mehr, in der man in Ruhe testen könnte. Zweitens liegen die kritischsten Schwachstellen in Software, die fast jedes Unternehmen einsetzt: SharePoint, Windows-Server, Hyper-V. Drittens sind die Werte mit CVSS 9,8 und 9,9 im Bereich, in dem eine Lücke ohne Zutun eines Nutzers aus der Ferne ausgenutzt werden kann — niemand muss auf einen Link klicken, damit der Angriff funktioniert.

Ein Zero-Day dreht das übliche Kräfteverhältnis um: Der Angreifer kennt die Lücke, bevor Ihre Verteidigung reagieren kann. Sobald ein Patch erscheint, analysieren Angreifer ihn zudem gezielt, um zu verstehen, welche Lücke er schließt — und greifen dann alle an, die noch nicht aktualisiert haben. Der Zeitraum zwischen Patch und Angriffswelle ist erfahrungsgemäß kurz. Genau deshalb ist der sonst berechtigte Reflex „wir patchen am Wochenende in Ruhe" hier das falsche Signal.

Welche Systeme sind bei Ihnen betroffen?

Praktisch jedes Unternehmen ist über mindestens einen Weg betroffen:

• Windows-Server und Domänencontroller — das Herzstück der meisten Firmennetze.
• SharePoint on-premises — besonders gefährdet, wenn der Server aus dem Internet erreichbar ist.
• Active Directory Federation Services — die Anmelde-Drehscheibe für viele Cloud-Dienste; wird sie kompromittiert, stehen Angreifern viele Türen offen.
• Hyper-V-Hosts — die VMSwitch-Lücke betrifft virtualisierte Serverumgebungen, in denen oft mehrere Systeme gleichzeitig laufen.
• Microsoft 365 und Azure — hier greift die BSI-Warnung direkt.

Wer nicht genau weiß, welche dieser Komponenten im eigenen Haus laufen, sollte das jetzt klären. Eine saubere, aktuelle Inventarliste der eigenen Systeme ist die halbe Miete — man kann nur schützen, was man kennt.

Wie patchen Sie sicher und schnell — ohne Betriebsrisiko?

Tempo heißt nicht Kopflosigkeit. Bewährt hat sich diese Reihenfolge: zuerst die aus dem Internet erreichbaren und geschäftskritischen Systeme (SharePoint-Server, AD FS, Domänencontroller), dann der Rest. Kurz auf einem Testsystem prüfen, ob nichts Wichtiges bricht, ein Wartungsfenster setzen, einen Rollback-Plan bereithalten — und dann konsequent ausrollen. So verbinden Sie Geschwindigkeit mit der nötigen Sorgfalt.

Warum Patch-Management überhaupt so entscheidend ist und wie ein sauberer Prozess aussieht, erklären wir grundsätzlich in Warum ist Patch-Management so wichtig?. Wer kein eigenes IT-Team für solche Nächte hat, gibt genau das an einen Dienstleister ab: Wir überwachen die Update-Lage kontinuierlich, priorisieren nach Risiko und spielen kritische Patches zeitnah und getestet ein — damit ein Rekord-Patchday für Sie zum Nicht-Ereignis wird.

Was, wenn Sie nicht sofort patchen können?

Manchmal geht es nicht anders — eine Altanwendung hängt am Server, ein Update braucht Vorlauf, ein Wartungsfenster ist erst in einer Woche. Dann zählt Schadensbegrenzung: Nehmen Sie verwundbare Systeme aus dem direkten Internetzugriff (ein SharePoint-Server gehört nicht ungeschützt ins offene Netz), trennen Sie Netzbereiche über VLAN-Segmentierung, und stellen Sie sicher, dass EDR und Monitoring verdächtiges Verhalten sofort melden.

Diese Maßnahmen ersetzen keinen Patch — sie kaufen Ihnen Zeit, bis Sie sauber aktualisieren können. Und sie zahlen doppelt ein, weil sie auch bei der nächsten Lücke schützen, statt nur dieses eine Loch zu stopfen.

Wie machen Sie den nächsten Patchday zur Routine?

Der Juli-Rekord ist ein Ausreißer, aber der Trend ist eindeutig: mehr Lücken, kürzere Reaktionszeiten. Wer jeden Patchday aufs Neue improvisiert, verliert dieses Rennen. Was hilft, ist Struktur statt Aktionismus: ein festes Update-Fenster, klare Prioritäten (kritisch/hoch/normal), eine gepflegte Systemliste und eine automatisierte Verteilung, die den Stand aller Geräte sichtbar macht.

Für den Mittelstand ist das selten sinnvoll in Eigenregie zu stemmen — dafür passieren die kritischen Lücken zu unregelmäßig und zu oft nachts. Genau dafür gibt es Managed Patch-Management: Ein Partner hält Ihre Systeme dauerhaft aktuell und meldet sich, bevor eine Lücke zum Problem wird. So bleibt Ihnen der Kopf frei fürs Kerngeschäft.