In der Fertigung eines weltweit tätigen Herstellers sind an wichtigen Arbeitsplätzen Drucker und Scanner installiert. Sie erzeugen Etiketten, Prüfprotokolle und Versandpapiere, laufen rund um die Uhr und sind an Altsysteme gekoppelt. Ein Update für BIOS oder Firmware verlangt hier einen Neustart. Der Neustart hält die Linie an. Der Fall stammt aus den Sicherheitsbewertungen von HP Professional Services und ist im Whitepaper „Endpoint Shield“ dokumentiert. Er beschreibt eine Lage, die viele Industrieunternehmen kennen: Ausgerechnet die Endpunkte mit dem höchsten Ausfallrisiko rührt niemand gern an.
Warum das Update liegen bleibt
Die Rechnung ist unangenehm eindeutig. Eine Stunde ungeplanter Stillstand kostet in einem großen Automobilwerk 2,3 Millionen Dollar, das hat Siemens in der Untersuchung The True Cost of Downtime ermittelt. Gegen diese Summe wirkt eine offene Firmware-Lücke abstrakt, und entsprechend fällt die Entscheidung aus. Einer HP-Wolf-Security-Studie zufolge spielen über 60 Prozent der IT- und Sicherheitsverantwortlichen Firmware-Updates nicht ein, sobald sie verfügbar sind. Gleichzeitig rechnen 80 Prozent damit, dass Angreifer mithilfe von KI schneller Exploits entwickeln.
Erkennen ist längst gelöst
Veraltete Firmware aufzuspüren ist heute das kleinere Problem. Telemetrie und KI-gestützte Auswertung liefern einen Flottenüberblick, für den früher Stichproben herhalten mussten. Die Auswertung BIOS Update Insights in der HP Workforce Experience Platform (WXP) etwa zeigt stündlich aktualisiert, welchen Geräten eine kritische BIOS-Version fehlt und seit wie vielen Tagen. Grundlage sind die Empfehlungsdaten des Herstellers, denen die Windows-Update-Daten drei bis vier Wochen hinterherlaufen können.
Damit endet aber der Beitrag der Maschine. HP formuliert es im selben Whitepaper unmissverständlich: KI kennzeichnet Schwachstellen, testen und validieren kann sie einen Patch in einer konkreten Umgebung nicht. Wer aus einem Fund automatisch einen Rollout macht, verlagert das Risiko nur von der Lücke auf den Ausfall. Bei Firmware wiegt das schwerer als bei Anwendungen, weil ein missglückter Flash kein Zurücksetzen kennt. Im schlechtesten Fall startet das Gerät nicht mehr.
Was der Freigabe vorausgeht
Unternehmen können nur patchen, was sie kennen, und daran hakt es. Netzsegmentierung, dezentrale Beschaffung und Geräte, die nie im zentralen Verzeichnis auftauchen, sorgen dafür, dass es Lücken in der automatischen Erkennung gibt. Wie wenig die Peripherie im Blick ist, zeigt sich beim Drucken und Scannen. 84 Prozent der von HP bewerteten Unternehmen haben die Ereignisprotokolle ihrer Drucker gar nicht erst eingeschaltet.
Dann wird bewertet, denn nicht jede als kritisch eingestufte Lücke ist in ihrer Umgebung kritisch, und nicht jedes betroffene Gerät steht an derselben Stelle im Prozess. Sinnvoll ist deshalb, die Modell- und Versionsdaten zu nutzen und gezielt nachzuziehen, statt die gesamte Flotte ungeprüft zu aktualisieren. Die Priorisierung darf Vorschläge der Auswertung aufnehmen, aber die Entscheidung über die Reihenfolge trifft, wer die Abhängigkeiten kennt.
Erst prüfen, dann freigeben
Getestet wird auf einer Pilotgruppe, die die Produktion tatsächlich abbildet, also dieselben Gerätemodelle und dieselbe Anbindung an Altsysteme und Spezialsoftware. Wie ernst das zu nehmen ist, zeigt der laufende Wechsel der Secure-Boot-Zertifikate. Microsoft und die Gerätehersteller verteilen die neuen Zertifikate gestaffelt und spielen sie nur dort aus, wo Diagnosedaten die Bereitschaft eines Geräts bestätigen. Selbst die Hersteller rollen also nicht durch.
Am Ende steht die Freigabe, und sie gehört in einen Kalender. Der Baustein OPS.1.1.3 des BSI-Grundschutzes verlangt einen geregelten Prozess mit festen Verantwortlichkeiten statt Einzelfallentscheidungen unter Druck. Der HP Security Advisory Service liefert dafür Freigabe-Checklisten für den Weg in die Produktion und einen Patching-Kalender, der sich an den Schichtplänen orientiert. Auftragsklärung, Zuschnitt und Risikoanalyse übernimmt HP, die Umsetzung liegt bei den Unternehmen selbst.
Ein Kalender darf auch ein Nein enthalten. Wenn ein Gerät in den nächsten Wochen kein Fenster bekommt, sollte dies festgehalten und begründet werden. IT-Teams müssen das Gerät anderweitig absichern, etwa durch strengere Segmentierung. Das ist etwas anderes als Aufschieben.
Die Rückfallebene entscheidet über das Tempo
Wie schnell Unternehmen patchen können, hängt davon ab, was passiert, wenn ein Gerät nach dem Update nicht mehr hochkommt. Wer dann einen Techniker schicken muss, plant Fenster großzügig und patcht selten. Wer unterhalb des Betriebssystems auf das Gerät zugreifen kann, plant enger. Genau dafür bietet WXP als Rückfallebene einen Fernzugriff, der über die vPro-Funktionen der Geräte Tastatur, Bild und Maus auf BIOS-Ebene bereitstellt, auch wenn Windows nicht mehr startet.
Die Plattform sieht die Flotte und führt aus, was freigegeben wurde. Wann geprüft wird und was, bestimmt der Prozess. Die Freigabe bleibt bei denen, die wissen, was an der Linie hängt.
Prüfen Sie Ihre Endpunkte und setzen Sie einen Patching-Kalender auf: