Linux Patch-Management, das die NIS2-Anforderungen wirklich abdeckt

Auf den meisten Linux-Flotten existiert Patching längst, nur eben verteilt: ein Cronjob mit dnf -y update hier, unattended-upgrades dort, dazu eine Handvoll Systeme, die niemand anfassen darf, weil eine Applikation daran hängt. Solange nichts passiert, funktioniert das. Sobald das BSI oder ein Kunde eine Nachweisführung verlangt, fehlt genau das, was NIS2 fordert: eine belastbare Aussage darüber, welche Systeme es überhaupt gibt, welche Schwachstellen darauf offen sind, nach welchen Kriterien du sie bewertet hast und wann sie geschlossen wurden.

Die Umsetzung scheitert selten an fehlenden Werkzeugen und meistens an fehlender Struktur. Typisch sind ein Inventar, das aus einer Excel-Liste und dem alten Nagios-Host-Katalog zusammengeschraubt wird, eine CVE-Bewertung, die pauschal alles ab CVSS 7.0 als kritisch behandelt und dadurch handlungsunfähig macht, sowie Wartungsfenster, die für Kernel-Updates nie freigegeben werden. Das Ergebnis sind Server mit Uptimes jenseits von 400 Tagen und einer Kernel-Version, die mit dem installierten Paketstand nichts mehr zu tun hat.

Dazu kommt ein Dokumentationsproblem. Ein Ansible-Playbook, das brav durchläuft, erzeugt für sich genommen keinen Audit-Nachweis. Gefragt sind nachvollziehbare Artefakte: wer hat wann welchen Patchstand freigegeben, welche Systeme wurden bewusst ausgenommen, welche kompensierenden Maßnahmen greifen dort und wie lange bleibt eine Ausnahme bestehen.