Ich nenne das Updateresistenz. Die Entscheidung ein System nicht zu aktualisieren um das Risiko des Updates zu vermeiden – ohne das Risiko der ungepat

Es gibt eine Risikovermeidungsstrategie die selbst ein Risiko ist.

Systeme werden nicht aktualisiert weil Updates etwas kaputtmachen könnten. Der Server läuft seit drei Jahren stabil. Die Software funktioniert. Warum etwas anfassen das läuft?

Das ist eine verständliche Logik. Und sie gilt für Software nicht.

Ich nenne das Updateresistenz. Die Entscheidung ein System nicht zu aktualisieren um das Risiko des Updates zu vermeiden – ohne das Risiko der ungepatchten Schwachstelle gleichwertig in die Abwägung einzubeziehen.

Das ist keine böse Absicht. Es ist eine einseitige Risikowahrnehmung.

Wer ein Update ausrollt sieht das Risiko sofort. Der Server könnte neu starten müssen. Eine Anwendung könnte kurzfristig nicht verfügbar sein. Ein Kompatibilitätsproblem könnte auftreten. Diese Risiken sind konkret. Sie sind sichtbar. Sie passieren jetzt.

Was die ungepatchte Schwachstelle kostet ist dagegen abstrakt. Vielleicht passiert nichts. Vielleicht wird die Schwachstelle nie ausgenutzt. Vielleicht läuft das System noch Jahre ohne Probleme.

Vielleicht. Das ist das Wort das Updateresistenz am Leben hält.

Aber Schwachstellen in verbreiteter Software werden nicht geheim gehalten. Sie werden veröffentlicht. In Datenbanken die jeder abrufen kann. Inklusive der Information welche Versionen betroffen sind und wie die Schwachstelle ausgenutzt werden kann. Was für Administratoren eine Warnung ist ist für Angreifer eine Einladung. Je länger ein System ungepacht bleibt desto mehr Menschen wissen wie es anzugreifen ist.

Das Risiko des Updates ist kurzfristig und kontrollierbar. Das Risiko der Schwachstelle ist langfristig und wächst mit jedem Tag.

Das ist keine IT-Entscheidung. Es ist eine Risikoentscheidung. Und sie wird meistens ohne vollständige Information getroffen – weil das Risiko des Updates sichtbar ist und das Risiko der Schwachstelle nicht.

Die Frage die ich stelle ist einfach: Welche Systeme in Ihrem Unternehmen laufen gerade auf Versionen die bekannte Schwachstellen haben – weil das letzte Update zu riskant erschien?

Wenn die Antwort ich weiß es nicht ist ist das die eigentliche Risikoauskunft.

Wenn Sie mehr zum Thema Unternehmer-Resilienz wissen möchten – kurze DM genügt.