Am 14. Juli 2026 hat Microsoft den mit Abstand größten Patchday seiner Geschichte veröffentlicht: mehr als 600 geschlossene Sicherheitslücken über alle Produkte hinweg. Rechnet man die aus dem Chromium-Projekt übernommenen Korrekturen hinzu, sind es über 1.000 gepatchte Schwachstellen an einem einzigen Tag. Dustin Childs von der Zero Day Initiative nennt das Update-Paket die „Mutter aller Releases“ – und das aus gutem Grund: Schon der Juni lag mit 206 Lücken deutlich über dem Durchschnitt, der Juli verdreifacht diese Zahl noch einmal.
Zwei der jetzt geschlossenen Lücken wurden zum Zeitpunkt der Veröffentlichung bereits aktiv für Angriffe ausgenutzt: eine Rechteausweitung in den Active Directory Federation Services (CVE-2026-56155) und eine fehlende Authentifizierung in SharePoint Server (CVE-2026-56164), über die Angreifer aus der Ferne erhöhte Rechte erlangen können. Für eine dritte kursiert bereits ein öffentlich verfügbarer Exploit – sie hebelt ausgerechnet BitLocker aus, die Laufwerksverschlüsselung, auf die sich viele Unternehmen bei gestohlenen Notebooks verlassen (CVE-2026-50661).
Betroffen ist praktisch der gesamte Microsoft-Stack, der in fast jedem Unternehmen läuft: Allein auf Windows entfallen 416 Lücken, auf Office insgesamt 164, dazu Edge, SharePoint, Azure und Entwicklerwerkzeuge. Unter den kritischen Schwachstellen sind mehrere in Diensten, die in vielen Firmen von außen erreichbar sind – Remote Desktop, Exchange Server, SharePoint.
Das ist keine Ausnahme – das ist die neue Normalität
Der Grund für die Rekordzahl: Microsoft setzt seit Mai das KI-System Mdash ein, das den eigenen Quellcode proaktiv nach Schwachstellen durchsucht. Die Folge lässt sich beziffern: Nach gut sechs Monaten hat Microsoft 2026 laut Zero Day Initiative bereits 1.380 Lücken gepatcht – mehr als jemals zuvor in einem ganzen Kalenderjahr. Und Microsoft ist damit nicht allein: Die gesamte Branche findet dank KI-gestützter Schwachstellensuche deutlich mehr Lücken als früher. Das Bundesamt für Sicherheit in der Informationstechnik zählte zuletzt im Schnitt 119 neu bekannt gewordene Schwachstellen pro Tag – rund ein Viertel mehr als im Vorjahr.
Das ist zunächst eine gute Nachricht: Lücken werden gefunden, bevor Kriminelle sie finden. Aber sie hat eine Kehrseite: Wer Updates heute schon „nebenbei“ erledigt, wird die kommenden Patchdays erst recht nicht mehr bewältigen.
Der Patch ist da – jetzt beginnt das Wettrennen
Ein verbreiteter Irrtum: „Die Lücke ist doch jetzt geschlossen.“ Geschlossen ist sie nur dort, wo das Update auch installiert wurde. Für alle anderen Systeme ist heute der gefährlichste Tag – denn mit dem Patch ist jede dieser Lücken öffentlich dokumentiert. Angreifer analysieren die Updates, leiten daraus Angriffscode ab und scannen das Internet nach Systemen, die noch nicht aktualisiert wurden.
Wie ungleich dieses Rennen geworden ist, zeigen zwei Zahlen:
- Die Angreifer: Laut dem M-Trends-Report 2026 von Google Mandiant ist die durchschnittliche Zeit bis zur Ausnutzung einer Schwachstelle auf minus sieben Tage gefallen – Lücken werden im Schnitt ausgenutzt, bevor der Patch überhaupt erscheint. 2018 lag dieser Wert noch bei 63 Tagen.
- Die Verteidiger: Unternehmen ohne strukturiertes Patch-Management brauchen je nach Studie 88 bis 137 Tage, um eine kritische Schwachstelle zu schließen. Bei komplexen Server-Anwendungen liegt der Durchschnitt laut Qualys sogar bei über fünf Monaten.
Konkret heißt das: Die Lücken, die Microsoft diese Woche geschlossen hat, werden in einem durchschnittlichen Unternehmen ohne Patch-Management erst im Oktober oder November tatsächlich geschlossen sein. Drei bis vier Monate, in denen jede dieser Schwachstellen öffentlich bekannt ist – und in denen niemand im Haus zuverlässig sagen kann, welcher Rechner betroffen ist und welcher nicht.
Was in diesen Monaten auf dem Spiel steht
Rund 60 Prozent der erfolgreichen Angriffe auf Unternehmen nutzen bekannte Schwachstellen aus, für die ein Patch längst verfügbar war. Es sind selten die spektakulären Zero-Days, die den Mittelstand treffen – es ist die ungepatchte Lücke vom letzten Quartal.
Was dann passiert, haben wir in unserer Blog-Serie über Ransomware-Insolvenzen dokumentiert: verschlüsselte Systeme, wochenlanger Produktionsstillstand, und in mehreren Fällen das Ende des Unternehmens. Dazu kommen Meldepflichten nach DSGVO, wenn Kundendaten abfließen – und Cyberversicherer, die Leistungen kürzen oder verweigern, wenn der Patch-Stand nachweislich vernachlässigt wurde.
Gerade die jetzt geschlossenen Lücken sind dafür prädestiniert: Mehr als 250 davon erlauben Rechteausweitung – der klassische zweite Schritt eines Angriffs, vom gekaperten Bürorechner zum Domänen-Administrator. Weitere rund 145 ermöglichen das Ausführen von Schadcode aus der Ferne, viele davon in Office-Dateiformaten, wie sie täglich als E-Mail-Anhang ins Haus kommen.
„Windows Update ist doch an“ reicht nicht
Automatische Updates auf dem einzelnen PC sind ein Anfang – aber kein Patch-Management. In der Praxis scheitert es an anderen Stellen:
- Niemand merkt, wenn ein Update fehlschlägt. Ein Rechner, der seit Monaten keine Patches mehr installiert, sieht von außen aus wie jeder andere.
- Server patchen sich nicht von selbst. Exchange, SQL Server oder Hyper-V brauchen geplante Wartungsfenster – genau die Systeme, bei denen es am meisten wehtut.
- Drittanbieter-Software fällt durchs Raster. Java, .NET, Browser, PDF-Reader, Packprogramme – Windows Update kümmert sich darum nicht.
- Es fehlt die Priorisierung. Bei über 600 Lücken in einem Monat muss jemand entscheiden, was sofort eingespielt wird und was ins nächste Wartungsfenster kann. Ohne Werkzeuge und ohne Zeit passiert stattdessen: nichts.
Wie strukturiertes Patch-Management aussieht
Professionelles Patch-Management ist kein Hexenwerk, sondern ein Prozess: eine vollständige Inventarisierung aller Geräte, Priorisierung nach Kritikalität und aktiver Ausnutzung, kontrollierte Tests vor dem Rollout, automatisierte Verteilung – und vor allem eine laufende Kontrolle, ob jedes einzelne Gerät die Updates auch wirklich installiert hat.
Genau das leisten wir im Rahmen unserer Endgeräteverwaltung: Patchmanagement für Windows und Drittanbieter-Software, zentral überwacht, mit Kompatibilitätsprüfung vor dem Rollout und nachvollziehbarem Patch-Status für jedes Gerät. Für Ihre Server übernehmen wir das im Rahmen der Serververwaltung mit geplanten Wartungsfenstern, für Smartphones und Tablets über das Mobile Device Management. Eingebettet in einen Servicevertrag ist der Patch-Status kein Projekt, das liegen bleibt, sondern Routine – jeden Monat, auch wenn der Patchday wieder Rekorde bricht. Und falls doch einmal etwas durchkommt, sorgt eine getestete Datensicherung dafür, dass aus einem Vorfall keine Existenzfrage wird.
Wann wurde Ihr Patch-Status zuletzt geprüft?
Wenn Sie diese Frage nicht sicher beantworten können, ist das der eigentliche Befund dieses Patchdays. Wir verschaffen Ihnen Klarheit: Welche Geräte laufen in Ihrem Netz, welche Updates fehlen, und wo stehen Türen offen, die längst geschlossen sein sollten.
Den Anfang macht ein kurzer Blick in Ihr Netzwerk: Wir erfassen Ihre Geräte und deren Patch-Stand und zeigen Ihnen schwarz auf weiß, wo Sie stehen. Wie das im laufenden Betrieb aussieht, lesen Sie auf unserer Seite Endgeräteverwaltung & Patchmanagement – oder Sie sprechen direkt mit uns.
Quellen: Golem.de, Zero Day Initiative, Microsoft Release Notes Juli 2026, BleepingComputer, Google Mandiant M-Trends 2026, BSI-Lagebericht 2025, Qualys Patch-Benchmark 2026, Indusface Vulnerability Statistics