Es gab eine Zeit, in der man eine Update-Strategie planen und umsetzen konnte. Da hat man für jeden Server festgelegt, wann man welche Updates einspielte. Damals hat man auch die Pattern-Files des Virenscanners vor dem Installieren mehrere Wochen getestet. Gerade bei Servern, die nicht mit dem Internet verbunden sind, hat man zu Gunsten der Verfügbarkeit auf Updates verzichtet. Aber der Conficker hat eindrucksvoll vorgeführt, dass es keine netzseitig sicheren Inseln gibt. Die Verbreitung über USB-Sticks hat gerade die Hochsicherheitsbiotope schwer getroffen. Deswegen ist heute praktisch die einzig wahre Strategie, so schnell wie möglich zu updaten. Gerade Privatpersonen sind in der Regel nicht in der Lage, abzuschätzen, ob die Updates nötig sind oder ob man sie zum Beispiel durch Firewallregeln ersetzen kann.
Da ist es natürlich verständlich, dass das BSI bei Windows die voll automatischen Updates empfiehlt. Jetzt gibt es eine Gegenmeinung: Privatanwendern wird empfohlen, die Updates zwar automatisch herunter zu laden, aber nicht automatisch zu installieren.
Vorteile BSI:
der Nutzer braucht nichts mehr zu machen.
Bei der Alternative bleiben in der Praxis die Updates uninstalliert liegen. Der Nutzer wird nicht nachdrücklich an das Installieren erinnert, und daher gerät es schnell in Vergessenheit. Aus dem Jahr 2008 gibt es Zahlen zum Patchstand.
Vorteile Alternative:
es kann nicht zu Datenverlust aufgrund des Neustarts kommen.
Persönlich würde ich weiterhin empfehlen, sich an das BSI zu halten. Bei den Standardeinstellungen werden die Updates um 3:00 Uhr nachts installiert. Sollte man den Rechner durchlaufen lassen sind um diese Zeit hoffentlich keine Anwendungen mehr aktiv. Die meisten Nutzer werden den Rechner vor dem Schlafengehen sowieso ausschalten. Wenn die Updates tagsüber installiert werden, frägt Windows nach, ob der Rechner heruntergefahren werden kann.
Bei der Nutzung eines WSUS-Servers wird das Herunterfahren erzwungen, dabei kommt es zu Datenverlusten, wenn man nicht gespeichert hat. Aber welcher Privatanwender sitzt hinter einem WSUS!


