Über 1.400 Sicherheitslücken auf einmal: Wie Steuer- und Anwaltskanzleien ihre Windows-Endpoints wirklich schützen
Inhaltsverzeichnis
Veröffentlicht: 16. Oktober 2026 · Lesezeit: ca. 8 Minuten
Stellen Sie sich vor: Ein ungepatchter Windows-Endpoint in Ihrer Kanzlei wird über eine bekannte Shell-Lücke kompromittiert. Der Angreifer verschlüsselt das Laufwerk, auf dem Ihre DATEV-Datenbank liegt. Bis zur Wiederherstellung vergehen drei Arbeitstage – bei einem Stundensatz von 150 Euro und sechs betroffenen Mitarbeitern entstehen allein durch den Stillstand Kosten von rund 21.600 Euro. Hinzu kommen mögliche Bußgelder, Meldepflichten nach DSGVO und – was juristisch erheblich schwerer wiegt – eine mögliche Verletzung der Verschwiegenheitspflicht gegenüber Ihren Mandanten. Drei Arbeitstage klingen nach wenig. In einer Kanzlei, in der Fristenkalender täglich bedient werden müssen, sind sie existenzkritisch. Genau deshalb ist Windows Patchday Endpoint Management für Kanzleien keine IT-Aufgabe, die man delegiert und vergisst – es ist eine Führungsentscheidung.
Windows Patchday Endpoint Management beschreibt den strukturierten Prozess, mit dem Unternehmen Sicherheitsupdates von Microsoft kontrolliert, vollständig und nachweisbar auf alle Arbeitsplätze und Server ausrollen. Microsofts Oktober-Patchday hat dabei eine neue Dimension erreicht: Über 1.400 Sicherheitslücken wurden in einem einzigen Monat geschlossen – darunter aktiv ausgenutzte Schwachstellen in der Windows-Shell, die sofortiges Handeln erfordern (heise Security berichtete über die aktiv angegriffenen Windows-Versionen).
Für Steuer- und Anwaltskanzleien ist die Ausgangslage besonders heikel: DATEV-Anbindungen ans Rechenzentrum, beA-Zugänge (das besondere elektronische Anwaltspostfach) und RA-MICRO-Installationen laufen auf denselben Windows-Endpoints, die jetzt kritisch gefährdet sind. Ein Patch, der die Kanzleisoftware destabilisiert, ist genauso gefährlich wie ein fehlender Patch – beide Szenarien können den Betrieb lahmlegen.
Dieser Beitrag liefert Ihnen als Kanzleiinhaber oder Geschäftsführer die Entscheidungsgrundlage: Was ändert sich gerade, was kostet Untätigkeit, und welche drei Weichenstellungen müssen Sie jetzt vornehmen?
| Kennzahl | Wert | Quelle |
|---|---|---|
| Durchschnittlich neue Schwachstellen pro Tag (2025) | 119 – ein Anstieg von ca. 24 % gegenüber dem Vorjahr | BSI Lagebericht 2025 |
| Anteil der Ransomware-Angriffe gegen KMU | ca. 80 % | BSI Lagebericht 2025 |
| Erfüllung von IT-Sicherheits-Basisanforderungen bei KMU | im Schnitt nur 56 % | BSI / Security-Insider 2025 |
| Neue Schwachstellen pro Tag (2023/2024) + Zero-Day-Meldungen pro Monat | 78 Schwachstellen/Tag, 18 Zero-Days/Monat | BSI Lagebericht 2024 |
Was sich beim Windows Patchday Endpoint Management gerade grundlegend ändert
Windows Patchday Endpoint Management war lange eine monatliche Routine: zweiter Dienstag im Monat, Updates einspielen, fertig. Diese Vereinfachung funktioniert nicht mehr. Der BSI-Lagebericht 2025 dokumentiert durchschnittlich 119 neue Schwachstellen pro Tag – ein Anstieg von rund 24 % gegenüber dem Vorjahr. Wer nur monatlich patcht, lässt sein Netzwerk wochenlang mit bekannten Lücken stehen.
Gleichzeitig hat Microsoft für Windows Server 2025 und Windows 11 Enterprise ein neues Hotpatching-Modell eingeführt: Bestimmte Sicherheitsupdates werden ohne Neustart eingespielt, an separaten „Hotpatch-Dienstagen“. Für Kanzleien mit permanent laufenden DATEV-Verbindungen ans Rechenzentrum oder aktiven RA-MICRO-Sitzungen bedeutet das: weniger erzwungene Reboots, aber auch eine neue Planungsebene, weil die Update-Zyklen sich entkoppeln.
Hinzu kommt die CISA-KEV-Liste (eine öffentlich zugängliche Datenbank der US-Behörde CISA mit aktuell aktiv ausgenutzten Schwachstellen), die als kostenloser Priorisierungsfilter genutzt werden kann. In deutschsprachigen Quellen ist dieses Werkzeug kaum bekannt – dabei hilft es, die wirklich dringenden Patches von den „nice to have“-Updates zu trennen.
Als ISO/IEC 27001 zertifiziertes IT-Systemhaus – TTG GmbH beobachten wir, dass viele Kanzleien in Duderstadt und der Region ihre Update-Prozesse noch manuell steuern – und dadurch systematisch zu spät sind. Die Empfehlungen des BSI – IT-Grundschutz für Unternehmen sind hier eindeutig: Kritische Patches gehören innerhalb von 72 Stunden eingespielt.
- Prüfen Sie, ob Ihr Update-Prozess zwischen kritischen Patches (CVSS ≥ 9) und Standard-Updates unterscheidet.
- Informieren Sie sich, ob Ihre Windows-Versionen das neue Hotpatch-Modell bereits unterstützen.
- Bookmarken Sie die CISA KEV-Liste als kostenfreien Priorisierungshelfer für Ihr IT-Team oder Ihren Dienstleister.
- Klären Sie, wer in Ihrer Kanzlei namentlich verantwortlich ist, wenn ein kritisches Update 72 Stunden nicht eingespielt wurde.
Was fehlende Patches Ihre Kanzlei wirklich kosten – Risiko, Haftung, Betrieb
Windows Patchday Endpoint Management ist für Steuer- und Anwaltskanzleien aus einem Grund besonders heikel, der in allgemeinen IT-Ratgebern fehlt: § 203 StGB. Das Berufsgeheimnis verpflichtet Sie, Mandantendaten vertraulich zu behandeln – und ein Datenleck durch eine ausgenutzte, aber bekannte Sicherheitslücke kann strafrechtlich relevant werden. Die Frage, die ein Gericht oder eine Aufsichtsbehörde stellen würde: War die Lücke bekannt, und wurde dennoch nicht gepatcht?
Hinzu kommt ein praktisches Risiko, das Kanzleien direkt trifft: Ein Patch, der ohne vorherigen Test auf die DATEV SmartLogin-Komponente trifft, kann die Zwei-Faktor-Authentifizierung zum DATEV-Rechenzentrum unterbrechen. Sind dann gleichzeitig Jahresabschlüsse oder Steuererklärungen mit Abgabefrist fällig, entsteht Druck, der sich kaum durch Technik auflösen lässt. Fristenspitzen im Frühjahr sind deshalb ein Zeitraum, in dem ungeplante Reboots besonders teuer werden.
Die IT-Sicherheitslösungen der TTG GmbH sehen für solche Situationen einen Staged Rollout vor: Patches werden zunächst auf einer kleinen Pilotgruppe (5–10 % der Geräte) getestet, bevor sie auf die gesamte Kanzleiinfrastruktur ausgerollt werden. Das schützt vor Kompatibilitätsproblemen, ohne das Sicherheitsfenster unnötig offen zu lassen.
- Ermitteln Sie, welche Ihrer Systeme DATEV-Komponenten, beA-Zertifikate oder RA-MICRO-Verbindungen nutzen – diese brauchen bei jedem Patchzyklus besondere Aufmerksamkeit.
- Planen Sie kritische Wartungsfenster außerhalb von Fristenspitzen (Abgabefristen, Jahresabschlüsse).
- Stellen Sie sicher, dass externe IT-Dienstleister eine berufsrechtlich saubere Verschwiegenheitsvereinbarung unterzeichnet haben – ein einfacher AVV (Auftragsverarbeitungsvertrag) reicht dafür nicht aus.
- Verlangen Sie von Ihrem IT-Dienstleister einen schriftlichen Nachweis, welche Geräte in der letzten Patch-Runde versorgt wurden – und welche nicht.
Drei Entscheidungen, die Sie jetzt treffen müssen
Windows Patchday Endpoint Management verlangt keine technische Expertise von Ihnen – aber klare Entscheidungen. Die folgende Tabelle hilft Ihnen einzuschätzen, wo Ihre Kanzlei steht und was als nächstes zu tun ist.
| Ihre Situation | Empfehlung | Warum |
|---|---|---|
| Updates laufen automatisch, ohne Test oder Dokumentation | Staged Rollout und Rollback-Plan einführen | Ein fehlerhafter Patch kann DATEV oder RA-MICRO lahmlegen – ohne Rollback-Option verlieren Sie Stunden |
| Updates werden manuell eingespielt, oft mit Verzögerung | Zentrales Patch-Management-Tool einsetzen | Manuelle Prozesse skalieren nicht; bei 1.400 Lücken pro Monat entsteht ein gefährliches Delta |
| Kein schriftlicher Patch-Prozess vorhanden | Patch-Policy dokumentieren, Verantwortlichen benennen | GoBD-konforme Dokumentation und Versicherungsnachweise setzen Nachvollziehbarkeit voraus |
Drei konkrete Entscheidungen stehen an: Erstens braucht jede Kanzlei eine schriftliche Patch-Policy, die festlegt, wer innerhalb welcher Frist handelt – und was passiert, wenn diese Frist gerissen wird. Zweitens muss vor jedem Deployment ein Snapshot oder Backup des Systemzustands vorliegen, damit Sie im Fehlerfall innerhalb von Minuten zurückrollen können. Drittens sollten Sie regelmäßig inventarisieren, welche Windows-Versionen und Treiber – besonders Drucker, VPN-Clients und Dongles für Kanzleisoftware – in Ihrer IT vorhanden sind, weil Kernel-Schutzupdates hier regelmäßig Kompatibilitätsprobleme auslösen.
Die Sichere IT-Infrastruktur für KMU – TTG GmbH zeigt in der Praxis: Kanzleien, die diese drei Punkte schriftlich fixiert haben, meistern auch einen Patchday mit 1.400 Lücken ohne Panik – weil der Prozess die Entscheidung abnimmt, nicht die Person im Tagesgeschäft.
- Beauftragen Sie Ihren IT-Verantwortlichen oder -Dienstleister, eine einseitige Patch-Policy zu formulieren – mit Fristen, Verantwortlichkeiten und Eskalationspfad.
- Legen Sie fest, dass vor jedem Patchzyklus ein Backup aller Systeme mit DATEV- oder RA-MICRO-Daten erstellt wird.
- Definieren Sie Rollback-Kriterien: Ab wann gilt ein Patch als „fehlgeschlagen“? Wer entscheidet das, und wer setzt den Rollback um?
Ihr nächster Schritt – auch wenn Sie heute nur 30 Minuten haben
Windows Patchday Endpoint Management muss kein Großprojekt werden. Wenn Sie heute 30 Minuten investieren, können Sie den wichtigsten Schritt erledigen: Verschaffen Sie sich einen Überblick über Ihren aktuellen Patch-Status. Fragen Sie Ihren IT-Dienstleister oder Ihre IT-zuständige Person, wann zuletzt alle Windows-Endpoints in der Kanzlei aktualisiert wurden – und ob der Oktober-Patchday vollständig eingespielt ist.
Erhalten Sie keine klare Antwort oder stellen Sie fest, dass kein schriftlicher Nachweis existiert, ist das Ihr Signal: Windows Patchday Endpoint Management läuft in Ihrer Kanzlei noch nicht strukturiert genug. Der BSI Lagebericht Cybersicherheit zeigt, dass KMU im Schnitt nur 56 % der IT-Sicherheits-Basisanforderungen erfüllen – und dabei häufig ihr eigenes Schutzniveau überschätzen. Das ist kein Vorwurf, sondern eine strukturelle Lücke, die sich schließen lässt.
Die TTG GmbH begleitet Steuer- und Anwaltskanzleien mit über 25 Jahren Erfahrung dabei, genau diesen Prozess aufzubauen: von der ersten Bestandsaufnahme bis zum monatlichen Patch-Compliance-Reporting, das Sie als Kanzleiinhaber jederzeit vorlegen können – gegenüber Mandanten, Versicherungen und Aufsichtsbehörden. Sprechen Sie uns an: IT-Dienstleistungen der TTG GmbH.
- Fragen Sie heute Ihren IT-Dienstleister: „Welche Geräte haben den Oktober-Patchday noch nicht erhalten?“
- Fordern Sie einen schriftlichen Patch-Status-Bericht als monatliche Regelleistung ein.
- Prüfen Sie, ob Ihre Verschwiegenheitsvereinbarung mit dem IT-Dienstleister berufsrechtlich ausreicht – nicht nur als AVV formuliert ist.
- Lesen Sie die kostenfreie Orientierung des BSI – IT-Grundschutz für Unternehmen als Einstieg in eine strukturierte Sicherheitsbewertung.
Ihre Checkliste: So starten Sie jetzt
- Fragen Sie Ihren IT-Dienstleister schriftlich, wann alle Windows-Endpoints zuletzt vollständig gepatcht wurden – und lassen Sie sich den Nachweis zeigen.
- Stellen Sie sicher, dass vor dem nächsten Patchzyklus ein aktuelles Backup aller Systeme mit DATEV-, beA- oder RA-MICRO-Daten vorliegt.
- Prüfen Sie, ob eine schriftliche Patch-Policy existiert, die Fristen, Verantwortlichkeiten und einen Eskalationspfad benennt – falls nicht, beauftragen Sie deren Erstellung.
- Dokumentieren Sie, welche Windows-Versionen und kritischen Treiber (VPN, Drucker, Kanzlei-Dongles) in Ihrer IT vorhanden sind, um Kompatibilitätsrisiken vor dem nächsten Patchday zu kennen.
- Verlangen Sie ein monatliches Patch-Compliance-Reporting mit der Kennzahl „Anteil gepatchter Geräte in Prozent“ – als Nachweis für Versicherungen und Aufsichtsbehörden.
Häufig gestellte Fragen
Können wir kritische Patches einfach aufschieben, bis wir mehr Zeit haben?
Aktiv ausgenutzte Schwachstellen – wie die beim Oktober-Patchday geschlossenen Windows-Shell-Lücken – sollten innerhalb von 72 Stunden geschlossen werden. Ein Aufschub verlängert das Zeitfenster, in dem Angreifer Ihre Systeme kompromittieren können. Unserer Erfahrung nach reicht die Begründung „zu wenig Zeit“ vor einer Aufsichtsbehörde oder Versicherung nicht aus, wenn die Lücke zum Tatzeitpunkt bereits öffentlich bekannt war und ein Patch verfügbar war.
Was passiert, wenn ein Patch unsere DATEV-Anbindung oder den beA-Zugang unterbricht?
Genau für diesen Fall existiert der Staged Rollout: Patches werden zunächst auf wenigen Testgeräten eingespielt, bevor sie die gesamte Kanzleiinfrastruktur erreichen. Gleichzeitig sollte vor jedem Patchzyklus ein Systemzustand gespeichert werden (Snapshot oder Backup), damit im Fehlerfall innerhalb kurzer Zeit zurückgerollt werden kann. DATEV selbst veröffentlicht Kompatibilitätshinweise zu Windows-Updates – diese sollte Ihr IT-Dienstleister vor dem Ausrollen prüfen.
Reicht es, wenn unser IT-Dienstleister einen AVV unterschrieben hat – oder brauchen wir mehr?
Ein Auftragsverarbeitungsvertrag (AVV) regelt die datenschutzrechtliche Verantwortung nach DSGVO. Er ersetzt jedoch nicht die berufsrechtliche Verschwiegenheitsvereinbarung, die für Steuer- und Anwaltskanzleien nach § 203 StGB erforderlich ist, wenn externe Dienstleister Zugriff auf Mandantendaten erhalten. Beide Dokumente müssen vorliegen – fehlt die Verschwiegenheitsvereinbarung, kann der Dienstleistereinsatz selbst schon ein berufsrechtliches Problem darstellen.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute mit Sicherheit, welche Windows-Endpoints in Ihrer Kanzlei den Oktober-Patchday noch nicht erhalten haben – und wer dafür verantwortlich ist?
Ihre IT-Sicherheit jetzt stärken
Schützen Sie Ihr Unternehmen vor Cyberangriffen und Datenverlust. Die TTG GmbH berät KMU in Nordthüringen und Eichsfeld – ISO/IEC 27001 zertifiziert, persönlich vor Ort.
