Bei rund 60 % der Sicherheitsverletzungen stand bereits ein Patch zur Verfügung, als Angreifer eindrangen. Diese Erkenntnis stammt aus dem Bericht von J.P. Morgan vom Juli 2026, „Patchmageddon“, und verlagert die Frage von der Existenz eines Fixes darauf, wie lange die Bereitstellung dauert.
Dieses Zeitfenster wird schnell kleiner. Derselbe Bericht beschreibt KI-Tools, die einen neu veröffentlichten Patch zurückentwickeln und ihn innerhalb weniger Minuten in einen funktionierenden Exploit verwandeln können. Jeder Tag, an dem ein verfügbarer Patch nicht bereitgestellt wird, ist ein Tag, den Angreifer ausnutzen können.
Bei Drittanbieter-Apps, die in Microsoft Intune verwaltet werden, geht ein großer Teil dieser Zeit für die Paketierung drauf. IT-Teams laden das Installationsprogramm herunter, erstellen das Paket, schreiben Erkennungsregeln, testen und weisen es zu – und wiederholen dann alles für jede App und jede neue Version. Das Ergebnis ist ein verzögertes Patchen, das niemand eingeplant hat.
So schnell schließt sich das Zeitfenster für Exploits, hier verlangsamt die App-Paketierung in Intune den Prozess, und das ist nötig, um die Lücke zu schließen.
Wie schnell Angreifer neue Schwachstellen heute ausnutzen
Die Ausnutzung von Schwachstellen ist inzwischen die häufigste Methode, mit der Angreifer eindringen. Laut dem 2026 Verizon Data Breach Investigations Report machte die Ausnutzung von Schwachstellen 31 % des Erstzugriffs bei Sicherheitsverletzungen aus, gegenüber 20 % im Jahr zuvor.
Viele dieser Angriffe beginnen sofort. Laut der Zero Day Clock wurden mehr als ein Viertel der Schwachstellen, die in der ersten Hälfte des Jahres 2026 neu als ausgenutzt gelistet wurden, bereits an dem Tag angegriffen, an dem sie öffentlich wurden.
Patching hat nicht Schritt gehalten. Verizon stellte fest, dass Unternehmen im Median 43 Tage benötigten, um bekannte ausgenutzte Schwachstellen vollständig zu beheben, gegenüber 32 Tagen zuvor, und nur etwa ein Viertel davon wurde überhaupt vollständig behoben.
Auch alte Schwachstellen bleiben relevant. In einer einzigen Woche Ende August 2026 war die typische Schwachstelle, auf die es Angreifer abgesehen hatten, bereits seit vier Jahren öffentlich bekannt, laut der Zero Day Clock.
Ein in Wochen gemessener Patch-Zyklus setzt Drittanbieter-Apps in der riskantesten Phase Gefahren aus. Ein Update, das nie ausgeliefert wird, lässt sie jahrelang ungeschützt.
Warum verfügbare Patches nicht angewendet werden
Wenn die Patches vorhanden sind, warum werden dann so viele nicht bereitgestellt? Laut dem Open Source Landscape Report 2026 von TuxCare betrafen 61 % der Sicherheitsvorfälle bei Unternehmensnutzern von Open Source Patches, die verfügbar waren, aber nie angewendet wurden. Einschränkungen durch Ausfallzeiten waren der häufigste Grund für Verzögerungen und wurden von 43 % der Befragten genannt.
Diese Umfrage konzentrierte sich auf Open-Source-Umgebungen, aber dieselben Ursachen treten überall dort auf, wo IT-Teams Updates bereitstellen:
Die Sorge, etwas kaputtzumachen. Ein Update, das eine geschäftskritische App beeinträchtigt oder einen ungeplanten Neustart erzwingt, wird selbst zum Vorfall. Wenn nicht getestet wurde, fühlt sich Abwarten sicherer an als die Bereitstellung.
Zu wenige Menschen mit den richtigen Fähigkeiten. Eine Win32-App korrekt zu paketieren, erfordert spezialisiertes Wissen. Wenn dieses Wissen bei ein oder zwei Personen liegt, wartet jedes Update auf deren Verfügbarkeit.
Jedes Update ist ein eigenes Projekt. Drittanbieter veröffentlichen nach ihren eigenen Zeitplänen, und jede Veröffentlichung braucht dieselbe Vorbereitung, bevor sie live gehen kann. Die Arbeit lässt sich selten sauber bündeln, sodass die Warteschlange schneller wächst, als sie schrumpft.
Kein Nachweis, dass Patches eingespielt wurden. Ohne eine Bestätigung auf Geräteebene kann die IT nicht erkennen, auf welchen Endpunkten noch die anfällige Version läuft, und Lücken bleiben unbemerkt, bis jemand gezielt danach sucht.
Wo App-Paketierung in Intune das Patchen von Drittanbieter-Apps ausbremst
Während Intune Updates für Windows und Microsoft 365 gut verwaltet, sind Apps von Drittanbietern schwieriger zu managen. Microsofts Enterprise App Management hilft dabei, indem es einen Katalog vorbereiteter Microsoft- und Nicht-Microsoft-Windows-Apps bereitstellt, die Intune aktuell halten kann. Der Katalog enthält jedoch nur Apps, die Microsoft vorbereitet hat, und Microsoft garantiert nicht, dass eine angeforderte App hinzugefügt wird.
Apps außerhalb des Katalogs, benutzerdefinierte und interne Apps sowie Mandanten ohne Enterprise App Management durchlaufen weiterhin den standardmäßigen Win32-Prozess.
Für jede neue Version sieht dieser Prozess in der Regel so aus:
Laden Sie das Installationsprogramm vom Anbieter herunter und bestätigen Sie, dass es sich um die richtige Version und Architektur handelt.
Finden Sie die Befehle für die stille Installation und Deinstallation. Intune setzt voraus, dass Win32-Apps ohne Benutzerinteraktion installiert werden. Daher muss jemand herausfinden, welche Schalter die einzelnen Installer unterstützen.
Verpacken Sie das Installationsprogramm als .intunewin-Datei mit dem Microsoft Win32 Content Prep Tool.
Schreiben Sie Erkennungsregeln, damit Intune bestätigen kann, dass die App korrekt installiert wurde.
Ablösebeziehungen konfigurieren, damit die neue Version die alte ersetzt.
Testen Sie das Paket auf einem Ersatzgerät oder in einer virtuellen Maschine, bevor es die Benutzer erreicht.
Weisen Sie die App den richtigen Gruppen zu.
Überprüfen Sie die Bereitstellung und beheben Sie Probleme bei Geräten, bei denen sie fehlgeschlagen ist.
Dann liefert der Anbieter ein weiteres Update aus, und der Zyklus beginnt von vorn. Multiplizieren Sie diese Schritte mit jeder Drittanbieter-App in der Umgebung und mit jeder Version, die jeweils veröffentlicht wird, und die Bereitstellung von Intune-Win32-Apps wird zu einem dauerhaften Rückstand. An diesem Rückstand wird aus „verfügbar“ schnell ein Zeitraum von Wochen.
Was ein schnellerer Patch-Prozess von Drittanbietern braucht
Der Bericht von J.P. Morgan empfiehlt Unternehmen, die neuesten Softwareversionen einzusetzen und ihre Zeitpläne für Patch-Tests und -Bereitstellung zu verkürzen. Bei Drittanbieter-Apps in Intune läuft das auf einige operative Anforderungen hinaus:
Ein aktuelles Inventar von Drittanbieter-Apps. Jede Patch-Entscheidung beginnt damit, zu wissen, welche Apps und Versionen auf welchen Geräten ausgeführt werden.
Vertrauenswürdige, verifizierte Installationsquellen. Das Beziehen von Installationsprogrammen aus geprüften Quellen verringert das Risiko, ein manipuliertes oder schädliches Paket bereitzustellen.
Automatisierte Paketierung. Befehle für die stille Installation und Deinstallation, Erkennungsregeln und Ablösebeziehungen sollten für jede Version automatisch generiert werden – ohne manuell geschriebene Skripte.
Automatische Erkennung neuer Versionen. Wenn ein Anbieter ein Update bereitstellt, sollte das neue Paket erstellt werden, ohne darauf zu warten, dass jemand die Veröffentlichung bemerkt.
Automatisierte Tests und Sicherheitsscans vor der Bereitstellung. Wenn jeder Build auf einer sauberen Maschine getestet wird, entfällt einer der Hauptgründe, warum Teams Updates zurückhalten.
Gestaffelte Einführung. Die Bereitstellung zunächst für eine Pilotgruppe begrenzt die Auswirkungen, falls ein Update tatsächlich Probleme verursacht.
Steuerungsmöglichkeiten für Endbenutzer. Zurückstellungen, Neustartaufforderungen und Kulanzzeiträume ermöglichen die Bereitstellung von Updates, ohne jemanden mitten bei der Arbeit zu unterbrechen.
Bereitstellungsstatus und Transparenz für Audits. Berichte pro Gerät bestätigen, dass jeder Patch tatsächlich installiert wurde, und hinterlassen einen Nachweis für Audits.
Fragen zur Bewertung Ihres Patch-Zeitfensters für Drittanbieter
Bevor Sie Tools oder Prozesse ändern, ist es hilfreich zu wissen, wo Ihr Team heute steht. Diese Fragen zeigen, wie groß Ihr Zeitfenster der Gefährdung wirklich ist:
Wie viele Tage vergehen zwischen einer Herstellerveröffentlichung und der Intune-Zuweisung für Ihre 10 wichtigsten Drittanbieter-Apps? Diese Zahl ist Ihr tatsächliches Patch-Zeitfenster, und es ist oft länger, als Teams erwarten.
Wie viele Personen in Ihrem Team können eine Win32-App korrekt paketieren? Wenn die Antwort ein oder zwei lautet, hängt jedes Update von ihrer Verfügbarkeit ab.
Wann haben Sie zuletzt ein Update verzögert, weil die Tests noch nicht abgeschlossen waren? Häufige Verzögerungen deuten auf einen Engpass beim Testen hin, nicht auf ein Problem bei der Terminplanung.
Können Sie nachweisen, dass ein Patch jedes Gerät erreicht hat? Ohne eine Bestätigung pro Gerät kann ein Update, das vollständig aussieht, Endpunkte dennoch ungeschützt lassen.
Wie agentisches Packaging den Weg von der Veröffentlichung bis zur Bereitstellung verkürzt
Der Bericht von J.P. Morgan weist auf etwas hin, das man zwischen all den Warnungen leicht übersieht: Dieselben KI-Tools, die zum Auffinden und Ausnutzen von Schwachstellen verwendet werden, können auch dabei helfen, sie zu beheben. Agentisches Packaging wendet diese Idee auf den langsamsten Teil des Patchens von Drittanbieter-Software an.
In einem agentischen Packaging-Workflow übernehmen KI-Agenten die repetitiven Schritte des Intune-App-Packagings. Sie lesen das Installationsprogramm, ermitteln die Befehle für die stille Installation und Deinstallation, erstellen das Paket und generieren die Erkennungslogik. Jeder Build wird dann auf einem sauberen Rechner getestet, und die Ergebnisse gehen zur Prüfung an einen Administrator, bevor irgendetwas in Intune veröffentlicht wird.
Sehen Sie agentisches Packaging am 21. Oktober in Aktion
Ein Patch, der bereits existiert, ist nur so nützlich wie die Zeit, die er braucht, um jedes Gerät zu erreichen. Bei Drittanbieter-Apps in Intune entfällt ein großer Teil dieser Zeit auf die Paketierung.
Agentische Paketierung nimmt die repetitive Arbeit bei jeder Version ab, sodass neue Versionen ohne Warten in einer Warteschlange durch die Tests und in eine gestaffelte Einführung übergehen können.
Splashtop veranstaltet am 21. Oktober um 8:00 Uhr PT / 11:00 Uhr ET ein 30-minütiges Webinar mit dem Titel „From Manual to Agentic Packaging: Simplifying App Deployment with Microsoft Intune“. Microsoft MVP Maxime Guillemin und Brandon Shopp, Head of Product bei Splashtop, zeigen, wie KI und agentische Workflows den Paketierungsaufwand und Fehler reduzieren – einschließlich eines Einblicks in agentische Paketierung in der Praxis.
