Sicherheitsupdates als Service
Sicherheitsupdates. Eingespielt, bevor es jemand ausnutzt.
Jedes veröffentlichte Update verrät Angreifern, wo sie suchen müssen. Wir spielen Sicherheitsupdates für Ihre Website ein – geprüft auf Staging, innerhalb fester Fristen, dokumentiert.
Für Drupal, WordPress, TYPO3, Magento 2 und Shopware – auch wenn Ihre Website nicht von uns gebaut oder gehostet wird.
Warum Fristen zählen
Die Lücke ist bekannt, bevor Sie davon erfahren.
Sicherheitsupdates werden öffentlich angekündigt – mit Beschreibung der Schwachstelle. Automatisierte Werkzeuge suchen danach innerhalb von Stunden Websites ab, auf denen das Update noch fehlt. Wer spät einspielt, wird gefunden.
Im Durchschnitt beginnt die Ausnutzung inzwischen, bevor ein Update überhaupt verfügbar ist. Umso mehr zählt, wie schnell es nach Veröffentlichung bei Ihnen eingespielt wird.
Zeit bis zur Ausnutzung einer Schwachstelle
Durchschnitt, Tage nach Veröffentlichung des Updates
| 2018 | 63 Tage |
|---|---|
| 2024 | −1 Tag |
| 2025 | −7 Tage |
32 %
aller untersuchten Angriffe
beginnen mit der Ausnutzung einer Schwachstelle – im sechsten Jahr in Folge der häufigste Einstiegsweg.
Mandiant, M-Trends 2026
43 Tage
bis ein Update eingespielt ist
vergehen im Mittel in Unternehmen – im Vorjahr waren es noch 32. Angreifer brauchen deutlich weniger.
Verizon DBIR 2026
11.334
neue WordPress-Schwachstellen
allein 2025 – 91 % davon in Plugins, nicht im Kern. Bei fast der Hälfte gab es zur Veröffentlichung noch kein Update.
Patchstack, State of WordPress Security 2026
119
neue Schwachstellen pro Tag
in Software, wie sie auch auf Websites läuft – 24 % mehr als im Vorjahr.
BSI, Lagebericht 2025
Warum Updates trotzdem liegen bleiben
Niemand schaut hin
Sicherheitshinweise erscheinen auf Herstellerseiten, in Mailinglisten und Changelogs – nicht in Ihrem Posteingang.
Angst vor dem Bruch
Ohne Testumgebung kann jedes Update die Live-Seite stören. Also wartet man – und wartet.
Unklare Zuständigkeit
Agentur, Hoster, interne IT: Wer spielt eigentlich ein? Oft weiß es niemand genau.
Unser Ansatz
Feste Fristen statt gelegentlicher Wartung.
Wir beobachten die Sicherheitsquellen Ihres Systems an jedem Arbeitstag, bewerten jeden Hinweis und spielen betroffene Updates zuerst in einer Testumgebung ein. Erst nach Prüfung und Ihrer Freigabe geht es live.
Wie schnell das passiert, steht im Vertrag: Je nach Kritikalität und Servicestufe innerhalb von einem bis fünf Arbeitstagen. Alles Übrige sammeln wir im Regelzyklus.
Geprüft, bevor es live geht
Jedes Update läuft zuerst auf Staging. Wir prüfen Sichtbarkeit und Kernfunktionen, bevor wir Ihre Freigabe einholen – oder bei kritischen Lücken mit Ihrer Notfallfreigabe sofort handeln.
Fristen, die im Vertrag stehen
Kritische Updates sind je nach Servicestufe innerhalb von einem oder zwei Arbeitstagen eingespielt. Das ist keine Absicht, sondern eine Zusage.
Jeder Vorgang dokumentiert
Komponente, Version vorher und nachher, Advisory-Kennung, Kritikalität, Freigabe, Zeitpunkt. Auf Wunsch einmal jährlich als Gesamtübersicht – auch für Prüfer und Versicherer.
So läuft ein Update-Vorgang
Beobachten, bewerten, testen, freigeben, einspielen.
Beobachten
Wir verfolgen an jedem Arbeitstag die Sicherheitsquellen des Herstellers und Ihrer Erweiterungen – Security Advisories, Changelogs, Composer-Audit.
Bewerten
Betrifft der Hinweis Ihr System? Wir prüfen Komponente, Version und Konfiguration und stufen ein: kritisch, hoch oder mittel/niedrig.
Testen
Das Update kommt zuerst auf Ihre Staging-Umgebung. Sichtprüfung und Funktionstest der vereinbarten Kernfunktionen.
Freigeben
Sie bekommen eine kurze Freigabeanforderung. Bei kritischen Lücken handeln wir mit Ihrer Notfallfreigabe sofort und informieren danach.
Einspielen
Live-Deployment innerhalb der Servicezeiten, erneute Prüfung und Dokumentation des Vorgangs. Sie erhalten die Information.
Im Servicevertrag Sicherheitsupdates enthalten
Was Sie bekommen.
Beobachtung der Sicherheitsquellen
Herstellerhinweise, Security Advisories und Abhängigkeits-Audits – an jedem Arbeitstag, für Kern und alle erfassten Erweiterungen.
Bewertung und Einstufung
Jeder Hinweis wird auf Ihr System bezogen und nach Kritikalität eingestuft. Sie erfahren, was betroffen ist – und was nicht.
Test auf Staging vor Live
Kein Update geht ungeprüft auf Ihre Website. Fehlt eine Testumgebung, richten wir sie ein.
Feste Fristen je Kritikalität
Kritisch in einem bis zwei Arbeitstagen, hoch in zwei bis fünf – je nach Servicestufe. Alles Übrige im Regelzyklus.
Kleine Inkompatibilitäten inklusive
Bis zu 30 Minuten Anpassung je Update-Vorgang sind enthalten, wenn ein Update etwas stört. Größeres schätzen wir vorab.
Dokumentation und Jahresübersicht
Jeder Vorgang wird nachvollziehbar dokumentiert. Auf Wunsch erhalten Sie jährlich eine Übersicht aller Updates – für Audit, Versicherung und Geschäftsführung.
Was genau enthalten ist, was nicht, und welche Voraussetzungen gelten – für Sie und für die Menschen, die Ihre Website technisch betreuen.
Wir sagen Ihnen rechtzeitig, wenn Ihr System ausläuft.
Sechs Monate bevor Ihre Version keine Herstellerupdates mehr erhält, bekommen Sie von uns einen Hinweis und auf Wunsch ein Angebot für das Upgrade. So entscheiden Sie in Ruhe – statt unter Druck.
Zwei Servicestufen
Basis oder Plus – Sie wählen das Tempo.
Beide Stufen enthalten denselben Leistungsumfang. Sie unterscheiden sich darin, wie schnell wir Sie informieren und wie schnell Updates eingespielt sind. Die Fristen laufen innerhalb unserer Servicezeiten, Montag bis Freitag von 8 bis 17 Uhr, und beginnen mit der Veröffentlichung des Updates durch den Hersteller.
| Leistung | Basis | Plus |
|---|---|---|
| Information über einen Sicherheitshinweis, der Ihr System betrifft | bis Ende des nächsten Arbeitstages | innerhalb von 4 Servicestunden |
| Einspielen „kritisch“ (Staging und Live) | innerhalb von 2 Arbeitstagen | innerhalb von 1 Arbeitstag |
| Einspielen „hoch“ (Staging und Live) | innerhalb von 5 Arbeitstagen | innerhalb von 2 Arbeitstagen |
| Einspielen „mittel / niedrig“ | im nächsten Regelzyklus | im nächsten Regelzyklus |
| Regelzyklus (gesammeltes Einspielen) | monatlich | alle 14 Tage |
Abgerechnet wird als Monatspauschale je betreutem System – unabhängig davon, wie viele Updates im Monat erscheinen. Laufzeit zwölf Monate.
Preis auf Anfrage
Die Pauschale richtet sich nach System, Umfang der Bestandsaufnahme und Servicestufe. Sie erhalten sie nach einem kurzen Gespräch als festes Angebot.
Unterstützte Systeme
Für die Systeme, auf denen deutsche Unternehmenswebsites laufen.
Je System beobachten wir die offiziellen Sicherheitsquellen des Herstellers bzw. Security-Teams. Voraussetzung ist eine vom Hersteller noch unterstützte Version.
Drupal
Drupal 10 und 11
Security Advisories des Drupal Security Teams für Core und Module; Composer-Audit.
WordPress
Aktueller Core-Zweig
Core-Sicherheitsreleases, Plugin- und Theme-Hinweise, Schwachstellendatenbank.
TYPO3
LTS-Versionen in Wartung
TYPO3-CORE-SA und TYPO3-EXT-SA Advisories; ELTS nur mit bestehendem Vertrag.
Magento 2
Versionslinien 2.4.x
Adobe Security Bulletins, Security-only-Patches und Hotfixes; Staging zwingend.
Shopware 6
Aktuelle Versionen
Security Advisories der Shopware AG und GitHub Security Advisories; Composer-Audit.
Shopware 5
Abgekündigt seit Juli 2024
Eingeschränkter Umfang ohne Fristen: Plugin- und Abhängigkeits-Updates, soweit verfügbar. Wir empfehlen die Migration auf Shopware 6.
Ihr System ist nicht dabei? Auf Wunsch übernehmen wir auch andere Systeme – etwa weitere CMS, Shop-Systeme oder Frameworks. Wir prüfen vorab, welche Sicherheitsquellen es gibt, und vereinbaren den Umfang individuell.
Was wir von Ihnen brauchen
Vier Dinge, dann können wir starten.
Zugänge
Admin-Zugang, Repository und Deployment, bei Fremdhosting auch Server-Zugang – übergeben über einen sicheren Kanal.
Testumgebung
Eine Staging-Umgebung. Ist keine vorhanden, richten wir sie einmalig ein.
Eine Person, die freigibt
Jemand mit Vertretung, der Freigaben erteilt und innerhalb der Servicezeiten erreichbar ist.
Lizenzen
Gültige Lizenzen und Store-Zugänge für kommerzielle Erweiterungen, damit wir deren Updates beziehen können.
Aktuell halten und prüfen gehören zusammen.
Sicherheitsupdates schließen bekannte Lücken in Standardsoftware. Was in Ihrer Konfiguration, Ihren Individualentwicklungen oder vergessenen Subdomains steckt, sehen Sie erst, wenn jemand Ihre Website mit den Mitteln der Angreifer prüft. Beides zusammen deckt den Alltag ab.
Häufige Fragen
Was Kunden uns vorab fragen.
- Was gilt als Sicherheitsupdate?
Jede vom Hersteller, Security-Team oder Erweiterungsanbieter veröffentlichte Version, deren erklärter Zweck das Schließen einer Sicherheitslücke ist – für den Kern, die erfassten Erweiterungen und die per Paketmanager verwalteten Abhängigkeiten. Ist das Update nur als Teil einer größeren Version verfügbar, spielen wir diese ein.
- Was ist nicht enthalten?
Upgrades auf eine neue Hauptversion, Funktions-Updates ohne Sicherheitsbezug, Anpassung von Individualentwicklungen über 30 Minuten hinaus, Ersatz verwaister Erweiterungen sowie Server, Betriebssystem und PHP – Letzteres regelt Ihr Hosting-Vertrag. Diese Leistungen bieten wir auf Anfrage gesondert an.
- Was passiert, wenn ein Update etwas kaputt macht?
Deshalb testen wir zuerst auf Staging. Zeigt sich dort eine Unverträglichkeit, beheben wir sie bis 30 Minuten je Vorgang im Rahmen der Pauschale. Ist der Aufwand größer, bekommen Sie vorab eine Schätzung und entscheiden. Bis dahin bleibt das Update ausgesetzt – dokumentiert.
- Muss ich jedes Update freigeben?
Sie erhalten für jedes Live-Deployment eine kurze Freigabeanforderung per E-Mail oder Ticket. Antworten Sie nicht innerhalb von zwei Arbeitstagen (kritisch) bzw. fünf Arbeitstagen, gilt das Update als freigegeben – darauf weisen wir jedes Mal hin. Mit einer Notfallfreigabe dürfen wir kritische Updates sofort einspielen und informieren Sie danach.
- Unsere Website wird woanders gehostet oder von einer anderen Agentur betreut. Geht das?
Ja. Wir brauchen die Zugänge zu System, Repository und Deployment. Serverseitige Updates bleiben beim Hoster; was wir übernehmen und was nicht, steht klar im Vertrag.
- Was ist, wenn mein System abgekündigt ist?
Für Versionen ohne Herstellerupdates – etwa Shopware 5 oder Drupal 7 – spielen wir ein, was Community und Anbieter noch bereitstellen, und geben Hinweise zu Schutzmaßnahmen. Feste Fristen gibt es dann nicht. Besser: Wir sprechen über ein Upgrade und begleiten Sie bis dahin.
- Mein System steht nicht in der Liste. Geht das trotzdem?
In vielen Fällen ja. Auf Wunsch betreuen wir auch andere Systeme, wenn der Hersteller oder die Community verlässliche Sicherheitshinweise veröffentlicht. Wir klären das vorab in einer Bestandsaufnahme und legen Umfang und Fristen individuell im Vertrag fest.
- Wie lange läuft der Vertrag?
Zwölf Monate ab Vertragsbeginn, danach Verlängerung um jeweils zwölf Monate mit drei Monaten Kündigungsfrist. Die Monatspauschale wird im Voraus abgerechnet, monatlich oder jährlich.
Lassen Sie uns über Ihre Website sprechen.
30 Minuten mit Ihrem Ansprechpartner und einem Mitglied unseres Entwicklungsteams. Wir schauen gemeinsam, welches System Sie einsetzen, ob die Version noch unterstützt wird und was eine Bestandsaufnahme ergeben würde.
Telefon 0385 - 32 65 02 0 · E-Mail hello-securityupdates@mandarin-medien.de
Stefan Pede
Accountmanagement und Beratung, MANDARIN
Ihr Ansprechpartner für Sicherheitsupdates.