Oracle: Patchen nach Plan

Der Datenbankhersteller bestätigte, dass er plant, Patches künftig jeden Monat an einem bestimmten Tag herauszugeben. Damit folgt Oracle Microsofts Entscheidung vom Oktober 2003, Patches für eigene Software am zweiten Dienstag jeden Monats zu veröffentlichen.

„Wir sind überzeugt, dass ein einzelner Patch mit mehreren Fixes nach einem festen Zeitplan den Wünschen unserer Kunden entgegenkommt“, so eine Stellungnahme des Unternehmens gegenüber CNET. „Es stellt zwar eine Herausforderung dar, alle Patches zu einem vorgegebenen Termin fertig zu haben, aber wir sind zuversichtlich, dass ein regelmäßiger Zeitplan für Patches genau das Richtige für unsere Kunden ist.“

Diese Neuerung könnte einen Trend in der Softwarebranche signalisieren, da immer mehr Hersteller von Anwendungen und Betriebssystemen die Herausgabe von Fixes zeitlich planen. Viele Sicherheitsfachleute kritisieren zwar, die regelmäßige Veröffentlichung von Patches nutze mehr dem öffentlichen Image der Softwarehersteller als deren Kunden, aber es gibt auch die Meinung, dass regelmäßige Fixes die Sicherheit verbessern.

„Der wichtigste Aspekt hierbei ist, dass IT-Abteilungen Updates und Rollouts zeitlich planen können und man nicht jeden Tag nach aktuellen Patches Ausschau halten muss“, sagt Gerhard Eschelbeck, CTO von Qualys, einem Unternehmen, das Sicherheitslücken bewertet.

Qualys veröffentlichte kürzlich Daten zur Auswertung von Sicherheitslücken, die zeigen, dass Unternehmen ihre Systeme inzwischen schneller patchen. Die „Halbwertzeit“ von Sicherheitslücken (also die Zeit, bis die Zahl der für einen bestimmten Fehler anfälligen Systeme halbiert ist) ging von 30 Tagen im Jahr 2003 auf 21 Tage im ersten Halbjahr 2004 zurück, berichtete Eschelbeck auf einer Sicherheitskonferenz.

Zumindest teilweise dürfte dies auf den neuen Patch-Zeitplan zurückzuführen sein, den Microsoft eingeführt hat – eine Hypothese, die Eschelbeck gerade überprüft. Darüber hinaus erleichtert die Praxis des Software-Riesen, viele Fixes in einem einzigen Sammelpatch zu veröffentlichen, das Einspielen von Updates, so Rik Farrow, unabhängiger Sicherheitsberater.