Windows
Sicherheits-, kritische und kumulative Updates sowie Treiber über Windows Update; Browser, Tools und Fachanwendungen über winget.
Windows Updatewinget
In Team enthaltenVon der CVE zum installierten Patch, ohne Toolwechsel →
Patchen Sie zuerst, was ausgenutzt wird.
Der TechWatchAlert-Agent installiert Updates für Windows, Linux und macOS, für Betriebssystem und Drittanbietersoftware. Jeder Patch nennt die CVEs, die er schließt: Patches für ausgenutzte Schwachstellen kommen zuerst, der Rest folgt Ihren Genehmigungen, Ihren Ringen und Ihren Wartungsfenstern.
Team 14 Tage testen, ohne Kreditkarte · Agent für Windows, Linux und macOS · gehostet in Frankreich
Updates
Fehlende Updates auf Geräten mit Agent, die dringendsten zuerst: entscheiden, dann verteilen.GenehmigenJetzt verteilen …
AlleOffenGenehmigtAbgelehnt
| Update | Kategorie | Geräte | CVE | Veröffentlicht | Neustart | Entscheidung | |
|---|---|---|---|---|---|---|---|
| Kumulatives Update für Windows 11 24H2 (KB5066835)Windows Update · Neustart | Sicherheit | 38 | CVE-2025-59230 +5 | 14. Okt. | ⟳ | Genehmigt | |
| Google Chrome 140.0.7339.185winget · 139.0.7258.155 → 140.0.7339.185 | Software | 52 | CVE-2025-10585 | 17. Okt. | — | Genehmigt | |
 macOS Sequoia 15.6.1Apple Software Update | Sicherheit | 11 | CVE-2025-43300 | 20. Okt. | ⟳ | Offen | |
 opensslAPT · 3.0.13-0ubuntu3.6 | Sicherheit | 17 | CVE-2025-9230 +2 | 23. Okt. | — | Genehmigt Zurückgehalten bis 30. Okt. | |
| 7-Zip 25.01winget · 24.08 → 25.01 | Software | 9 | CVE-2025-0411 | 9. Okt. | — | Offen | |
| Intel Display 32.0.101.6078Windows Update | Treiber | 6 | — | 2. Okt. | ⟳ | Abgelehnt |
6 Updates, die dringendsten zuerst
Betriebssystem und Drittanbietersoftware, auf allen drei Systemen
Ein einziger Agent, für x64 und ARM, der liest und installiert, was die nativen Paketmanager jedes Geräts anbieten. Kein WSUS zu pflegen, kein Repository zu hosten.
Linux
Alle Pakete der Distribution, mit der installierten Version und der Version, die den Fix enthält.
APTDNFYUMZypper
macOS
Systemupdates über Apple Software Update und mit Homebrew installierte Software.
Apple Software UpdateHomebrew
Zwei Tools, und dazwischen eine Lücke
Der Scanner weiß, was verwundbar ist. Das Patch-Tool weiß, wie man installiert. Dazwischen überträgt jemand Listen von Hand, und ausgenutzte Schwachstellen warten wie alle anderen auf den nächsten Patch Tuesday.
Der Scanner
Findet, ohne zu beheben
Tausende CVE-Zeilen, in eine Tabelle exportiert und an das Team weitergereicht, das patcht. Am Tag, an dem die Schwachstelle ausgenutzt wird, weiß niemand, ob der Patch schon verteilt ist.
Das Patch-Tool
Behebt alles, ohne zu priorisieren
Alles geht im selben Rhythmus raus, meist monatlich. Es weiß nicht, welches Update eine seit heute Morgen ausgenutzte Schwachstelle schließt und welches warten kann.
TechWatchAlert
Behebt zuerst, was ausgenutzt wird
Dieselbe Plattform ordnet CVEs Ihren Geräten zu, weiß, welche ausgenutzt werden, und installiert den Patch. Direkt aus der Meldung, mit einem Klick und mit Nachweis.
Gebaut, um schnell zu patchen, ohne etwas kaputtzumachen
Die neuesten Patches warten ein paar Tage; solche, die eine ausgenutzte Schwachstelle schließen, gehen sofort raus.
Update-Quellen
8Windows Update, winget, APT, DNF, YUM, Zypper, Apple Software Update, Homebrew
Agent
Windows, Linux und macOS, x64 und ARM
Rückstellungsfrist
7 T.standardmäßig, und 0 für den Patch einer ausgenutzten Schwachstelle
Offene Ports auf dem Gerät
0der Agent ruft die Plattform per HTTPS auf, nie umgekehrt
Vier Schritte, kein Server zu installieren
Die Konsole läuft bei uns, der Agent bei Ihnen. Ihre Geräte starten im Beobachtungsmodus: Keine geplante Richtlinie läuft, bevor Sie es entscheiden.
Agent installieren
Ein Befehl pro System, oder die mitgelieferten Skripte für Datto, NinjaOne, ConnectWise Automate, N-able und Atera. Ein Registrierungstoken kann Geräte einer Gruppe zuordnen und mit Schlagwörtern versehen.
Sehen, was fehlt
Jedes Gerät wird regelmäßig gescannt, und auf Anforderung. Fehlende Updates erscheinen mit ihren CVEs, ihrer Größe und dem Neustart, den sie erfordern.
Entscheiden
Genehmigen oder lehnen Sie für das ganze Projekt ab, mit Begründung. Ausstehende Sicherheitsgenehmigungen lassen sich auch vom Smartphone aus bearbeiten.
Verteilen und den Nachweis behalten
Sofort, später oder per geplanter Richtlinie. Jede Aufgabe, jeder Fehlschlag und jede Entscheidung bleibt im Protokoll.
Alles, was Sie brauchen, um zu patchen, ohne etwas kaputtzumachen
Die Schutzmechanismen eines Enterprise-Patch-Tools, gesteuert vom Wissen, was tatsächlich ausgenutzt wird.
Von der Meldung zum Patch
Eine ausgenutzte Schwachstelle? Der Patch geht direkt aus ihrem Vorgang raus
Auf der Seite jeder Meldung listet TechWatchAlert die Updates auf, die die CVE beheben, und die Geräte, auf denen sie noch fehlen. Ein Klick, ein Wartungsfenster, und die Verteilung läuft.
- Die Schaltfläche „Über den Agenten verteilen“ auf jeder betroffenen Meldung
- Die noch exponierten Geräte, einzeln gezählt
- Jede Verteilung im Audit-Protokoll festgehalten
CVE-2025-59230
Windows Remote Access Connection Manager · RechteausweitungKEV Innerhalb von 3 Tagen beheben In Behebung
Über den Agenten verteilen
2 Updates beheben diese Schwachstelle, ausstehend auf 7 Geräten.
| Kumulatives Update für Windows 11 24H2 (KB5066835) | 5 Geräte |
| Kumulatives Update für Windows Server 2022 (KB5066782) | 2 Geräte |
Wann
JetztSpäter
Wartungsfenster
4 Std.
Auf 7 Geräte verteilen
Rückstellungsfrist
Zu frische Patches warten. Die für ausgenutzte Schwachstellen nicht
Ein Update, das vor weniger als sieben Tagen veröffentlicht wurde, wird zurückgehalten: Zeit genug, damit Regressionen anderswo auffallen als bei Ihnen. Schließt es eine CVE aus dem KEV-Katalog der CISA oder von VulnCheck oder eine, deren Ausnutzung CERT-FR meldet, geht es sofort raus.
- Frist einstellbar von 0 bis 90 Tagen, je Richtlinie
- Ausnahme für ausgenutzte Schwachstellen, standardmäßig aktiv
- Eine Verteilung zu erzwingen bleibt möglich, und wird protokolliert
Beispiel: Richtlinie mit 7 Tagen Rückstellungsfrist
Arbeitsplätze · Ring 2
Kriterien
Rückstellungsfrist7 Tage
Den Fix einer ausgenutzten CVE nie zurückhalten
Vorschau
| Google Chrome 140.0.7339.185Vor 2 Tagen veröffentlicht · schließt CVE-2025-10585, im KEV | Geht sofort raus |
| openssl 3.0.13-0ubuntu3.6Vor 2 Tagen veröffentlicht · keine ausgenutzte CVE | 5 Tage zurückgehalten |
| Kumulatives Update (KB5066835)Vor 9 Tagen veröffentlicht | Frist abgelaufen, geht raus |
Verteilung in Ringen
Erst eine Pilotgruppe, dann alle Geräte
Jeder Ring verteilt nur, was der vorherige Ring seit der gewählten Anzahl von Tagen ohne einen einzigen Fehlschlag installiert hat. Ein Patch, der etwas kaputtmacht, bleibt beim Pilot hängen.
- Bestätigung von 0 bis 60 Tagen zwischen zwei Ringen (standardmäßig 3)
- Vorschau jeder Ausführung, mit dem Grund für alles, was ausgelassen wird
- Kriterien nach Quelle, Kategorie und Schweregrad, Ausschlüsse
Update-Richtlinien
1
IT-Pilot12 Geräte · Dienstag 02:00, Europe/Paris
Erfolgreich2
ArbeitsplätzeRing 2 · nach „IT-Pilot“, 3 Tage bestätigt
Läuft3
ProduktionsserverRing 3 · nach „Arbeitsplätze“, 7 Tage bestätigt
Nächste Ausführung: 4. Nov.Planung und Neustart
Der richtige Tag, die richtige Uhrzeit, keine Überraschungen für die Benutzer
Täglich, wöchentlich, monatlich oder „Patch Tuesday + 1 Tag“, zur Uhrzeit der gewählten Zeitzone. Ein Gerät, das vor dem Ende des Fensters nicht begonnen hat, bricht ab. Der Neustart folgt Ihrer Richtlinie: nie, falls nötig oder immer, mit Ihrer Meldung.
- Wartungsfenster von 15 Minuten bis 7 Tage
- Wartezeit vor dem Neustart und maximaler Aufschub für den Benutzer
- Ausstehende Neustarts auf dem Geräte-Dashboard gezählt
Verteilung
ZeitplanPatchday + 1 Tag
Wartungsfenster240 Minuten
NeustartFalls nötig
Wartezeit vor dem Neustart15 Minuten
Maximaler Aufschub4 Stunden
Meldung für den Benutzer
Ihr Computer startet neu, um die Sicherheitsupdates abzuschließen. Bitte speichern Sie Ihre Arbeit.
Dynamische Gruppen
Per Regeln zielen, die Geräte ordnen sich von selbst
System, Name, Schlagwort, Kritikalität, Umgebung, Quelle oder Status: Gruppen werden bei jeder Verwendung neu berechnet. Ein Gerät, das morgen registriert wird, landet im richtigen Ring, ohne dass jemand eingreift.
- Bis zu 20 Bedingungen pro Gruppe
- Vorschau der passenden Geräte
- Statische Gruppen, wenn nötig
Linux-Produktionsserver
SystemistLinux
undUmgebungistProduktion
undSchlagwortist nichtchange-freeze
42 passende GeräteVorschau
Nachvollziehbarkeit
Wer was entschieden hat, was verteilt wurde, was fehlgeschlagen ist
Jede Genehmigung, jede Verteilung und jeder Neustart wird im Audit-Protokoll festgehalten. Eine fehlgeschlagene, abgelehnte oder abgelaufene Aufgabe erzeugt bei den Projektadministratoren ein zu bearbeitendes Ereignis, mit Erinnerungen.
- Ausführungsverlauf, nach Status und nach Gerät
- Skriptausgaben 180 Tage aufbewahrt
- Automatische Erinnerungen, solange ein Fehlschlag nicht bearbeitet ist
Ausführungsverlauf
- Richtlinie „Arbeitsplätze“ ausgeführtGeplant · 64 Geräte · 61 erfolgreich, 3 laufend
- Wartungsfenster geöffnetPatchday + 1 Tag · Europe/Paris
- Sophie Martin hat 4 Updates genehmigtDarunter KB5066835 und Google Chrome 140
- Marc Lefèvre hat ein Update abgelehntIntel-Display-Treiber · Begründung: bekannte Regression
- Aufgabe auf PC-COMPTA-07 fehlgeschlagenZu bearbeitendes Ereignis erstellt · automatische Erinnerung
Der Agent patcht. Die Konnektoren decken den Rest ab
60 Konnektoren verbinden TechWatchAlert mit den Tools, die Sie bereits nutzen: Geräte ohne Agent landen im selben Bestand, Systeme, die kein Agent aktualisiert, bleiben überwacht, und jeder Patch lässt sich überprüfen.
Geräte ohne Agent
Arbeitsplätze und Server, die bereits anderswo verwaltet werden, landen im selben Bestand: Ihre Software wird mit den CVEs abgeglichen, auch dort, wo der Agent nicht installiert ist.
Was kein Agent aktualisiert
Hypervisoren und Firewall-Appliances werden von Hand aktualisiert. Die Konnektoren lesen ihre genaue Version aus und warnen Sie, sobald eine Schwachstelle sie betrifft: Sie wissen, was zu planen ist, und auf welchem System.
Der Nachweis, dass der Patch greift
Ihre Scans, importiert oder über die API des Scanners gelesen, mit Ihren Vorgängen abgeglichen: Ein als eingespielt gemeldeter Patch, den der Scanner weiterhin als fehlend sieht, fällt auf, Host für Host.
Die richtige Person informiert
Die Meldung geht als Ticket (Jira, GLPI, ServiceNow…), als Teams-Karte oder in Slack raus, und als signierter Webhook an Ihre Skripte; die Sicherheitsereignisse gehen außerdem an Ihr SIEM.
Ein Agent, der nur ausführt, was Sie freigegeben haben
Software auf allen Geräten zu installieren erfordert großes Vertrauen. Darauf beruht es.
Signierte Aufgaben
Jede Aufgabe wird von der Plattform signiert, und der Agent prüft diese Signatur, bevor er handelt. Er installiert nur, was in der signierten Aufgabe steht, die er erhält.
Keine offenen Ports
Der Agent kontaktiert die Plattform in regelmäßigen Abständen über eine verschlüsselte ausgehende Verbindung. Auf dem Gerät lauscht nichts, keine eingehende Firewall-Regel.
Beobachtungsmodus zu Beginn
Ein neuer Bestand startet im Beobachtungsmodus: Geplante Richtlinien und automatische Agent-Updates warten auf Ihre Freigabe. Ihre manuellen Aktionen bleiben möglich.
Skripte standardmäßig deaktiviert
Ein Administrator erlaubt sie für das Projekt, und ein Gerät kann sie bereits bei der Installation lokal ablehnen.
Geheimnisse nie im Klartext gespeichert
Jeder Agent authentifiziert sich mit seinem eigenen Geheimnis; die Plattform speichert es nie im Klartext.
Gehostet in Frankreich
Anwendung, Datenbank, Backups und E-Mails bei OVHcloud, in Rechenzentren im Großraum Paris.
Was weder der Scanner noch das Patch-Tool allein leisten
| Schwachstellenscanner | Klassisches Patch-Tool | TechWatchAlert | |
|---|---|---|---|
| Sieht die CVEs jedes Geräts | |||
| Weiß, welche ausgenutzt werden (KEV, CERT-FR, EPSS) | |||
| Installiert Patches für Betriebssystem und Drittanbietersoftware | |||
| Zeigt die CVEs, die jedes Update schließt | |||
| Lässt den Patch einer ausgenutzten Schwachstelle sofort durch | |||
| Verteilt direkt aus der Meldung | |||
| Hält Vorgang, Entscheidung und Nachweis an einem Ort |
Ja · Teilweise, je nach Tool · Nein
Vergleich nach Tool-Kategorien, nicht nach Anbietern: Der genaue Funktionsumfang variiert von Produkt zu Produkt.
Patch-Management, Tarif für Tarif
Alle Preise zzgl. MwSt. Team 14 Tage testen, ohne Kreditkarte, Verteilung inklusive.
Free
Sehen, was fehlt
0 €
Für immer
Kostenlos starten- Agent für Windows, Linux und macOS
- Inventar und fehlende Updates jedes Geräts
- Von jedem Update geschlossene CVEs
- 5 Geräte inklusive
Team
Alle Geräte patchen
149,17 €/Monat
jährliche Abrechnung · 100 Geräte inklusive
14 Tage testen- Alles aus Free, mit 100 Geräten inklusive
- Genehmigen, ablehnen, verteilen, installieren, deinstallieren
- Verteilung direkt aus der Meldung
- Wartungsfenster und Neustart-Richtlinie
- Rückstellungsfrist und Ausnahme für ausgenutzte Schwachstellen
- Audit-Protokoll
Enterprise
In großem Maßstab automatisieren
Ab6.000 €
pro Jahr, auf Anfrage
Mit dem Team sprechen- Alles aus Team, unbegrenzt viele Geräte
- Geplante Richtlinien in Ringen
- Skripte in PowerShell, bash, Python
- Auch als Option für Team erhältlich
Zusätzliche Geräte: 2,50 € pro Gerät und Monat. Managed Service Provider: Staffelpreise bis hinunter zu 0,90 € pro Gerät und Monat.
Alle Tarife vergleichen →
Welche Systeme und welche Software werden abgedeckt?
Windows, Linux und macOS, auf x64 und ARM. Unter Windows: Windows Update (Sicherheit, kritisch, kumulativ, Treiber) und winget für Drittanbietersoftware. Unter Linux: APT, DNF, YUM und Zypper, also alle Pakete der Distribution. Unter macOS: Apple Software Update und Homebrew.
Brauche ich einen WSUS-Server oder einen offenen Port?
Nein. Der Agent ruft die Plattform per HTTPS auf und lädt die Updates aus den üblichen Quellen des jeweiligen Systems herunter. Auf dem Gerät lauscht nichts, und bei Ihnen muss kein Server installiert werden.
Wie verhindere ich, dass ein Update die Produktion lahmlegt?
Drei Schutzmechanismen greifen ineinander. Die Rückstellungsfrist hält zu neue Patches sieben Tage zurück. Mit Genehmigungen können Sie ein Update ablehnen, das dann nie verteilt wird. Die Ringe verteilen in der Produktion nur, was die Pilotgruppe ohne Fehlschlag installiert hat.
Und wenn ein Patch nach der Installation Probleme macht?
TechWatchAlert deinstalliert keinen bereits eingespielten Patch: Genau deshalb gibt es Rückstellungsfrist, Pilot und Genehmigungen. Sie können aber Software per winget, APT, DNF oder Homebrew deinstallieren und Ihre eigenen Behebungsskripte ausführen.
Wie werden ausgenutzte Schwachstellen behandelt?
Schließt ein Update eine CVE aus dem KEV-Katalog der CISA oder von VulnCheck oder eine, deren Ausnutzung CERT-FR meldet, wartet es die Rückstellungsfrist nicht ab. In der Meldung listet die Schaltfläche „Über den Agenten verteilen“ die Patches und die noch exponierten Geräte auf.
Ersetzt das mein RMM oder Intune?
Nicht unbedingt. Viele Teams behalten ihr Verwaltungstool und überlassen TechWatchAlert den Teil Schwachstellen und Patches. Der Agent lässt sich mit einem Befehl installieren, und für die Verteilung aus Datto, NinjaOne, ConnectWise Automate, N-able und Atera werden Skripte mitgeliefert. Ohne den Agenten auszurollen, kann TechWatchAlert auch das Inventar von NinjaOne, Datto RMM, N-able N-central und Atera über deren API lesen.
Was kostet das?
Fehlende Updates zu sehen ist bis 5 Geräte kostenlos. Die Verteilung ist in Team enthalten, 179 € pro Monat für 100 Geräte (günstiger bei jährlicher Zahlung), danach 2,50 € pro zusätzlichem Gerät. Ringe und Skripte sind in Enterprise enthalten oder als Option für Team erhältlich. Preise zzgl. MwSt.
Hilft das bei NIS2?
Artikel 21 der NIS2 verlangt, Schwachstellen und ihre Behebung zu managen. TechWatchAlert hält für jede Schwachstelle die Entscheidung, den verteilten Patch, das Datum und den Urheber fest: genug, um einem Prüfer zu zeigen, was getan wurde, und wann.
Wo werden die Daten gehostet?
In Frankreich, bei OVHcloud, im Großraum Paris: Anwendung, Datenbank, Backups und E-Mails. Der Anbieter von TechWatchAlert hat seinen Sitz in Frankreich.
Patch management
Erkennen, dann beheben – ohne Toolwechsel
Der Agent meldet das Inventar, TechWatchAlert priorisiert, was ausgenutzt wird, und der Patch wird in dem Fenster verteilt, das Sie gewählt haben.
Free-Plan ohne Kreditkarte · gehostet in Frankreich