Mean Time to Patch (MTTP)

Mean Time to Patch (MTTP) bezeichnet die durchschnittliche Zeit zwischen der Verfügbarkeit eines Sicherheitsupdates und dessen erfolgreicher Installation auf den betroffenen Systemen. Die Kennzahl macht sichtbar, wie schnell eine Organisation bekannte und durch einen Patch behebbare Sicherheitslücken schließt.

Wie wird MTTP berechnet?

Für jede betrachtete Patch-Installation wird die Zeitspanne zwischen einem festgelegten Startzeitpunkt und der bestätigten Installation ermittelt. Als Startpunkt dient meist die Veröffentlichung oder interne Bereitstellung des Patches. Die Summe dieser Zeitspannen wird durch die Anzahl der abgeschlossenen Installationen geteilt.

Damit der Wert vergleichbar bleibt, müssen Umfang, Zeitraum und Messmethode dokumentiert werden. Dazu gehören insbesondere die einbezogenen Systeme und Patchklassen, der verwendete Startzeitpunkt und die Frage, wann eine Installation als erfolgreich und überprüft gilt.

Aussagekraft und Grenzen

Ein niedriger MTTP-Wert deutet auf einen schnellen Patchprozess und eine kürzere Exposition gegenüber bekannten Schwachstellen hin. Der Mittelwert allein kann jedoch ein unvollständiges Bild vermitteln: Systeme, auf denen ein Patch noch nie installiert wurde, fließen je nach Berechnung möglicherweise gar nicht ein. Einzelne sehr lange oder sehr kurze Zeiträume können den Wert zusätzlich verzerren.

MTTP sollte deshalb gemeinsam mit Patch-Abdeckung, Anzahl und Alter ungepatchter Systeme, Einhaltung festgelegter Fristen sowie Median- oder Perzentilwerten betrachtet werden. Nicht jede Schwachstelle lässt sich außerdem durch einen Hersteller-Patch beheben; Konfigurationsänderungen oder kompensierende Maßnahmen werden von einer eng definierten MTTP-Kennzahl nicht erfasst.

Risikobasierte Priorisierung

Die Reihenfolge von Updates sollte nicht allein aus dem Veröffentlichungsdatum entstehen. Zu berücksichtigen sind unter anderem der technische Schweregrad, beispielsweise nach dem Common Vulnerability Scoring System (CVSS), eine bekannte oder bereits beobachtete Ausnutzung, die Erreichbarkeit und Bedeutung des betroffenen Systems sowie vorhandene Schutzmaßnahmen. Kritische und aktiv ausgenutzte Schwachstellen können verkürzte Notfallverfahren erfordern.

MTTP verbessern

Voraussetzungen für einen wirksamen Patchprozess sind ein vollständiges Asset- und Softwareinventar, zuverlässige Informationen über neue Schwachstellen, klare Verantwortlichkeiten und risikobasierte Fristen. Standardisierte Tests, stufenweise Verteilung, Automatisierung, Erfolgskontrollen und vorbereitete Rückfallverfahren helfen dabei, Updates schneller und zugleich kontrolliert auszurollen. Ausnahmen sollten befristet, begründet und durch geeignete Ersatzmaßnahmen abgesichert werden.

Abgrenzung zu MTTB und MTTR

MTTP bewertet die Geschwindigkeit des Patchmanagements. Die Mean Time to Breach (MTTB) betrachtet dagegen, wie viel Zeit Angreifende unter definierten Bedingungen bis zu einem festgelegten Angriffsziel benötigen. MTTR kann je nach Organisation Mean Time to Repair, Remediate, Respond oder Recover bedeuten und muss daher ebenfalls ausdrücklich definiert werden.

Weiterführende Quelle

NIST führt Mean Time to Patch als möglichen Leistungsindikator für die Behandlung von Cyberrisiken auf und verbindet Patchfristen mit Risikotoleranzen: NISTIR 8286B – Prioritizing Cybersecurity Risk for Enterprise Risk Management.

Cyber-Security-Glossar