Windows-Updates laufen in den meisten Unternehmen inzwischen zuverlässig. Fragt man jedoch, wann zuletzt ein Firmware-Update auf der Firewall, dem NAS oder der Server-Fernverwaltung eingespielt wurde, wird es oft still. Firmware ist die Software, die direkt in einem Gerät steckt und es steuert; sie wird selten beachtet, ist aber genauso angreifbar wie ein Betriebssystem. Dieser Beitrag zeigt, warum Firmware anders behandelt werden muss und wie Sie einen machbaren Update-Prozess aufbauen.
Wo überall Firmware steckt
Praktisch jedes Gerät im Netzwerk hat Firmware. Die wichtigsten Gruppen:
- BIOS/UEFI von PCs, Notebooks und Servern: die Grundsoftware, die vor dem Betriebssystem startet.
- NAS-Systeme: Bei vielen Geräten ist die Firmware gleichzeitig das komplette Betriebssystem samt Weboberfläche und Apps.
- Firewalls und Router: Sie stehen direkt am Internet und sind deshalb besonders wichtig.
- Switches und WLAN-Access-Points: Netzwerktechnik läuft oft jahrelang ohne Update, weil „sie ja funktioniert“.
- Drucker und Multifunktionsgeräte: mit Weboberfläche, Scan-to-Mail und teilweise eigenen Diensten.
- USV-Netzwerkkarten: Die Karte, über die die unterbrechungsfreie Stromversorgung Server herunterfährt, hat eine eigene Weboberfläche und eigene Firmware.
- Server-Fernverwaltung: iLO (HPE), iDRAC (Dell) oder allgemein IPMI. Diese Controller erlauben Zugriff auf den Server, auch wenn das Betriebssystem nicht läuft, bis hin zum Einschalten und Neuinstallieren.
- Festplatten, SSDs, RAID-Controller und Netzwerkkarten: auch sie erhalten gelegentlich Firmware-Korrekturen.
Warum Firmware-Updates anders sind als Windows-Updates
Kein zentraler Verteilweg
Windows-Updates kommen über einen definierten Weg, etwa Windows Update, Intune oder WSUS; wie Sie diesen Weg steuern, beschreibt der Beitrag Windows-Updates steuern. Firmware dagegen kommt von dutzenden Herstellern, jeweils mit eigenem Werkzeug, eigener Download-Seite und eigenem Benachrichtigungsweg. Wer nicht aktiv nachsieht, erfährt von neuen Versionen oft nichts.
Wo finden Sie das Firmware-Update? Fast immer auf der Supportseite des Herstellers, aufgerufen über Modell oder Seriennummer, oder in der Weboberfläche des Geräts selbst, die bei Firewalls, NAS und Switches meist eine Update-Funktion mitbringt. Ein BIOS-Update für PCs und Notebooks kommt teils auch über das Verwaltungswerkzeug des Herstellers oder über Windows Update. Firmware aus anderen Quellen sollten Sie nicht installieren.
Höheres Risiko beim Update
Ein fehlgeschlagenes Windows-Update lässt sich meist deinstallieren. Ein abgebrochenes Firmware-Update kann ein Gerät unbrauchbar machen. Manche Geräte haben eine zweite Firmware-Kopie als Rückfallebene, andere nicht. Viele Updates erfordern zudem einen Neustart des ganzen Geräts. Bei einem Core-Switch oder einer Firewall bedeutet das eine Unterbrechung für alle.
Abhängigkeiten
Firmware-Versionen hängen oft voneinander ab. Bei Servern müssen BIOS, Fernverwaltung, RAID-Controller und Treiber zusammenpassen. Bei Speichersystemen gibt es Kompatibilitätslisten. Einfach „das Neueste“ einzuspielen ist nicht immer richtig.
Geräte ohne Hersteller-Updates
Ist ein Gerät beim Hersteller abgekündigt, gibt es keine Firmware mehr. Dann ist nicht das Update das Problem, sondern das Gerät. Wie Sie solche Fälle früh erkennen, beschreibt der Beitrag zum Lebenszyklus von Hardware und End-of-Life.
Ein aktuelles Beispiel: Secure-Boot-Zertifikate
Wie eng Firmware und Betriebssystem zusammenhängen, zeigt die Umstellung der Secure-Boot-Zertifikate. Secure Boot ist eine UEFI-Funktion, die beim Start prüft, ob der Bootloader vertrauenswürdig signiert ist. Die von Microsoft 2011 ausgestellten Zertifikate laufen 2026 aus; das Zertifikat, mit dem der Windows Boot Manager signiert ist, am 19. Oktober 2026. Nachfolger sind Zertifikate aus dem Jahr 2023.
Nach Angaben von Microsoft starten Geräte ohne neue Zertifikate weiterhin, erhalten aber keine neuen Schutzupdates für den Startvorgang mehr. Die Umstellung läuft zwar über Windows-Updates, setzt aber eine passende UEFI-Firmware voraus. Berichte zeigen, dass ältere Firmware die Umstellung scheitern lassen kann. Hersteller liefern deshalb BIOS-Updates aus, und für ältere Servergenerationen gibt es teils keine mehr. Wer seine BIOS-Stände nicht kennt, kann hier kaum sagen, welche Geräte betroffen sind.
Schritt 1: Firmware-Inventar
Ohne Inventar kein Update-Plan. Erfassen Sie für jedes relevante Gerät:
- Hersteller, Modell, Seriennummer
- aktuelle Firmware-Version und Datum
- Standort und Funktion (Was fällt aus, wenn das Gerät neu startet?)
- Supportstatus beim Hersteller
- Bezugsquelle für Updates und Benachrichtigungen (Newsletter, Sicherheitshinweise, Portal)
- Verantwortlicher, intern oder Dienstleister
Für PCs und Server lassen sich BIOS-Versionen über Verwaltungswerkzeuge wie Intune oder Inventarisierungssoftware automatisch auslesen. Bei Netzwerktechnik, USV-Karten und Druckern ist oft Handarbeit nötig. Ein Grundgerüst dafür liefert der Beitrag IT-Inventar aufbauen.
Schritt 2: Priorisieren
Nicht jedes Firmware-Update ist gleich dringend. Bewerten Sie nach zwei Fragen: Wie erreichbar ist das Gerät, und was steht im Update?
- Höchste Priorität: Geräte, die aus dem Internet erreichbar sind (Firewall, VPN-Zugang, NAS mit Fernzugriff) und Updates mit Sicherheitskorrekturen.
- Hoch: Server-Fernverwaltung (iLO, iDRAC, IPMI), Speicher und Hypervisor-Hosts. Diese Schnittstellen gehören in ein eigenes Verwaltungsnetz und dürfen nie direkt aus dem Internet erreichbar sein.
- Mittel: Switches, Access-Points, USV-Karten, Drucker.
- Regelmäßig im Rahmen der Wartung: BIOS von Arbeitsplätzen, Festplatten- und Controller-Firmware.
Wie Sie Sicherheitshinweise der Hersteller einordnen, beschreibt der Beitrag Schwachstellen bewerten und patchen.
Schritt 3: Update-Plan und Wartungsfenster
Legen Sie fest, wie oft Sie für jede Gerätegruppe nach Updates schauen, etwa monatlich für Firewall und NAS, quartalsweise für Netzwerk und Server-Firmware. Kritische Sicherheitsupdates werden außerhalb dieses Rhythmus kurzfristig eingespielt.
Firmware-Updates, die Neustarts zentraler Geräte erfordern, gehören in ein angekündigtes Wartungsfenster. Wie Sie solche Fenster planen und mit dem übrigen Patch-Management verzahnen, steht im Beitrag zu Wartungsfenstern und Patch-Management.
Schritt 4: Firmware sicher aktualisieren
Ein paar Regeln vermeiden die meisten Probleme:
- Versionshinweise lesen. Manche Updates setzen eine Zwischenversion voraus oder ändern Standardeinstellungen.
- Konfiguration sichern. Vor jedem Update die Konfiguration von Firewall, Switch oder NAS exportieren und getrennt ablegen.
- Rückweg kennen. Klären Sie vorher, ob ein Zurückspringen auf die alte Version möglich ist. Bei manchen Geräten ist ein Downgrade gesperrt.
- Stromversorgung sichern. Ein Stromausfall während des Updates ist der klassische Weg zum defekten Gerät. Notebooks ans Netzteil, Server und Netzwerktechnik an die USV.
- Zeit einplanen. Wer Firmware aktualisieren will, sollte wissen, dass das Gerät während des Neustarts nicht erreichbar ist; bei Servern mit mehreren Komponenten dauert das deutlich länger als bei einem Access-Point.
- Erst ein Gerät, dann alle. Bei mehreren gleichen Geräten zuerst ein weniger kritisches aktualisieren und beobachten.
- Vor-Ort-Zugang einplanen. Wenn ein Gerät nach dem Update nicht mehr erreichbar ist, muss jemand an die Konsole kommen.
- Dokumentieren. Neue Version, Datum und Auffälligkeiten ins Inventar eintragen.
Checkliste: Erste Schritte
- Alle Geräte mit Firmware erfassen, beginnend mit Firewall, NAS und Servern.
- Aktuelle Firmware-Versionen und Supportstatus notieren.
- Für jeden Hersteller eine Benachrichtigung über Sicherheitshinweise einrichten.
- Prüfen, ob Fernverwaltungen wie iLO, iDRAC oder IPMI in einem eigenen Verwaltungsnetz liegen.
- BIOS-Stände der Windows-Geräte auf die Secure-Boot-Umstellung hin prüfen.
- Einen Update-Rhythmus je Gerätegruppe festlegen.
- Ablauf für Aktualisierungen mit Konfigurationssicherung und Rückweg dokumentieren.
- Abgekündigte Geräte ohne Herstellerupdates für den Austausch einplanen.
Wie DAVINCI unterstützt
Wir erfassen Firmware-Stände in Ihrer Umgebung, beobachten Sicherheitshinweise der Hersteller und spielen Updates geplant im Wartungsfenster ein, bei Bedarf per Fernwartung oder vor Ort. Das ist Teil unserer IT-Betreuung. Für eine erste Bestandsaufnahme erreichen Sie uns über die Kontaktseite.
Häufige Fragen
Was bringt ein Firmware-Update, und ist es überhaupt notwendig?
Solche Updates schließen Sicherheitslücken, beheben Fehler, verbessern die Kompatibilität mit neuer Hardware oder neuen Betriebssystemen und bringen gelegentlich neue Funktionen. Notwendig ist nicht jedes Update, aber jedes mit Sicherheitskorrekturen für ein Gerät, das im Netzwerk oder gar aus dem Internet erreichbar ist. Bei reinen Funktionsupdates entscheiden Sie nach Nutzen und Risiko.
Sollte ich jedes Firmware-Update sofort einspielen?
Nein. Sicherheitsupdates für erreichbare Geräte sollten zügig kommen, Funktionsupdates können warten, bis sie sich bewährt haben. Entscheidend ist, dass jemand die Veröffentlichungen verfolgt und bewusst entscheidet.
Werden bei einem Firmware-Update Daten oder Einstellungen gelöscht?
Nutzdaten auf einem NAS oder Server bleiben in der Regel unberührt, das Update ist aber kein Ersatz für eine aktuelle Datensicherung. Einstellungen können dagegen zurückgesetzt werden, vor allem bei BIOS-Updates und bei größeren Versionssprüngen. Deshalb gehört der Export der Konfiguration vor jedes Update.
Was tun, wenn ein Firmware-Update fehlschlägt?
Gerät nicht ausschalten und nicht sofort erneut starten, sondern die vom Hersteller genannte Wartezeit abwarten. Viele Geräte starten danach mit der zweiten Firmware-Kopie oder bieten einen Wiederherstellungsmodus, der in der Dokumentation beschrieben ist. Hilft das nicht, ist der Herstellersupport der nächste Schritt; genau für diesen Fall sollte die Konfiguration gesichert und ein Ersatzgerät oder Ersatzweg bekannt sein.
Kann Firmware automatisch aktualisiert werden?
Bei manchen Geräten ja, etwa bei einigen NAS-Systemen und Firewalls. Bei zentralen Geräten ist ein automatischer Neustart mitten am Tag jedoch riskant. Besser ist eine automatische Benachrichtigung mit geplanter Installation im Wartungsfenster.
Was mache ich, wenn ein Gerät keine Updates mehr bekommt?
Dann sollte es ersetzt oder zumindest stark abgeschottet werden, etwa in einem eigenen Netzbereich ohne Internetzugang. Ein dauerhafter Betrieb ohne Updates ist bei Geräten mit Netzwerkzugang kein guter Zustand.
Verwandte Themen: Wer hier weiterdenkt, liest bei Secure Boot Zertifikat, Windows Update und Wartungsfenster weiter.
Im Text erwähnt
Quellen
- Microsoft Support: Windows Secure Boot certificate expiration and CA updates
- Eclypsium: Microsoft Secure Boot Certificates Expire in 2026
- Zertifikat läuft am 19. Oktober ab (19.10.2026) · Borns IT- und Windows-Blog: Windows Secure Boot
