Wöchentlicher Patchday für alle städtischen Arbeitsplatz-PCs

Stellungnahme der Verwaltung
öffentlich
190735-1 ST
Wöchentlicher Patchday für alle städtischen
Arbeitsplatz-PCs
Beratungsfolge
Hauptausschuss 05.12.2019 Stellungnahme
Auf die kleine Anfrage der Fraktion DIE LINKE „Wöchentlicher Patchday für alle
städtischen Arbeitsplatz-PCs“ antwortet die Verwaltung wie folgt:
Frage 1:
Der Patchday dient dazu, Softwarekomponenten jeglicher Art (Betriebssystem,
Sicherheitssoftware, Anwendersoftware...) auf einen aktuellen Stand zu
bringen. Die Patche beinhalten dabei die Schließung von Sicherheitslücken und
Behebung von Fehlern (sog. Bugfixes).
Es erscheinen insbesondere von Microsoft monatliche Updates mit kritischen
Sicherheitspatchen.
Auch andere Softwarehersteller veröffentlichen Sicherheitspatche in einem
eigenen Turnus, so dass ein wöchentlicher Rhythmus angemessen ist.
Die Praxis ist auch nicht ungewöhnlich. Sie wird in den meisten IT-
Umgebungen automatisiert über "Wake on Lan", unbemerkt vom Benutzer,
nachts durchgeführt. Dieses automatisierte Aufwecken eines PCs, ist aber in
der aktuellen Infrastruktur der Stadt Bonn bisher nicht ohne Weiteres möglich.
An vielen Arbeitsplätzen sind die Rechner mit manuell schaltbaren
Mehrfachsteckdosen ausgestattet, die ein automatisiertes Anfahren nicht
ermöglichen. Weiterhin müsste vor dem Einsatz einer automatisierten
Updateverteilung die Energieversorgung geprüft und ggf. angepasst werden,
um den gleichzeitigen Start der Arbeitsplatzrechner störungsfrei zu
gewährleisten.
Da all dies derzeit nicht anders gewährleistet werden kann, müssen die PCs
derzeit mittwochs bei Dienstschluss eingeschaltet bleiben, um die notwendigen
Aktualisierungen durchführen zu können.
Frage 2:
Bei Überprüfungen der aktuellen Deploymentsoftware wurde festgestellt, dass
die Patchverteilung hier nicht zufriedenstellend gegriffen hat, so dass kein
einheitlicher Patchstand innerhalb der Stadtverwaltung vorhanden war. Dies ist
aus IT-Sicherheitsgründen zwingend zu vermeiden.
Weiterhin verursacht das Ausbringen von Betriebssystemupdates
Unterbrechungen während der Arbeitszeit, die vor allem in der
Bürgerbedienung nicht tragbar sind.
Diese Unterbrechungen sind in der Updatephase eine hohe Auslastung von
Arbeitsspeicher und Prozessor, aber auch notwendige Neustarts der
Arbeitsplatz-PCs.
Bestimmte Systemupdates verlangen einen alleinigen Zugriff auf den PC, so
dass ein paralleles Arbeiten nicht möglich ist.
Federführung:
10 Personal- und Organisationsamt Dezernat:
Dez. ISeite 1 von 2

Seite 2
Frage 3:
Eine Rückkehr zur alten Praxis ist derzeit nicht vorgesehen.
Sobald der aus Sicherheitsgründen erforderliche einheitliche und aktuelle
Patchstand erreicht ist, soll der Patchday allerdings auf einen Tag im Monat
reduziert werden und entspricht dann dem Standard Windows-Update-Prozess.
Aus Sicht des aktuellen Patch-Levels werden wir dies zum Ende des 1. Quartal
2020 erreichen.
Um einen vollständigen automatischen Ablauf in der Nacht („wake on LAN“, s.
Frage 1) erreichen zu können, wäre eine Ausstattung aller Arbeitsplätze mit
schaltbaren Master-Slave-Steckdosen sowie eine hardwaretechnische
Aufrüstung von etwa 40% der PCs notwendig.
Frage 4:
Sicherheitspatche und Bugfixes kommen in verschiedenen zeitlichen
Abständen und von unterschiedlichen Herstellern. Sie durchlaufen vor der
flächendeckenden Ausbringung unterschiedliche Testwellen, die zum Teil
ebenfalls während des Patchday ablaufen.
Frage 5.
Aktuell gibt es ca. 4500 aktive Clients. Es sollen pro Patchday ca. 800 bis 1000
Clients mit Updates versorgt werden. Erfahrungsgemäß sind von den aktiven
Clients nur zwischen 1500-2500 Clients wirklich eingeschaltet.
Nicht eingeschaltete PCs in einer Updatewelle werden auch jetzt schon
anschließend am nächsten Systemstart betankt, falls diese nicht am Patch-Day
eingeschaltet waren. Dies kann dann zu einer Verzögerung beim Starten und
ggf. zu einer Behinderung in der Bürgerbedienung führen.
Frage 6.
Die Leistungsaufnahme der PCs hält sich in Grenzen, da diese keine 100%
Auslastung durch die laufenden Hintergrundprozesse erfahren. Der Patchday
wird um 4 Uhr morgens mit dem Herunterfahren der Rechner abgeschlossen.
Bei Annahme eines durchschnittlichen Dienstschlusses von 17:00Uhr laufen
die PC danach maximal 11h. Die Durchschnittliche Leistungsaufnahme eines
Clients für diesen Zeitraum sind ca. 15 %, die maximale
Netzteilausgangsleistung eines PCs liegt bei 250 W.
Dies ergibt einen Zusatzverbrauch von 0,4125 kWh je Arbeitsplatzrechner bzw.
1.031,25 kWh, wenn tatsächlich 2500 Rechner eingeschaltet sind.
Aus Sicht der Verwaltung sind diese zusätzlichen Energiekosten im Verhältnis
zum Zugewinn der IT-Sicherheit, sowie zur Gewährleistung eines
störungsfreien Geschäftsbetriebes akzeptabel, zumal in naher Zukunft ein
monatlicher Rhythmus geplant ist.
Anlage/n
KeineSeite 2 von 2