Windows-Patching: Update-Ringe, Fristen, KEV zuerst

Jede Maßnahme auf dieser Website setzt voraus, dass das darunterliegende Betriebssystem aktuell ist. In der Praxis scheitert Patching seltener an fehlenden Werkzeugen als am Prozess: Updates werden freigegeben, aber nie erzwungen, eine Pilotgruppe wird nie fertig, Server warten auf ein Wartungsfenster, das nicht kommt, und die Treiber, Firmware und Drittanbieteranwendungen, die Angreifer tatsächlich ausnutzen, liegen ganz außerhalb des Prozesses.

Dieser Leitfaden beschreibt einen Patchprozess für Windows-Clients und -Server, der jeden Monat abschließt.

Wie Windows-Updates ausgeliefert werden

• Monatliches kumulatives Update (LCU) am Patch Tuesday, dem zweiten Dienstag jedes Monats, mit allen Sicherheits- und Qualitätskorrekturen. Kumulativ bedeutet: Wer das neueste installiert, bringt ein Gerät vollständig auf den aktuellen Stand.
• Optionale Vorschau ohne Sicherheitsbezug später im Monat. Nützlich, um die Änderungen des nächsten Monats früh zu testen; für die Sicherheit nicht erforderlich.
• Out-of-Band-Releases (OOB) für dringende Probleme außerhalb des Monatszyklus.
• Funktionsupdates (neue Windows-Version) einmal jährlich für Windows 11; jede Version hat eine feste Wartungsdauer.
• Wartungsstapelupdates sind bei aktuellen Versionen inzwischen im kumulativen Update enthalten.
• Plattform- und Security-Intelligence-Updates für Microsoft Defender kommen separat, mehrmals täglich.

Das Auslieferungswerkzeug wählen

Die meisten Organisationen landen bei Update for Business oder Autopatch für Clients und Configuration Manager oder Azure Update Manager für Server.

Ringe mit Fristen aufbauen

Ringe fangen das seltene fehlerhafte Update ab, ohne alle zu verzögern. Ein typisches Vier-Ringe-Modell für Clients:

Mit diesen Werten ist die gesamte Umgebung innerhalb von etwa zwei Wochen nach dem Patch Tuesday aktualisiert. Microsofts eigene Empfehlungen zur Update-Compliance sind strenger: Rückstellung plus Frist plus Toleranzzeitraum sollten bei Qualitätsupdates 7 Tage nicht überschreiten. Betrachten Sie die längeren Ringe oben als Obergrenze, nicht als Ziel. Die entscheidende Spalte ist Frist: Ohne sie verschieben Benutzer Neustarts endlos, und Geräte bleiben mit heruntergeladenen, aber nicht installierten Updates stehen.

Die Gruppenrichtlinien für Windows Update-Clientrichtlinien liegen unter Computer Configuration > Administrative Templates > Windows Components > Windows Update > Manage updates offered from Windows Update und Manage end user experience:

Intune bietet dieselbe Logik unter Devices > By platform > Windows > Manage updates > Windows updates auf der Registerkarte Update rings.

Server

Server brauchen dieselbe Disziplin mit anderer Mechanik:

• Gruppieren Sie Server nach Patchgruppe (zum Beispiel nach Anwendung und Redundanz), nicht nach Betriebssystemversion. Clusterknoten und redundante Paare gehören in unterschiedliche Gruppen.
• Geben Sie jeder Gruppe ein festes monatliches Fenster, das erste innerhalb einer Woche nach dem Patch Tuesday, das letzte innerhalb von etwa drei Wochen.
• Patchen Sie Domänencontroller früh und in Tranchen (nie alle gleichzeitig); sie sind hochwertig und zugleich von Microsoft gut getestet.
• Hotpatch ist für Windows Server 2022 Datacenter: Azure Edition und für Windows Server 2025 (in Azure und auf Arc-verbundenen Rechnern) verfügbar und installiert die meisten monatlichen Sicherheitsupdates ohne Neustart, mit einem Baseline-Neustart pro Quartal. Wo verfügbar, beseitigt es den Hauptgrund, warum Server in Rückstand geraten.

Nach Ausnutzung priorisieren, nicht nur nach Schweregrad

Nicht alle Schwachstellen sind gleich. Priorisieren Sie:

1. Nachweislich ausgenutzte Schwachstellen: im Security Update Guide von Microsoft mit „Exploitation Detected“ gekennzeichnet oder im CISA-Katalog Known Exploited Vulnerabilities (KEV) aufgeführt. Sie rechtfertigen eine Verteilung außerhalb des Zyklus innerhalb von Tagen.
2. Schwachstellen in exponierten Diensten: alles, was aus dem Internet erreichbar ist (VPN-Gateways, Exchange, RD Gateway, Webserver), oder zentrale Identitätsdienste (DCs, AD CS).
3. Den Rest des Monatsupdates im normalen Takt Ihrer Ringe.

Der CVSS-Wert allein ist ein schlechter Priorisierungsmaßstab; ein „Medium“ in einem aus dem Internet erreichbaren Dienst, der aktiv ausgenutzt wird, schlägt ein „Critical“ in einer Komponente, die Sie gar nicht betreiben.

Lücken außerhalb von Windows Update schließen

Angreifer nutzen aus, was nicht gepatcht ist, und vieles davon ist nicht Windows:

Compliance messen

Was gemessen wird, wird gepatcht. Verfolgen Sie pro Ring und pro Servergruppe:

• Anteil der Geräte auf dem aktuellen kumulativen Update (die Buildnummer des Betriebssystems verrät es: Get-ComputerInfo -Property OsBuildNumber, OsVersion oder der UBR-Wert in HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion).
• Tage seit der letzten erfolgreichen Update-Installation.
• Geräte, die sich seit 30 Tagen nicht gemeldet haben (oft genau die, die kompromittiert werden).

Auf einem einzelnen Host:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5
(Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion").UBR

Die Windows Update-Berichte von Intune, Autopatch-Berichte, die Compliance in Configuration Manager oder Azure Update Manager liefern die Sicht auf die gesamte Flotte.

Checkliste

• Auslieferungswerkzeug pro Geräteklasse gewählt; reine WSUS-Designs für die Migration eingeplant
• Client-Ringe mit Rückstellungen und Fristen; Pausieren für Benutzer deaktiviert
• Server-Patchgruppen mit festen Fenstern; Hotpatch, wo verfügbar
• KEV- bzw. aktiv ausgenutzte Schwachstellen lösen einen beschleunigten Prozess aus
• Drittanbieter-Apps, Treiber und Firmware im Umfang enthalten
• Systeme ohne Support inventarisiert, mit Plan zur Ablösung
• Monatlicher Compliance-Bericht pro Ring und Gruppe

Patching ist der unscheinbarste Bereich auf der Härtungskarte und derjenige, der alle anderen Maßnahmen tragfähig macht. Kombinieren Sie es mit Sicherheitsbaselines, damit neue Builds sowohl aktuell als auch korrekt konfiguriert sind.