Windows Update-Richtlinien: Rückstellung, Fristen, Neustart

Der Grundlagenartikel zum Patching erklärt, warum Ringe mit Fristen das Rückgrat eines Patchprozesses sind. Dieser Leitfaden ist die Konfigurationsebene darunter: die genauen Windows Update-Clientrichtlinien (vormals Windows Update for Business), was jeder Wert auf dem Gerät bewirkt, wie Gruppenrichtlinie und Intune auf denselben Policy CSP abgebildet werden und wie Sie nachweisen, dass ein Gerät tatsächlich dem Ring folgt, in dem Sie es vermuten.

Alles hier gilt für Windows 11 23H2, 24H2 und 25H2 sowie für Windows Server, wenn es Updates von Windows Update statt von WSUS oder Configuration Manager bezieht.

Wie der Client entscheidet, wann installiert wird

Vier Werte bestimmen das gesamte Verhalten, und es hilft, sie als Zeitachse für jedes Update zu betrachten:

1. Veröffentlichung. Microsoft veröffentlicht das kumulative Update am Patch Tuesday.
2. Rückstellung. Das Gerät sieht das Update erst, wenn die Rückstellung abgelaufen ist (0-30 Tage für Qualitätsupdates, 0-365 für Funktionsupdates).
3. Frist. Gezählt ab dem Zeitpunkt, an dem das Update angeboten wird. Davor kann der Benutzer einen Neustartzeitpunkt wählen; bei Erreichen installiert Windows und startet außerhalb der Nutzungszeit neu.
4. Toleranzzeitraum. War das Gerät ausgeschaltet oder offline und erfährt erst spät vom Update, bleibt ihm dennoch mindestens diese Anzahl Tage vor einem erzwungenen Neustart.

Ohne Frist kann ein heruntergeladenes Update unbegrenzt auf einen Neustart warten, und ein Gerät, das „Neustart erforderlich“ meldet, ist nicht gepatcht. Die Frist ist die Einstellung, die aus einer Empfehlung eine Garantie macht.

Schritt 1: Legacy- und widersprüchliche Einstellungen bereinigen

Entfernen Sie vor der Konfiguration der Ringe die Einstellungen, die sie stillschweigend überschreiben. Führen Sie gpresult /h C:\Temp\gp.html auf einem Beispielgerät aus und suchen Sie nach:

• Specify intranet Microsoft update service location (WUServer und WUStatusServer unter HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate). Ist ein WSUS-Server konfiguriert, sucht das Gerät bei WSUS, und Ihre Rückstellungen gelten dafür nicht. Unter Windows 11 verwenden Sie Specify source service for specific classes of Windows Updates, wenn Sie Klassen aufteilen müssen (zum Beispiel Qualitätsupdates von Windows Update, Treiber von WSUS).
• Alles im Ordner Legacy Policies, insbesondere No auto-restart with logged on users for scheduled automatic updates installations. Diese Einstellung arbeitet gegen die Compliance-Fristen und ist der häufigste Grund, warum Geräte nie neu starten.
• Do not allow update deferral policies to cause scans against Windows Update (Dual Scan). Sie gilt nicht für Windows 11; ersetzen Sie sie durch die oben genannte Quelldienst-Richtlinie.
• Alte Registrierungswerte unter demselben Schlüssel WindowsUpdate, die von Skripten oder Images gesetzt wurden. Richtlinienwerte in diesem Schlüssel haben immer Vorrang vor der Einstellungen-App.

Schritt 2: die Gruppenrichtlinien-Einstellungen konfigurieren

In den ADMX-Vorlagen für Windows 11 liegen die Einstellungen unter Computer Configuration > Policies > Administrative Templates > Windows Components > Windows Update, aufgeteilt in Manage end user experience und Manage updates offered from Windows Update. Verwenden Sie im zentralen Speicher die ADMX der neuesten Windows-Version, die Sie betreiben, damit ältere Vorlagen keine Einstellungen verbergen.

Automatische Updates selbst liegen eine Ebene tiefer im Unterschlüssel AU. Microsofts Empfehlungen zur Update-Compliance raten, Configure Automatic Updates nicht zu konfigurieren, sobald Fristen gesetzt sind, weil dann die Frist die Installation steuert. Wenn Sie es setzen müssen, verwenden Sie 4 - Auto download and schedule the install (NoAutoUpdate = 0, AUOptions = 4).

Zielversion und Rückstellung für Funktionsupdates sind zwei Wege, Funktionsupdates zu steuern. Das Festlegen einer Version ist berechenbarer: Das Gerät bleibt auf 24H2, bis Sie den Wert ändern, und wechselt dann sofort. Verwenden Sie nicht beides für dieselbe Population.

Neustartverhalten

Unter Manage end user experience:

• Turn off auto-restart for updates during active hours mit einem realistischen Zeitraum, oder überlassen Sie die Nutzungszeit der automatischen Erkennung des Geräts.
• Specify deadlines... hat außerdem die Option Don't auto-restart until end of grace period (ConfigureDeadlineNoAutoReboot = 1). Verwenden Sie sie für Ringe mit Wissensarbeitern, bei denen ein überraschender Neustart Arbeit vernichten würde; lassen Sie sie bei Kiosk- und gemeinsam genutzten Geräten deaktiviert.
• Display options for update notifications: Belassen Sie den Standard. Stufe 2 (UpdateNotificationLevel = 2) blendet auch Neustartwarnungen aus, sodass Benutzer bei Fristablauf ohne Vorwarnung neu gestartet werden.

Schritt 3: dieselben Ringe in Intune aufbauen

Intune schreibt dieselben Werte über den Bereich Update des Policy CSP (./Device/Vendor/MSFT/Policy/Config/Update/..., mit Namen wie DeferQualityUpdatesPeriodInDays, ConfigureDeadlineForQualityUpdates, ConfigureDeadlineGracePeriod und SetDisablePauseUXAccess). Rohe OMA-URIs brauchen Sie selten:

• Devices > By platform > Windows > Manage updates > Windows updates > Update rings: Rückstellungen, Fristen, Toleranzzeitraum, automatischer Neustart vor der Frist, die Pausenoption und die Einstellungen zur Benutzererfahrung. Ein Profil pro Ring, einer Gerätegruppe zugewiesen.
• Profile für Feature updates legen eine Windows-Version fest. Wenn Sie sie verwenden, setzen Sie die Rückstellung für Funktionsupdates im Ring auf 0 Tage, wie Microsoft empfiehlt, damit sich die beiden Verzögerungen nicht addieren.
• Profile für Quality updates erlauben es, ein bestimmtes kumulatives Update auf Geräte unterhalb eines bestimmten Builds zu beschleunigen (Expedite) und dabei Rückstellungen zu übergehen. Das ist das Werkzeug für eine aktiv ausgenutzte Schwachstelle, die nicht auf den normalen Zyklus warten kann.
• Profile für Driver updates bieten Freigabekontrolle über Treiber und Firmware, die Windows Update anbietet.

Wenn Sie Windows Autopatch verwenden, erstellt und verwaltet Autopatch diese Ringprofile für Sie. Bearbeiten Sie sie über Autopatch, statt parallele Profile anzulegen, sonst kommt es zu Konflikten.

Weisen Sie demselben Gerät nicht gleichzeitig einen Gruppenrichtlinien- und einen Intune-Ring zu. Verschieben Sie auf co-verwalteten Geräten die Windows Update-Workload nach Intune und entfernen Sie das GPO aus diesen OUs. Laut Microsofts Windows Update-Dokumentation hat die Gruppenrichtlinie bei Update-Einstellungen Vorrang vor MDM; die im Leitfaden zu Intune-Baselines beschriebene Einstellung MDMWinsOverGP ändert das nur für die Richtlinien, die sie abdeckt. Für Update-Richtlinien ist die sauberste Lösung, nur eine Quelle zu haben.

Schritt 4: ein fehlerhaftes Update stoppen, ohne das Modell zu brechen

Ringe gibt es, damit Sie ein Update stoppen können, das etwas kaputt macht. Behalten Sie den Stoppmechanismus in der Hand der IT:

• Pausieren Sie in Intune Qualitäts- oder Funktionsupdates in einem Ringprofil (Pause). Pausen laufen nach 35 Tagen ab, sodass sie nicht auf Dauer vergessen werden können.
• Erhöhen Sie mit Gruppenrichtlinien DeferQualityUpdatesPeriodInDays für den betroffenen Ring, oder verwenden Sie die Pausenoption in Select when Quality Updates are received mit einem Startdatum.
• Die Deinstallation eines kumulativen Updates auf bereits betroffenen Geräten sollte die Ausnahme sein; prüfen Sie zuerst Microsofts Release-Health-Seite, da Known Issue Rollbacks das Problem oft ohne Entfernung beheben.

Dokumentieren Sie immer, warum ein Ring pausiert wurde und wann er fortgesetzt wird. Eine vergessene Pause ist der häufigste Grund, warum ein ganzer Ring einen Monat zurückliegt.

Überprüfung

Beginnen Sie auf einem Gerät mit der Einstellungen-App: Settings > Windows Update > Advanced options > Configured update policies listet jede wirksame Richtlinie und ob sie aus der Gruppenrichtlinie oder aus der mobilen Geräteverwaltung stammt. Prüfen Sie dann die Werte direkt:

# Werte aus der Gruppenrichtlinie
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate' |
  Select-Object DeferQualityUpdatesPeriodInDays, ConfigureDeadlineForQualityUpdates,
    ConfigureDeadlineGracePeriod, SetDisablePauseUXAccess, TargetReleaseVersionInfo, WUServer

# Von Intune gelieferte Werte (Policy CSP)
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device\Update' -ErrorAction SilentlyContinue

# Aktueller Build und Revision
$cv = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
'{0}.{1}' -f $cv.CurrentBuild, $cv.UBR

Der Installationsverlauf steht im System-Log unter der Quelle Microsoft-Windows-WindowsUpdateClient: Ereignis 19 (Installation erfolgreich), 20 (Installationsfehler) und 43 (Installation gestartet). Für tiefere Fehlersuche wandelt Get-WindowsUpdateLog die ETW-Traces in eine lesbare WindowsUpdate.log auf dem Desktop um.

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-WindowsUpdateClient'; Id=19,20} -MaxEvents 20 |
  Format-Table TimeCreated, Id, Message -Wrap

Auf Flottenebene zeigen die Windows Update reports von Intune (und die Autopatch-Berichte) die Compliance pro Ring. Vergleichen Sie die Anzahl der Geräte auf der aktuellen Revision mit der Anzahl der jedem Ring zugewiesenen Geräte, nicht nur die Anzahl „erfolgreich“ des Profils.

Was kaputtgeht

• Geräte, die nie neu starten. Fast immer eine Legacy-Neustartrichtlinie, eine fehlende Frist oder eine falsch eingesetzte UpdateNotificationLevel. Korrigieren Sie die Richtlinie, nicht den Benutzer.
• Ignorierte Rückstellungen. Ein übrig gebliebener WUServer-Wert schickt das Gerät zu WSUS. Prüfen Sie die Registrierung, nicht nur das GPO, von dem Sie annehmen, dass es greift.
• Überraschendes Funktionsupdate. Ein Gerät ohne festgelegte Funktionsversion wechselt zum nächsten Release, sobald seine Rückstellung endet. Legen Sie die Version für jede Gerätegruppe fest.
• Offline-Laptops, die beim ersten Start neu starten. Das ist der Toleranzzeitraum, der wie vorgesehen funktioniert; zwei Tage sind ein vernünftiger Kompromiss.
• Server, die vom falschen Werkzeug gepatcht werden. Halten Sie Server aus den Client-Ringrichtlinien heraus und verwalten Sie sie wie im Leitfaden zu Hotpatch und Clustern beschrieben.

Windows Update-Clientrichtlinien decken nur Microsoft-Updates ab. Browser, Laufzeitumgebungen und andere Anwendungen brauchen einen eigenen Prozess, beschrieben unter Patchen von Drittanbietersoftware, und die Richtlinien hier gehören wie jede andere Einstellung in die Dokumentation Ihrer Sicherheitsbaseline. Den Rest des Prozesses finden Sie im gesamten Bereich Patches und Updates.

Checkliste

• Legacy-Neustartrichtlinien, Dual Scan und verwaiste WUServer-Werte entfernt
• Aktuelle ADMX-Vorlagen für Windows 11 im zentralen Speicher
• Qualitätsrückstellung und Frist pro Ring gesetzt, Toleranzzeitraum 2 Tage
• Funktionsversion per Zielversion oder Intune-Profil für Funktionsupdates festgelegt
• Pausieren aus der Einstellungen-App entfernt; zentrales Pausierungsverfahren dokumentiert
• Eine Richtlinienquelle pro Gerät (GPO oder Intune), in Configured update policies bestätigt
• Expedite-Prozess für ausgenutzte Schwachstellen bereit
• Compliance pro Ring anhand der Build-Revision gemessen, nicht am Profilstatus