Patch Management12. August 2026 · 6 Min. Lesezeit

Windows Update for Business: Deployment-Ringe für KMU sinnvoll einrichten

Einleitung

WSUS ist kompliziert, teuer im Betrieb und wird von Microsoft seit 2024 offiziell für Cloud-Szenarien abgekündigt. Die Alternative heißt Windows Update for Business (WUfB) – kostenlos, ohne eigene Infrastruktur, direkt per Group Policy oder Intune konfigurierbar. Der entscheidende Trick dabei: Deployment-Ringe. Wer alle Rechner gleichzeitig patcht, riskiert entweder Ausfälle durch fehlerhafte Updates (zu früh) oder monatelangen Patch-Rückstand (zu spät). Mit vier Ringen patchst du sauber, kontrolliert und trotzdem zügig – ohne einen einzigen WSUS-Server.

Warum das Thema wichtig ist

Patch-Management ohne Kontrolle ist Russisches Roulette: Microsoft liefert in seltenen Fällen Updates, die Treiber beschädigen, Applikationen brechen oder im Worst Case Systeme unbootbar machen. 2024 war KB5034441 das prominente Beispiel – WinRE-Partition zu klein, Millionen von Systemen blieben beim Rollout hängen. Gleichzeitig ist ungepatchte Software der häufigste Einstiegspunkt für Angreifer: im Schnitt nutzen Ransomware-Akteure bekannte Schwachstellen innerhalb von 14 Tagen nach Veröffentlichung aktiv aus.

Deployment-Ringe lösen dieses Dilemma: ein kleines Pilotgruppe fängt potenzielle Probleme ab, bevor 200 Rechner gleichzeitig betroffen sind. Für KMU ohne dediziertes Patch-Team ist das die einzige realistische Strategie für kontrolliertes Patching.

Windows Update for Business – was steckt dahinter?

WUfB ist kein separates Produkt, sondern ein Konfigurationsrahmen für Windows Update, der auf Group Policy oder MDM (Intune/CSP) basiert. Enthalten in Windows 10/11 Pro, Enterprise und Education – keine zusätzliche Lizenz nötig.

Kernfunktionen:

Feature Beschreibung
Deferral Feature Updates und Quality Updates um X Tage verzögern
Deployment Rings Gruppen mit unterschiedlichen Deferral-Zeiten
Deadlines Maximale Verzögerung erzwingen (Pflicht-Installation)
Pause Updates temporär pausieren (max. 35 Tage)
Driver Updates Treiber-Updates separat steuern

WUfB nutzt Windows Update direkt – kein eigener Cache-Server. Nachteil: Bandbreite. Für KMU mit schwacher Anbindung kann Delivery Optimization (Peer-to-Peer im LAN) helfen.

Die vier Deployment-Ringe für KMU

Ring 0 – Pilot (5–10 % der Rechner)

Admin-Workstations und freiwillige Tester. Kein Deferral, Updates direkt nach Release.

Zweck: Probleme früh erkennen, bevor der Rollout breiter wird.

Ring 1 – Early Adopter (15–20 %)

Abteilungen mit hoher Technikkompetenz oder geringer Kritikalität (z. B. Entwickler, IT-nahe Teams). Deferral: 7 Tage.

Ring 2 – Broad (60–70 %)

Der Großteil der Belegschaft. Deferral: 14–21 Tage.

Ring 3 – Critical (5–10 %)

OT-Schnittstellen, Maschinen-PCs, kritische Anwendungsserver unter Windows. Deferral: 28–35 Tage. Manuelle Freigabe vor Installation.

Ring 0 (Pilot)     → Tag 0   → Update verfügbar
Ring 1 (Early)     → Tag 7   → kein Problem in Ring 0?
Ring 2 (Broad)     → Tag 14  → kein Problem in Ring 1?
Ring 3 (Critical)  → Tag 28  → manuell freigegeben?

Konfiguration per Group Policy

Grundstruktur

Für jeden Ring eine eigene OU, jede OU bekommt ein eigenes GPO.

GPO-Pfad: Computer Configuration → Administrative Templates → Windows Components → Windows Update → Manage end user experience und Manage updates offered from Windows Update

Ring 2 (Broad) – Beispiel-Konfiguration

Specify deadlines for automatic updates and restarts
  → Quality Update Deadline: 7 days
  → Quality Update Grace Period: 2 days

Select when Quality Updates are received
  → Defer: 14 days

Select when Preview Builds and Feature Updates are received
  → Defer: 180 days (Feature Updates separat steuern!)

Manage preview builds
  → Disable preview builds: Enabled

Delivery Optimization für LAN-Bandbreite

DODownloadMode = 1 (LAN)
DOMaxCacheSize = 30 (% des freien Speichers)
DOMaxBackgroundDownloadBandwidth = 10 (% der Bandbreite)

Damit laden Rechner im LAN voneinander – ein Download von Microsoft, viele Installationen.

Konfiguration per Intune (wenn vorhanden)

Wer Intune/Endpoint Manager nutzt, kann Deployment Rings als native Update-Ringe konfigurieren:

  1. Intune → Devices → Update rings for Windows 10 and later
  2. Ring erstellen, Deferral setzen, Zielgruppe (AAD-Gruppe) zuweisen
  3. Compliance-Reporting direkt im Dashboard

Intune-Vorteil: Reporting out of the box, kein manuelles GPO-Monitoring. Für hybride Umgebungen (On-Prem AD + Intune) funktioniert Co-Management.

Compliance monitoren ohne Intune

Ohne Intune musst du selbst monitoren. Optionen:

PowerShell – Patch-Status per Host

# Letzte installierte Updates pro Rechner
$computers = Get-ADComputer -Filter * -SearchBase "OU=Ring2,DC=example,DC=com" | Select -Expand Name

foreach ($pc in $computers) {
    $session = New-CimSession -ComputerName $pc -ErrorAction SilentlyContinue
    if ($session) {
        $wu = Get-WindowsUpdateLog -Session $session 2>$null
        $last = (Get-HotFix -ComputerName $pc | Sort-Object InstalledOn -Descending | Select -First 1)
        [PSCustomObject]@{
            Computer     = $pc
            LastPatch    = $last.InstalledOn
            HotfixID     = $last.HotFixID
            DaysSince    = ((Get-Date) - $last.InstalledOn).Days
        }
        Remove-CimSession $session
    }
}

Windows Update Compliance Report (kostenlos via Azure Monitor Workbooks)

Microsoft bietet kostenlose Update Compliance-Workbooks in Azure Monitor – nur Azure Log Analytics Workspace nötig (kostenlos bis 5 GB/Tag). Clients brauchen CommercialID und senden Telemetrie an Azure.

Feature Updates separat steuern

Quality Updates (monatliche Sicherheitspatches) und Feature Updates (Windows 11 23H2, 24H2 …) separat behandeln:

Update-Typ Empfehlung
Quality Updates Deployment-Ringe, max. 28 Tage Deferral
Feature Updates 180–365 Tage Deferral, erst nach internem Test
Driver Updates Ring 3 immer manuell; bei Problemen pausieren
Microsoft Product Updates Mit Quality Updates, Deferral 7–14 Tage

Feature Updates können Treiber brechen und Software-Kompatibilität gefährden. 12 Monate Deferral ist für KMU häufig realistischer als der sofortige Rollout.

Patch-Pause und Notfall-Rollback

WUfB erlaubt 35 Tage Pause pro Channel. Bei bekannt problematischem Update:

GPO: Pause Quality Updates → Set pause start date → YYYY-MM-DD

Rollback einzelner Updates per PowerShell:

# Update deinstallieren
$kb = "KB5034441"
wusa.exe /uninstall /kb:$($kb.replace('KB','')) /quiet /norestart

Rollback funktioniert nur innerhalb des Rollback-Fensters (max. 10–14 Tage nach Installation). Danach ist die einzige Option ein System-Image-Restore – Grund genug für regelmäßige Backups vor Patch-Cycles.

Stolperfallen

Praxis-Checkliste

Fazit

Windows Update for Business ist für KMU die modernste und wartungsärmste Patch-Strategie – kein WSUS, keine eigene Infrastruktur, keine Lizenzkosten. Der Schlüssel ist das Deployment-Ring-Modell: vier Ringe mit gestaffeltem Deferral fangen Probleme ab, bevor sie sich im gesamten Netz ausbreiten. Wer zusätzlich Feature Updates von Quality Updates trennt und ein minimales Compliance-Monitoring einbaut, hat eine Patch-Strategie, die auch ohne Vollzeit-Patch-Manager funktioniert. WSUS zu ersetzen ist kein Rückschritt – es ist die fällige Modernisierung.

Wenn du tiefer einsteigen willst: Im Newsletter zeige ich jeden Monat konkrete GPO-Konfigurationen, Ring-Strategien und Compliance-Reports für KMU-Umgebungen. Trag dich ein.

← Zurück zur Übersicht