Windows-Update-Ringe per GPO einrichten: Schritt-für-Schritt zur stufenweisen Verteilung

Überblick: Was Windows-Update-Ringe leisten

Mit Windows-Update-Clientrichtlinien (ehemals Windows Update for Business) verteilen Administratoren Feature- und Qualitätsupdates nicht mehr pauschal, sondern in kontrollierten Wellen – sogenannten Ringen. Das Prinzip: Eine kleine Testgruppe (Pilot-Ring) erhält Updates unmittelbar nach Veröffentlichung, eine größere Gruppe (Fast-Ring) nach wenigen Tagen, kritische Systeme (Slow-Ring) erst nach längerer Validierungszeit. Tritt im Pilot-Ring ein Problem auf, lässt sich die Ausrollung per Pause-Funktion für bis zu 35 Tage stoppen, bevor der nächste Ring erreicht wird.

Die Richtlinien gelten für Windows 11, Windows 10 (ab Version 1607) sowie Windows Server 2022, 2019 und 2016. Windows Server erhält nur Qualitätsupdates – Feature-Updates entfallen dort. Konfiguriert werden alle Einstellungen im Gruppenrichtlinien-Verwaltungseditor unter Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows Update.

Vorbereitung: AD-Sicherheitsgruppen und ADMX-Templates

Bevor Sie die ersten GPOs erstellen, legen Sie in Active Directory Sicherheitsgruppen an, die Ihre Ringe abbilden – mindestens drei:

• WU-Ring-Pilot (frühe Tester, Deferral 0 Tage)
• WU-Ring-Fast (breite Verteilung, z. B. 5 Tage Deferral)
• WU-Ring-Slow (kritische Systeme, z. B. 10–30 Tage Deferral)

Zusätzlich benötigen Sie aktuelle ADMX-Templates für die eingesetzten Windows-Versionen. Microsoft empfiehlt, einen Central Store für Administrative Templates einzurichten, damit alle Domain Controller identische Vorlagen bereitstellen.

Wichtig: Ab Windows 11 sind die Legacy-Richtlinien („Featureupgrades und Updates zurückstellen“, „Vorschaubuilds verwalten“ vor Version 1703) nicht mehr anwendbar. Nutzen Sie ausschließlich die Pfade unter Windows Update > Windows Update for Business.

Schritt 1: GPO für den ersten Ring erstellen

1. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole (gpmc.msc).
2. Navigieren Sie zu Forest > Domains > .
3. Rechtsklick auf die Domain > GPO in dieser Domain erstellen und hier verknüpfen.
4. Name: Windows Update Clientrichtlinien – Ring Pilot.
5. Rechtsklick auf das GPO > Bearbeiten.
6. Pfad: Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > Windows Update > Windows Update for Business.

Schritt 2: Feature-Updates steuern (Deferral & Pause)

Im Pfad „Vorschaubuilds und Featureupdates empfangen“ konfigurieren Sie:

• Featureupdates verzögern: Aktiviert, Deferral-Tage = 0 (Pilot-Ring).
• Vorschaubuilds verwalten: Optional auf Vorschaubuilds aktivieren, wenn Geräte am Windows Insider Program for Business teilnehmen sollen. Für kommerzielle Kunden empfiehlt Microsoft den Kanal Windows Insider Program Slow.

Für Fast- und Slow-Ring erhöhen Sie die Deferral-Tage auf z. B. 5 bzw. 10–30. Der maximal mögliche Wert beträgt 365 Tage.

Schritt 3: Qualitätsupdates steuern

Unter „Qualitätsupdates empfangen“ legen Sie die Deferral-Zeit für kumulative Updates fest (z. B. zweiter Dienstag im Monat):

• Pilot: 0 Tage
• Fast: 5 Tage
• Slow: 10 Tage

Maximal sind 30 Tage (bzw. 35 Tage in neueren Builds) Deferral möglich. Auch hier kann per Checkbox Qualitätsupdates pausieren die Auslieferung für bis zu 35 Tage gestoppt werden – nützlich, wenn im Pilot-Ring ein Problem auffällt.

Schritt 4: Weitere wichtige Richtlinien setzen

Schritt 5: Ringe per Sicherheitsgruppen-Filter zuweisen

Damit jedes GPO nur auf die passenden Geräte angewendet wird, nutzen Sie die Sicherheitsfilterung im GPO:

1. GPO markieren > Reiter Bereich.
2. Bei „Sicherheitsfilterung“ die Gruppe Authentifizierte Benutzer entfernen.
3. Hinzufügen > entsprechende AD-Gruppe (z. B. WU-Ring-Pilot) auswählen.
4. Wiederholen für Fast- und Slow-Ring mit eigenen GPOs.

Alternativ funktioniert WMI-Filter oder Elementebene-Zielgruppen (Item-Level Targeting) über Gruppenrichtlinien-Einstellungen, aber die Sicherheitsfilterung ist am wartbarsten.

Schritt 6: Zielversion festlegen (Optional)

Wenn Geräte zwingend auf einer bestimmten Feature-Update-Version bleiben müssen (z. B. wegen Applikationskompatibilität), nutzen Sie die Richtlinie „Ziel-Featureupdate-Version auswählen“ (Pfad: Windows Update for Business). Tragen Sie die Versionsnummer ein (z. B. 23H2). Solange diese Richtlinie gesetzt ist, greifen Deferral-Einstellungen für Feature-Updates nicht. Wird die Version nicht aktualisiert, bevor der Support endet (60 Tage nach End-of-Service), aktualisiert Windows automatisch.

Überwachung & Troubleshooting

• Registrierung prüfen: Die effektiven Werte liegen unter HKLMSOFTWAREPoliciesMicrosoftWindowsWindowsUpdate (z. B. DeferFeatureUpdatesPeriodInDays, DeferQualityUpdatesPeriodInDays, PauseFeatureUpdatesStartTime, PauseQualityUpdatesStartTime).
• Pause-Status: Unter HKLMSOFTWAREMicrosoftWindowsUpdateUpdatePolicySettings zeigen PausedFeatureStatus / PausedQualityStatus Werte 0 (nicht pausiert), 1 (pausiert), 2 (automatisch fortgesetzt).
• gpupdate /force auf Testclients ausführen und gpresult /h report.html prüfen, ob die GPOs angewendet werden.
• Windows Update-Scan: USOClient.exe StartScan oder Install-Module PSWindowsUpdate; Get-WUInstall (PowerShell) triggern manuell.

Häufige Stolpersteine

• Legacy-Richtlinien auf Windows 11: „Featureupgrades und Updates zurückstellen“ (Pre-1703) wird ignoriert – nur die Pfade unter Windows Update for Business greifen.
• Fehlende ADMX: Ohne aktuelle Templates fehlen die neuen Richtlinien im Editor. Central Store pflegen.
• Überschneidende GPOs: Wenn mehrere GPOs dieselben Richtlinien setzen, gewinnt die mit höherer Priorität (niedrigere Link-Order-Zahl). Sicherheitsfilterung sauber trennen.
• Windows Server: Feature-Update-Richtlinien haben keine Wirkung; nur Qualitätsupdates und Deadlines konfigurieren.
• Pause-Checkbox bleibt gesetzt: Nach Ablauf der 35 Tage bleibt der Haken im Editor – der Status 2 in der Registry bestätigt die automatische Fortsetzung.

Quellen

• Microsoft Learn: Configure Windows Update client policies via Group Policy (Stand 2025-09-26)
• Microsoft Learn: Configure Windows Update client policies (Stand 2025-09-26)
• Microsoft Learn: Windows Update client policies – Quick Reference Tables (Stand 2025-09-26)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.