Update-Ringe per GPO: Windows-Updates planbar ausrollen

Microsoft liefert Qualitäts- und Feature-Updates seit Jahren im Monatsrhythmus. Wer alle Clients gleichzeitig ziehen lässt, hat im Fehlerfall die gesamte Flotte betroffen — und wer gar nichts steuert, bekommt Reboots mitten in der Kernzeit. Der saubere Weg führt über drei Update-Ringe per Gruppenrichtlinie. Das lässt sich in einer Domäne an einem Nachmittag aufsetzen.

Drei Ringe statt eines großen Wurfs

Microsoft empfiehlt mindestens drei Ringe: einen Piloten mit Early Adoptern, einen breiten Ring für den Normalbetrieb und einen Ring für kritische Systeme wie Kassen-, Labor- oder Leitstand-PCs. Pro Ring eine eigene AD-Sicherheitsgruppe, pro Ring ein eigenes GPO, verknüpft auf der Domäne und per Sicherheitsfilterung auf die jeweilige Gruppe eingeschränkt.

Bewährt ist eine Staffelung von 0, 5 und 10 Tagen bei Qualitätsupdates. Der Pilotring erhält das Update am Patchday, der breite Ring fünf Tage später, die kritischen Systeme nach zehn Tagen. Treten im Piloten Fehler auf, lässt sich der Rollout vor der zweiten Welle stoppen.

Die relevanten Richtlinien

Alle Einstellungen liegen unter Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows Update, die Ringsteuerung im Unterordner Windows Update for Business (früher „Windows Update for Business“).

„Auswählen, wann Qualitätsupdates empfangen werden“ erlaubt eine Zurückstellung von 0 bis 30 Tagen, die Feature-Update-Variante bis 365 Tage. Beide Richtlinien bieten zusätzlich eine Pause von bis zu 35 Tagen ab einem festen Startdatum — das ist der Notausstieg, wenn ein Update nachweislich bricht.

Für vollständige Patchstände bei Office, Exchange oder SQL Server muss unter „Automatische Updates konfigurieren“ die Option „Updates für andere Microsoft-Produkte installieren“ aktiv sein. Treiberupdates sollte man dagegen nur dann ausschließen, wenn es dafür einen konkreten Grund gibt.

Version pinnen statt hoffen

Wer eine Windows-Version länger halten will, als die Zurückstellung erlaubt, nutzt „Version des Zielfeatureupdates auswählen“ und trägt dort die gewünschte Version ein. Wichtig: Sobald diese Richtlinie gesetzt ist, greifen Feature-Update-Zurückstellungen nicht mehr. Außerdem muss der Wert vor dem End-of-Service-Termin angepasst werden, sonst aktualisiert Windows die Geräte 60 Tage nach Ablauf automatisch.

Deadlines: Updates notfalls erzwingen

Ohne Frist bleiben Geräte mit ausstehendem Neustart wochenlang offline im Patchstand. Ab Windows 11 22H2 gibt es dafür getrennte Richtlinien für Qualitäts- und Feature-Updates samt Karenzzeit. Die Frist zählt ab dem Zeitpunkt, an dem der Client das Update beim Scan gefunden hat; die Karenzzeit erst ab „Neustart ausstehend“. Nach Ablauf wird der Reboot auch während der aktiven Stunden erzwungen.

Seit dem Update vom Dezember 2024 gilt „Automatische Updates konfigurieren“ bis zum Erreichen der Frist und wird danach ignoriert — ein nächtliches Installationsfenster bleibt also erhalten, solange die Frist nicht überschritten ist. Für Windows 10 22H2 nennt Microsoft als Empfehlung 0 bis 1 Tag Frist für Qualitätsupdates, 2 Tage für Feature-Updates und 2 Tage Karenz.

Kontrolle am Client

Ob die Richtlinien ankommen, prüft man mit Bordmitteln. Der Policy-Zweig zeigt die tatsächlich wirksamen Werte, das Ereignisprotokoll zeigt Installation und Reboot.

Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate' |
  Select-Object DeferQualityUpdatesPeriodInDays, TargetReleaseVersionInfo, PauseQualityUpdatesStartTime

Get-WinEvent -LogName 'Microsoft-Windows-WindowsUpdateClient/Operational' -MaxEvents 20 |
  Where-Object Id -in 19,20,43 | Format-Table TimeCreated, Id, Message -Wrap

(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').DisplayVersion

Typische Fehler

Ein Klassiker ist die Altlast „Automatische Updates deaktivieren“ aus alten Zeiten: Sie hebelt die Ringsteuerung aus und lässt Geräte monatelang ohne Patches. Ebenso problematisch ist eine fest verdrahtete Zeitspanne für aktive Stunden — die intelligenten Nutzungszeiten sind im Alltag treffsicherer. Und wer parallel noch WSUS oder ein Drittanbieter-Patchmanagement betreibt, sollte genau eine Instanz die Angebotslogik steuern lassen, sonst überschreiben sich die Einstellungen.

Quellen

Microsoft Learn: Exemplarische Vorgehensweise — Windows Update Clientrichtlinien per Gruppenrichtlinie konfigurieren (abgerufen am 02.11.2026)

Microsoft Learn: Enforce compliance deadlines for updates (abgerufen am 02.11.2026)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.