🥇Umfassender Leitfaden zur Aktualisierung von Windows 10 für Unternehmen jeder Größe

Ob Sie für einen einzelnen PC mit Windows 10 oder für Tausende verantwortlich sind, die Herausforderungen beim Management von Updates sind dieselben. Ihr Ziel ist es, Sicherheitsupdates schnell zu installieren, intelligent mit Komponentenupdates umzugehen und Produktivitätseinbußen durch unerwartete Neustarts zu vermeiden.

Hat Ihr Unternehmen einen umfassenden Plan für die Verwaltung von Windows 10-Updates? Es besteht die Versuchung, diese Downloads als vorübergehende Störungen zu betrachten, die sofort beseitigt werden müssen, sobald sie auftreten. Ein reaktiver Ansatz bei Updates ist jedoch ein Rezept für Enttäuschungen und Produktivitätsverluste.

Stattdessen sollte eine Managementstrategie entwickelt werden, um Updates zu testen und zu implementieren, sodass dieser Prozess ebenso alltäglich wird wie das Versenden von Rechnungen oder das monatliche Abschlussbuch.

In diesem Artikel finden Sie alle Informationen, die nötig sind, um zu verstehen, wie Microsoft Updates an Geräte mit Windows 10 sendet, sowie Einzelheiten zu den Tools und Techniken, die Sie zur intelligenten Verwaltung dieser Updates auf Geräten mit Windows 10 Versionen Pro, Enterprise oder Education nutzen können. (Windows 10 Home unterstützt nur die grundlegendsten Funktionen zur Verwaltung von Updates und ist nicht für den Einsatz in geschäftlichen Umgebungen geeignet.)

Aber bevor Sie zu einem dieser Tools übergehen, benötigen Sie einen Plan.

Was steht in Ihren Update-Richtlinien?

Der Sinn der Update-Richtlinien besteht darin, den Aktualisierungsprozess vorhersehbar zu gestalten, Verfahren zur Warnung der Benutzer festzulegen, damit diese ihre Arbeit entsprechend planen können, und unerwartete Ausfallzeiten zu vermeiden. Die Richtlinien umfassen auch Protokolle zur Bewältigung unerwarteter Probleme, einschließlich der Rückkehr von misslungenen Updates.

Vernünftige Update-Regeln räumen einen bestimmten Zeitraum für die Arbeit an Updates jeden Monat ein. In einer kleinen Organisation kann dies durch ein spezielles Zeitfenster im Wartungsplan jedes PCs erfolgen. In großen Organisationen werden universelle Lösungen kaum funktionieren, und es wird notwendig sein, die gesamte PC-Population in Update-Gruppen zu unterteilen (bei Microsoft heißen sie „Ringe“), von denen jede ihre eigene Update-Strategie hat.

Die Regeln sollten mehrere verschiedene Update-Typen beschreiben. Der verständlichste Typ sind monatliche kumulative Sicherheits- und Zuverlässigkeitsupdates, die jeden zweiten Dienstag eines Monats veröffentlicht werden („Patch-Dienstag“). In diesem Release befindet sich normalerweise das Windows Malicious Software Removal Tool, und es können auch folgende Update-Typen enthalten sein:

Sicherheitsupdates für .NET Framework
Sicherheitsupdates für Adobe Flash Player
Plattform-Updates (die von Anfang an installiert werden müssen).

Die Installation eines dieser Updates kann bis zu 30 Tage verschoben werden.

Je nach PC-Hersteller können auch Hardware-Treiber und Firmware über den Windows Update-Kanal bereitgestellt werden. Man kann dies ablehnen oder sie nach den gleichen Schema wie andere Updates verwalten.

Schließlich werden auch Komponentenübertragungen über Windows Update bereitgestellt [feature updates]. Diese umfangreichen Pakete aktualisieren Windows 10 auf die neueste Version und erscheinen alle sechs Monate für alle Editionen von Windows 10, mit Ausnahme des Long Term Servicing Channel (LTSC). Die Installation von Komponenten-Updates kann über Windows Update for Business um bis zu 365 Tage verschoben werden; für die Editionen Enterprise und Education ist eine weitere Verzögerung der Installation bis zu 30 Monate möglich.

Angesichts all dessen kann man beginnen, Update-Regeln zu erstellen, die die folgenden Elemente für jeden gewarteten PC umfassen sollten:

Frist für die Installation monatlicher Updates. In Windows 10 werden monatliche Updates standardmäßig innerhalb von 24 Stunden nach ihrer Veröffentlichung am "Patch-Dienstag" heruntergeladen und installiert. Sie können das Herunterladen dieser Updates auf einigen oder allen PCs im Unternehmen verzögern, um Zeit zu haben, sie auf Kompatibilität zu überprüfen; diese Verzögerung hilft Ihnen auch, Probleme zu vermeiden, falls Microsoft nach der Veröffentlichung ein Problem mit dem Update entdeckt, was in der Vergangenheit bei Windows 10 bereits mehrfach vorgekommen ist.
Frist für die Installation halbjährlicher Komponentenupdates. Bei den Standardeinstellungen werden Komponentenupdates heruntergeladen und installiert, wenn Microsoft der Meinung ist, dass sie bereit sind. Auf einem Gerät, das Microsoft als geeignet für ein Update erachtet, können die Komponentenupdates ein paar Tage nach der Veröffentlichung erscheinen. Auf anderen Geräten können die Komponentenupdates mehrere Monate auf sich warten lassen oder aufgrund von Kompatibilitätsproblemen vollständig blockiert werden. Sie können eine Verzögerung für einige oder alle PCs in der Organisation einrichten, um Zeit für die Überprüfung der neuen Version zu gewinnen. Ab Version 1903 werden den PC-Nutzern Komponentenupdates angeboten, aber die Befehle zum Herunterladen und Installieren geben nur die Nutzer selbst.
Wann es den PCs erlaubt ist, neu zu starten, um Updates abzuschließen: Die meisten Updates erfordern einen Neustart, um die Installation abzuschließen. Dieser Neustart erfolgt außerhalb des Zeitraums "aktive Nutzungszeit" von 8 bis 17 Uhr; diese Einstellung kann auf Wunsch geändert werden, indem die Dauer des Zeitraums bis 18 Uhr verlängert wird. Verwaltungstools ermöglichen es, eine bestimmte Zeit zum Herunterladen und Installieren von Updates festzulegen.
Wie Benutzer über verfügbare Updates und Neustarts informiert werden: Um unangenehme Überraschungen zu vermeiden, informiert Windows 10 die Benutzer über verfügbare Updates. Die Verwaltung dieser Benachrichtigungen in den Windows 10-Einstellungen ist eingeschränkt. Es stehen weitaus mehr Einstellungen in den "Gruppenrichtlinien" zur Verfügung.
Manchmal veröffentlicht Microsoft kritische Sicherheitsupdates außerhalb des regulären Patch-Dienstags. Das ist in der Regel notwendig, um Sicherheitsanfälligkeiten zu beheben, die von Dritten ausgenutzt werden können. Sollten solche Updates schneller installiert oder auf das nächste Wartungsfenster gewartet werden?
Was tun bei fehlerhaften Updates: Wenn ein Update nicht korrekt installiert werden konnte oder Probleme verursacht, was werden Sie in diesem Fall tun?

Nachdem Sie diese Aspekte definiert haben, ist es an der Zeit, Werkzeuge für die Verwaltung von Updates auszuwählen.

Manuelle Verwaltung von Updates

Bei sehr kleinen Unternehmen, einschließlich Geschäften mit nur einem Angestellten, ist es relativ einfach, die Windows-Updates manuell zu verwalten. Gehen Sie zu Einstellungen > Update und Sicherheit > Windows Update. Dort können zwei Gruppen von Einstellungen angepasst werden.

Wählen Sie zunächst "Aktivitätszeitraum ändern" und passen Sie die Einstellungen an Ihre Arbeitsgewohnheiten an. Wenn Sie normalerweise abends arbeiten, können Sie Ausfallzeiten vermeiden, indem Sie diese Zeiten von 18 Uhr bis Mitternacht festlegen, sodass geplante Neustarts morgens erfolgen.

Wählen Sie dann "Erweiterte Optionen" und die Einstellung "Wählen Sie, wann Updates installiert werden", und geben Sie diese gemäß Ihren Regeln an:

Wählen Sie, wie viele Tage die Installation von Komponenten-Updates verzögert werden soll. Der Höchstwert beträgt 365.
Wählen Sie, wie viele Tage die Installation von Qualitätsupdates, einschließlich kumulativer Sicherheitsupdates, die an den Patch-Dienstagen veröffentlicht werden, verzögert werden soll. Der Höchstwert beträgt 30 Tage.

Andere Einstellungen auf dieser Seite steuern die Anzeige von Neustartbenachrichtigungen (standardmäßig aktiviert) und die Erlaubnis zum Herunterladen von Updates über Verbindungen unter Berücksichtigung des Datenvolumens (standardmäßig deaktiviert).

Bis zu Windows 10 1903 gab es noch eine Einstellung zur Auswahl des Kanals – halbjährlich oder gezielt halbjährlich. Diese wurde in Version 1903 entfernt, während sie in älteren Versionen einfach nicht funktioniert.

Natürlich liegt der Sinn der Verzögerung von Updates nicht darin, diesen Prozess einfach zu umgehen und die Benutzer später zu überraschen. Wenn Sie zum Beispiel eine Verzögerung beim Einspielen von Qualitätsupdates von 15 Tagen festlegen, müssen Sie diese Zeit nutzen, um die Updates auf Kompatibilität zu überprüfen und ein Wartungsfenster zu einem geeigneten Zeitpunkt einzuplanen, bevor dieser Zeitraum endet.

Verwaltung von Updates über Gruppenrichtlinien

Alle erwähnten manuellen Einstellungen können auch über Gruppenrichtlinien angewendet werden, und im vollständigen Verzeichnis der Richtlinien, die mit Windows 10-Updates verbunden sind, gibt es viel mehr Einstellungen als die, die in den üblichen manuellen Einstellungen verfügbar sind.

Diese können auf einzelne PCs mithilfe des lokalen Gruppenrichtlinien-Editors Gpedit.msc oder durch Skripte angewendet werden. Am häufigsten werden sie jedoch in einer Windows-Domäne mit Active Directory verwendet, wo die Kombination von Richtlinien für Gruppen von PCs verwaltet werden kann.

Eine erhebliche Anzahl von Richtlinien ist ausschließlich in Windows 10 verfügbar. Die wichtigsten davon sind mit „Windows-Updates für Unternehmen“ verbunden, die unter Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows-Update > Windows-Update für Unternehmen zu finden sind.

Wählen Sie aus, wann Sie Vorabversionen erhalten – Kanal und Verzögerungen für Komponentenupdates.
Wählen Sie aus, wann Sie Qualitätsupdates erhalten – Verzögerungen für monatliche kumulative Updates und andere sicherheitsrelevante Updates.
Verwalten Sie Vorabversionen: wann der Benutzer das Gerät mit dem Windows Insider-Programm verbinden kann, und bestimmen Sie den Insider-Ring.

Eine zusätzliche Gruppe von Richtlinien befindet sich unter Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows-Update, wo Sie:

Den Zugriff auf die Funktion zum Pausieren von Updates entfernen, sodass Benutzer die Installation nicht durch eine Verzögerung von 35 Tagen stören können.
Den Zugriff auf alle Update-Einstellungen entfernen.
Das automatische Herunterladen von Updates über kostensensitive Verbindungen zulassen.
Keine Treiberupdates zusammen mit den Updates herunterladen.

Die folgenden Einstellungen sind nur in Windows 10 verfügbar und beziehen sich auf Neustarts und Benachrichtigungen:

Den automatischen Neustart für Updates während der aktiven Zeit deaktivieren.
Geben Sie den Zeitraum für die Aktivität für den automatischen Neustart an.
Geben Sie den Fristdatum für den automatischen Neustart mit dem Ziel der Installation von Updates an (von 2 bis 14 Tagen).
Benachrichtigungen mit Erinnerungen an den automatischen Neustart einstellen: die Zeit erhöhen, in der der Benutzer darüber informiert wird (von 15 bis 240 Minuten).
Benachrichtigungen über den automatischen Neustart mit dem Ziel der Installation von Updates deaktivieren.
Benachrichtigung über den automatischen Neustart so einstellen, dass sie nicht automatisch nach 25 Sekunden verschwindet.
Politiken zur Verzögerung des Erhalts von Updates verbieten es, das Scannen im Windows Update Center zu initiieren: Diese Politik verbietet es PCs, nach Updates zu suchen, wenn eine Verzögerung festgelegt ist.
Benutzern erlauben, die Neustartzeit zu verwalten und Benachrichtigungen zu verschieben.
Benachrichtigungen über Updates einstellen (Erscheinen der Benachrichtigungen, von 4 bis 24 Stunden), und Warnungen über bevorstehenden Neustart (von 15 bis 60 Minuten).
Aktualisierung der Energiepolitik für den Neustart des PCs (Einstellung für Bildungssysteme, die eine Aktualisierung sogar bei Batteriebetrieb ermöglicht).
Benachrichtigungseinstellungen zu Updates anzeigen: ermöglicht es, Benachrichtigungen über Updates zu verbieten.

Die folgenden Politiken sind sowohl in Windows 10 als auch in einigen älteren Windows-Versionen vorhanden:

Einstellung für automatische Updates: Diese Gruppe von Einstellungen ermöglicht die Auswahl eines wöchentlichen, zweiwöchentlichen oder monatlichen Update-Zeitplans, einschließlich Wochentag und Uhrzeit für den automatischen Download und die Installation von Updates.
Standort des Microsoft Update-Dienstes im Intranet angeben: Windows Server Update Services (WSUS) im Domäne konfigurieren.
Erlauben, dass der Client einer Zielgruppe beitritt: Administratoren können Active Directory-Sicherheitsgruppen verwenden, um die Bereitstellungskreise für WSUS zu definieren.
Nicht mit Standorten des Windows Update Centers im Internet verbinden: PCs, die mit lokalen Server Updates arbeiten, dürfen nicht mit externen Update-Servern kommunizieren.
Erlauben, dass die Energieverwaltung des Windows Update Centers das System aus dem Ruhezustand aufweckt, um geplante Updates zu installieren.
Immer das System zur geplanten Zeit automatisch neu starten.
Führen Sie keinen automatischen Neustart durch, wenn Benutzer im System aktiv sind.

Werkzeuge für die Arbeit in großen Unternehmen (Enterprise)

Große Organisationen mit einer Windows-Netzinfrastruktur können Server Microsoft-Updates umgehen und Updates von einem lokalen Server bereitstellen. Dies erfordert erhöhte Aufmerksamkeit seitens der IT-Abteilung, bietet dem Unternehmen jedoch mehr Flexibilität. Die beiden beliebtesten Optionen sind Windows Server Update Services (WSUS) und System Center Configuration Manager (SCCM).

Der WSUS-Server ist einfacher aufgebaut. Er fungiert als Windows-Server und bietet eine zentrale Speicherung von Windows-Updates in der Organisation. Mithilfe von Gruppenrichtlinien leitet der Administrator Windows 10-PCs an den WSUS-Server weiter, der als einzige Quelle für Dateien in der gesamten Organisation dient. Über seine Administratorkonsole können Updates genehmigt, festgelegt werden, wann sie auf einzelnen PCs oder Gruppen installiert werden sollen. PCs können manuell verschiedenen Gruppen zugewiesen werden, oder es kann eine Ziels zuweisung auf der Client-Seite genutzt werden, um Updates basierend auf bestehenden Active Directory-Sicherheitsgruppen bereitzustellen.

Da die kumulativen Updates für Windows 10 mit jeder neuen Version immer umfangreicher werden, können sie erheblichen Anteil der Bandbreite beanspruchen. WSUS-Server sparen Datenverkehr, indem sie Express-Installationsdateien verwenden – dies erfordert mehr Speicherplatz auf dem Server, reduziert jedoch erheblich die Größe der Update-Dateien, die an die Client-PCs gesendet werden.

Auf WSUS-Servern der Versionen 4.0 und höher können auch Windows 10-Komponentenupdates verwaltet werden.

Die zweite Option, System Center Configuration Manager, nutzt den leistungsstarken Configuration Manager für Windows in Kombination mit WSUS, um Qualitätsupdates und Komponentenupdates bereitzustellen. Das Dashboard ermöglicht es Netzwerkadministratoren, die Nutzung von Windows 10 im gesamten Netzwerk zu überwachen und Wartungspläne auf Basis von Gruppen zu erstellen, die Informationen zu allen PCs enthalten, die sich dem Ende ihres Unterstützungszyklus nähern.

Wenn in der Organisation bereits ein Configuration Manager für frühere Windows-Versionen eingerichtet ist, wird es relativ einfach sein, die Unterstützung für Windows 10 hinzuzufügen.

Quelle: habr.com