Ungesteuerte Windows-Updates führen zu Neustarts zur falschen Zeit, hoher Last auf der Internetleitung und fehlendem Überblick, welcher Patch wo installiert ist. Diese Anleitung zeigt zwei Wege, Windows-Updates zentral zu steuern: die WSUS-Rolle (Windows Server Update Services) im eigenen Netz und Windows Update for Business per Gruppenrichtlinie oder Intune. Microsoft hat WSUS im September 2024 abgekündigt; was das praktisch bedeutet, klärt Schritt 1.

Voraussetzungen

Weg A: Windows Server 2022 oder 2025 als WSUS-Host mit laut Microsoft mindestens 2 GB RAM zusätzlich zum Serverbedarf, x64-CPU ab 1,4 GHz (empfohlen 2 GHz) und mindestens 40 GB freiem Speicher für Updates, z. B. K:\WSUS_database. Standard-Datenbank ist die WID (Windows Internal Database), für größere Umgebungen SQL Server (auch Express).
Für beide GPO-Wege eine Active-Directory-Domäne mit Gruppenrichtlinienverwaltung (gpmc.msc).
Adminrechte auf Server und Domäne; für GPO-Änderungen Berechtigung auf die betroffenen OUs.
Weg B mit Intune: Lizenz Microsoft Intune Plan 1 (enthalten in Microsoft 365 Business Premium, E3, E5). Unterstützte Editionen: Windows Pro, Enterprise, Education, IoT Enterprise. Der Dienst Microsoft Account Sign-In Assistant (wlidsvc) muss laufen.
Aktuelle ADMX-Vorlagen im Central Store passend zur Windows-Version; sonst fehlen neue Richtlinien und die Pfade weichen ab.
Grundkenntnisse in PowerShell für Windows-Admins und Gruppenrichtlinien (GPO) sind hilfreich.

Schritt 1: Wählen Sie den passenden Weg (WSUS oder Update for Business)

Legen Sie je Gerätegruppe genau eine Strategie fest. Wer beide Wege unkontrolliert mischt, erhält unerwartetes Scan- und Installationsverhalten, weil konkurrierende Update-Quellen aufeinandertreffen.

Kriterium	WSUS (Weg A)	Update for Business (Weg B)
Server-Infrastruktur	eigener Server nötig	keine (GPO) bzw. Cloud (Intune)
Lokaler Update-Cache	ja (spart Bandbreite)	nein, Inhalte direkt von Microsoft
Isolierte/getrennte Netze	geeignet	braucht Internet
Wartungsaufwand	höher (Patches, DB, Cleanup)	gering
Reporting	WSUS-Konsole	Intune / Windows Update for Business reports
Microsoft-Empfehlung Neuprojekt	abgekündigt, weiter unterstützt	empfohlen (Intune, Autopatch)

Faustregel: KMU mit Cloud-Anbindung fahren mit Intune-Update-Ringen und optional Windows Autopatch am einfachsten. Rein lokal, in isolierten Netzen oder bei knapper Bandbreite bleibt WSUS wegen des lokalen Caches sinnvoll. Update for Business per GPO ist der Mittelweg ohne Intune und ohne lokalen Cache.

WSUS-Abkündigung: Microsoft hat WSUS am 20.09.2024 als „deprecated“ eingestuft. Die Rolle wird nicht mehr weiterentwickelt, bleibt aber in Windows Server 2025 enthalten, erhält Sicherheitsupdates und liefert weiter alle Inhalte.

Verifizieren: Sie haben für jede Gerätegruppe (z. B. Server, Clients, isolierte Systeme) genau einen Weg notiert.

Schritt 2: Installieren Sie die WSUS-Rolle (Weg A)

Die WSUS-Rolle heißt intern UpdateServices. Installieren Sie sie über den Server Manager oder per PowerShell. Wählen Sie genau einen Datenbanktyp, sonst schlagen die Aufgaben nach der Installation fehl.

GUI: Server Manager → Manage → Add Roles and Features → Role-based or feature-based installation → Rolle Windows Server Update Services markieren → Add Features → bei den Rollendiensten Datenbanktyp WID Database markieren → Content-Pfad angeben → Install. Nach Abschluss erscheint der Link Launch Post-Installation tasks; führen Sie ihn aus.

PowerShell (reproduzierbar), Rolle inklusive Verwaltungskonsole:

Install-WindowsFeature -Name UpdateServices -IncludeManagementTools -Restart

Führen Sie danach den Post-Install-Schritt aus und legen Sie Content-Verzeichnis und Datenbank fest. Mit der WID (Standard):

& "$env:ProgramFiles\Update Services\Tools\wsusutil.exe" postinstall CONTENT_DIR=K:\WSUS_database

Microsoft stuft auch die WID als abgekündigt ein und empfiehlt SQL Server (auch die Express-Edition). Mit SQL Server:

& "$env:ProgramFiles\Update Services\Tools\wsusutil.exe" postinstall SQL_INSTANCE_NAME="SERVER\INSTANZ" CONTENT_DIR=K:\WSUS_database

Sicherheit: Spielen Sie auf dem WSUS-Server alle Sicherheitsupdates zeitnah ein (zuletzt kritisch: CVE-2025-59287, Remotecodeausführung über den WSUS-Dienst) und geben Sie die Ports 8530/8531 nicht ins Internet frei. Microsoft empfiehlt, WSUS per TLS abzusichern.

Verifizieren: Get-WindowsFeature UpdateServices zeigt Installed, Get-Service WsusService den Status Running, und wsus.msc öffnet die Konsole ohne Fehler.

Schritt 3: Konfigurieren Sie die WSUS-Konsole: Produkte, Gruppen, Genehmigung (Weg A)

Öffnen Sie die WSUS-Konsole über wsus.msc oder den Server Manager. Drei Bereiche sind wichtig:

Products and Classifications: Unter Options → Products and Classifications wählen Sie gezielt die Produkte (z. B. nur Windows 11, Windows Server 2022/2025, Microsoft Server-Produkte) und Klassifizierungen (Security Updates, Critical Updates, Update Rollups). Jedes zusätzliche Produkt belegt Speicher und verlängert die Synchronisierung.
Computergruppen: Unter Computers → All Computers legen Sie per Rechtsklick eigene Gruppen an, etwa Pilot, Server, Clients. Diese Gruppen entsprechen Ihren Update-Ringen.
Genehmigung: Updates installiert WSUS erst nach Freigabe. Entweder manuell (Rechtsklick auf Update → Approve → Gruppe wählen) oder automatisch über Options → Automatic Approvals (z. B. Sicherheitsupdates für die Gruppe Pilot sofort, Rest nach Test).

Bewährt hat sich: Sicherheitsupdates automatisch für eine kleine Pilotgruppe genehmigen und nach erfolgreicher Prüfung manuell für die Produktivgruppen freigeben.

Verifizieren: Nach der ersten Synchronisierung (Synchronizations) zeigt die Konsole den Status „Succeeded“, und unter Updates erscheinen nur die gewählten Produkte.

Schritt 4: Lenken Sie die Clients per GPO auf den WSUS (Weg A)

Damit die Clients den WSUS statt Microsoft kontaktieren, braucht es zwei Richtlinien. Öffnen Sie gpmc.msc und bearbeiten Sie eine GPO, die mit den Computer-OUs verknüpft ist. In aktuellen ADMX-Vorlagen liegen die Einstellungen in Unterordnern von:

Computer Configuration > Policies > Administrative Templates >
Windows Components > Windows Update

1. Intranet-Updatedienst angeben (Unterordner Manage updates offered from Windows Server Update Service): Specify intranet Microsoft update service location auf Enabled setzen und bei Detection-URL und Statistics-URL jeweils Ihren Server eintragen:

http://WSUS-Server:8530

Beide Felder müssen gesetzt sein. Standardports sind 8530 (HTTP) und 8531 (HTTPS); ein falscher Port ist eine häufige Fehlerquelle.

2. Automatische Updates konfigurieren (Unterordner Manage end user experience): Configure Automatic Updates auf Enabled, Option 4 - Auto download and schedule the install wählen und Tag und Uhrzeit setzen. Option 3 lädt nur herunter und benachrichtigt, ohne automatische Installation.

Nach dem GPO-Update melden sich die Clients beim WSUS. Beschleunigen Sie das mit:

gpupdate /force
$au = New-Object -ComObject "Microsoft.Update.AutoUpdate"; $au.DetectNow()

Verifizieren: gpresult /r listet die GPO unter den angewendeten Computerrichtlinien; nach einigen Minuten erscheint der Client in der WSUS-Konsole unter All Computers.

Schritt 5: Richten Sie Update for Business per GPO ein (Weg B)

Windows Update for Business heißt in der aktuellen Microsoft-Dokumentation Windows Update client policies und braucht keinen eigenen Server. Die Clients laden direkt von Microsoft, Sie steuern nur den Zeitpunkt. GPO-Pfad in aktuellen ADMX-Vorlagen:

Computer Configuration > Policies > Administrative Templates >
Windows Components > Windows Update > Manage updates offered from Windows Update

Feature-Updates aufschieben: Select when Preview Builds and feature updates are received – Aufschub bis zu 365 Tage.
Quality-Updates aufschieben: Select when Quality Updates are received – Aufschub bis zu 30 Tage, Pause bis zu 35 Tage ab gewähltem Startdatum.

Neustart und Wartungsfenster steuern Sie unter Windows Update > Manage end user experience:

Active Hours: Turn off auto-restart for updates during active hours bzw. Specify active hours range for auto-restarts (maximal 8 bis 18 Stunden). Ohne Vorgabe ermittelt Windows die aktiven Stunden aus der Nutzung.
Deadlines: Ab Windows 11 22H2 getrennt Specify deadline for automatic updates and restarts for quality update bzw. … for feature update, jeweils mit Frist und Karenzzeit. Nach Ablauf erzwingt Windows Installation und Neustart.

Achtung: Select the target Feature Update version hebt den Aufschub für Feature-Updates auf. Eine ungültige oder ältere Zielversion führt dazu, dass gar keine Feature-Updates mehr angeboten werden.

Verifizieren: Auf einem Client zeigt Einstellungen > Windows Update > Erweiterte Optionen > Konfigurierte Updaterichtlinien die gesetzten Aufschübe und Fristen.

Schritt 6: Legen Sie Intune-Update-Ringe an (Weg B, Cloud)

Werden Ihre Geräte in Intune verwaltet, sind Update-Ringe der komfortabelste Weg. Sie bündeln Aufschub, Active Hours und Deadlines in einem Profil je Gerätegruppe. Klickpfad:

Microsoft Intune admin center (intune.microsoft.com) > Devices >
By platform > Windows > Manage updates > Windows updates >
Tab "Update rings" > Create profile

Der Assistent umfasst:

Basics: Name und Beschreibung, z. B. Ring 1 - Pilot.
Update ring settings: Aufschub Quality-Updates (0–30 Tage) und Feature-Updates (0–365 Tage), Verhalten bei Deadline, Active Hours.
Scope tags: optional für delegierte Verwaltung.
Assignments: Geräte- oder Nutzergruppen zuweisen.
Review + create: prüfen und anlegen.

In der Ring-Übersicht stehen die Aktionen Pause (bis 35 Tage), Resume, Extend (setzt die Pause wieder auf 35 Tage) und Uninstall (Rollback des letzten Feature- oder Quality-Updates) bereit. Das Fenster für die Deinstallation von Feature-Updates legen Sie mit Set feature update uninstall period auf 2 bis 60 Tage fest. Mehr zu Intune: Intune und Windows Autopilot.

Achtung: Uninstall läuft sofort ohne Wartungsfenster und kann ohne Vorwarnung neu starten. Ein Feature-Rollback funktioniert nur innerhalb des Deinstallationsfensters und nicht bei Installationen per Enablement Package.

Verifizieren: Im Profil zeigt Device and user check-in status die zugewiesenen Geräte als „Succeeded“.

Schritt 7: Prüfen Sie Reporting und Status

Bei WSUS zeigt die Konsole unter Reports bzw. Computers den Genehmigungs- und Installationsstatus je Gruppe, den Serverzustand auf der Startseite. Bei Intune finden Sie die Berichte unter Reports > Windows updates; ergänzend gibt es Windows Update for Business reports im Azure-Portal.

Auf dem Client stoßen Sie Scan, Download und Installation an. wuauclt.exe /detectnow funktioniert nicht mehr; Ersatz ist UsoClient:

UsoClient StartScan
UsoClient StartDownload
UsoClient StartInstall
UsoClient RefreshSettings

Diese Befehle sind nicht dokumentiert und wirken nur in einer aktiven Benutzersitzung. Microsoft rät vom direkten Aufruf ab; nutzen Sie nach einer Richtlinienänderung höchstens UsoClient RefreshSettings. Robuster ist der Scan per PowerShell-COM:

$au = New-Object -ComObject "Microsoft.Update.AutoUpdate"
$au.DetectNow()

Verifizieren: Der Client meldet in der WSUS-Konsole bzw. im Intune-Bericht einen Zeitstempel „Last Status Report“ bzw. „Last check-in“ von heute.

Troubleshooting

Client meldet sich nicht beim WSUS: Prüfen Sie in der GPO, ob Detection- und Statistics-URL identisch sind und den richtigen Port (8530/8531) enthalten. Führen Sie danach gpupdate /force und UsoClient RefreshSettings aus. Erscheint der Client weiterhin nicht, setzen Sie die SusClientId zurück (bei geklonten Systemen doppelt) oder leeren den Ordner C:\Windows\SoftwareDistribution bei gestopptem Dienst wuauserv.

Keine Feature-Updates über Intune: Prüfen Sie, ob der Dienst Microsoft Account Sign-In Assistant (wlidsvc) läuft; ist er deaktiviert, bietet Windows keine Feature-Updates an. Prüfen Sie außerdem, ob versehentlich eine Ziel-Feature-Version gesetzt ist.

Logs lesen: Die Rohdaten liegen als ETW-Trace (.etl) unter:

C:\Windows\Logs\WindowsUpdate          (*.etl)
C:\ProgramData\USOShared\Logs          (USO / *.etl)
%systemroot%\Logs\CBS\CBS.log          (Installationsfehler)

Ein lesbares Log erzeugen Sie mit:

Get-WindowsUpdateLog

Das Cmdlet erstellt einmalig eine statische WindowsUpdate.log auf dem Desktop; für neue Daten führen Sie es erneut aus. Bei Installationsfehlern ist die CBS.log die wichtigste Quelle.

Häufige Fragen

Ist WSUS nach der Abkündigung noch sinnvoll?

Ja, für rein lokale oder isolierte Netze (siehe Schritt 1). Ein Entfernungsdatum hat Microsoft nicht genannt. Für Neuprojekte mit Cloud-Anbindung sind Intune und Windows Autopatch die zukunftssichere Wahl.

WID oder SQL Server für die WSUS-Datenbank?

Die WID genügt kleinen Umgebungen, ist aber ebenfalls abgekündigt. Für größere oder neue Installationen empfiehlt Microsoft SQL Server; die Express-Edition reicht oft aus.

Kann ich WSUS und Update for Business gleichzeitig nutzen?

Ja, aber nicht unkontrolliert auf denselben Geräten. Konkurrierende Quellen und Richtlinien (etwa WSUS-Zeitplan plus Aufschub von Update for Business) führen zu unerwartetem Verhalten. Legen Sie je Gerätegruppe eine Strategie fest.

Warum funktioniert wuauclt /detectnow nicht mehr?

Der Schalter /detectnow wirkt seit Windows 10 und Windows Server 2016 nicht mehr. Nutzen Sie UsoClient StartScan oder (New-Object -ComObject Microsoft.Update.AutoUpdate).DetectNow().

Wie lange kann ich Updates aufschieben?

Feature-Updates bis 365 Tage, Quality-Updates bis 30 Tage. Pausieren können Sie beide bis 35 Tage ab dem gewählten Startdatum. Wird eine Zielversion festgehalten, aktualisiert Windows das Gerät 60 Tage nach Ende des Supports dieser Version automatisch.

Fazit

WSUS bleibt für lokale und isolierte Netze nutzbar, ist aber abgekündigt. Update for Business per GPO oder Intune braucht keinen eigenen Server und weniger Wartung. In beiden Fällen gilt: gestaffelte Ringe mit Pilotgruppe, klare Wartungsfenster über Active Hours und Deadlines, regelmäßiger Blick in Berichte und Logs.

Weiterführende Anleitungen und Quellen

Quellen (Microsoft Learn): Abgekündigte Funktionen in Windows Server · WSUS planen · Windows Update client policies per Gruppenrichtlinie · Update-Ringe in Intune · Lebenszyklus Windows Server 2025