Patch-Management-Tipp: Windows Patch Deployment ohne WSUS
Microsoft entwickelt die Windows Server Update Services (WSUS) nicht mehr aktiv weiter. Für IT-Abteilungen bedeutet das zwar nicht, dass bestehende WSUS-Umgebungen sofort ersetzt werden müssen. Die Ankündigung ist jedoch ein guter Anlass, bestehende Patch-Prozesse zu analysieren und mögliche Alternativen für das Windows-Patch-Management zu evaluieren.
Derzeit ist WSUS in vielen Unternehmen im Einsatz, um Windows-Clients und -Server zentral mit Updates zu versorgen. Admins schätzen dabei vor allem die granulare Steuerung: Nur freigegebene Updates werden auf den verwalteten Systemen installiert.
Mit einer Patch-Management-Lösung wie Patch Manager Plus von ManageEngine oder einer Endpoint-Management- und -Security-Lösung wie Endpoint Central lässt sich das Windows-Patch-Deployment ebenfalls zentral steuern – ohne klassische WSUS-Infrastruktur. IT-Administratoren können Windows-Patches damit testen, priorisieren und bereitstellen. Zudem lassen sich Zielgruppen definieren, Deployment-Fenster festlegen, Neustarts kontrollieren und der Patch-Status zentral auswerten. Patch Manager Plus ist dabei nicht auf Windows-Updates beschränkt, sondern unterstützt auch das Patch-Management für über 1.100 Drittanbieteranwendungen sowie für weitere Betriebssysteme wie macOS und Linux.
Dieser Tipp zeigt, worauf es beim Windows Patch Deployment mit Patch Manager Plus ankommt: von der Vorbereitung der Zielsysteme über Testgruppen und Freigaben bis hin zu Deployment-Richtlinien, Remote-Geräten und Reporting.
- WSUS wird nicht mehr weiterentwickelt: Was bedeutet das für IT-Teams?
- Tipp 1: Windows Patch Deployment in Patch Manager Plus vorbereiten
- Tipp 2: Patch-Strategie festlegen: Kategorien, Testgruppen und Deployment Policies definieren
- Tipp 3: Automatisches Windows Patch Deployment konfigurieren
- Tipp 4: Patch-Erfolg regelmäßig auswerten
Hier geht es direkt zu den Patch-Manager-Plus-Tipps:
- So installieren Sie den Patch-Manager-Plus-Agent auf Windows-Systemen
- So legen Sie Zielgruppen für das Patch Deployment an
- So konfigurieren Sie Patch-Typen in Patch Manager Plus
- So testen und genehmigen Sie Patches vor dem Deployment
- So erstellen Sie eine Aufgabe für das automatische Windows Patch Deployment
- So prüfen Sie den Patch-Status nach dem Deployment
Patch Manager Plus oder Endpoint Central?
Patch Manager Plus eignet sich für Unternehmen, die eine spezialisierte Lösung für Patch-Management suchen – etwa für Betriebssysteme, Drittanbieteranwendungen, automatisierte Deployments und Reporting.
Endpoint Central enthält dieselben Patch-Management-Funktionen, bietet darüber hinaus aber weitere Endpoint-Management- und Security-Funktionen, z. B. Softwareverteilung, Mobile Device Management (MDM), Remote Control, Betriebssystembereitstellung und Vulnerability Management. Die hier für Patch Manager Plus beschriebenen Schritte lassen sich auch mit Endpoint Central umsetzen.
WSUS wird nicht mehr weiterentwickelt: Was bedeutet das für IT-Teams?
Microsoft hat die Windows Server Update Services im September 2024 als „deprecated“ eingestuft. Das bedeutet, dass WSUS nicht mehr aktiv weiterentwickelt wird und keine neuen Funktionen mehr erhält. Bestehende Funktionen können jedoch derzeit weiter genutzt werden.
Für IT-Abteilungen ist die Einstufung dennoch relevant, weil Microsoft damit signalisiert, dass der Dienst nicht mehr strategisch weiterentwickelt wird und langfristig nicht mehr Teil künftiger Windows-Server-Versionen sein könnte. Microsoft verweist WSUS-Nutzer stattdessen auf cloudbasierte Update-Management-Tools.
Neben der ungewissen Weiterentwicklung von WSUS sind eingeschränkte Automatisierungs- und Reporting-Funktionen für viele IT-Abteilungen ein weiterer Grund, Alternativen zu prüfen. Wer WSUS aktuell noch einsetzt, sollte die bestehenden Patch-Prozesse zunächst strukturiert analysieren: Welche Systeme werden über WSUS versorgt? Welche Genehmigungsprozesse, Gruppenrichtlinien und Wartungsfenster sind im Einsatz? Und welche Anforderungen lassen sich künftig besser über eine alternative Patch-Management-Lösung abbilden?
Tipp 1: Windows Patch Deployment in Patch Manager Plus vorbereiten
Bevor Windows-Patches mit Patch Manager Plus bereitgestellt werden, sollten IT-Admins festlegen, welche Windows-Clients und -Server verwaltet werden sollen – einschließlich Geräten an Außenstandorten oder Systemen außerhalb des Unternehmensnetzwerks.
Damit Patch Manager Plus fehlende Patches erkennen und bereitstellen kann, müssen die entsprechenden Computer in der Lösung verwaltet und in den sogenannten „Scope of Management“ von Patch Manager Plus aufgenommen werden.
Dafür wird auf den Zielsystemen ein Agent installiert, der regelmäßig mit dem Patch-Manager-Plus-Server kommuniziert, Patch-Scans ausführt und den aktuellen Status zurückmeldet.
Für ein kontrolliertes Windows Patch Deployment empfiehlt es sich außerdem, die verwalteten Systeme frühzeitig sinnvoll zu gruppieren. So können IT-Admins Updates zunächst auf Testsystemen bereitstellen, anschließend auf eine Pilotgruppe ausrollen und erst danach produktive Clients oder Server einbeziehen. Besonders kritische Systeme sollten dabei eigene Gruppen und separate Deployment-Richtlinien erhalten.
Außerdem sollte geprüft werden, welche Patch-Typen und Microsoft-Produkte in Patch Manager Plus berücksichtigt werden sollen. Je nach Umgebung kann es jedoch sinnvoll sein, auch Drittanbieteranwendungen oder weitere Betriebssysteme in die Patch-Strategie einzubeziehen.
Tipp:
Wie sich Computer in den „Scope of Management“ hinzufügen lassen, haben wir hier am Beispiel von Endpoint Central beschrieben. Das Vorgehen ist bei Patch Manager Plus On-Premises identisch.
Hinweis:
Beim Wechsel von WSUS sollten IT-Teams prüfen, ob noch Gruppenrichtlinien auf den WSUS-Server verweisen. Solche Richtlinien können beeinflussen, wie Windows-Systeme Updates beziehen, und sollten vor einer vollständigen Umstellung dokumentiert und angepasst werden.
So installieren Sie den Patch Manager Plus Agent auf Windows-Systemen
- Auf dem Tab „Agent“ zu Scope of Management > Computers gehen.
- Auf „Add Computers“ klicken und die gewünschte Domäne, Workgroup oder einzelne Windows-Computer auswählen und mit „OK“ bestätigen.
- Die ausgewählten Computer werden anschließend in der Liste angezeigt.
- Auf „Install Agent“ klicken, um den Agent direkt auf den ausgewählten Systemen zu installieren.
- Mit „Done“ abschließen.
Zusatztipp:
Für größere Windows-Umgebungen kann der Agent außerdem per Gruppenrichtlinie, SCCM oder Microsoft Intune verteilt werden.
Eine ausführliche Anleitung zur Installation des Agents auf den Geräten, die verwaltet werden sollen, steht in der englischen Hilfe zur Verfügung.
Anschließend im „Scope of Management“ überprüfen, ob die Computer als verwaltet angezeigt werden und ob die Agent-Installation erfolgreich war.
So legen Sie Zielgruppen für das Patch Deployment an
- Auf dem Tab „Admin“ zu Global Settings > Custom Group gehen.
- Auf „Create New Group“ klicken.
- Einen aussagekräftigen Namen für die Gruppe vergeben, z. B. „Windows-Testsysteme“, „Windows-Pilotgruppe“, „Produktive Windows-Clients“ oder „Windows-Server“.
- Einen der folgenden Gruppentypen wählen:
- „Static“: Die gewünschten Computer werden manuell oder über AD-/Entra-ID-Gruppen zur Gruppe hinzugefügt.
- „Static Unique“: Die Geräte werden manuell oder über Domänen / Organisationseinheiten (OU) hinzugefügt.
- „Dynamic“: Die Computer werden anhand definierter Kriterien automatisch zugeordnet.
- Die passenden Windows-Systeme bzw. Kriterien auswählen.
- Die Gruppe mit „Create Group“ speichern.
Die erstellten Gruppen können anschließend für Test- und Freigabeprozesse, automatische Patch-Deployments oder separate Deployment-Richtlinien genutzt werden.
Tipp:
Testgruppen sollten die produktive Umgebung möglichst realistisch abbilden und neben IT-Geräten daher auch typische Clients aus Fachabteilungen und Systeme mit geschäftskritischen Anwendungen berücksichtigen. Für Server empfiehlt sich eine eigene Test- und Freigabestrategie. So lassen sich später unterschiedliche Wartungsfenster, Neustartregeln und Freigabeprozesse einfacher festlegen.
Tipp 2: Patch-Strategie festlegen: Kategorien, Testgruppen und Freigaben definieren
Nicht jeder Patch sollte gleich behandelt werden. Sicherheitsupdates für Windows haben in der Regel eine höhere Priorität als optionale Updates oder Treiberaktualisierungen. Gleichzeitig sollten auch wichtige Patches nicht ungeprüft auf alle Systeme ausgerollt werden – insbesondere nicht auf Server oder geschäftskritische Clients.
Daher sollte zunächst festgelegt werden, welche Patch-Kategorien automatisch bereitgestellt werden sollen und welche Updates eine manuelle Prüfung benötigen. In Patch Manager Plus lassen sich dazu die relevanten Patch-Typen auswählen und mit passenden Zielgruppen kombinieren. So können beispielsweise sicherheitsrelevante Windows-Patches anders behandelt werden als optionale Updates oder Treiber.
Für ein kontrolliertes Windows Patch Deployment empfiehlt sich ein gestaffelter Rollout: zuerst auf den Testsystemen, dann in der Pilotgruppe und zum Schluss auf produktiven Clients oder Servern.
So konfigurieren Sie Patch-Typen in Patch Manager Plus
- Im Admin-Bereich unter „Patch Settings“ auf „Patch Database Settings“ klicken.
- Unter dem jeweiligen Betriebssystem die Patches auswählen, die Patch Manager Plus berücksichtigen soll, z. B. „Microsoft Updates“ für Windows-Systeme. Hier lassen sich bei Bedarf auch bestimmte Patch-Kategorien, z. B. „Feature Packs“ ausschließen.
- Falls gewünscht, können hier auch Patches für Drittanbieteranwendungen oder für Mac- und Linux-Systeme ergänzt werden.
- Die Option „Enable Schedule“ unter „Schedule Vulnerability Database Update“ ist automatisch aktiviert, lässt sich jedoch deaktivieren, wenn Patch Manager Plus nicht automatisch nach neuen Patches suchen soll. In diesem Abschnitt kann auch die Uhrzeit für die Suche nach neuen Updates angepasst werden.
- Mit „Save Changes“ speichern.
Anschließend sollte ein Patch-Scan durchgeführt werden, damit Patch Manager Plus den aktuellen Patch-Status der verwalteten Systeme ermitteln kann.
Hinweis:
Es empfiehlt sich, die Vulnerability Database täglich aktualisieren zu lassen. Dadurch bleibt die Patch-Datenbank aktuell, sodass neue Patches, Sicherheitsupdates und bekannte Schwachstellen zeitnah berücksichtigt werden können.
Zusatztipp: Drittanbieteranwendungen nicht vergessen
WSUS konzentriert sich auf Microsoft-Updates. Patch Manager Plus kann zusätzlich Patches für zahlreiche Drittanbieteranwendungen verwalten – etwa für Browser, PDF-Tools, Java und weitere häufig eingesetzte Software. Die aktuelle Liste der unterstützten Anwendungen finden Sie hier.
So testen und genehmigen Sie Patches vor dem Deployment
- Auf dem Tab „Deployment“ zu Deployment > Test and Approve navigieren.
- Schritt 1: Patch-Freigabemodus umstellen
- Unter „Patch Approval Settings“ auf „Modify“ klicken und „Test and Approve“ auswählen.
- Anschließend festlegen, ob bestehende Patches ihren Freigabestatus behalten („Retain Approval Status“) oder als nicht freigegeben („Mark Patch as Not Approved“) markiert werden sollen.
- Mit „Save“ speichern.
- Schritt 2: Testgruppe anlegen
- Unter „Test Groups“ auf „Add Group“ klicken und die bereits erstellte Testgruppe auswählen.
- Schritt 3: Patches auswählen und Deployment-Einstellungen festlegen
- Unter „Deployment Option“ auswählen, für welche Updates und Schweregrade die folgenden Einstellungen gelten sollen (z. B. Microsoft Updates der Kategorie „Security Update“ mit Schwergrad „Critical“ oder „Important“). Neben Microsoft-Updates können hier auch Patches für Drittanbieteranwendungen und Treiber ausgewählt werden.
- Unter „Deployment Settings“ festlegen, nach wie vielen Tagen nach Veröffentlichung ein Patch getestet werden soll (Empfehlung: 0 Tage, damit sicherheitsrelevante Patches möglichst früh geprüft werden können).
- Unter „Deployment Policy“ die gewünschte Bereitstellungsrichtlinie auswählen.
- Unter „Notification Settings“ lassen sich bei Bedarf Benachrichtigungen aktivieren und anpassen.
- Unter „Approval mode for tested patches“ festlegen, ob Patches nach erfolgreichem Test automatisch nach einer bestimmten Zeit genehmigt werden oder ob eine manuelle Freigabe erforderlich ist.
- Anschließend mit „Create“ speichern.
Zusatztipp:
Neben den vorkonfigurierten Deployment Policies von Patch Manager Plus lassen sich eigene Richtlinien erstellen, etwa für Testgruppen, produktive Clients oder Server. Darin können unter anderem die Zeiträume für den Download sowie die Bereitstellung von Patches separat und individuell angepasst werden. Zudem lassen sich verschiedene Aktivitäten definieren, die vor oder nach der Installation der Patches ausgeführt werden sollen (z. B. Wake-on-Lan, Beenden eines Prozesses, Neustart, Durchführung eines eigenen Skripts).
Eine ausführliche Anleitung steht hier im englischen Hilfe-Dokument zur Verfügung.
Zusatztipp:
Bei Remote-Geräten und Außenstandorten sollten Deployment-Fenster, Bandbreite und Erreichbarkeit besonders berücksichtigt werden. Für verteilte Standorte können Remote Offices und Distribution Server helfen, Patch-Downloads zu steuern und WAN-Verbindungen zu entlasten.
Tipp 3: Automatisches Windows Patch Deployment konfigurieren
Nachdem die Patch-Strategie festgelegt wurde, kann das eigentliche Deployment automatisiert werden. In Patch Manager Plus lassen sich dafür „Automate Patch Deployment (APD)“-Aufgaben erstellen, mit denen Windows-Patches automatisch gesucht, heruntergeladen und auf definierten Zielsystemen bereitgestellt werden.
Dabei empfiehlt es sich, verschiedene APD-Aufgaben für unterschiedliche Patch-Typen und Gerätegruppen anzulegen, damit Wartungsfenster, Freigaben und Neustartregeln sauber gesteuert werden können.
So erstellen Sie eine Aufgabe für das automatische Windows Patch Deployment
- Auf dem Tab „Deployment“ zu Deployment > Automate Patch Deployment wechseln.
- Auf „Automate Task“ klicken und „Windows“ auswählen.
- Oben links auf das Stift-Symbol klicken und einen aussagekräftigen Namen und bei Bedarf eine Beschreibung für die Aufgabe vergeben, z. B. „Windows-Clients – Sicherheitsupdates“ oder „Windows-Server – monatliches Patch Deployment“.
- Auf dem Tab „Select Applications“ die gewünschten Windows-Patch-Kategorien auswählen:
- „Security Updates“ für sicherheitsrelevante Windows-Updates; bei Bedarf den Schweregrad auf „Critical“ und „Important“ eingrenzen.
- „Non-Security Updates“ für nicht sicherheitsrelevante Windows-Updates.
- Windows-spezifische Kategorien wie „Service Packs“, „Rollups“, „Optional Updates“ oder „Feature Packs“, sofern diese automatisiert bereitgestellt werden sollen.
- Falls Updates zunächst zurückgestellt werden sollen, unter „Delay deployment“ festlegen, nach wie vielen Tagen nach Veröffentlichung oder Genehmigung die Patches bereitgestellt werden sollen.
- Auf dem Tab „Choose Deployment Settings“ die passende Deployment Policy auswählen oder eine neue Richtlinie erstellen. Bei Bedarf lässt sich hier wählen, ob die Patches im Self-Service-Portal bereitgestellt werden sollen, um den Anwendern eine flexiblere Installation zu ermöglichen.
- Auf dem Tab „Define Target“ die Zielsysteme auswählen, z. B. eine Domain, ein Remote Office, eine OU, eine Custom Group oder einzelne Computer.
- Über „Exclude Target“ Systeme ausschließen, die nicht über diese Aufgabe gepatcht werden sollen, z. B. Server bei einer Client-Aufgabe oder besonders kritische Systeme.
- Auf dem Tab „Configure Notifications“ festlegen, ob Benachrichtigungen bei fehlgeschlagenem Download bzw. Deployment oder tägliche Statusberichte versendet werden sollen.
- Die Aufgabe mit „Save“ speichern.
Hinweis:
Eine ausführliche Beschreibung zum automatischen Patch Deployment steht im englischen Hilfe-Dokument von Patch Manager Plus zur Verfügung.
Hinweis für Endpoint-Central-Nutzer:
Wie sich eine Aufgabe für das automatisierte Patch-Deployment in Endpoint Central erstellen lässt, haben wir hier beschrieben.
Tipp 4: Patch-Erfolg regelmäßig auswerten
Ein automatisches Windows Patch Deployment sollte regelmäßig überprüft werden. Denn auch wenn Patches automatisch bereitgestellt werden, können einzelne Installationen fehlschlagen – etwa weil Systeme offline waren, Neustarts ausstehen, Wartungsfenster verpasst wurden oder lokale Probleme auf dem Endpoint bestehen.
Patch Manager Plus stellt dafür verschiedene Reports und Statusansichten bereit. Darüber lässt sich nachvollziehen, welche Windows-Systeme vollständig gepatcht sind, auf welchen Computern noch Patches fehlen und bei welchen Deployments Fehler aufgetreten sind. So können IT-Admins gezielt nachsteuern, statt den Patch-Status jedes einzelnen Systems manuell prüfen zu müssen.
Besonders wichtig ist die Auswertung nach dem Rollout auf produktive Systeme. Dabei sollte nicht nur geprüft werden, ob die Patches installiert wurden, sondern auch, ob noch Neustarts erforderlich sind und ob einzelne Computer während des Deployment-Fensters nicht erreichbar waren.
So prüfen Sie den Patch-Status nach dem Deployment
- Auf dem Tab „Reports“ unter „Predefined Reports“ den gewünschten Bericht auswählen. Empfehlenswert sind unter anderem folgende Berichte:
- „System Health Report“ unter „System Reports“: Dieser Bericht zeigt den Zustand der verwalteten Systeme sowie die Anzahl fehlender Betriebssystem- und Drittanbieter-Patches.
- „System requiring reboot“ unter „System Reports“: Hier lassen sich Windows-Systeme mit ausstehendem Neustart identifizieren.
- „System Compliance Report“ unter „System Reports“: Dieser Bericht hilft, den Compliance-Status der verwalteten Systeme nachzuvollziehen.
- „Applicable Patches“ unter „Patch Reports“: Mit diesem Bericht lässt sich prüfen, welche Patches für die verwalteten Windows-Systeme relevant sind und welche bereits installiert wurden.
- „Missing Patches Awaiting Approval“ unter „Patch Reports“: Dieser Bericht sollte geprüft werden, wenn mit Freigabeprozessen gearbeitet wird. Er zeigt fehlende Patches, die noch nicht für das Deployment genehmigt wurden.
- „Remote Office Patch Summary“ unter „Patch Reports“: Hier lässt sich der Patch-Status in Außenstellen prüfen.
- Die Berichte können bei Bedarf nach Betriebssystem, Zielgruppe, Schweregrad oder Patch-Kategorie gefiltert und als PDF oder CSV-Datei exportiert werden.
Bei fehlgeschlagenen Installationen, ausstehenden Neustarts oder nicht aktuellen Systemen sollte ein erneutes Deployment angestoßen oder die betroffenen Geräte in eine eigene Gruppe für die Nachbearbeitung aufgenommen werden.
Hinweis:
Falls zuvor WSUS im Einsatz war, sollten auch alte Gruppenrichtlinien oder parallele Update-Richtlinien geprüft werden.
Verweisen einzelne Systeme weiterhin auf einen WSUS-Server, kann das den Patch-Prozess beeinflussen und zu abweichenden Ergebnissen führen.
Zusatztipp:
Patch-Reports sollten regelmäßig geprüft und nicht nur nach Störungen geöffnet werden. Besonders hilfreich ist ein fester Kontrollpunkt nach jedem größeren Rollout, z. B. nach dem monatlichen Patch Day.
Über „Schedule Reports“ lassen sich diese Informationen außerdem regelmäßig und automatisiert an die zuständigen IT-Teams versenden – etwa zu fehlgeschlagenen Installationen, ausstehenden Neustarts oder nicht erreichten Systemen.
Fazit
Windows Patch Deployment ohne WSUS sollte nicht bedeuten, Updates pauschal und ohne Kontrolle zu automatisieren. Entscheidend ist ein klarer Prozess: Windows-Systeme müssen vollständig erfasst, sinnvoll gruppiert und mit passenden Patch-Kategorien, Testgruppen und Deployment Policies verknüpft werden.
Patch Manager Plus unterstützt IT-Teams dabei, Windows-Patches zentral zu testen, freizugeben, automatisiert bereitzustellen und den Patch-Erfolg regelmäßig auszuwerten. So lässt sich die aus WSUS bekannte Kontrolle über freigegebene Updates mit erweiterten Automatisierungs- und Reportingfunktionen kombinieren.