Skip to main content
Dieses Library Item ist für Windows-Computer verfügbar
Mit dem Library Item Windows Update können Sie Windows Update-Einstellungen und die Update-Erfahrung der Endbenutzer auf Windows-Computern verwalten. Steuern Sie, wie und wann Updates angeboten werden, legen Sie die Nutzungszeit fest, um störende Neustarts zu vermeiden, und schränken Sie ein, was Benutzer in der Windows Update-Oberfläche tun können.
Detaillierte technische Hintergrundinformationen zu den einzelnen Einstellungen finden Sie in der offiziellen Update Policy CSP-Dokumentation von Microsoft.

​
Ein Windows Update Library Item erstellen

Um dieses Library Item zu Ihrer Iru Endpoint Library hinzuzufügen, folgen Sie den Schritten im Artikel Library-Übersicht.
1

Zur Library navigieren

Navigieren Sie zur Library und wählen Sie Library Item hinzufügen.
2

Windows Update auswählen

Suchen Sie nach Windows Update und wählen Sie es aus.
3

Library Item benennen

Geben Sie dem Library Item einen Name.
4

Blueprints zuweisen

Weisen Sie das Profil einem oder mehreren Blueprints zu. Bei Bedarf können Sie Assignment Maps innerhalb von Blueprints für bedingte Logik verwenden.

​
Einstellungen

Für Windows Update sind die folgenden Einstellungen verfügbar.

​
Von Windows Update angebotene Updates verwalten

​
Allow Optional Content

Steuert, ob Geräte zusätzlich zu erforderlichen Updates optionale Updates und schrittweise Rollouts (Controlled Feature Rollouts, CFRs) erhalten. Optionen:
  • Keine optionalen Updates erhalten
  • Optionale Updates automatisch erhalten (einschließlich CFRs)
  • Nur optionale Updates automatisch erhalten
  • Benutzer können optionale Updates auswählen

​
Endbenutzererfahrung verwalten

​
Allow Auto Update

Steuert, wie Updates installiert werden: nur benachrichtigen, automatisch installieren oder automatisch installieren und neu starten. Optionen:
  • Benutzer vor dem Herunterladen des Updates benachrichtigen
  • Automatisch installieren und Benutzer dann zum Planen eines Neustarts auffordern
  • Auto install and restart (Standard)
  • Automatisch installieren und zu einem geplanten Zeitpunkt neu starten
  • Lokalem Administrator die Auswahl der Einstellung erlauben
  • Automatische Updates deaktivieren

​
Active Hours Start

Beginn des Nutzungszeitfensters (Stunde 0–23). Windows vermeidet es, das Gerät während dieser Zeit für Updates neu zu starten.

​
Active Hours End

Ende des Nutzungszeitfensters (Stunde 0–23). Nach dieser Stunde können Neustarts erfolgen.

​
Set Disable Pause UX Access

Steuert, ob Benutzer Updates über die Windows Update-Oberfläche pausieren können. Optionen: Users can pause updates oder Remove the pause option from the device UI. Wählen Sie Letzteres, um zu verhindern, dass Benutzer Updates hinauszögern.

​
Manage Preview Builds

Steuert, ob das Gerät Windows Insider Preview-Builds erhalten kann. Optionen:
  • Vorschaubuilds deaktivieren
  • Vorschaubuilds deaktivieren, sobald das nächste Release öffentlich ist
  • Vorschaubuilds aktivieren
  • Vorschaubuilds werden der Benutzerauswahl überlassen

​
Update Notification Level

Steuert, welche Update-Benachrichtigungen Benutzer sehen: Standard, alle außer Neustartwarnungen ausblenden oder alle einschließlich Neustartwarnungen ausblenden. Optionen:
  • Standardbenachrichtigungen von Windows Update verwenden
  • Neustartbenachrichtigungen für Updates deaktivieren (ohne Neustartwarnungen)
  • Alle Benachrichtigungen für Updates deaktivieren (einschließlich Neustartwarnungen)

​
Erweiterte Einstellungen

Diese Einstellungen befinden sich in einem erweiterbaren Abschnitt des Library Item. Sie sind standardmäßig nicht konfiguriert und richten sich an Admins, die mehr Kontrolle über das Update-Verhalten benötigen.
  • Nicht von Microsoft signierte Updates zulassen Ermöglicht dem Gerät, Updates zu akzeptieren, die nicht von Microsoft signiert sind, wenn ein Intranet-Update-Dienst verwendet wird (zum Beispiel WSUS für Patches von Drittanbietern).
  • Reaktivierung für automatische Wartung Ermöglicht der automatischen Wartung, das Gerät bei Bedarf für die tägliche geplante Wartung zu reaktivieren.
  • WUfB-Schutzmaßnahmen deaktivieren Windows Update for Business (WUfB). Wenn aktiviert, überspringen Geräte die Microsoft-Schutzsperren (Safeguard Holds), die Upgrades bei bekannten Kompatibilitätsproblemen blockieren. Nur zur Validierung verwenden; dies kann zu schlechten Upgrade-Erfahrungen führen.
  • WU-Treiber aus Qualitätsupdates ausschließen Schließt Treiberupdates von Windows-Qualitätsupdates aus. Verwenden Sie diese Option, wenn Sie Treiber separat verwalten.
  • Maximaler Bereich der Nutzungszeit Maximale Anzahl an Stunden (8–18), die Benutzer für ihr Nutzungszeitfenster ab dem Beginn der Nutzungszeit festlegen können.
  • Automatischen Windows Update-Download über getaktete Netzwerke zulassen Ermöglicht Windows Update, Updates über getaktete Verbindungen (zum Beispiel Mobilfunk) herunterzuladen. Dabei können Datengebühren anfallen.
  • MU-Updatedienst zulassen Steuert, ob das Gerät über Microsoft Update nach Updates für Apps und andere Microsoft-Produkte sucht.
  • Temporäre Steuerung von Unternehmensfunktionen zulassen Wenn zulässig, werden Funktionen, die mit monatlichen Qualitätsupdates (Servicing) bereitgestellt werden, vor dem nächsten Funktionsupdate aktiviert. Wenn deaktiviert, bleiben diese Funktionen bis zu dem Funktionsupdate, das sie enthält, ausgeschaltet.
  • Deinstallationszeitraum für Funktionsupdates konfigurieren Anzahl der Tage (2–60), in denen Benutzer ein Funktionsupdate nach der Installation deinstallieren können.
  • Keine Updatebenachrichtigungen während der Nutzungszeit Reduziert oder deaktiviert Windows Update-Benachrichtigungen während der Nutzungszeit (optional mit Ausnahme von Neustartwarnungen). Benachrichtigungen können nach Fristablauf weiterhin erscheinen, sofern konfiguriert.
  • Geplanter Installationstag Wochentag (oder jeder Tag), an dem Updates installiert werden. Gilt nur, wenn Allow auto update auf Automatisch installieren und zu einem geplanten Zeitpunkt neu starten oder Allow the local administrator to choose the setting gesetzt ist. Optionen: Every day, Sunday, Monday, Tuesday, Wednesday, Thursday, Friday, Saturday.
  • Geplante Installation jede Woche Wenn aktiviert, werden Updates jede Woche geplant. Gilt nur, wenn Allow auto update auf Automatisch installieren und zu einem geplanten Zeitpunkt neu starten oder Allow the local administrator to choose the setting gesetzt ist.
  • Geplante Installation in der ersten Woche Installation in der ersten Woche des Monats planen (Tage 1–7). Zusammen mit Scheduled install day für einen bestimmten Wochentag verwenden (zum Beispiel erster Dienstag).
  • Geplante Installation in der zweiten Woche Installation in der zweiten Woche des Monats planen (Tage 8–14). Zusammen mit Scheduled install day für einen bestimmten Wochentag verwenden.
  • Geplante Installation in der dritten Woche Installation in der dritten Woche des Monats planen (Tage 15–21). Zusammen mit Scheduled install day für einen bestimmten Wochentag verwenden.
  • Geplante Installation in der vierten Woche Installation in der vierten Woche des Monats planen (Tage 22–31). Zusammen mit Scheduled install day für einen bestimmten Wochentag verwenden.
  • Geplante Installationszeit Stunde des Tages (0–23), zu der geplante Updates installiert werden. Es gibt ein Zeitfenster von etwa 30 Minuten. Gilt nur, wenn Allow auto update auf Automatisch installieren und zu einem geplanten Zeitpunkt neu starten oder Allow the local administrator to choose the setting gesetzt ist.
  • UX-Zugriff auf WU deaktivieren Wenn aktiviert, können Benutzer in der Windows Update-Einstellungsoberfläche nicht nach Updates suchen, diese herunterladen oder installieren.
  • EDU-Neustart festlegen Ermöglicht dem Gerät, außerhalb der Nutzungszeit automatisch neu zu starten, um Updates abzuschließen. Für Bildungsszenarien (EDU) vorgesehen.
  • Updatedienst zulassen Bei Verwendung eines Intranet-Update-Dienstes steuert diese Einstellung, ob das Gerät weiterhin Microsoft Update, WSUS oder Microsoft Store verwenden kann. Eine Deaktivierung kann den Store und andere öffentliche Dienste beeinträchtigen.
  • Erkennungshäufigkeit Wie viele Stunden Windows wartet, bevor es nach Updates sucht, zuzüglich eines zufälligen Versatzes von 0–4 Stunden. Gilt nur bei Verwendung eines WSUS-Servers. Bereich: 1–22 Stunden.
  • Unternehmens-TLS-Zertifikatsanheftung für die Updateerkennung nicht erzwingen Wenn aktiviert, erzwingt der Windows Update-Client kein TLS-Zertifikat-Pinning für die Update-Erkennung. Microsoft empfiehlt, TLS-Pinning in WSUS-Umgebungen aktiviert zu lassen.
  • Leere Inhalts-URLs auffüllen Ermöglicht dem Windows Update Agent, Download-URLs zu ermitteln, wenn die Metadaten diese nicht enthalten. Verwenden Sie diese Option bei einem alternativen Download-Server oder ISV-Cache, der nicht alle Inhalts-URLs befüllt.
  • Richtliniengesteuerte Updatequelle für Treiberupdates festlegen Legt fest, ob Treiberupdates von Windows Update oder Ihrem WSUS-Server stammen. Erfordert, dass Update service URL festgelegt ist.
  • Richtliniengesteuerte Updatequelle für Funktionsupdates festlegen Legt fest, ob Funktionsupdates von Windows Update oder Ihrem WSUS-Server stammen. Erfordert, dass Update service URL festgelegt ist.
  • Richtliniengesteuerte Updatequelle für andere Updates festlegen Legt fest, ob andere Updates von Windows Update oder Ihrem WSUS-Server stammen. Erfordert, dass Update service URL festgelegt ist.
  • Richtliniengesteuerte Updatequelle für Qualitätsupdates festlegen Legt fest, ob Qualitätsupdates von Windows Update oder Ihrem WSUS-Server stammen. Erfordert, dass Update service URL festgelegt ist.
  • Proxyverhalten für die Updateerkennung festlegen Ermöglicht die Verwendung des Benutzer-Proxys als Fallback bei der Update-Erkennung mit einem HTTP-WSUS-Server. Die Verwendung des Benutzer-Proxys kann die Sicherheit verringern; bevorzugen Sie nach Möglichkeit den System-Proxy.
  • URL des Updatedienstes URL Ihres WSUS-Servers, damit Geräte dort statt bei Microsoft Update nach Updates suchen (zum Beispiel https://server:8531 oder http://server:8530). Typspezifische Einstellungen für die Update-Quelle erfordern, dass dieses Feld konfiguriert ist, bevor sie wirksam werden.
  • Alternative URL des Updatedienstes Alternativer Intranet-Server für Update-Erkennung, Download oder Statistikberichte. Verwenden Sie diese Option, um einen sekundären Download-Server anzugeben oder Berichtsdatenverkehr getrennt vom Haupt-WSUS-Server umzuleiten.

​
Überlegungen

Wenn Einstellungen auf „Not configured“ belassen werden, überschreiben sie die lokale Gerätekonfiguration nicht. So interagiert „Not configured“ mit der vorhandenen Gerätekonfiguration.
Wenn Sie den Zugriff auf die Windows Update-Oberfläche deaktivieren (Set disable UX WU access), können Benutzer nicht manuell nach Updates suchen. Stellen Sie sicher, dass Ihre Update-Richtlinien für alle relevanten Geräte gelten, bevor Sie dies aktivieren.
Legen Sie die Nutzungszeit passend zu den Arbeitszeiten Ihrer Organisation fest, damit Neustarts Benutzer tagsüber nicht stören.
Für typspezifische Quelleinstellungen (Funktions-, Qualitäts-, Treiber-, andere Updates) muss Update service URL konfiguriert sein, bevor sie wirksam werden.
Das Deaktivieren von Allow update service kann den Microsoft Store und andere öffentliche Microsoft-Dienste beeinträchtigen. Stellen Sie vor der Deaktivierung sicher, dass diese Dienste weiterhin erreichbar sind.
Detection frequency gilt nur, wenn ein WSUS-Server verwendet wird; in reinen Cloud-Konfigurationen von Windows Update hat die Einstellung keine Wirkung.
Wenn Sie Set proxy behavior for update detection verwenden, verringert das Aktivieren des Benutzer-Proxy-Fallbacks die Sicherheit. Bevorzugen Sie den System-Proxy, sofern Ihre Umgebung nichts anderes erfordert.
Für die Update-Erkennung deaktiviert das Aktivieren von Do not enforce enterprise TLS cert pinning for update detection das TLS-Pinning und verringert die Sicherheit der Update-Suche. Das Deaktivieren des Pinnings wirkt sich auf die Sicherheit aus. Aktivieren Sie diese Option nur, wenn Ihre WSUS-Infrastruktur dies erfordert.

​
Best Practices

Mit den Standardwerten beginnen

Die Haupteinstellungen haben von Iru empfohlene Standardwerte. Beginnen Sie mit diesen und passen Sie sie dann an Ihre Organisation an.

Nutzungszeit für Ihre Geräteflotte festlegen

Legen Sie Active hours start und Active hours end passend zum Arbeitstag Ihrer Benutzer fest, damit keine Neustarts während der Arbeitszeit erfolgen.

Pausenzugriff für verwaltete Geräteflotten deaktivieren

Setzen Sie Set disable pause UX access auf Remove the pause option from the device UI, damit Benutzer Updates nicht über die Windows Update-Oberfläche hinauszögern können.

Vor einer breiten Bereitstellung testen

Testen Sie Ihre Konfiguration auf einer kleinen Gerätegruppe, bevor Sie sie auf die gesamte Geräteflotte ausrollen. Eine Pilotgruppe hilft Ihnen, unerwartetes Neustartverhalten zu erkennen.

​
Fehlerbehebung

Wenn Updates nicht planmäßig installiert werden, prüfen Sie den Zeitplan, die Nutzungszeit und Allow auto update.Mögliche Ursachen:
  • Allow auto update ist nicht auf die beabsichtigte Option gesetzt
  • Geplante Installationszeit oder geplanter Installationstag falsch konfiguriert
  • Nutzungszeit zu weit gefasst (zum Beispiel nahe am maximal zulässigen Bereich)
Lösungen:
  • Stellen Sie sicher, dass Allow auto update auf die beabsichtigte Option gesetzt ist
  • Prüfen Sie, ob geplante Installationszeit und geplanter Installationstag korrekt konfiguriert sind
  • Stellen Sie sicher, dass die Nutzungszeit auf ein realistisches Arbeitstagsfenster konfiguriert ist und die Einstellung Active hours max range einhält
Mögliche Ursachen:
  • Set disable pause UX access ist nicht aktiviert oder erlaubt das Pausieren
Lösungen:
  • Setzen Sie Set disable pause UX access auf Remove the pause option from the device UI
Neustarts während der Geschäftszeiten hängen häufig mit der Nutzungszeit und der Zeitzone zusammen.Mögliche Ursachen:
  • Beginn und Ende der Nutzungszeit decken nicht den gesamten Arbeitstag ab
  • Falsche Zeitzone oder Konfiguration
Lösungen:
  • Überprüfen Sie Ihre Einstellungen für Active hours start und Active hours end
  • Stellen Sie sicher, dass der Bereich den gesamten Arbeitstag Ihrer Benutzer abdeckt
Mögliche Ursachen:
  • Manage preview builds ist so eingestellt, dass Preview-Builds zulässig sind oder die Auswahl dem Benutzer überlassen wird
Lösungen:
  • Setzen Sie Manage preview builds auf Disable Preview builds, um zu verhindern, dass Geräte Windows Insider-Builds erhalten
Wenn Geräte keine Updates vom WSUS-Server erhalten, überprüfen Sie Folgendes. Häufige Ursachen sind Update service URL und die Erreichbarkeit.Mögliche Ursachen:
  • Update service URL ist nicht konfiguriert oder von den Geräten aus nicht erreichbar
Lösungen:
  • Stellen Sie sicher, dass Update service URL konfiguriert und von Ihren Geräten aus erreichbar ist. Typspezifische Quelleinstellungen werden ohne gültige Update service URL nicht wirksam.
Wenn der Microsoft Store oder andere öffentliche Microsoft-Dienste beeinträchtigt oder nicht erreichbar sind, prüfen Sie Folgendes.Mögliche Ursachen:
  • Allow update service ist deaktiviert
Lösungen:
  • Prüfen Sie, ob Allow update service deaktiviert ist. Eine Deaktivierung kann den Zugriff auf den Microsoft Store und andere öffentliche Microsoft-Dienste blockieren.
Wenn Updates nicht im erwarteten Zeitplan erkannt werden, überprüfen Sie Folgendes. Häufig betrifft dies Detection frequency und den zufälligen Versatz.Mögliche Ursachen:
  • Detection frequency falsch konfiguriert oder zufälliger Versatz nicht berücksichtigt
Lösungen:
  • Überprüfen Sie Detection frequency. Windows fügt dem konfigurierten Intervall einen zufälligen Versatz von 0–4 Stunden hinzu. Wenn die Erkennungshäufigkeit nicht konfiguriert ist, beträgt der CSP-Standardwert 22 Stunden.
Wenn die Update-Suche mit TLS-Fehlern fehlschlägt (zum Beispiel mit WSUS), prüfen Sie Folgendes. Häufige Ursachen sind das WSUS-Zertifikat und das TLS-Pinning.Mögliche Ursachen:
  • Das Zertifikat des WSUS-Servers steht im Konflikt mit dem TLS-Pinning
Lösungen:
  • Wenn Ihr WSUS-Server ein Zertifikat verwendet, das mit dem TLS-Pinning in Konflikt steht, aktivieren Sie Do not enforce enterprise TLS cert pinning for update detection, nachdem Sie die Zertifikatskonfiguration auf dem WSUS-Server überprüft haben.
Wenn Download-URLs fehlen oder fehlerhaft sind (zum Beispiel bei einem alternativen Download-Server oder ISV-Cache), versuchen Sie Folgendes.Mögliche Ursachen:
  • Alternativer Download-Server oder ISV-Cache befüllt die Inhalts-URLs in den Metadaten nicht
Lösungen:
  • Wenn Sie einen alternativen Download-Server oder ISV-Cache verwenden, aktivieren Sie Fill empty content URLs, damit der Windows Update Agent Download-Pfade auflösen kann, wenn sie in den Update-Metadaten fehlen.

​
Verwandte Artikel

Library-Übersicht

Library Items kuratieren, erstellen und verwalten und zu Blueprints hinzufügen

Microsoft Defender Library Item konfigurieren

Microsoft Defender Antivirus und Bedrohungsschutz auf Windows-Computern konfigurieren

Windows Firewall Library Item konfigurieren

Firewall-Einstellungen für Windows-Computer konfigurieren und durchsetzen

BitLocker Library Item konfigurieren

BitLocker-Verschlüsselung auf Windows-Computern konfigurieren

Windows-Registrierung konfigurieren

Registrierung von Windows-Computern einrichten

Managed OS für macOS konfigurieren

Verwaltete Betriebssystem-Updates für Mac-Computer konfigurieren