> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Windows Update Library Item konfigurieren

> Konfigurieren Sie das Windows Update Library Item in Iru Endpoint. Verwalten Sie Update-Ringe, Aufschubzeiträume, Nutzungszeit und die Update-Erfahrung der Endbenutzer.

<Callout icon="microsoft" color="#B84A7A" iconType="regular">Dieses Library Item ist für Windows-Computer verfügbar</Callout>

Mit dem Library Item **Windows Update** können Sie Windows Update-Einstellungen und die Update-Erfahrung der Endbenutzer auf Windows-Computern verwalten. Steuern Sie, wie und wann Updates angeboten werden, legen Sie die Nutzungszeit fest, um störende Neustarts zu vermeiden, und schränken Sie ein, was Benutzer in der Windows Update-Oberfläche tun können.

<Note>
  Detaillierte technische Hintergrundinformationen zu den einzelnen Einstellungen finden Sie in der offiziellen [Update Policy CSP-Dokumentation](https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-update) von Microsoft.
</Note>

## Ein Windows Update Library Item erstellen

Um dieses Library Item zu Ihrer Iru Endpoint Library hinzuzufügen, folgen Sie den Schritten im Artikel [Library-Übersicht](/de/endpoint/library/library-items-profiles/library-overview).

<Steps>
  <Step title="Zur Library navigieren">
    Navigieren Sie zur **Library** und wählen Sie **Library Item hinzufügen**.
  </Step>

  <Step title="Windows Update auswählen">
    Suchen Sie nach **Windows Update** und wählen Sie es aus.
  </Step>

  <Step title="Library Item benennen">
    Geben Sie dem Library Item einen **Name**.
  </Step>

  <Step title="Blueprints zuweisen">
    Weisen Sie das Profil einem oder mehreren **Blueprints** zu. Bei Bedarf können Sie Assignment Maps innerhalb von Blueprints für bedingte Logik verwenden.
  </Step>
</Steps>

## Einstellungen

Für Windows Update sind die folgenden Einstellungen verfügbar.

### Von Windows Update angebotene Updates verwalten

#### Allow Optional Content

Steuert, ob Geräte zusätzlich zu erforderlichen Updates optionale Updates und schrittweise Rollouts (Controlled Feature Rollouts, CFRs) erhalten. Optionen:

* Keine optionalen Updates erhalten
* Optionale Updates automatisch erhalten (einschließlich CFRs)
* Nur optionale Updates automatisch erhalten
* Benutzer können optionale Updates auswählen

### Endbenutzererfahrung verwalten

#### Allow Auto Update

Steuert, wie Updates installiert werden: nur benachrichtigen, automatisch installieren oder automatisch installieren und neu starten. Optionen:

* Benutzer vor dem Herunterladen des Updates benachrichtigen
* Automatisch installieren und Benutzer dann zum Planen eines Neustarts auffordern
* Auto install and restart (Standard)
* Automatisch installieren und zu einem geplanten Zeitpunkt neu starten
* Lokalem Administrator die Auswahl der Einstellung erlauben
* Automatische Updates deaktivieren

#### Active Hours Start

Beginn des Nutzungszeitfensters (Stunde 0–23). Windows vermeidet es, das Gerät während dieser Zeit für Updates neu zu starten.

#### Active Hours End

Ende des Nutzungszeitfensters (Stunde 0–23). Nach dieser Stunde können Neustarts erfolgen.

#### Set Disable Pause UX Access

Steuert, ob Benutzer Updates über die Windows Update-Oberfläche pausieren können. Optionen: **Users can pause updates** oder **Remove the pause option from the device UI**. Wählen Sie Letzteres, um zu verhindern, dass Benutzer Updates hinauszögern.

#### Manage Preview Builds

Steuert, ob das Gerät Windows Insider Preview-Builds erhalten kann. Optionen:

* Vorschaubuilds deaktivieren
* Vorschaubuilds deaktivieren, sobald das nächste Release öffentlich ist
* Vorschaubuilds aktivieren
* Vorschaubuilds werden der Benutzerauswahl überlassen

#### Update Notification Level

Steuert, welche Update-Benachrichtigungen Benutzer sehen: Standard, alle außer Neustartwarnungen ausblenden oder alle einschließlich Neustartwarnungen ausblenden. Optionen:

* Standardbenachrichtigungen von Windows Update verwenden
* Neustartbenachrichtigungen für Updates deaktivieren (ohne Neustartwarnungen)
* Alle Benachrichtigungen für Updates deaktivieren (einschließlich Neustartwarnungen)

## Erweiterte Einstellungen

Diese Einstellungen befinden sich in einem erweiterbaren Abschnitt des Library Item. Sie sind standardmäßig nicht konfiguriert und richten sich an Admins, die mehr Kontrolle über das Update-Verhalten benötigen.

<AccordionGroup>
  <Accordion title="Updates von Windows Update verwalten">
    * **Nicht von Microsoft signierte Updates zulassen**

      Ermöglicht dem Gerät, Updates zu akzeptieren, die nicht von Microsoft signiert sind, wenn ein Intranet-Update-Dienst verwendet wird (zum Beispiel WSUS für Patches von Drittanbietern).

    * **Reaktivierung für automatische Wartung**

      Ermöglicht der automatischen Wartung, das Gerät bei Bedarf für die tägliche geplante Wartung zu reaktivieren.

    * **WUfB-Schutzmaßnahmen deaktivieren**

      Windows Update for Business (WUfB). Wenn aktiviert, überspringen Geräte die Microsoft-Schutzsperren (Safeguard Holds), die Upgrades bei bekannten Kompatibilitätsproblemen blockieren. Nur zur Validierung verwenden; dies kann zu schlechten Upgrade-Erfahrungen führen.

    * **WU-Treiber aus Qualitätsupdates ausschließen**

      Schließt Treiberupdates von Windows-Qualitätsupdates aus. Verwenden Sie diese Option, wenn Sie Treiber separat verwalten.
  </Accordion>

  <Accordion title="Endbenutzererfahrung verwalten">
    * **Maximaler Bereich der Nutzungszeit**

      Maximale Anzahl an Stunden (8–18), die Benutzer für ihr Nutzungszeitfenster ab dem Beginn der Nutzungszeit festlegen können.

    * **Automatischen Windows Update-Download über getaktete Netzwerke zulassen**

      Ermöglicht Windows Update, Updates über getaktete Verbindungen (zum Beispiel Mobilfunk) herunterzuladen. Dabei können Datengebühren anfallen.

    * **MU-Updatedienst zulassen**

      Steuert, ob das Gerät über Microsoft Update nach Updates für Apps und andere Microsoft-Produkte sucht.

    * **Temporäre Steuerung von Unternehmensfunktionen zulassen**

      Wenn zulässig, werden Funktionen, die mit monatlichen Qualitätsupdates (Servicing) bereitgestellt werden, vor dem nächsten Funktionsupdate aktiviert. Wenn deaktiviert, bleiben diese Funktionen bis zu dem Funktionsupdate, das sie enthält, ausgeschaltet.

    * **Deinstallationszeitraum für Funktionsupdates konfigurieren**

      Anzahl der Tage (2–60), in denen Benutzer ein Funktionsupdate nach der Installation deinstallieren können.

    * **Keine Updatebenachrichtigungen während der Nutzungszeit**

      Reduziert oder deaktiviert Windows Update-Benachrichtigungen während der Nutzungszeit (optional mit Ausnahme von Neustartwarnungen). Benachrichtigungen können nach Fristablauf weiterhin erscheinen, sofern konfiguriert.

    * **Geplanter Installationstag**

      Wochentag (oder jeder Tag), an dem Updates installiert werden. Gilt nur, wenn **Allow auto update** auf **Automatisch installieren und zu einem geplanten Zeitpunkt neu starten** oder **Allow the local administrator to choose the setting** gesetzt ist. Optionen: Every day, Sunday, Monday, Tuesday, Wednesday, Thursday, Friday, Saturday.

    * **Geplante Installation jede Woche**

      Wenn aktiviert, werden Updates jede Woche geplant. Gilt nur, wenn **Allow auto update** auf **Automatisch installieren und zu einem geplanten Zeitpunkt neu starten** oder **Allow the local administrator to choose the setting** gesetzt ist.

    * **Geplante Installation in der ersten Woche**

      Installation in der ersten Woche des Monats planen (Tage 1–7). Zusammen mit **Scheduled install day** für einen bestimmten Wochentag verwenden (zum Beispiel erster Dienstag).

    * **Geplante Installation in der zweiten Woche**

      Installation in der zweiten Woche des Monats planen (Tage 8–14). Zusammen mit **Scheduled install day** für einen bestimmten Wochentag verwenden.

    * **Geplante Installation in der dritten Woche**

      Installation in der dritten Woche des Monats planen (Tage 15–21). Zusammen mit **Scheduled install day** für einen bestimmten Wochentag verwenden.

    * **Geplante Installation in der vierten Woche**

      Installation in der vierten Woche des Monats planen (Tage 22–31). Zusammen mit **Scheduled install day** für einen bestimmten Wochentag verwenden.

    * **Geplante Installationszeit**

      Stunde des Tages (0–23), zu der geplante Updates installiert werden. Es gibt ein Zeitfenster von etwa 30 Minuten. Gilt nur, wenn **Allow auto update** auf **Automatisch installieren und zu einem geplanten Zeitpunkt neu starten** oder **Allow the local administrator to choose the setting** gesetzt ist.

    * **UX-Zugriff auf WU deaktivieren**

      Wenn aktiviert, können Benutzer in der Windows Update-Einstellungsoberfläche nicht nach Updates suchen, diese herunterladen oder installieren.

    * **EDU-Neustart festlegen**

      Ermöglicht dem Gerät, außerhalb der Nutzungszeit automatisch neu zu starten, um Updates abzuschließen. Für Bildungsszenarien (EDU) vorgesehen.
  </Accordion>

  <Accordion title="Updates von WSUS verwalten">
    * **Updatedienst zulassen**

      Bei Verwendung eines Intranet-Update-Dienstes steuert diese Einstellung, ob das Gerät weiterhin Microsoft Update, WSUS oder Microsoft Store verwenden kann. Eine Deaktivierung kann den Store und andere öffentliche Dienste beeinträchtigen.

    * **Erkennungshäufigkeit**

      Wie viele Stunden Windows wartet, bevor es nach Updates sucht, zuzüglich eines zufälligen Versatzes von 0–4 Stunden. Gilt nur bei Verwendung eines WSUS-Servers. Bereich: 1–22 Stunden.

    * **Unternehmens-TLS-Zertifikatsanheftung für die Updateerkennung nicht erzwingen**

      Wenn aktiviert, erzwingt der Windows Update-Client kein TLS-Zertifikat-Pinning für die Update-Erkennung. Microsoft empfiehlt, TLS-Pinning in WSUS-Umgebungen aktiviert zu lassen.

    * **Leere Inhalts-URLs auffüllen**

      Ermöglicht dem Windows Update Agent, Download-URLs zu ermitteln, wenn die Metadaten diese nicht enthalten. Verwenden Sie diese Option bei einem alternativen Download-Server oder ISV-Cache, der nicht alle Inhalts-URLs befüllt.

    * **Richtliniengesteuerte Updatequelle für Treiberupdates festlegen**

      Legt fest, ob Treiberupdates von Windows Update oder Ihrem WSUS-Server stammen. Erfordert, dass **Update service URL** festgelegt ist.

    * **Richtliniengesteuerte Updatequelle für Funktionsupdates festlegen**

      Legt fest, ob Funktionsupdates von Windows Update oder Ihrem WSUS-Server stammen. Erfordert, dass **Update service URL** festgelegt ist.

    * **Richtliniengesteuerte Updatequelle für andere Updates festlegen**

      Legt fest, ob andere Updates von Windows Update oder Ihrem WSUS-Server stammen. Erfordert, dass **Update service URL** festgelegt ist.

    * **Richtliniengesteuerte Updatequelle für Qualitätsupdates festlegen**

      Legt fest, ob Qualitätsupdates von Windows Update oder Ihrem WSUS-Server stammen. Erfordert, dass **Update service URL** festgelegt ist.

    * **Proxyverhalten für die Updateerkennung festlegen**

      Ermöglicht die Verwendung des Benutzer-Proxys als Fallback bei der Update-Erkennung mit einem HTTP-WSUS-Server. Die Verwendung des Benutzer-Proxys kann die Sicherheit verringern; bevorzugen Sie nach Möglichkeit den System-Proxy.

    * **URL des Updatedienstes**

      URL Ihres WSUS-Servers, damit Geräte dort statt bei Microsoft Update nach Updates suchen (zum Beispiel `https://server:8531` oder `http://server:8530`). Typspezifische Einstellungen für die Update-Quelle erfordern, dass dieses Feld konfiguriert ist, bevor sie wirksam werden.

    * **Alternative URL des Updatedienstes**

      Alternativer Intranet-Server für Update-Erkennung, Download oder Statistikberichte. Verwenden Sie diese Option, um einen sekundären Download-Server anzugeben oder Berichtsdatenverkehr getrennt vom Haupt-WSUS-Server umzuleiten.
  </Accordion>
</AccordionGroup>

## Überlegungen

<AccordionGroup>
  <Accordion title="Nicht konfigurierte Einstellungen" icon="cog">
    Wenn Einstellungen auf „Not configured“ belassen werden, überschreiben sie die lokale Gerätekonfiguration nicht. So interagiert „Not configured“ mit der vorhandenen Gerätekonfiguration.
  </Accordion>

  <Accordion title="Zugriff auf die Windows Update-Oberfläche deaktivieren" icon="shield">
    Wenn Sie den Zugriff auf die Windows Update-Oberfläche deaktivieren (**Set disable UX WU access**), können Benutzer nicht manuell nach Updates suchen. Stellen Sie sicher, dass Ihre Update-Richtlinien für alle relevanten Geräte gelten, bevor Sie dies aktivieren.
  </Accordion>

  <Accordion title="Nutzungszeit und Neustarts" icon="clock">
    Legen Sie die Nutzungszeit passend zu den Arbeitszeiten Ihrer Organisation fest, damit Neustarts Benutzer tagsüber nicht stören.
  </Accordion>

  <Accordion title="WSUS: Update service URL erforderlich" icon="server">
    Für typspezifische Quelleinstellungen (Funktions-, Qualitäts-, Treiber-, andere Updates) muss **Update service URL** konfiguriert sein, bevor sie wirksam werden.
  </Accordion>

  <Accordion title="Allow update service" icon="box">
    Das Deaktivieren von **Allow update service** kann den Microsoft Store und andere öffentliche Microsoft-Dienste beeinträchtigen. Stellen Sie vor der Deaktivierung sicher, dass diese Dienste weiterhin erreichbar sind.
  </Accordion>

  <Accordion title="Detection frequency" icon="clock">
    **Detection frequency** gilt nur, wenn ein WSUS-Server verwendet wird; in reinen Cloud-Konfigurationen von Windows Update hat die Einstellung keine Wirkung.
  </Accordion>

  <Accordion title="Proxy-Verhalten bei der Update-Erkennung" icon="wifi">
    Wenn Sie **Set proxy behavior for update detection** verwenden, verringert das Aktivieren des Benutzer-Proxy-Fallbacks die Sicherheit. Bevorzugen Sie den System-Proxy, sofern Ihre Umgebung nichts anderes erfordert.
  </Accordion>

  <Accordion title="TLS-Zertifikat-Pinning" icon="shield">
    Für die Update-Erkennung deaktiviert das Aktivieren von **Do not enforce enterprise TLS cert pinning for update detection** das TLS-Pinning und verringert die Sicherheit der Update-Suche. Das Deaktivieren des Pinnings wirkt sich auf die Sicherheit aus. Aktivieren Sie diese Option nur, wenn Ihre WSUS-Infrastruktur dies erfordert.
  </Accordion>
</AccordionGroup>

## Best Practices

<CardGroup cols={2}>
  <Card title="Mit den Standardwerten beginnen" icon="sliders">
    Die Haupteinstellungen haben von Iru empfohlene Standardwerte. Beginnen Sie mit diesen und passen Sie sie dann an Ihre Organisation an.
  </Card>

  <Card title="Nutzungszeit für Ihre Geräteflotte festlegen" icon="clock">
    Legen Sie **Active hours start** und **Active hours end** passend zum Arbeitstag Ihrer Benutzer fest, damit keine Neustarts während der Arbeitszeit erfolgen.
  </Card>

  <Card title="Pausenzugriff für verwaltete Geräteflotten deaktivieren" icon="shield">
    Setzen Sie **Set disable pause UX access** auf **Remove the pause option from the device UI**, damit Benutzer Updates nicht über die Windows Update-Oberfläche hinauszögern können.
  </Card>

  <Card title="Vor einer breiten Bereitstellung testen" icon="flask">
    Testen Sie Ihre Konfiguration auf einer kleinen Gerätegruppe, bevor Sie sie auf die gesamte Geräteflotte ausrollen. Eine Pilotgruppe hilft Ihnen, unerwartetes Neustartverhalten zu erkennen.
  </Card>
</CardGroup>

## Fehlerbehebung

<AccordionGroup>
  <Accordion title="Updates werden nicht planmäßig installiert" icon="clock">
    Wenn Updates nicht planmäßig installiert werden, prüfen Sie den Zeitplan, die Nutzungszeit und **Allow auto update**.

    **Mögliche Ursachen:**

    * Allow auto update ist nicht auf die beabsichtigte Option gesetzt
    * Geplante Installationszeit oder geplanter Installationstag falsch konfiguriert
    * Nutzungszeit zu weit gefasst (zum Beispiel nahe am maximal zulässigen Bereich)

    **Lösungen:**

    * Stellen Sie sicher, dass Allow auto update auf die beabsichtigte Option gesetzt ist
    * Prüfen Sie, ob geplante Installationszeit und geplanter Installationstag korrekt konfiguriert sind
    * Stellen Sie sicher, dass die Nutzungszeit auf ein realistisches Arbeitstagsfenster konfiguriert ist und die Einstellung **Active hours max range** einhält
  </Accordion>

  <Accordion title="Benutzer pausieren Updates" icon="shield">
    **Mögliche Ursachen:**

    * **Set disable pause UX access** ist nicht aktiviert oder erlaubt das Pausieren

    **Lösungen:**

    * Setzen Sie **Set disable pause UX access** auf **Remove the pause option from the device UI**
  </Accordion>

  <Accordion title="Geräte starten während der Geschäftszeiten neu" icon="clock">
    Neustarts während der Geschäftszeiten hängen häufig mit der Nutzungszeit und der Zeitzone zusammen.

    **Mögliche Ursachen:**

    * Beginn und Ende der Nutzungszeit decken nicht den gesamten Arbeitstag ab
    * Falsche Zeitzone oder Konfiguration

    **Lösungen:**

    * Überprüfen Sie Ihre Einstellungen für **Active hours start** und **Active hours end**
    * Stellen Sie sicher, dass der Bereich den gesamten Arbeitstag Ihrer Benutzer abdeckt
  </Accordion>

  <Accordion title="Preview-Builds erscheinen auf verwalteten Geräten" icon="flask">
    **Mögliche Ursachen:**

    * **Manage preview builds** ist so eingestellt, dass Preview-Builds zulässig sind oder die Auswahl dem Benutzer überlassen wird

    **Lösungen:**

    * Setzen Sie **Manage preview builds** auf **Disable Preview builds**, um zu verhindern, dass Geräte Windows Insider-Builds erhalten
  </Accordion>

  <Accordion title="Geräte erhalten keine Updates von WSUS" icon="wifi">
    Wenn Geräte keine Updates vom WSUS-Server erhalten, überprüfen Sie Folgendes. Häufige Ursachen sind **Update service URL** und die Erreichbarkeit.

    **Mögliche Ursachen:**

    * **Update service URL** ist nicht konfiguriert oder von den Geräten aus nicht erreichbar

    **Lösungen:**

    * Stellen Sie sicher, dass **Update service URL** konfiguriert und von Ihren Geräten aus erreichbar ist. Typspezifische Quelleinstellungen werden ohne gültige Update service URL nicht wirksam.
  </Accordion>

  <Accordion title="Microsoft Store oder Microsoft-Dienste funktionieren nicht" icon="box">
    Wenn der Microsoft Store oder andere öffentliche Microsoft-Dienste beeinträchtigt oder nicht erreichbar sind, prüfen Sie Folgendes.

    **Mögliche Ursachen:**

    * **Allow update service** ist deaktiviert

    **Lösungen:**

    * Prüfen Sie, ob **Allow update service** deaktiviert ist. Eine Deaktivierung kann den Zugriff auf den Microsoft Store und andere öffentliche Microsoft-Dienste blockieren.
  </Accordion>

  <Accordion title="Geräte erkennen keine Updates" icon="clock">
    Wenn Updates nicht im erwarteten Zeitplan erkannt werden, überprüfen Sie Folgendes. Häufig betrifft dies **Detection frequency** und den zufälligen Versatz.

    **Mögliche Ursachen:**

    * **Detection frequency** falsch konfiguriert oder zufälliger Versatz nicht berücksichtigt

    **Lösungen:**

    * Überprüfen Sie **Detection frequency**. Windows fügt dem konfigurierten Intervall einen zufälligen Versatz von 0–4 Stunden hinzu. Wenn die Erkennungshäufigkeit nicht konfiguriert ist, beträgt der CSP-Standardwert 22 Stunden.
  </Accordion>

  <Accordion title="Update-Suche schlägt mit TLS-Fehlern fehl" icon="shield">
    Wenn die Update-Suche mit TLS-Fehlern fehlschlägt (zum Beispiel mit WSUS), prüfen Sie Folgendes. Häufige Ursachen sind das WSUS-Zertifikat und das TLS-Pinning.

    **Mögliche Ursachen:**

    * Das Zertifikat des WSUS-Servers steht im Konflikt mit dem TLS-Pinning

    **Lösungen:**

    * Wenn Ihr WSUS-Server ein Zertifikat verwendet, das mit dem TLS-Pinning in Konflikt steht, aktivieren Sie **Do not enforce enterprise TLS cert pinning for update detection**, nachdem Sie die Zertifikatskonfiguration auf dem WSUS-Server überprüft haben.
  </Accordion>

  <Accordion title="Download-URLs fehlen oder sind fehlerhaft" icon="link" id="download-urls-are-missing-or-broken">
    Wenn Download-URLs fehlen oder fehlerhaft sind (zum Beispiel bei einem alternativen Download-Server oder ISV-Cache), versuchen Sie Folgendes.

    **Mögliche Ursachen:**

    * Alternativer Download-Server oder ISV-Cache befüllt die Inhalts-URLs in den Metadaten nicht

    **Lösungen:**

    * Wenn Sie einen alternativen Download-Server oder ISV-Cache verwenden, aktivieren Sie **Fill empty content URLs**, damit der Windows Update Agent Download-Pfade auflösen kann, wenn sie in den Update-Metadaten fehlen.
  </Accordion>
</AccordionGroup>

## Verwandte Artikel

<CardGroup cols={3}>
  <Card title="Library-Übersicht" icon="list-check" href="/de/endpoint/library/library-items-profiles/library-overview">
    Library Items kuratieren, erstellen und verwalten und zu Blueprints hinzufügen
  </Card>

  <Card title="Microsoft Defender Library Item konfigurieren" icon="bug" href="/de/endpoint/library/library-items-profiles/configure-the-microsoft-defender-library-item">
    Microsoft Defender Antivirus und Bedrohungsschutz auf Windows-Computern konfigurieren
  </Card>

  <Card title="Windows Firewall Library Item konfigurieren" icon="filter" href="/de/endpoint/library/library-items-profiles/configure-the-windows-firewall-library-item">
    Firewall-Einstellungen für Windows-Computer konfigurieren und durchsetzen
  </Card>

  <Card title="BitLocker Library Item konfigurieren" icon="shield-halved" href="/de/endpoint/library/library-items-profiles/configure-the-bitlocker-library-item">
    BitLocker-Verschlüsselung auf Windows-Computern konfigurieren
  </Card>

  <Card title="Windows-Registrierung konfigurieren" icon="microsoft" href="/de/endpoint/enrollment/windows/configuring-windows-enrollment">
    Registrierung von Windows-Computern einrichten
  </Card>

  <Card title="Managed OS für macOS konfigurieren" icon="apple" iconType="brands" href="/de/endpoint/library/managed-os/configure-managed-os-for-macos">
    Verwaltete Betriebssystem-Updates für Mac-Computer konfigurieren
  </Card>
</CardGroup>