Windows Update-Verwaltung nach der WSUS-Abschaffung — Wie Sie zwischen WUfB, Autopatch und Intune wählen

„Ich habe gehört, dass WSUS abgeschafft wurde. Wie lange läuft unser WSUS-Server noch?“ „Sollten wir WSUS beim nächsten Serverwechsel neu aufsetzen oder ganz aufgeben?“ „Bei uns gibt es ohnehin kein WSUS, jeder PC ist auf sich allein mit Windows Update gestellt. Ist das so in Ordnung?“ — bei Beratungen zum Umgang mit dem Support-Ende von Windows 10 taucht diese Frage zunehmend im selben Atemzug auf.

Im September 2024 kündigte Microsoft die Abschaffung von WSUS (Windows Server Update Services) an. Das Wort „abgeschafft“ (deprecated) wird jedoch leicht missverstanden — weder muss man vorschnell in Panik geraten und annehmen, „das kann man nicht mehr nutzen“, noch darf man es ignorieren, weil „es ja noch läuft“. Genau genommen bedeutet es: „Es werden keine neuen Funktionen mehr gebaut, aber es läuft vorerst weiter.“ Die eigentliche Frage ist dabei nicht eine Abschaltfrist, sondern eine Designentscheidung darüber, wo die nächste Update-Verwaltung angesiedelt wird.

Dieser Artikel richtet sich an IT-Verantwortliche in kleinen und mittleren Unternehmen, die die Updates ihrer internen PCs bisher über WSUS verwaltet haben (oder sie ganz ohne Verwaltung Windows Update überlassen haben). Er ordnet die vier Optionen — (1) WSUS fortführen, (2) Windows Update for Business (WUfB), (3) Windows Autopatch und (4) Cloudverwaltung über Intune — in einer Entscheidungstabelle ein. Die Inhalte basieren auf Primärquellen mit Stand August 2026. Als Auftragsentwickler von Fachanwendungen widmen wir zudem einen Abschnitt der Absicherung gegen updatebedingte Anwendungsstörungen.

1. Das Wichtigste zuerst

• WSUS wurde am 20. September 2024 als abgeschafft angekündigt. Das bedeutet: „Die Entwicklung neuer Funktionen und die Annahme neuer Funktionswünsche werden eingestellt.“ Bestehende Funktionen bleiben erhalten, und Updates werden weiterhin über den WSUS-Kanal veröffentlicht.¹²
• Abgeschafft bedeutet nicht sofort tot. Windows Server 2025 wird nach wie vor mit einer WSUS-Rolle ausgeliefert, und der Support in Produktionsumgebungen sowie Sicherheits- und Qualitätsupdates laufen entsprechend dem Produktlebenszyklus weiter. Ein Entfernungsdatum wurde nicht angekündigt.³²
• Die Treibersynchronisierung sollte einmal am 18. April 2025 enden, diese Ankündigung wurde jedoch am 4. April 2025 zurückgenommen. Aufgrund von Rückmeldungen aus getrennten Umgebungen wie geschlossenen Netzwerken läuft die Synchronisierung bis heute weiter.⁴⁵
• Der klare Favorit als Nachfolger ist WUfB. Offiziell inzwischen Windows Update client policies genannt, ist es auf Pro-, Education- und Enterprise-Editionen ohne Zusatzkosten nutzbar. Die Konfiguration ist sowohl über GPO als auch über Intune möglich, und ein Verteilserver ist nicht nötig (Home ist ausgeschlossen).⁶
• In der Praxis läuft WUfB auf „Verzögerung und Ringe“ hinaus. Sie konfigurieren Verzögerungen von bis zu 30 Tagen für Qualitätsupdates und bis zu 365 Tagen für Funktionsupdates sowie Pausen von bis zu 35 Tagen und bauen so eine gestufte Verteilung vom Piloten bis zum ganzen Unternehmen auf.⁶⁷
• Bandbreitensorgen beantwortet die Übermittlungsoptimierung (Delivery Optimization). Dabei teilen sich PCs im selben Netzwerk Updates per Peer-to-Peer, und die Funktion ist auf Pro, Enterprise und Education standardmäßig aktiv.⁸
• Windows Autopatch ist ein Clouddienst, der Genehmigung, Zeitplanung und Schutz auf Basis von WUfB automatisiert. Stand 2026 ist es auch mit Microsoft 365 Business Premium nutzbar und setzt Entra ID P1/P2 sowie Intune voraus.⁹
• In geschlossenen bzw. Offline-Umgebungen bleibt WSUS die realistische Antwort. Ziehen Sie aber die Linie „weiter nutzen, aber nicht weiter investieren“ und tragen Sie das in Ihr Bestandsverzeichnis und Ihre Zukunftsplanung ein.²⁵

2. Was mit WSUS passiert ist — die genaue Bedeutung von „abgeschafft“

Zunächst die Fakten in chronologischer Reihenfolge.

• Juni 2024: Ankündigung, dass die Treibersynchronisierung von WSUS am 18. April 2025 enden werde.⁴
• 20. September 2024: Der Windows IT Pro Blog kündigt die Abschaffung von WSUS selbst an. Die Entwicklung neuer Funktionen wird eingestellt, neue Funktionswünsche werden nicht mehr angenommen. Ausdrücklich festgehalten wird jedoch, dass bestehende Funktionen erhalten bleiben und die Veröffentlichung von Updates über den WSUS-Kanal sowie der Support für bereits veröffentlichte Inhalte weiterlaufen.¹
• 4. April 2025: Die Ankündigung zur Einstellung der Treibersynchronisierung wird zurückgenommen. Aufgrund von Rückmeldungen aus Organisationen, die getrennte Umgebungen (geschlossene Netzwerke) betreiben, kündigt Microsoft an, die Treibersynchronisierung aus dem Windows Update-/Microsoft Update-Katalog fortzusetzen.⁵

Die aktuelle Microsoft-Learn-Dokumentation beschreibt den Status von WSUS als „abgeschafft, es werden keine neuen Funktionen mehr hinzugefügt, aber der Support in Produktionsumgebungen läuft weiter, und es erhält weiterhin Sicherheits- und Qualitätsupdates entsprechend dem Produktlebenszyklus“.² WSUS taucht außerdem in der Liste der abgeschafften Funktionen von Windows Server 2025 auf, doch auch dort lautet die Definition: „Abgeschaffte Komponenten werden weiterhin mit Windows Server ausgeliefert und in Produktionsumgebungen unterstützt.“ Tatsächlich besitzt Windows Server 2025 nach wie vor eine WSUS-Rolle, und es heißt dort, dass „bestehende Funktionen und Inhalte weiterhin verfügbar bleiben“.³

Mit anderen Worten: Die Realität mit Stand August 2026 ist, dass weder Synchronisierung noch Verteilung gestoppt wurden. Beachtenswert ist allerdings eine begleitende Entwicklung: Windows Internal Database (WID), die Datenbank, die WSUS standardmäßig verwendet, wurde in Windows Server 2025 selbst ausdrücklich als abgeschafft und zur künftigen Entfernung vorgesehen gekennzeichnet.³ Das bedeutet, dass der Unterbau möglicherweise schon vor dem Produkt selbst an Kompatibilität verliert.

Die daraus abzuleitende praktische Linie ist klar: Es besteht kein Grund zur Panik unter der Annahme, es stoppe morgen — Sie sollten WSUS künftig aber nicht mehr zum Ziel neuer Investitionen (Servererneuerung, zusätzliche Repliken, Ausbau) machen. Der natürliche Zeitpunkt, die Update-Verwaltung zu überdenken, ist, wann immer der Serverwechsel ansteht.

3. Der Gesamtüberblick — wo die vier Optionen stehen

Denkt man über „was nach WSUS kommt“ nach, werden Optionen mit unterschiedlichen Rollen leicht in einen Topf geworfen. Räumen wir das zuerst auf.

Wie zu sehen ist, sind WUfB, Autopatch und Intune keine drei konkurrierenden Optionen, sondern bauen aufeinander auf. Die Basis bildet die Gruppe der WUfB-Richtlinien; sie über GPO zu schreiben, ist „WUfB allein“, sie über die Updateringe von Intune zu schreiben, ist „Intune-Verwaltung“, und selbst Genehmigung, Zeitplanung und das Pausieren von Rollouts an einen Dienst zu übergeben, ist „Autopatch“. Microsoft selbst positioniert Autopatch als „einen Clouddienst, der zusammen mit WUfB (Windows Update client policies) arbeitet“.⁶

flowchart TB
    AP["Windows Autopatch<br/>Automatisiert Ringbildung, Rollout-Überwachung und Stopp-Entscheidungen"] --> WUFB
    WUFB["Die WUfB-Richtliniengruppe (Verzögerung, Pause, Frist)<br/>= Windows Update client policies"] --> WU["Direkte Verteilung über Windows Update<br/>(kein Verteilserver)"]
    GPO["Über GPO konfiguriert<br/>(On-Premises-AD)"] -.->|"Variante 1"| WUFB
    INTUNE["Über Intune-Updateringe konfiguriert<br/>(Cloudverwaltung)"] -.->|"Variante 2"| WUFB

Die Entscheidung für ein kleines oder mittleres Unternehmen lässt sich daher im Kern in zwei Schritte zerlegen. (1) Stellen Sie die Verteilung von WSUS auf die direkte Bereitstellung über Windows Update um? (2) Belassen Sie den Ort der Richtlinien lokal in der AD (GPO), oder heben Sie ihn zu Intune an? Ein Unternehmen, das noch GPO auf lokaler AD betreibt, erreicht die größte Kontinuität, indem es zunächst nur Schritt (1) geht — also WUfB über GPO konfiguriert.

Zu beachten ist, dass die Update-Verwaltung von Windows Server selbst, die WSUS ebenfalls abdeckte, eine gesonderte Angelegenheit ist. Windows Server erhält keine Funktionsupdates über Windows Update, sodass die WUfB-Richtlinie nur auf Qualitätsupdates wirkt.⁷ Für kleine und mittlere Unternehmen mit nur wenigen Servern ist es realistisch, WSUS für Server allein fortzuführen (oder manuell zu betreiben), während Client-PCs zuerst auf Cloudverteilung umgestellt werden.

4. Windows Update for Business — der Favorit ohne Zusatzkosten

Der Mechanismus von WUfB lässt sich in einem Satz zusammenfassen: „Kein eigener Verteilserver — stattdessen wird die direkte Bereitstellung über Windows Update per Richtlinie gezähmt.“

• Berechtigte Editionen: Windows 10/11 Pro (einschließlich Pro for Workstations), Education und Enterprise (einschließlich LTSC und IoT Enterprise). Home ist nicht berechtigt. Es fallen keine Zusatzkosten an.⁶
• Konfigurationswege: Sowohl Gruppenrichtlinien als auch MDM (z. B. Intune) werden unterstützt. In der GPO liegt die Einstellung unter Computer Configuration\Administrative Templates\Windows Components\Windows Update, wo „Select when Quality Updates are received“ die Verzögerung von Qualitätsupdates und „Select when Preview Builds and feature updates are received“ die Verzögerung von Funktionsupdates steuert. In Intune/MDM verwenden Sie Richtlinien-CSPs wie Update/DeferQualityUpdatesPeriodInDays.⁷
• Mögliche Verzögerungsdauer: Bis zu 30 Tage für Qualitätsupdates (der Grundtakt ist der zweite Dienstag jedes Monats) und bis zu 365 Tage für Funktionsupdates (jährlich). Zusätzlich lässt sich mit einer Pause von bis zu 35 Tagen die Verteilung bei einem Problem stoppen (berechnet ab dem Startdatum; nach Ablauf der Frist wird automatisch fortgesetzt).⁶⁷
• Steuerbare Update-Arten: Neben Funktions- und Qualitätsupdates lassen sich Treiberupdates steuern (standardmäßig aktiv, mit ExcludeWUDriversInQualityUpdate ausschließbar) sowie Updates für andere Microsoft-Produkte wie Office (standardmäßig inaktiv, mit AllowMUUpdateService aktivierbar).⁷
• Fristen und Kulanzzeiten: Getrennt von der Verzögerung gibt es Richtlinien für Compliancefristen und Kulanzzeiten, die festlegen, innerhalb wie vieler Tage nach Veröffentlichung ein Update installiert und innerhalb wie vieler Tage nach der Installation neu gestartet werden muss. Hier liegt die Antwort auf „den PC, der nie neu startet“.⁶

Überlegungen zum Ring-Design

Was der „Genehmigung“ bei WSUS entspricht, ist ein Ring (Welle) mit unterschiedlicher Verzögerungsdauer. Microsoft selbst geht von einer Nutzung aus, bei der Gruppen mit unterschiedlichen Verzögerungszeiten gebildet werden, um die Qualität zunächst in einer kleinen Gruppe zu prüfen, bevor auf alle ausgeweitet wird.⁷ Die folgenden drei Ringe sind zum Beispiel ein sinnvoller Ausgangspunkt.

Anders als bei WSUS, wo „nichts verteilt wird, bis Sie auf Genehmigen klicken“, ist WUfB ein Mechanismus, bei dem Updates fristgerecht verteilt werden, wenn Sie nicht eingreifen. Am schnellsten versteht man das so, dass sich der Schwerpunkt der Verwaltung von „der Arbeit des Verteilens“ zu „der Entscheidung, wann gestoppt wird“ verschiebt.

flowchart LR
    PUB["Veröffentlichung des Updates<br/>(z. B. monatliche Qualitätsupdates)"] --> P["Pilot<br/>Verzögerung 0–3 Tage"]
    P -- "Kein Problem" --> S["Früh<br/>Verzögerung ca. 7 Tage"]
    S -- "Kein Problem" --> A["Unternehmensweit<br/>Verzögerung ca. 14 Tage"]
    P -- "Problem aufgetreten" --> PAUSE["Pause (max. 35 Tage) stoppt<br/>die unternehmensweite Ausweitung"]
    S -- "Problem aufgetreten" --> PAUSE
    PAUSE --> FIX["Eingrenzung: App-Fix oder<br/>Ausschluss auf Richtlinienseite?"]
    FIX --> RESUME["Nach Behebung fortsetzen"]

Bandbreitensorgen beantwortet die Übermittlungsoptimierung

Gibt man WSUS auf, holen sich alle PCs Updates aus dem Internet, was Sorgen um die Anbindung der Standorte weckt. Die Antwort darauf ist die Übermittlungsoptimierung (Delivery Optimization) — ein Mechanismus, bei dem sich PCs im selben Netzwerk bereits heruntergeladene Update-Pakete per Peer-to-Peer teilen. Auf Pro, Enterprise und Education ist die Peer-Freigabe im lokalen Netzwerk standardmäßig aktiv. Sie deckt ein breites Spektrum ab: Funktions-, Qualitäts- und Treiberupdates von Windows Update sowie Store-Apps, Microsoft Defender-Definitionsupdates, Microsoft 365 Apps und mehr.⁸ Beim internen Rollout von Microsoft selbst wurden Berichten zufolge über 76 % der Inhalte von Peers statt aus dem Internet bezogen.⁸ Wer noch weiter eingrenzen möchte, kann zusätzlich Microsoft Connected Cache einsetzen, einen dedizierten Cache-Server im Netzwerk.⁸

5. Windows Autopatch — den „eigentlichen Update-Betrieb“ auslagern

Auch nach der Konfiguration von WUfB bleiben das Design der Ringe, die Überwachung des Rollout-Status und die Entscheidung, bei Problemen zu pausieren, Ihre eigene Aufgabe. Windows Autopatch übergibt genau diesen betrieblichen Teil an einen Dienst. Es automatisiert Genehmigung, Zeitplanung und Schutz (Rollout-Steuerung bei erkannten Problemen) von Updates, die über Windows Update bereitgestellt werden.⁶ Die wesentlichen Bestandteile sind die automatische Organisation von Autopatch-Gruppen und Updateringen, das Rollout-Management für Qualitäts-, Funktions- und Treiber-/Firmware-Updates sowie Berichte zum Rollout-Status.⁹

Die Voraussetzungen, Stand 2026, sind wie folgt.⁹

• Lizenz: eine von Microsoft 365 Business Premium, Windows 10/11 Education A3/A5, Windows 10/11 Enterprise E3/E5 (enthalten in Microsoft 365 F3/E3/E5) oder Enterprise E3/E5 VDA. Das ist nicht mehr auf E3 beschränkt wie früher, wobei sich der Funktionsumfang je nach Lizenzstufe unterscheidet — die Funktion für Support-Anfragen an Microsoft ist auf E3 aufwärts und F3 beschränkt.
• Grundlage: Microsoft Entra ID P1/P2 und Microsoft Intune sind zwingend erforderlich. Geräte müssen firmeneigene PCs sein, die in Intune registriert sind (Co-Management mit ConfigMgr ist ebenfalls möglich) und innerhalb der letzten 28 Tage mit Intune kommuniziert haben. In einer reinen On-Premises-AD-Umgebung ist es nicht nutzbar (bei Hybrid-Beitritt zu Entra jedoch schon).
• Berechtigtes Betriebssystem: Windows 10/11 Pro-, Education- und Enterprise-Editionen im allgemein verfügbaren (GA-)Kanal. LTSC wird nur für die Verwaltung von Qualitätsupdates unterstützt.

Für kleine und mittlere Unternehmen lässt sich die Realität so zusammenfassen: Wer Business Premium bereits nutzt und PCs über Intune verwaltet (oder das vorhat), bekommt Autopatch als „ein Dach, das ohne Zusatzkosten aufgesetzt wird“. Umgekehrt bedeutet die Einführung von Autopatch für ein Unternehmen, das rein über lokale AD und GPO arbeitet, ein Migrationsprojekt zu Entra ID + Intune — das ist kein Aufwand, den man allein wegen der Update-Verwaltung auf sich nimmt. In diesem Fall ist es naheliegend, zunächst über GPO zu WUfB zu wechseln und Autopatch erst zu prüfen, wenn der Tag der Umstellung auf Cloudverwaltung kommt.

6. Entscheidungstabelle — welches Unternehmen sollte was wählen

Fassen wir das bisher Gesagte an einer Stelle zusammen. Prüfen Sie zunächst die grobe Verzweigung im Ablaufdiagramm, die Details klären Sie dann in der Tabelle.

flowchart TB
    Q1{"Geschlossenes/Offline-Netzwerk?"} -- "Ja" --> WSUS["WSUS-Fortführung<br/>als kontrollierte Ausnahme mit Inventareintrag und Überprüfungsfrist"]
    Q1 -- "Nein" --> Q2{"Werden die PCs über Intune verwaltet<br/>(oder ist eine Migration geplant)?"}
    Q2 -- "Nein (On-Premises-AD + GPO)" --> GPO["WUfB über GPO konfigurieren<br/>keine Zusatzkosten, größte Kontinuität"]
    Q2 -- "Ja" --> Q3{"Business Premium oder<br/>E3-Lizenz oder höher vorhanden?"}
    Q3 -- "Ja" --> AP["Windows Autopatch"]
    Q3 -- "Nein" --> RING["Intune-Updateringe (WUfB)"]

Zwei Hinweise seien noch angefügt. Erstens: Sind Home-Editionen mit dabei, gehören diese Geräte schlicht nicht zum WUfB-Spielfeld.⁶ In kleinen Unternehmen finden sich nicht selten PCs, die „wie beim Kauf noch Home“ sind — die erste Aufgabe jeder Migrationsplanung ist eigentlich eine Bestandsaufnahme der Editionen. Zweitens: Die Entscheidung, WSUS für ein geschlossenes Netzwerk zu behalten, ist „fair betrachtet vernünftig“, ändert aber nichts daran, dass es als abgeschafft gilt. Genau wie beim isolierten Betrieb von Windows 10 nach Support-Ende wird es erst durch Eintrag ins Bestandsverzeichnis und eine festgelegte Überprüfungsfrist zu einer kontrollierten Ausnahme.

7. Migration in der Praxis — das Grundgerüst beim Umstieg von WSUS auf WUfB

Der technisch größte Stolperstein beim Umstieg von WSUS auf WUfB ist die Vermischung alter und neuer Richtlinien. Zunächst der Gesamtablauf.

flowchart TB
    A["1. Bestandsaufnahme aller GPO-Richtlinien<br/>(WSUS-Zuweisung, automatische Updates, Verzögerungsrichtlinien)"] --> B["2.–3. Mit der Scanquellenrichtlinie<br/>die Quelle je Updatetyp festlegen"]
    B --> C["4. Verzögerung und Zielversion für<br/>Funktionsupdates festlegen (schützt vor Windows-11-Unfällen)"]
    C --> D["5. WSUS-Zuweisung ab dem Piloten stufenweise<br/>entfernen, WUfB-Richtlinie anwenden (1–2 Monate parallel)"]
    D --> E["6. Nach der vollständigen Umstellung einen Zyklus<br/>beobachten, dann WSUS-Server abbauen (geschlossene Netze ins Inventar)"]

Die Details der einzelnen Schritte:

1. Bestandsaufnahme der aktuellen Richtlinien. Ermitteln Sie aus allen GPOs drei Kategorien: die WSUS-Serverzuweisung (den Speicherort des Intranet-Updatedienstes), die Konfiguration der automatischen Updates und bereits eingeführte Verzögerungsrichtlinien.
2. Die Dual-Scan-Falle kennen. Unter Windows 10 führt das gleichzeitige Vorhandensein von WSUS-Serverzuweisung und Verzögerungsrichtlinie zu einem Verhalten (dem sogenannten Dual Scan), bei dem die Scanquelle auf Windows Update wechselt. Die alte Richtlinie, die dies unterband, wird unter Windows 11 nicht mehr unterstützt.¹⁰
3. Mit der Scanquellenrichtlinie explizit festlegen. Der aktuelle korrekte Weg ist „Specify source service for specific classes of Windows Updates“ unter Computer Configuration\Administrative Templates\Windows Components\Windows Update\Manage updates offered from Windows Server Update Service, womit Sie für jede der vier Kategorien — Funktionsupdates, Qualitätsupdates, Treiber und sonstige Microsoft-Produkte — die Quelle WSUS oder Windows Update explizit angeben (im MDM werden alle vier Richtlinien SetPolicyDrivenUpdateSourceFor… gesetzt). Microsoft selbst empfiehlt in der Übergangsphase von lokaler Verwaltung zur Cloud gestufte Umstellungen wie „zunächst nur Treiber in die Cloud“.¹⁰
4. Auf unerwartete Windows-11-Upgrades achten. Belassen Sie bei WSUS-Konfiguration die Scanquellen- bzw. Angebotsrichtlinie für Funktionsupdates unkonfiguriert, kann Nutzern beim Klick auf „Nach Updates online suchen“ ein Upgrade auf Windows 11 angeboten werden.¹⁰ Legen Sie gerade in der Übergangsphase die Verzögerung von Funktionsupdates (bis zu 365 Tage) und die Zielversion explizit fest.
5. Ringe bilden und umstellen. Richten Sie die drei Ringe aus Kapitel 4 ein und entfernen Sie die WSUS-Zuweisung zuerst aus der OU/Gruppe des Piloten, während Sie stattdessen die WUfB-Richtlinie anwenden. Prüfen Sie in einer 1- bis 2-monatigen Parallelphase, wie gut die Übermittlungsoptimierung greift (Peer-Bezugsquote) und wie hoch die Netzlast ist, bevor Sie unternehmensweit ausweiten.
6. Den WSUS-Server abbauen. Schalten Sie den Server nach der Umstellung aller Clients nicht sofort ab, sondern beobachten Sie ihn einen Zyklus (einen Monat) lang, bevor Sie ihn stoppen. Falls Sie einen für ein geschlossenes Netzwerk behalten, beschränken Sie seine Rolle darauf und tragen Sie es ins Bestandsverzeichnis ein.

8. Die Perspektive der Fachanwendungen — den Betrieb durch Updates nicht ins Stocken bringen

Aus Sicht eines Auftragsentwicklers geht es bei der Umstellung der Update-Verwaltung nicht nur darum, „dass der Patch aufgespielt wird“, sondern vor allem darum, dass die Fachanwendung auch nach dem Patch weiterläuft. Auch in den „10 größten Bedrohungen der Informationssicherheit“ der IPA steht das Einspielen von Fixes weiterhin an erster Stelle der Basismaßnahmen (siehe „Die 10 größten Bedrohungen der Informationssicherheit 2026 — wie man das Ranking liest“). Ein Mechanismus, der die Anwendung von Updates nicht stoppt, und eine Vorsorge, damit die Anwendung nichts zerstört, sind zwei Seiten derselben Medaille.

• Nehmen Sie unbedingt einen „repräsentativen Rechner der Fachanwendung“ in den Piloten-Ring auf. Wählen Sie PCs mit unterschiedlicher Konfiguration — Office-Version, Berichtstools, Anlagenanbindung — einzeln aus und bestätigen Sie nach dem Update, dass der Geschäftsbetrieb einmal vollständig durchläuft. Ringe dienen nicht nur der IT, sondern auch als Mechanismus zur Anwendungsverifikation.
• Entwerfen und betreiben Sie Anwendungen so, dass sie Neustarts überstehen. Ein Update endet immer mit einem Neustart. Das Austauschen von Dateien, die gerade verwendet werden, sowie Mechanismen, mit denen sich eine Anwendung selbst wieder aufnimmt, behandeln wir in „Restart Manager und das Problem „Datei in Verwendung“ bei automatischen Updates“; die Beziehung zwischen nächtlichen Updates und dauerhaft laufenden bzw. langlaufenden Anwendungen behandeln wir in „Ruhezustand, Energiesparmodus, Modern Standby und langlaufende Anwendungen“.
• Überdenken Sie gleichzeitig auch die Verteilung von Anwendungsupdates. Wenn Sie OS-Updates auf Cloudverteilung umstellen, ist das eine gute Gelegenheit, auch die Verteilung von Fachanwendungen und Zusatzwerkzeugen von Handarbeit auf Skripting und Paketverwaltung umzustellen. Die Automatisierung der Einrichtung mit winget behandeln wir in „PC-Kitting mit winget und PowerShell automatisieren“.
• Legen Sie im Voraus ein Vorgehen zur Eingrenzung von „funktioniert nach dem Update nicht mehr“ fest. Wenn Sie vorab einen Ablauf festlegen — die unternehmensweite Ausweitung mit einer Pause (bis zu 35 Tage) stoppen, das Problem auf einem Pilotgerät reproduzieren und dann entscheiden, ob es sich um eine anwendungsseitige Korrektur oder einen richtlinienseitigen Ausschluss (z. B. Treiberausschluss) handelt —, geraten Sie am Tag eines tatsächlichen Ausfalls nicht in Zeitnot.

9. Zusammenfassung

• Die Abschaffung von WSUS (angekündigt am 20. September 2024) bedeutet „das Ende der Entwicklung neuer Funktionen“, Synchronisierung und Verteilung laufen auch mit Stand August 2026 weiter. Auch die Treibersynchronisierung läuft weiter, nachdem die Ankündigung ihrer Einstellung zurückgenommen wurde. Es besteht kein Grund zur Panik, aber es ist Zeit, keine neuen Investitionen mehr in WSUS zu tätigen.
• Der klare Favorit als Nachfolger ist das kostenlose WUfB (Windows Update client policies). Konfigurieren Sie über GPO oder Intune eine Verzögerung von 30 Tagen für Qualitätsupdates und 365 Tagen für Funktionsupdates sowie eine 35-tägige Pause und verteilen Sie in Wellen über Ringe. Die Home-Edition ist ausgeschlossen.
• Bandbreitenprobleme beantwortet die Übermittlungsoptimierung (standardmäßig aktive P2P-Freigabe). Auch ohne WSUS-Verteilserver ist Ihre Netzanbindung besser geschützt, als man annehmen könnte.
• Autopatch automatisiert den Betrieb von WUfB. Es ist inzwischen auch mit Business Premium nutzbar, setzt aber Entra ID + Intune voraus und ist damit für ein Unternehmen, das rein auf lokaler AD basiert, eine ferne Option. WUfB über GPO ist der nahtlose erste Schritt.
• Der technische Kern der Migration ist das Entwirren alter und neuer Richtlinien. Legen Sie mit der Scanquellenrichtlinie die Quelle je Updatetyp fest und stellen Sie stufenweise um.
• In geschlossenen Netzwerken bleibt WSUS die realistische Antwort. Behalten Sie es aber als „kontrollierte Ausnahme“ mit Inventareintrag und Überprüfungsfrist.
• Der Zweck der Update-Verwaltung ist nicht die Anwendungsrate, sondern die Geschäftskontinuität. Vollständig ist sie erst, wenn repräsentative Rechner der Fachanwendung in den Piloten-Ring aufgenommen werden und Design und Betrieb neustartfest sind.

Verwandte Artikel

• Der realistische Umgang nach dem Support-Ende von Windows 10 — Entscheidungstabelle für ESU, LTSC und Ersatzbeschaffung
• Die 10 größten Bedrohungen der Informationssicherheit 2026 — wie man das Ranking liest und was kleine und mittlere Unternehmen wirklich absichern sollten
• Wie ersetzt man eine im Einsatz befindliche exe/DLL? — Restart Manager und das Problem „Datei in Verwendung“ bei automatischen Updates
• PC-Kitting mit winget + PowerShell automatisieren — Anleitungen ausführbar machen
• Ruhezustand, Energiesparmodus, Modern Standby und langlaufende Anwendungen — „Es stand über Nacht still“ durch gutes Design verhindern
• Weiternutzung und Migration von VB6-/Access-Fachanwendungen — Entscheidungstabelle für Belassen, Umhüllen oder Ersetzen

Verwandte Beratungsleistungen

Die KomuraSoft LLC übernimmt technische Beratung zur „Anwendungsseite“ der Update-Verwaltung: die Untersuchung von Fachanwendungsstörungen durch Windows Update-Rollouts, das Entwerfen von Anwendungen, die Updates und Neustarts standhalten (Restart-Manager-Unterstützung, automatische Wiederaufnahme), sowie den Aufbau von Automatisierungsskripten für den internen PC-Betrieb. Sie können sich auch bereits im Stadium melden, in dem Sie nur „bei jedem Update ist mir um diese Anwendung bange“ sagen können.

• Modernisierung und Wartung von Windows-Anwendungen
• Fehleruntersuchung und Ursachenanalyse
• Technische Beratung und Design-Review
• Kontakt

Referenzlinks

Verwandte Artikel

Aktuelle Artikel mit denselben Schlagwörtern führen zu verwandten Themen weiter.

Verwandte Themen

Diese Seiten ordnen den Artikel in einen größeren Leistungs- und Entscheidungskontext ein.

Häufige Fragen

Fragen, die in Beratungen zu diesem Artikelthema häufig gestellt werden.

Wie lange können wir WSUS noch verwenden?

Es wurde kein Enddatum angekündigt. Die Abschaffungsankündigung vom 20. September 2024 bedeutet „die Entwicklung neuer Funktionen und die Annahme neuer Funktionswünsche werden eingestellt“ — bestehende Funktionen bleiben erhalten, und Updates werden weiterhin über den WSUS-Kanal veröffentlicht. Windows Server 2025 wird nach wie vor mit einer WSUS-Rolle ausgeliefert, und der Support in Produktionsumgebungen sowie Sicherheits- und Qualitätsupdates laufen entsprechend dem Produktlebenszyklus weiter. Stand August 2026 funktionieren Synchronisierung und Verteilung wie gewohnt. Da aber künftig keine neuen Funktionen mehr hinzukommen, lautet die realistische Linie: „Man kann es weiter nutzen, sollte es aber nicht zum Ziel neuer Investitionen machen.“

Fallen bei Windows Update for Business (WUfB) zusätzliche Kosten an?

Nein. WUfB (offiziell inzwischen Windows Update client policies genannt) ist eine Funktion, die auf Windows 10/11 Pro (einschließlich Pro for Workstations), Education und Enterprise (einschließlich LTSC und IoT Enterprise) ohne Zusatzkosten genutzt werden kann. Die Home-Edition ist nicht berechtigt. Die Konfiguration ist sowohl über Gruppenrichtlinien als auch über MDM (z. B. Intune) möglich, und Sie können Verzögerungen von bis zu 30 Tagen für Qualitätsupdates und bis zu 365 Tagen für Funktionsupdates sowie Pausen von bis zu 35 Tagen einstellen. Ein Verteilserver wie bei WSUS ist nicht nötig — die Updates selbst werden direkt über Windows Update bereitgestellt.

Welche Lizenz benötigt Windows Autopatch?

Nach dem Stand der Anforderungen von 2026 ist die Nutzung mit einer der folgenden Lizenzen möglich: Microsoft 365 Business Premium, Windows 10/11 Education A3/A5 (enthalten in Microsoft 365 A3/A5), Windows 10/11 Enterprise E3/E5 (enthalten in Microsoft 365 F3/E3/E5) oder Enterprise E3/E5 VDA. Früher setzte man mindestens Enterprise E3 voraus, inzwischen stehen die Kernfunktionen — Updateringe sowie die Verwaltung von Qualitäts-, Funktions- und Treiberupdates — auch mit Business Premium zur Verfügung (die Funktion für Support-Anfragen an Microsoft ist auf E3 aufwärts und F3 beschränkt). Darüber hinaus sind Microsoft Entra ID P1/P2 und Microsoft Intune zwingend erforderlich, und die Zielgeräte müssen firmeneigene, bereits in Intune registrierte PCs sein.

Was passiert, wenn wir WUfB-Verzögerungsrichtlinien mit WSUS-verwalteten PCs mischen?

Unter Windows 10 führt das gleichzeitige Vorhandensein einer WSUS-Serverzuweisung und einer Verzögerungsrichtlinie zum sogenannten Dual-Scan-Verhalten, bei dem die Scanquelle auf Windows Update wechselt, wodurch ungewollt Updates installiert werden können, die die WSUS-Genehmigung umgehen. Die alte Richtlinie, die dies unterband (Do not allow update deferral policies to cause scans against Windows Update), wird unter Windows 11 nicht mehr unterstützt. Der aktuelle korrekte Weg ist ihre Nachfolgerin, die Scanquellenrichtlinie (Specify source service for specific classes of Windows Updates), mit der Sie für jede der vier Kategorien — Funktionsupdates, Qualitätsupdates, Treiber und sonstige Produkte — explizit festlegen, ob die Quelle WSUS oder Windows Update ist. In der Übergangsphase erleichtert das gestufte Umstellungen wie „nur Treiber in die Cloud verlagern“.

Was sollten wir mit PCs in einem geschlossenen Netzwerk ohne Internetzugang tun?

In geschlossenen bzw. Offline-Umgebungen bleibt WSUS — einschließlich der Offline-Synchronisierung per Export/Import — weiterhin die realistische Antwort. WUfB und Autopatch setzen beide eine cloudbasierte Verteilung und Verwaltung voraus (den Windows Update-Dienst und Intune) und kommen dort schlicht nicht infrage. Microsoft selbst hat aufgrund von Rückmeldungen aus getrennten Umgebungen die zuvor angekündigte Einstellung der WSUS-Treibersynchronisierung (geplant für den 18. April 2025) am 4. April 2025 zurückgenommen und deren Fortführung angekündigt. Ein WSUS im geschlossenen Netzwerk ist „ein WSUS, das man behalten darf“ — an der Tatsache, dass es als abgeschafft gilt, ändert das aber nichts. Wir empfehlen, es im Bestandsverzeichnis zu erfassen und sich auf eine künftige Änderung der Konfiguration vorzubereiten.

Autorenprofil

Profilseite des Artikelautors.

Go Komura

Geschäftsführer von KomuraSoft LLC

Spezialisiert auf Windows-Softwareentwicklung, technische Beratung und Fehleranalyse, insbesondere bei bestehenden Systemen und schwer reproduzierbaren Störungen.