Windows & Server

Hotpatch (Windows Server)

Overview

Hotpatch ist ein Update-Verfahren für Windows Server, das Sicherheitsupdates direkt in den Arbeitsspeicher laufender Prozesse einspielt. Weder der Server noch die betroffenen Prozesse müssen dafür neu starten. Die Pakete enthalten weniger Binärdateien, installieren schneller und belasten CPU und Datenträger weniger als ein kumulatives Update.

Verfügbar ist Hotpatch für Windows Server 2025 Standard und Datacenter auf Servern, die über Azure Arc angebunden sind, egal ob sie unter Hyper-V, VMware, physisch oder in einer anderen Cloud laufen. Auf Azure-VMs und in Azure Local gibt es Hotpatch für Windows Server 2022 und 2025 Datacenter: Azure Edition. Für Arc-Server ist das Angebot seit Juli 2025 allgemein verfügbar, zunächst als kostenpflichtiges Abo. Seit dem 19. Mai 2026 fallen für Hotpatch auf Arc-Servern mit Windows Server 2025 keine Zusatzkosten mehr an, bestehende Abrechnungen hat Microsoft automatisch beendet.

Abgrenzung: Hotpatch ist ein Update-Kanal, keine Patch-Verwaltung. Azure Update Manager (eigener Eintrag) plant und steuert die Installation, alternativ funktionieren Gruppenrichtlinien, SConfig unter Server Core oder Patch-Werkzeuge von Drittanbietern. Azure Arc (eigener Eintrag) ist der Anbindungsweg für Server außerhalb von Azure. WSUS liefert klassische kumulative Updates mit Neustart. Nicht-Sicherheitsupdates, .NET-Updates sowie Treiber und Firmware deckt Hotpatch nicht ab.

How it works

Hotpatch arbeitet in einem festen Quartalsrhythmus:

  1. Im ersten Monat eines Quartals erscheint eine Baseline, also ein reguläres kumulatives Update mit Neustart.
  2. In den beiden Folgemonaten kommen Hotpatch-Releases, die nur Sicherheitsfixes enthalten und ohne Neustart greifen. Über ein Jahr ergibt das typischerweise vier geplante Baselines und acht Hotpatch-Monate.
  3. Muss Microsoft eine dringende Lücke schließen, die sich nicht als Hotpatch ausliefern lässt, ersetzt eine ungeplante Baseline den Hotpatch des Monats, dann ist ebenfalls ein Neustart nötig.
  4. Auf Arc-Servern aktivierst Du Hotpatch im Azure-Portal unter Azure Arc > Machines > Hotpatch oder gesammelt über die Update-Einstellungen in Azure Update Manager. Die Änderung greift nach etwa zehn Minuten.
  5. Installiert wird über Azure Update Manager per Zeitplan oder einmalig, wahlweise alle Klassifizierungen oder nur Sicherheitsupdates, einzelne KB-Nummern lassen sich ein- oder ausschließen.

Technische Voraussetzungen sind Windows Server 2025 ab Build 26100.1742 (Desktop Experience oder Server Core, keine Preview- oder Insider-Builds), virtualisierungsbasierte Sicherheit (VBS) mit UEFI und Secure Boot sowie unter Hyper-V eine VM der Generation 2. Den VBS-Status liefert die WMI-Klasse Win32_DeviceGuard im Namespace root/Microsoft/Windows/DeviceGuard, der Wert 2 bedeutet aktiv. Installierte Updates zeigt Get-HotFix.

Benefits

  • Weniger Neustarts: Planmäßig startet der Server nur in den vier Baseline-Monaten pro Jahr neu, Wartungsfenster für Datei- und Anwendungsserver schrumpfen entsprechend.
  • Kürzere Angriffsfenster, weil Sicherheitsupdates direkt nach Erscheinen installiert werden können, ohne auf das nächste Wartungsfenster zu warten.
  • Geringere Last während der Installation, da Hotpatch-Pakete weniger Binärdateien enthalten als ein kumulatives Update.
  • Gleicher Sicherheitsstand wie im regulären Kanal, weil die Hotpatch-Releases die Sicherheitsupdates von Windows Update vollständig abbilden.
  • Seit Mai 2026 ohne Zusatzkosten auf Arc-Servern, damit entfällt die frühere Abo-Gebühr als Gegenargument.

Practical example

Ein Logistikdienstleister mit drei Standorten und Schichtbetrieb rund um die Uhr betreibt seine Dateiserver und Anwendungsserver mit Windows Server 2025 Standard unter Hyper-V. Bisher mussten alle Server monatlich neu starten, was regelmäßig mit laufenden Schichten kollidierte. Die IT bindet die VMs per Azure Arc an, stellt sicher, dass alle VMs Generation 2 mit Secure Boot und aktivem VBS sind, und aktiviert Hotpatch über Azure Update Manager. Seitdem fallen geplante Neustarts nur noch in den Baseline-Monaten an, die Hotpatch-Monate laufen ohne Unterbrechung durch.

Things to keep in mind

  • Es gibt kein automatisches Rollback: Macht ein Update Probleme, deinstallierst Du es und installierst die letzte funktionierende Baseline, was einen Neustart erfordert.
  • .NET-, Treiber-, Firmware- und Nicht-Sicherheitsupdates brauchen auch in Hotpatch-Monaten einen Neustart, plane dafür weiterhin Wartungsfenster ein.
  • Kontrolliere vor der Aktivierung, ob VBS läuft; Hyper-V-VMs der Generation 1 erfüllen die Voraussetzungen nicht.
  • Bleibt die Aktivierung auf „In Progress“ stehen oder läuft die Feature-Lizenz ab, hilft der Abschnitt Known issues auf Microsoft Learn: Mit den Updates ab Oktober 2025 (KB5066835) trat ein Lizenzproblem auf, für das Microsoft Workarounds per Gruppenrichtlinie oder Skript beschreibt.
  • Starte nach jeder Baseline regelmäßig neu, damit der Server auch die Nicht-Sicherheitskorrekturen der kumulativen Updates erhält.

Licensing & availability

Hotpatch für Windows Server 2025 Standard und Datacenter auf Arc-fähigen Servern ist seit 19. Mai 2026 ohne Zusatzkosten nutzbar, vorher war es seit der allgemeinen Verfügbarkeit im Juli 2025 ein kostenpflichtiges Abo. Nötig sind eine Azure-Subscription und die Anbindung über Azure Arc. Für Windows Server 2022 und 2025 Datacenter: Azure Edition auf Azure-VMs und Azure Local ist Hotpatch auf den unterstützten Images standardmäßig aktiv; benutzerdefinierte Images und Container-Basisimages unterstützen kein Hotpatch. Azure Update Manager wird für Arc-Server separat abgerechnet, sofern keine Ausnahme wie aktive Software Assurance greift (siehe Eintrag Azure Update Manager). Stand: Oktober 2026.

Conclusion

Seit dem Wegfall der Gebühr lohnt sich Hotpatch für praktisch jeden Windows Server 2025 mit Arc-Anbindung, weil es die geplanten Neustarts auf vier pro Jahr senkt. Kläre vorab VBS, Secure Boot und Generation-2-VMs, dann ist die Aktivierung in Minuten erledigt.

Further reading

Related articles