M365

Windows Autopatch

Overview

Windows Autopatch ist ein Cloud-Dienst von Microsoft, der Updates für Windows, Microsoft 365 Apps for Enterprise, Microsoft Edge und Microsoft Teams auf registrierten Geräten automatisiert. Verwaltet wird der Dienst im Microsoft Intune Admin Center. Statt dass die IT jeden Monat eigene Update-Richtlinien pflegt, verteilt Autopatch Qualitäts- und Funktionsupdates in aufeinanderfolgenden Bereitstellungsringen und reagiert dabei auf Zuverlässigkeits- und Kompatibilitätssignale.

Typische Einsatzszenarien sind Unternehmen, die ihre Windows-Clients bereits mit Intune oder per Co-Management verwalten und den monatlichen Patchzyklus mit weniger Handarbeit stabil halten wollen. Neben Windows-Qualitäts- und Funktionsupdates deckt Autopatch Treiber- und Firmware-Updates sowie Hotpatch-Updates ab.

Abgrenzung: Ein Update Ring ist ein einzelnes Bereitstellungskonzept bzw. eine Intune-Richtlinie, Autopatch erzeugt und steuert solche Ringe innerhalb von Autopatch-Gruppen. WSUS ist der lokale Update-Server, über die Einstellung Scan Source legst Du fest, welche Update-Typen von WSUS und welche aus der Cloud kommen. Patch Management ist der übergeordnete Prozess, der auch Drittanbieter-Software und Server umfasst, Autopatch beschränkt sich auf die genannten Microsoft-Produkte auf Windows-Clients. Mit Windows Autopilot (Erstbereitstellung neuer Geräte) hat Autopatch trotz ähnlichem Namen nichts zu tun.

Aktuelle Änderung: Im April 2025 hat Microsoft die separate Funktionsaktivierung abgeschafft und Autopatch für Microsoft 365 Business Premium sowie A3 und höher geöffnet. Zuvor war der Dienst an Windows Enterprise E3/E5 gebunden.

How it works

Autopatch arbeitet mit Autopatch-Gruppen, also logischen Containern aus mehreren Microsoft-Entra-Gruppen und den zugehörigen Update-Richtlinien. Der Ablauf:

  1. Das Gerät ist in Intune registriert (Intune als MDM-Autorität oder Co-Management mit den Workloads Windows-Update-Richtlinien und Gerätekonfiguration auf Intune bzw. Pilot Intune) und wird bei Autopatch registriert.
  2. Die IT legt Autopatch-Gruppen mit Ringen an. Autopatch erstellt daraus Intune-Richtlinien wie Update Rings und Feature-Update-Richtlinien für Windows 10 und höher.
  3. Qualitätsupdates laufen Ring für Ring aus. Ziel von Microsoft ist, dass mindestens 95 Prozent der Geräte mit Status Up to Date das aktuelle Qualitätsupdate haben. Einzelne Updates lassen sich beschleunigt verteilen.
  4. Funktionsupdates steuerst Du über mehrphasige Release-Richtlinien. Treiber und Firmware gibst Du automatisch oder per Freigabe nach Gruppe, Ring oder tenantweit frei.
  5. Microsoft 365 Apps hält Autopatch im Monthly Enterprise Channel (Ziel: mindestens 90 Prozent der Geräte auf einer unterstützten Version), Edge folgt dem Stable Channel mit progressivem Rollout, Teams dem Standardkanal für automatische Updates.
  6. Berichte in Intune (Qualitäts- und Funktionsupdates, Hotpatch, Gerätewarnungen) zeigen Geräte, die nicht aktuell sind, samt Ursache.

Für die Schutzfunktionen bei der Verteilung müssen die Geräte Diagnosedaten senden (mindestens Required, unter Windows 11 Optional, unter Windows 10 Enhanced).

Benefits

  • Der monatliche Patchzyklus läuft ohne manuell gepflegte Ringe und Fristen, weil Autopatch die Intune-Richtlinien selbst anlegt und aktualisiert.
  • Gestaffelte Ringe begrenzen das Risiko: Ein fehlerhaftes Update trifft zuerst eine kleine Testgruppe statt die ganze Belegschaft.
  • Ein Dienst deckt Windows, Treiber und Firmware, Microsoft 365 Apps, Edge und Teams ab, das spart separate Update-Konzepte je Produkt.
  • Hotpatch-Updates installieren monatliche Sicherheitsupdates ohne Neustart, was Unterbrechungen für Anwender reduziert.
  • Die Berichte liefern einen belastbaren Patchstand, der sich für Audits und NIS2-Nachweise verwenden lässt.

Practical example

Ein Maschinenbauer aus dem Schwarzwald mit 180 Windows-Clients hat Updates bisher über WSUS und Gruppenrichtlinien verteilt, der Patchstand schwankte stark. Nach der Umstellung auf Intune mit Co-Management registriert die IT alle Firmengeräte bei Autopatch und legt eine Autopatch-Gruppe mit drei Ringen an: IT-Abteilung, Pilotnutzer aus jeder Abteilung, Rest der Belegschaft. WSUS bleibt per Scan Source nur noch für Sonderfälle aktiv. Nach zwei Monaten zeigt der Intune-Bericht einen einheitlichen Patchstand, und die IT investiert ihre Zeit in die Geräte, die als Not up to Date auftauchen.

Things to keep in mind

  • Den ersten Ring mit Geräten aus allen Fachbereichen besetzen, damit Probleme mit Fachanwendungen früh auffallen.
  • Bestehende Update-Ring-Richtlinien und Gruppenrichtlinien für Windows Update vor der Registrierung abbauen, sonst konkurrieren mehrere Richtlinien.
  • Private Geräte (BYOD) werden bei der Registrierung blockiert, nur firmeneigene Geräte einplanen.
  • Geräte, die sich länger als 28 Tage nicht bei Intune melden, werden nicht registriert: Außendienst-Notebooks regelmäßig online bringen.
  • Für Drittanbieter-Software und Server brauchst Du weiterhin ein eigenes Patch Management, Autopatch deckt nur Microsoft-Client-Produkte ab.

Licensing & availability

Windows Autopatch ist in Microsoft 365 Business Premium, Windows 10/11 Education A3 oder A5 (enthalten in Microsoft 365 A3/A5), Windows 10/11 Enterprise E3 oder E5 (enthalten in Microsoft 365 F3, E3, E5) sowie Windows Enterprise E3/E5 VDA verfügbar. Voraussetzung sind Microsoft Entra ID P1 oder P2 und Microsoft Intune. Alle Funktionen (Autopatch-Gruppen, Update Rings, Qualitäts-, Funktions-, Treiber- und Hotpatch-Updates, Microsoft 365 Apps, Edge, Teams, Berichte) stehen allen genannten Lizenzen zur Verfügung. Nur Supportanfragen an das Windows Autopatch Service Engineering Team sind E3 und F3 und höher vorbehalten. Hotpatch hat eigene Lizenzvoraussetzungen. Unterstützt werden Windows 10 und 11 Pro, Education, Enterprise, Pro Education, Pro for Workstations und IoT Enterprise im General Availability Channel, LTSC nur für Qualitätsupdates. Stand: Oktober 2026.

Conclusion

Windows Autopatch ist für Intune-verwaltete Windows-Flotten der einfachste Weg zu einem verlässlichen Patchstand, seit April 2025 auch mit Business Premium. Plane den Umstieg von WSUS und eigenen Update Rings bewusst und räume alte Richtlinien vorher auf.

Further reading

Related articles