Windows & Server

Windows Server Update Services (WSUS)

Overview

Windows Server Update Services (WSUS) ist eine Serverrolle, die Updates aus Microsoft Update einmal herunterlädt und kontrolliert an Clients und Server im eigenen Netz verteilt. Admins genehmigen Updates pro Computergruppe und sehen in Berichten, welches Gerät welchen Stand hat. Microsoft Configuration Manager nutzt WSUS als Unterbau für seine Software-Updates.

Status: Microsoft hat WSUS im September 2024 als abgekündigt (deprecated) eingestuft. Die Rolle ist in Windows Server 2025 weiter enthalten und laut Microsoft Learn für den Produktivbetrieb unterstützt. Sie erhält Sicherheits- und Qualitätsupdates im Rahmen des Produktlebenszyklus, aber keine neuen Funktionen. Die für April 2025 angekündigte Einstellung der Treiber-Synchronisation hat Microsoft nach Kundenfeedback auf unbestimmte Zeit verschoben, Treiber lassen sich also weiterhin über WSUS synchronisieren.

Als Nachfolger nennt Microsoft Microsoft Intune und Windows Autopatch für Clients sowie Azure Update Manager für Server. Für Windows Server 2025 kommt Hotpatch über Azure Arc hinzu, das Sicherheitsupdates außerhalb der Baseline-Monate ohne Neustart einspielt. Zusätzlich ist die Windows Internal Database (WID), die WSUS standardmäßig nutzt, ebenfalls abgekündigt.

How it works

WSUS arbeitet als Zwischenstation zwischen Microsoft Update und den Clients:

  1. Ein WSUS-Server synchronisiert Metadaten und Inhalte von Microsoft Update über die Ports 80 und 443, gefiltert nach Produkten, Klassifizierungen und Sprachen.
  2. Nachgelagerte WSUS-Server beziehen ihre Daten von einem übergeordneten Server, entweder autonom mit eigener Verwaltung oder im Replikatmodus mit geerbten Genehmigungen und Gruppen.
  3. Clients erhalten per Gruppenrichtlinie oder Registry die Adresse des WSUS-Servers und verbinden sich über Port 8530 (HTTP) bzw. 8531 (HTTPS).
  4. Die Zuordnung zu Computergruppen erfolgt serverseitig in der Konsole oder clientseitig per Gruppenrichtlinie.
  5. Der Admin genehmigt Updates pro Gruppe, optional mit Stichtag, und der Windows Update Agent installiert sie nach seinem Zeitplan.

Als Datenbank dient standardmäßig die Windows Internal Database (SUSDB), alternativ SQL Server mit Windows-Authentifizierung. Microsoft empfiehlt mindestens 40 GB Speicher für Inhalte, mit zusätzlichem Bedarf für UUP-Updates von Windows 11.

Benefits

  • Updates werden nur einmal aus dem Internet geladen, das entlastet schmale Standortleitungen.
  • Gestaffelte Freigaben über Testgruppen verhindern, dass ein fehlerhaftes Update sofort alle Server trifft.
  • Funktioniert ohne Cloud-Anbindung der Clients, was für abgeschottete Produktions- oder OT-Netze wichtig ist.
  • Berichte zeigen den Patchstand pro Gerät und liefern Nachweise für Audits.
  • Keine Zusatzlizenz, da Bestandteil von Windows Server.

Practical example

Ein Lohnfertiger mit 120 Arbeitsplätzen und einem abgeschotteten Fertigungsnetz betreibt einen WSUS-Server im Büronetz und einen nachgelagerten Replikaserver im Produktionsnetz. Updates werden zuerst für eine Testgruppe aus fünf Rechnern genehmigt, eine Woche später für alle Büro-PCs und erst nach Rücksprache mit der Fertigung für die Maschinenrechner. Parallel migriert die IT die Büro-Clients schrittweise nach Intune und Windows Autopatch, weil WSUS keine neuen Funktionen mehr bekommt. Der WSUS-Server bleibt für das Fertigungsnetz bestehen, bis dort ein Nachfolger feststeht.

Things to keep in mind

  • Plane die Ablösung jetzt: WSUS bleibt unterstützt, wird aber nicht weiterentwickelt, und auch die WID-Datenbank ist abgekündigt.
  • Führe regelmäßig die Serverbereinigung aus und reindiziere die SUSDB, sonst wird die Konsole langsam und Synchronisationen schlagen fehl.
  • Nutze HTTPS (Port 8531) für die Client-Kommunikation, damit Update-Metadaten nicht manipuliert werden können.
  • Wähle Produkte und Klassifizierungen sparsam, vor allem Treiber, weil sie die Datenbank stark vergrößern.
  • Werden Clients gleichzeitig über WSUS und Intune gesteuert, kollidieren die Richtlinien; lege pro Gerät eine führende Quelle fest.

Licensing & availability

In Windows Server 2016 bis 2025 als Serverrolle ohne Zusatzkosten enthalten; für zugreifende Geräte gelten die Windows Server CALs. Seit September 2024 abgekündigt (keine neuen Funktionen), aber weiter unterstützt, ein Entfernungsdatum hat Microsoft nicht genannt. Nachfolger wie Windows Autopatch und Azure Update Manager sind an eigene Lizenzen bzw. die Azure-Abrechnung gebunden. Stand: Oktober 2026.

Conclusion

WSUS funktioniert weiter und ist für isolierte Netze oft noch die pragmatischste Lösung. Für neue Umgebungen solltest Du auf Intune, Windows Autopatch und Azure Update Manager setzen.

Further reading

Related articles