Support & Automatisierung

Update Ring

Allgemeine Infos

Ein Update Ring (Bereitstellungsring) fasst Geräte zusammen, die Updates zum gleichen Zeitpunkt erhalten. Typisch sind ein Testring (IT), ein Pilotring (ausgewählte Anwender aus allen Bereichen) und ein oder mehrere Breitringe. Microsoft beschreibt als gängige Struktur Preview, Limited und Broad.

In Microsoft Intune ist die Update-Ring-Richtlinie für Windows 10 und höher der Weg, die Windows-Update-Client-Richtlinien (früher Windows Update for Business) zu setzen: Verzögerung für Qualitätsupdates (0 bis 30 Tage) und Funktionsupdates (0 bis 365 Tage), Fristen (2 bis 30 Tage), Kulanzzeit (0 bis 7 Tage), Nutzungszeiten und Neustartverhalten. Ringe lassen sich pausieren, verlängern und Updates deinstallieren.

Abgrenzung und aktuelle Entwicklung: Windows Autopatch fasst Update Rings, Funktions-, Treiber-, Microsoft-365-Apps- und Edge-Richtlinien in Autopatch-Gruppen zusammen, jeweils mit mindestens den Standardringen Test und Last und bis zu 15 Ringen. Seit April 2025 sind die Autopatch-Funktionen ohne gesonderte Aktivierung auch mit Business Premium und A3 nutzbar. WSUS ist seit September 2024 abgekündigt (keine neuen Funktionen, weiter unterstützt), Microsoft empfiehlt Intune und Autopatch für Clients und Azure Update Manager für Server.

Funktionsweise & Details

So wird ein Update-Ring-Modell mit Intune aufgebaut:

  1. Gruppen bilden: Entra-Gerätegruppen für Test, Pilot und Breit, Abteilungen auf mehrere Ringe verteilen.
  2. Richtlinien anlegen: Je Ring eine Update-Ring-Richtlinie mit steigender Verzögerung, z. B. Test 0 Tage, Pilot 3 Tage, Breit 7 Tage für Qualitätsupdates.
  3. Fristen setzen: Frist und Kulanzzeit sorgen dafür, dass Updates spätestens nach definierter Zeit installiert und Geräte neu gestartet werden.
  4. Funktionsupdates steuern: Separate Funktionsupdate-Richtlinie hält Geräte auf einer Zielversion, z. B. Windows 11 24H2 oder 25H2.
  5. Überwachen und reagieren: Berichte prüfen, bei Problemen den Ring pausieren oder das Update deinstallieren.

Mit Windows Autopatch erzeugt der Dienst diese Richtlinien und Gruppen selbst und steuert die Freigabe über Autopatch-Gruppen. LTSC-Editionen unterstützen nur Qualitätsupdates.

Vorteile & Nutzen

  • Fehlerhafte Updates treffen zuerst wenige Testgeräte, der Breitring bleibt geschützt
  • Fristen sorgen dafür, dass Updates nicht dauerhaft aufgeschoben werden und Sicherheitslücken offen bleiben
  • Pausieren eines Rings stoppt die Verteilung zentral, ohne Gerät für Gerät einzugreifen
  • Cloudbasierte Steuerung ersetzt WSUS-Server und funktioniert auch für Geräte im Homeoffice

Praxisbeispiel

Ein Sondermaschinenbauer mit 260 Windows-Geräten betrieb WSUS mit manueller Genehmigung, Homeoffice-Geräte erhielten oft wochenlang keine Updates. Die IT führte drei Intune Update Rings ein (IT, Pilot mit 25 Key Usern, Breit), anschließend Windows Autopatch mit einer Autopatch-Gruppe. Als ein Qualitätsupdate ein Problem mit einer CAD-Anwendung verursachte, pausierte die IT den Breitring nach der Meldung aus dem Pilot. Der WSUS-Server für Clients wurde abgeschaltet.

Worauf sollte man achten?

  • Pilotring aus echten Anwendern aller Fachbereiche bilden und nicht allein aus der IT, sonst fallen Fachanwendungsprobleme zu spät auf
  • Fristen nicht zu lang wählen, eine Verzögerung ohne Frist führt zu dauerhaft ungepatchten Geräten
  • Update Rings und Autopatch-Gruppen nicht parallel auf dieselben Geräte anwenden, sonst kollidieren Einstellungen
  • Microsoft-Entra-registrierte Geräte (BYOD) unterstützen lediglich Update Rings und Client-Richtlinien, die Autopatch-basierten Funktions-, Qualitäts- und Treiberrichtlinien dagegen nicht

Lizenz & Verfügbarkeit

Update-Ring-Richtlinien erfordern Microsoft Intune Plan 1, z. B. in Microsoft 365 Business Premium, E3 oder E5. Windows Autopatch ist seit April 2025 mit Business Premium, A3+, E3+ und F3 nutzbar, Supportanfragen an das Autopatch-Team nur mit E3+ und F3. Funktions-, Qualitäts- und Treiberrichtlinien über Autopatch setzen eine berechtigte Windows-Lizenz voraus. WSUS ist in Windows Server enthalten, aber abgekündigt. Stand: Oktober 2026.

Fazit

Update Rings sind der Standard für kontrolliertes Windows-Patching in Intune-Umgebungen. Für neue Umgebungen lohnt der direkte Einstieg mit Windows Autopatch, WSUS sollte für Clients nicht mehr neu geplant werden.

Weiterführende Links

Verwandte Artikel