Patch-Rhythmus im KMU: Testring und Rollout für Windows-Updates organisieren

In Kürze

• Patch Tuesday fällt planmässig auf den zweiten Dienstag im Monat, das optionale Vorschau-Update auf den vierten.

• Out-of-Band-Updates und Edge-Sicherheitsupdates folgen eigenen, unregelmässigen Zeitplänen ausserhalb des Monatstakts.

• Ein Testring vor dem breiten Rollout fängt Regressionen wie den September-Einfügefehler in Excel rechtzeitig ab.

Ausgangslage

Jeden zweiten Dienstag im Monat, üblicherweise um 10 Uhr Pacific Time, veröffentlicht Microsoft die monatliche Sicherheitsaktualisierung für Windows-Clients – die «monthly security update release», besser bekannt als Patch Tuesday. Diese Updates sind kumulativ: Sie enthalten sowohl neue als auch alle bisherigen Sicherheitskorrekturen sowie nicht sicherheitsrelevante Inhalte aus dem Vorschau-Update des Vormonats. Für die meisten Organisationen gelten sie als verbindlich einzuspielen.

Am vierten Dienstag folgt optional ein nicht sicherheitsrelevantes Vorschau-Update («optional nonsecurity preview release»), mit dem IT-Verantwortliche neue, produktionsreife Inhalte vorab testen können, bevor sie im folgenden Monat in die Pflichtaktualisierung einfliessen. Ausserhalb dieses Zweiwochentakts gibt es Out-of-Band-Updates (OOB): Sie erscheinen bei Bedarf, wenn ein frisch entdecktes Problem oder eine Schwachstelle nicht bis zum nächsten Patch Tuesday warten kann, und ersetzen dann die vorangegangenen Monats- und Vorschau-Updates vollständig. Microsoft Edge folgt einem eigenen, deutlich engmaschigeren Rhythmus mit mehreren Versions- und Sicherheits-Releases pro Monat, unabhängig vom Windows-Patch-Zyklus. Bei Microsoft 365 Apps kommt eine weitere Unterscheidung dazu: Click-to-Run-Installationen, die Standardverteilung über den Microsoft 365 Apps Admin Center oder Autopatch, aktualisieren sich selbstständig aus der Cloud, während ältere MSI-basierte Office-Installationen wie Office 2016 separate, klassisch über WSUS oder den Update-Katalog verteilte Patches benötigen.

Für ein KMU mit 10 bis 250 Mitarbeitenden stehen im Kern drei Optionen offen, diesen Rhythmus zu verwalten: erstens der bewährte Weg über Windows Server Update Services (WSUS) mit manuell gepflegten Gruppen und Genehmigungen, zweitens Update-Ringe in Microsoft Intune für eine cloudbasierte, aber weiterhin selbst gesteuerte Verteilung, und drittens Windows Autopatch, ein Cloud-Dienst, der die Planung und Ausrollung von Windows-, Microsoft-365-Apps-, Edge- und Teams-Updates weitgehend automatisiert. Die vierte, ebenfalls realistische Option ist, den Prozess so zu lassen wie er ist: rein manuelles Einspielen der Updates ohne strukturierten Testring. Das senkt den Pflegeaufwand kurzfristig, erhöht aber das Risiko, dass eine Regression wie der Excel-Einfügefehler ungefiltert alle Arbeitsplätze gleichzeitig trifft.

Windows Autopatch organisiert die Verteilung über gestaffelte Deployment-Ringe und strebt laut Microsoft an, mindestens 95 Prozent der als aktuell erfassten Geräte auf dem neusten Qualitätsupdate zu halten – ein Servicelevel-Ziel, das die Rollout-Geschwindigkeit greifbar macht. Für Geräte, die Hotpatch-Updates unterstützen, lassen sich die monatlichen Sicherheitsupdates zudem installieren, ohne dass ein Neustart nötig ist, was die Ausfallzeit für Endanwender reduziert. Seit Windows 11, Version 24H2, liefert Microsoft kumulative Updates zusätzlich als sogenannte Checkpoints aus: Nachfolgende monatliche Pakete enthalten dann nur noch die Differenzen zum letzten Checkpoint, was die Downloadgrösse verringert, ohne dass IT-Verantwortliche ihren Update-Prozess anpassen müssten. Für die Office-Seite gilt: Windows Autopatch hält mindestens 90 Prozent der berechtigten Geräte auf einer unterstützten Version des Monthly Enterprise Channel, während Microsoft Edge über die progressive Verteilung im Stable-Kanal automatisch eingebunden wird.

Schritt für Schritt

1. Inventarisieren Sie, welche Geräte und Officeversionen im Einsatz sind, insbesondere ob MSI-basierte Installationen parallel zu Click-to-Run-Microsoft-365-Apps bestehen, da beide unterschiedliche Update-Pfade brauchen.

1. Legen Sie einen Testring mit fünf bis zehn Prozent der Geräte fest, der Vorschau- und Sicherheitsupdates vor der breiten Verteilung erhält, idealerweise mit Geräten aus verschiedenen Abteilungen und Officeversionen.

1. Definieren Sie in Intune oder WSUS gestaffelte Update-Ringe – Testring, Pilotring, breite Verteilung – mit klaren Verzögerungszeiten von einigen Tagen zwischen den Ringen.

1. Prüfen Sie bei Windows Autopatch vorab die Lizenzvoraussetzungen: Die Kernfunktionen stehen mit Business-Premium-, A3- oder E3-Lizenzen offen, weiterführende Supportanfragen benötigen zusätzlich E3- oder F3-Lizenzierung.

1. Beobachten Sie nach jedem Patch Tuesday und jedem Vorschau-Update die ersten 48 bis 72 Stunden im Testring aktiv, bevor Sie die breite Verteilung freigeben.

1. Reagieren Sie auf Out-of-Band-Updates und kritische Edge-Patches ausserhalb des normalen Rhythmus mit beschleunigter Prüfung und Freigabe, da diese meist aktiv ausgenutzte Schwachstellen schliessen.

1. Dokumentieren Sie bekannte Regressionen wie den Einfügefehler im September-2026-Sicherheitsupdate für Excel 2016 (KB5002914) und kommunizieren Sie Workarounds, bis ein Korrektur-Update vorliegt.

1. Führen Sie nach jedem Patchzyklus eine kurze Nachbesprechung durch: Was lief gut, wo hat der Testring eine Regression gefunden, wo nicht.

Die Kostenseite

Über fünf Jahre unterscheiden sich die drei Wege vor allem im Personalaufwand, weniger in Lizenzkosten, da WSUS als Windows-Server-Rolle meist bereits vorhanden ist und Intune-Update-Ringe in vielen Microsoft-365-Lizenzen enthalten sind. Windows Autopatch selbst verursacht keine separaten Zusatzkosten, setzt aber die passende Lizenzierung voraus, die ein KMU für Endpoint-Management ohnehin benötigt.

Annahme: Der Personalaufwand für manuelles WSUS-Management liegt in der Praxis oft bei mehreren Stunden pro Monat und Ring, während Autopatch diesen Aufwand grösstenteils auf die Überwachung von Berichten reduziert – konkrete Stundensätze publiziert Microsoft nicht, weshalb hier keine Zahl angegeben wird.

Risiken und Gegenargumente

Windows Autopatch bindet ein KMU stärker an Microsofts Automatisierungslogik und Lizenzmodell: Wer die Lizenzvoraussetzungen nicht ohnehin erfüllt, muss zusätzlich lizenzieren, was den Kostenvorteil relativiert. WSUS vor Ort bleibt zwar unabhängiger, bedeutet aber, dass die IT bei jedem Patch Tuesday selbst entscheiden und ausrollen muss – bei knappen Personalressourcen ein Ausfallrisiko, falls ein kritisches Update liegen bleibt. Der Verzicht auf einen Testring, also «so lassen», spart Aufwand, erhöht aber die Wahrscheinlichkeit, dass eine Regression wie der Excel-Einfügefehler vom September 2026 ungefiltert im ganzen Betrieb auftritt, bevor eine Korrektur verfügbar ist.

Compliance-seitig verlangt das revidierte Datenschutzgesetz (revDSG) keine spezifische Patch-Frist, wohl aber eine angemessene technische und organisatorische Absicherung – ungepatchte, aktiv ausgenutzte Schwachstellen wie die im September-2026-Patch-Tuesday geschlossenen Lücken im Windows-Update-Stack und im ALPC-Subsystem lassen sich damit schwer vereinbaren, wenn ein KMU sie über Wochen ungepatcht lässt. Wer auf Cloud-Automatisierung wie Autopatch setzt, gibt zudem einen Teil der Kontrolle über den genauen Rollout-Zeitpunkt ab; wer stattdessen manuell bleibt, trägt das volle Risiko selbst.

Ein weiterer Punkt betrifft die Nachvollziehbarkeit: Checkpoint-Updates und Hotpatch-Mechanismen verändern, wie ein Gerät als «aktuell» gilt, ohne dass sich am sichtbaren Patchstand auf den ersten Blick etwas ändert. IT-Verantwortliche sollten deshalb nicht allein auf die Versionsnummer schauen, sondern auf die tatsächlich installierten Sicherheitsinhalte, insbesondere wenn ein Audit oder eine Kundenanfrage den Patchstand belegen soll. Ausserdem bleibt WSUS technisch tragfähig, verlangt aber, dass jemand im Team die Genehmigungen tatsächlich regelmässig pflegt – ein verwaistes WSUS mit veralteten Genehmigungsregeln ist in der Praxis riskanter als gar kein WSUS.

Was das für Ihr KMU heisst

• Ein strukturierter Testring – ob über WSUS oder Intune – ist wichtiger als die Wahl des Werkzeugs selbst.

• Windows Autopatch lohnt sich vor allem, wenn die nötigen Lizenzen ohnehin vorhanden sind.

• Out-of-Band- und Edge-Updates brauchen einen eigenen, schnelleren Freigabeprozess ausserhalb des Monatsrhythmus.

• Bekannte Regressionen wie der Excel-Einfügefehler zeigen: Ein Testring vor der breiten Verteilung zahlt sich aus.