Windows 10/11 und Windows Server 2016/2019/2022 Gruppenrichtlinien-Einstellungen für Windows-Updates richtig setzen

Einstellungen für Windows-Update lassen sich in Active-Directory-Umgebungen mit Gruppenrichtlinien verteilen. Das gilt auch für neue Einstellungen in Windows 11 oder Windows Server 2022. Wir zeigen, was bei den einzelnen OS-Derivaten möglich ist.

Wir zeigen in diesem Beitrag verschiedene Einstellungen, die für Windows-Updates in Windows 10/11 relevant sind. Dabei sollten Admins aber auch den Beitrag „Why you shouldn’t set these 25 Windows policies“ berücksichtigen. Diese Einstellungen sollten für aktuelle Windows-Versionen nicht mehr eingesetzt werden.

Die Einstellungen für Windows-Updates lassen sich in lokalen Richtlinien und in Gruppenrichtlinien setzen. Die Einstellungen dazu sind im lokalen Editor (gpedit.msc) oder der Gruppenrichtlinienverwaltungskonsole (gpmc.msc) vorzunehmen. In der Gruppenrichtlinienverwaltungskonsole wird dazu eine neue Richtlinie erstellt oder eine vorhandene geöffnet, die sich anschließend bearbeiten lässt.

Bildergalerie

Bildergalerie mit 5 Bildern

Die Konfiguration der automatischen Updates in den Gruppenrichtlinien nehmen Sie in der Gruppenrichtlinienverwaltung unter „Computerkonfiguration/Richtlinien/Administrative Vorlagen/Windows-Komponenten/Windows Update“ vor. Microsoft stellt die aktuellen Vorlagen dazu kostenlos zum Download zur Verfügung. Damit Sie die neuen ADMX-Dateien in das Verzeichnis „C:/Windows/PolicyDefinitions“ auf den Domänencontrollern kopieren können, müssen Sie unter Umständen den Besitzer des Verzeichnisses und die Berechtigungen anpassen.

Quelle für die Updates steuern und festlegen der automatischen Installation

Für die Updatesteuerung muss zunächst festgelegt werden, woher der entsprechende Computer seine Updates beziehen soll. Die Option dazu ist „Internen Pfad für den Microsoft Updatedienst angeben“, wenn WSUS zum Einsatz kommt. Sollen die Rechner ihre Updates direkt von Microsoft beziehen, ist hier keine Anpassung notwendig. Die zweite wichtige Option ist das Updateverhalten, das Sie über „Automatische Updates konfigurieren“ festlegen. Dabei stehen folgende Möglichkeiten zur Verfügung:

• Vor Herunterladen und Installation benachrichtigen – Mit dieser Option benachrichtigt Windows vor dem Download und vor der Installation der Updates. Dazu blendet das Betriebssystem ein Symbol in der Taskleiste ein.

• Autom. Herunterladen, aber vor Installation benachrichtigen – Mit dieser Option führt der Client automatisch den Download der Updates durch, eine Installation findet aber nicht automatisch statt. Diese Einstellung ist optimal für Server.

• Autom. Herunterladen und laut Zeitplan installieren – Mit dieser Installation versorgt sich der Client vollkommen automatisch mit den notwendigen Updates. Wenn die Clients zum Zeitpunkt der Aktualisierung nicht eingeschaltet sind, startet Windows beim nächsten Start die Aktualisierung.

• Lokalen Administrator ermöglichen, Einstellung auszuwählen – Mit dieser Option lassen Sie zu, dass lokale Administratoren lokale Einstellungen selbst anpassen können.

Erweiterte Steuerung von Windows-10/11-Updates mit Gruppenrichtlinien

Windows 10/11 bietet die Möglichkeit, dass Sie im Netzwerk über Gruppenrichtlinien Ablaufzeiten definieren können, bis zu denen ein Update spätestens blockiert werden kann und danach automatisch installiert wird. Ab dem Zeitraum muss Windows das Update installieren. Auch das lässt sich automatisieren.

Die Einstellung finden Sie über „Stichtage für automatische Updates und Neustarts angeben“ im Pfad „Computerkonfiguration/Administrative Vorlagen/Windows-Komponenten/Windows Update“. Sie können für Featureupdates und Qualitätsupdates unterschiedliche Zeiträume definieren. Zusätzlich lassen sich Compliance-Fristen einsetzen, um das Verhalten von Windows-Rechnern bei der Installation von Featureupdates, Qualitätsupdates und Nicht-OS-Updates zu konfigurieren. Beispiele dafür sind:

• Qualitätsupdates (Tage): Zulässige Werte 2–30 Tage | Standardwert 7 Tage

• Featureupdates (Tage): Zulässige Werte 2–30 Tage | Standardwert 7 Tage

• Karenzfrist (Tage): Akzeptierte Werte 0–7 Tage | Standardwert 2 Tage

Erkennen Windows-10/11-Rechner, dass die Installation von Updates zurückgestellt ist, wird zusätzlich noch bei Microsoft-Update überprüft, ob Updates für einen Rechner zur Verfügung stehen. Anwender können in der Einstellungs-App bei Microsoft nach Updates suchen, selbst wenn ein Rechner an WSUS angebunden ist. Dazu steht der Link „Suchen Sie online nach Updates von Microsoft Update“ zur Verfügung.

Der Link kann über Gruppenrichtlinien ausgeblendet werden. Die Einstellung dazu finden Sie über „Computereinstellungen/Richtlinien/Administrative Vorlagen/System/Internetkommunikationsverwaltung/Internetkommunikationseinstellungen“. Sie aktivieren dazu die Option „Zugriff auf alle Windows Update-Funktionen deaktivieren“. Ebenfalls wichtig ist noch die Einstellung „Keine Richtlinien für Updaterückstellungen zulassen, durch die Windows Update überprüft wird“ unter „Computerkonfiguration/Richtlinien/Administrative Vorlagen/Windows-Komponenten/Windows Update“.

Sicherheit in Office 2021 mit GPOs einstellen

Gruppenrichtlinien lassen sich auch auf Basis der neuen ADMX-Dateien für Office 2021 umsetzen. Diese stehen bei Microsoft auf der Seite zum Download zur Verfügung. Die Vorlagen lassen sich übrigens auch für die Bereitstellung von Gruppenrichtlinien für Office 2016/2019 nutzen. Dazu müssen die Vorlagen auf den Domänencontrollern oder dem entsprechenden Speicherplatz zur Verfügung gestellt werden, genauso wie andere ADMX-Dateien auch.

Innerhalb der Richtlinie finden Sie die Einstellungen von Office über „Computerkonfiguration/Richtlinien/Administrative Vorlagen“ und „Benutzerkonfiguration/Richtlinien/Administrative Vorlagen“. Über die Gruppenrichtlinien setzen Sie auch Sicherheitseinstellungen für die verschiedenen Office-Programme. Auch die Steuerung von Updates spielt hier eine wichtige Rolle. Diese konfigurieren Sie über „Computerkonfiguration/Richtlinien/Administrative Vorlagen/Aktualisierungen“. Auf der rechten Seite starten Sie die generelle Aktualisierung von Office über Windows-Update mit „Automatische Updates aktivieren“. Zusätzlich können Sie die Optionen „Option zum Aktivieren oder Deaktivieren von Updates ausblenden“ sowie „Updatebenachrichtigungen ausblenden“ aktivieren.

(ID:48764565)