Support, Deployment und Updateverteilung laufen jetzt anders Migration von Windows 10 zu Windows 11: Das ändert sich für Admins

Windows 11 ersetzt nicht nur Windows 10, sondern verändert zentrale Verwaltungsprozesse. Neue Lizenzmodelle, andere Updateverfahren und der Wegfall etablierter Deployment-Tools zwingen IT-Abteilungen zur Anpassung. Der Text zeigt, was Admins bei der Migration technisch beachten müssen.

Das Deployment unterscheidet sich technisch kaum von Windows 10. Inplace-Upgrades und klassische Wipe-and-Load-Szenarien bleiben möglich. Vorhandene Antwortdateien sind vielfach weiterhin nutzbar. Allerdings gelten einige Tools als veraltet. Das Microsoft Deployment Toolkit (MDT) wird nicht mehr weiterentwickelt, ebenso sind Einschränkungen bei den Windows Deployment Services (WDS) zu beachten. Letztere verhindern teilweise den PXE-Boot von Windows-11-Medien. Der Einsatz alternativer Werkzeuge wie OSDCloud kann eine sinnvolle Möglichkeit sein, die Bereitstellung von Windows 11 zu automatisieren. Das Windows Assessment and Deployment Kit (ADK) und Windows PE bleiben als technische Grundlage erhalten.

Cloudbasiertes Deployment mit OSDCloud

OSDCloud ist ein modulares PowerShell-Framework für die automatisierte Bereitstellung von Windows 10 und 11 x64 über das Internet. Es setzt auf eine angepasste WinPE-Umgebung, die per ADK erstellt wird und mit Komponenten wie .NET, PowerShell, curl und unterstützenden Paketen vorkonfiguriert ist. Nach dem Start von WinPE initialisiert OSDCloud das Setup entweder über eine GUI oder per Skript. Die Betriebssystem-Images werden standardmäßig direkt von Microsoft heruntergeladen, alternativ lassen sich eigene WIM-Dateien aus Netzwerkfreigaben, Webservern oder Azure Storage einbinden.

Bildergalerie

Bildergalerie mit 10 Bildern

Treiberpakete von Dell, Lenovo und HP lassen sich automatisch integrieren, bei nicht unterstützter Hardware greift das System auf Microsoft Update zurück. Die Erstellung des WinPE-Datenträgers erfolgt über Workspaces mit individuell konfigurierbaren Templates. Der Prozess umfasst das Mounten und Modifizieren der WinPE-Images, etwa zur Integration von Startparametern, WLAN-Profilen, PowerShell-Modulen oder Startskripten. Mit zusätzlichen Cmdlets wie „Start-OOBEDeploy“ lassen sich auch OOBE-Abläufe teilautomatisieren. OSDCloud verzichtet vollständig auf lokale Infrastrukturkomponenten wie MDT oder WDS und eignet sich damit besonders für dynamische Rollouts in verteilten Netzwerken oder bei Hardware ohne vordefinierte Images.

Datei- und Einstellungsmigration über neue Bordmittel

Microsoft testet derzeit eine neue PC-zu-PC-Migrationsfunktion, die die Übertragung von Dateien und benutzerspezifischen Einstellungen zwischen zwei Windows-Installationen ermöglicht. Die Kopplung erfolgt über lokale Netzwerke und wird durch einen Pairing-Code gesteuert. Die Funktion integriert sich in den Out-of-Box-Experience-Prozess (OOBE) neuer Windows-11-Geräte und verlangt ein Microsoft-Konto ohne bestehende Sicherung. Anwendungen, Passwörter und systemnahe Dateien werden nicht übernommen. Die Funktion ersetzt keine Systemmigration, sondern dient der Ergänzung im Rahmen von Arbeitsplatzwechseln.

Updateverteilung mit neuen Mechanismen

Windows 11 verändert den Updateprozess auf mehreren Ebenen. Neben dem etablierten jährlichen Feature-Update führt Microsoft ein kontinuierliches Update-Modell ein, bei dem Funktionen im Rahmen der monatlichen Patches ausgeliefert werden, aber standardmäßig deaktiviert bleiben. Über Gruppenrichtlinien lassen sich diese Funktionen gezielt aktivieren. Die Supportdauer für Updates verlängert sich, für Windows 11 Pro beträgt sie nun 24 Monate, für Enterprise 36 Monate.

Ein signifikanter Unterschied liegt im Einsatz von Checkpoint Cumulative Updates ab Version 24H2. Diese erlauben eine inkrementelle Update-Logik auf Basis definierter Baselines, wodurch das Downloadvolumen reduziert und die Verteilung vereinfacht wird. Gleichzeitig erhöht sich die Frequenz der Patchzyklen.

Hybrid-Bereitstellung von Microsoft Exchange SE

Exchange SE mit Microsoft 365 und Entra ID betreiben

Hotpatching und Quick Machine Recovery in Windows 11

Mit Hotpatching führt Microsoft in Windows 11 24H2 ein Verfahren ein, bei dem sicherheitsrelevante Kernel-Updates ohne Reboot installiert werden. Die Technik ersetzt zur Laufzeit bestimmte Kernel- und Systemkomponenten im Arbeitsspeicher und reduziert so die Zahl der erforderlichen Neustarts deutlich. Technisch erfolgt die Absicherung über Kernel Mode Code Integrity (KMCI), Virtual Secure Mode (VSM) und Trusted Boot.

Hotpatching ist ausschließlich für Systeme mit Windows 11 Enterprise E3/E5, Education A3/A5 und Windows 365 Enterprise verfügbar und erfordert die Aktivierung von Virtualization-Based Security. Die Verwaltung erfolgt über Intune mittels spezieller Richtlinien für Qualitätsupdates. Monatlich erscheinen zwei Hotpatches und ein Baseline-Update, das einen Reboot erfordert. Die Hotpatches sind kumulativ und bauen auf dem letzten Baseline-Paket auf, weshalb eine Rückkehr in den gültigen Patch-Zyklus im Fehlerfall nur über vollständige Aktualisierung möglich ist. ARM-basierte Systeme sind derzeit nur eingeschränkt kompatibel.

Ergänzend bietet Windows 11 mit Quick Machine Recovery eine Mechanik zur automatisierten Systemreparatur bei Bootproblemen. Die Funktion erweitert das klassische Windows Recovery Environment (WinRE) um cloudgestützte Reparaturroutinen, die über Windows Update passende Korrekturen identifizieren und installieren. Voraussetzung ist eine Netzwerkverbindung während der Wiederherstellungsphase, wobei auch WLAN unterstützt wird. Die Konfiguration erfolgt wahlweise über reagentc mit XML-Definitionen oder zentral über Microsoft Intune. Quick Machine Recovery unterscheidet zwischen Cloud Remediation und Auto Remediation und kann mehrfach wiederholt ausgeführt werden. Die Funktion adressiert insbesondere wiederholte Startfehler und zielt darauf ab, manuelle Eingriffe bei der Fehlerbehebung zu minimieren.

Windows Server 2025 kommt mit neuen Gruppenrichtlinien

Windows 11 und Windows Server 2025 mit GPOs absichern

Gruppenrichtlinien und WSUS in Windows 11 24H2 neu strukturiert

Mit Windows 11 24H2 hat Microsoft die Gruppenrichtlinienarchitektur erweitert und differenziert. Die bislang kombinierte Richtlinie zur Steuerung von Update-Stichtagen wurde in zwei getrennte Policies aufgeteilt, jeweils für Qualitäts- und Feature-Updates. Ergänzend stehen neue Richtlinien zur Verfügung, mit denen sich optionale Updates automatisch installieren und neue Funktionen vorzeitig aktivieren lassen. Diese granularere Steuerung verbessert die Planbarkeit von Rollouts in verwalteten Umgebungen. Für WSUS erfordert Windows 11 eine gesonderte Produktkategorie, wobei LTSC-Varianten nicht mehr separat ausgewiesen werden. Die Basiskategorie „Windows 11“ muss in jedem Fall aktiviert werden.

Darüber hinaus stellt Microsoft mit 24H2 überarbeitete ADMX-Vorlagen zur Verfügung, die neue Funktionen wie Virtual Based Security, Windows Protected Print oder die SMB-Härtung zentral steuerbar machen. Delegierte verwaltete Dienstkonten (dMSA) lassen sich ebenfalls über Gruppenrichtlinien aktivieren. Das Security Compliance Toolkit bietet aktualisierte Baselines, darunter auch die Vorlage „Windows 11 v24H2 Security Baseline.zip“, die sich über GPOs oder Intune verteilen lässt. Neue Richtlinienbereiche betreffen unter anderem die NTLM-Deaktivierung, spezifische SMB-Protokollversionen und Sudo-Verhalten. Auch Microsoft Defender erhält erweiterte Konfigurationsoptionen für EDR-Modi, Geräteklassenausnahmen und ASR-Regeln. Für strukturierte Härtungsszenarien kann zusätzlich das Open-Source-Modul „Harden Windows Security“ genutzt werden, das GPOs, Intune-Einstellungen und lokale Richtlinien zusammenführt und skriptfähig implementiert.

Erweiterte Systemanforderungen und Richtlinienintegration für Windows 11

Die Migration zu Windows 11 erfordert nicht nur strategische Planung auf Infrastruktur- und Richtlinienebene, sondern auch die präzise Prüfung technischer Voraussetzungen auf Seiten der Endgeräte.

Die Mindestanforderungen umfassen: einen 64-Bit-Prozessor mit zwei oder mehr Kernen, TPM 2.0, UEFI mit aktiviertem Secure Boot, 4 GB RAM und 64 GB Speicher. Zusätzlich fordert Microsoft eine DirectX-12-kompatible GPU mit WDDM-2.0-Treiber und ein Display mit mindestens 720p bei 9 Zoll und 8 Bit Farbtiefe. Geräte mit Windows 10 müssen Version 2004 oder neuer ausführen.

Die Erstkonfiguration von Home- und Pro-Editionen erfordert zwingend eine Internetverbindung und ein Microsoft-Konto. Für Copilot+ PCs gelten nochmals erhöhte Anforderungen, darunter NPUs mit über 40 TOPS, 16 GB DDR5-RAM und mindestens 256 GB SSD.

(ID:50563367)