Updates ohne Neustart: So funktioniert's, das sind die Vorteile Was bringt Hotpatching in Windows Server 2025

Mit Windows Server 2025 profitieren alle Editionen von der Möglichkeit, Updates zu installieren, ohne den Server neu starten zu müssen. Wir zeigen die Möglichkeiten, nennen Vorteile und sagen, ob sich der Einsatz lohnt.

Bereits mit Windows Server 2022 hat Microsoft in der Datacenter Azure Edition die Möglichkeit geschaffen einzelne Updates mit der Hotpatch-Funktion zu installieren. In Windows Server 2025 profitieren jetzt alle Editionen von Hotpatching. Das gilt auch für Core-Server und Server mit grafischer Oberfläche (Desktop Experience). Diese Technologie modifiziert den im Arbeitsspeicher befindlichen Code laufender Prozesse direkt, wodurch die Notwendigkeit eines Neustarts entfällt. Ein wesentlicher Vorteil besteht in der Reduzierung von Ausfallzeiten, da Server kontinuierlich betriebsbereit bleiben und Sicherheitsupdates zeitnah implementiert werden können.

Allerdings gibt es eine Reihe von Einschränkungen. Denn es ist nicht so, dass alle Windows-Updates nach Aktivierung der Funktion per Hotpatch installiert werden, und damit Neustarts nicht mehr notwendig sind. Es unterstützen nur einige Updates diese Technik, in Zukunft vermutlich vor allem die Updates des regelmäßigen Patchdays. Da nicht alle Updates die Funktion unterstützen, sind auch in Zukunft Neustarts notwendig, sodass sich der Nutzen durchaus relativiert. Das sind aber noch nicht alle Einschränkungen.

Bildergalerie

Bildergalerie mit 5 Bildern

Hotpatching erfordert nach wie vor Microsoft Azure

In Windows Server 2022 war für den Einsatz von Hotpatching die Datacenter Azure Edition notwendig. Diese musste in Azure oder Azure Stack HCI betrieben werden. Zwar lässt sich Hotpatching in Zukunft auch in lokalen Rechenzentren in den Editionen Standard und Datacenter nutzen, dennoch ist eine Anbindung an Azure notwendig. Um Hotpatching nutzen zu können, müssen Admins zunächst Virtual Based Security (VBS) in Windows Server 2025 aktivieren. Das geht zum Beispiel über den Bereich "Sicherheit -> Secure Core" im Windows Admin Center.

Für die eigentliche Konfiguration von Hotpatching kommen aber keine Gruppenrichtlinien oder Einstellungen in Windows-Update zum Einsatz, sondern das Azure-Portal. Zunächst müssen Admins den vorinstallierten Assistenten für Azure Arc auf dem Server durcharbeiten und damit den Server an Azure anbinden. Wer das nicht will, kann Hotpatching nicht nutzen. Eine weitere Einschränkung besteht darin, dass Hotpatching nicht kostenlos ist, sondern im Abo genutzt werden muss. Es ist daher ein Azure-Abonnement notwendig und zusätzlich werden Abo-Kosten für das Hotpatching fällig. Unternehmen, die auf Azure Stack HCI setzen, oder Windows-Server in Azure betreiben, erhalten Hotpatching kostenlos.

Sobald der Azure Arc-Assistent durchgearbeitet ist, lässt sich Hotpatching über wenige Klicks im Objekt des Servers innerhalb von Azure aktivieren. Es stehen keine Einstellungs- oder Benachrichtigungsfunktionen zur Verfügung. Im Grunde genommen aktiviert man Hotpatching und überprüft danach in Windows-Update ab und zu, ob Updates über diesen Weg installiert wurden. In den meisten Fällen eignet sich die Funktion daher vor allem für hochverfügbare Cluster in größeren Umgebungen, eher weniger für KMU.

Architektur und Umsetzung von Hotpatching in Windows Server 2025

Die gepatchten Codeabschnitte werden in einen separaten Speicherbereich geladen, ohne die Originaldateien auf der Festplatte direkt zu modifizieren. Das Betriebssystem leitet alle Aufrufe des alten Codes auf die neuen Speicherbereiche um. Der Betriebssystem-Kernel überwacht die betroffenen Speicherbereiche und implementiert sogenannte Hooks, die sicherstellen, dass der neue Code nahtlos integriert wird. Vor dem Laden der Hotpatch-Dateien erfolgt eine Validierung mittels kryptographischer Signaturen. Diese stellt sicher, dass nur von Microsoft signierte und geprüfte Patches geladen werden. Microsoft nutzt für Hotpatching die Page Table Entries (PTE), um alte Speicheradressen auf die neuen Bereiche umzuleiten. Das verhindert Konflikte mit anderen Prozessen und garantiert Stabilität.

Anstatt komplette Bibliotheken austauschen zu müssen, erlaubt die überarbeitete Architektur das Patchen einzelner Funktionen innerhalb einer Bibliothek. Dies führt zu einer deutlichen Reduktion der Update-Größe. Darüber hinaus unterstützt Hotpatching sicherheitskritische Kernel-Treiber, die in früheren Versionen einen Neustart erforderlich machten. Diese erweiterte Kernel-Unterstützung verbessert die Effizienz und Flexibilität der Update-Prozesse erheblich.

Ein weiteres technisches Highlight ist die Speicheroptimierung. Alte Code-Segmente verbleiben so lange im Speicher, wie Abhängigkeiten bestehen, und werden erst nach einer festgelegten Zeit entfernt. Dieses Vorgehen minimiert das Risiko von Abstürzen laufender Prozesse. Zusätzlich profitieren Administratoren von einer verbesserten Integration mit Monitoring-Tools.

Der typische Workflow für ein Hotpatch-Update beginnt mit der Bereitstellung über das Windows Update System. Nach dem Download analysiert der Server das Update, validiert die Signaturen und lädt die neuen Komponenten in den Speicher. Anschließend setzt der Kernel Hooks, die alle relevanten Systemaufrufe auf die neuen Codeabschnitte umleiten. Ein Integritätscheck stellt sicher, dass die Änderungen korrekt übernommen wurden. Schließlich werden alte Code-Segmente nach einer bestimmten Zeit aus dem Speicher entfernt, sofern keine Abhängigkeiten mehr bestehen.

Trotz dieser Vorteile stößt Hotpatching auch an Grenzen. In komplexen Umgebungen können Abhängigkeiten zwischen Komponenten zu Problemen führen, wenn mehrere interdependente Teile nicht gleichzeitig gepatcht werden können. Zusätzlich entsteht durch die eingesetzten Hooks und Speicherumleitungen in manchen Szenarien ein leichter Performance-Overhead, der zu einer erhöhten CPU- und Speicherbelastung führen kann. Zudem lassen sich nicht alle Updates als Hotpatch umsetzen. Änderungen an grundlegenden Boot-Komponenten erfordern weiterhin einen Neustart.

Hotpatching-Updates beim Neustart des Servers

Die Hotpatch-Updates, die bisher nur im Arbeitsspeicher aktiv waren, werden dauerhaft in das Betriebssystem integriert, wenn der Server neu startet. Dabei werden die aktualisierten Komponenten, die temporär im Speicher geladen waren, mit den entsprechenden Dateien auf der Festplatte synchronisiert. Somit wird der gepatchte Zustand auch nach dem Neustart beibehalten. Nach dem Neustart entfernt das System alle Hooks und Umleitungen, die während des laufenden Betriebs für die Hotpatches eingerichtet wurden. Dies geschieht, da die neuen Versionen der Komponenten nun direkt als primäre ausführbare Dateien vorliegen und keine Umleitungen mehr erforderlich sind.

Bei sicherheitskritischen Updates des Kernels oder Treibern, die zwar im laufenden Betrieb gepatcht, aber noch nicht vollständig aktiv waren, lädt das System die neuen Versionen beim Neustart. Diese werden dann direkt als Teil des Boot-Prozesses initialisiert. Sollte ein Hotpatch-Update fehlerhaft sein oder Inkompatibilitäten verursachen, bietet der Neustart eine Möglichkeit, das System in einen stabilen Zustand zurückzusetzen. Über Rollback-Mechanismen, die von Windows Server bereitgestellt werden, können vorherige Versionen wiederhergestellt werden.

Verkürzte Wartungsfenster und beschleunigte Installation von Updates

Die Vorteile von Hotpatching liegen natürlich in der geringeren Anzahl von Neustarts und kleineren Updates. Wartungsfenster werden verkürzt und Updates schneller installiert, weil sie kleiner sind. Im Rahmen des Hotpatching unterbricht Windows keine Dienste, sodass diese weiterlaufen, obwohl Updates installiert wurden. Je mehr Server im Einsatz sind, desto eher lohnt sich Hotpatching durch die Gesamtzahl der reduzierten Zeitspannen bei Updates. Große Netzwerke können daher durchaus von der neuen Funktion profitieren.

(ID:50281380)