Windows-Patchday ohne Login-Ausfall: Updates in Stufen ausrollen

Am Morgen nach dem Patchday melden sich die ersten Mitarbeiter: Die Anmeldung am Rechner klappt nicht mehr. Genau das beschreibt heise aktuell für die Sicherheitsupdates vom September-Patchday – Domain-Nutzer werden unter bestimmten Bedingungen ausgesperrt. Welche Konfigurationen betroffen sind und wie Microsoft reagiert, sollten Sie in der offiziellen Windows-Release-Health-Übersicht nachlesen, denn der Stand ändert sich. Für KMU in Dresden und ganz Sachsen zeigt der Fall vor allem eines: Der Windows Patchday ist ein Betriebsrisiko, das sich mit einem geordneten Rollout gut beherrschen lässt.

Das eigentliche Problem: Alle Systeme gleichzeitig

Nicht der Patch an sich ist der Fehler in der Organisation, sondern das Vorgehen. In vielen kleinen Firmen installieren alle Clients und Server die Updates am selben Tag, oft automatisch über die Standardeinstellungen. Ist ein Patch fehlerhaft, ist er es dann überall zugleich.

Gleichzeitig ist das Gegenteil keine Lösung: Wer Sicherheitsupdates wochenlang liegen lässt, lässt bekannte Lücken offen. Wie Sie Patches grundsätzlich organisieren, haben wir im Beitrag zum Patch Management für KMU beschrieben. Hier geht es um den Teil, der bei einer Panne wie dieser den Unterschied macht: die Staffelung.

Warum Anmeldeprobleme so teuer sind

Ein Update, das eine Anwendung stört, betrifft einen Arbeitsplatz oder eine Abteilung. Ein Update, das die Anmeldung in der Domäne stört, betrifft alle. Ohne Login kein Zugriff auf Dateiserver, Mailprogramm, Fachanwendung. Besonders unangenehm wird es, wenn zugleich Domänencontroller betroffen sind, weil Sie dann nicht einmal mit einem Domänenkonto eingreifen können. Notebooks mit zwischengespeicherten Anmeldedaten laufen zwar oft noch, aber nur solange niemand das Passwort ändern muss oder sich neu anmeldet.

Aus dem Grund lohnt sich, Domänencontroller und Clients getrennt zu betrachten. Grundlagen zur Absicherung der Domäne finden Sie im Beitrag zu Active Directory absichern.

Update-Ringe: Das Prinzip

Ein Update-Ring ist eine Gruppe von Geräten, die Updates zu einem festgelegten Zeitpunkt erhält. Statt einem Termin gibt es mehrere:

Die Tage sind ein Richtwert, keine Vorschrift. Kritische Sicherheitslücken, die bereits aktiv ausgenutzt werden, rechtfertigen einen deutlich schnelleren Ablauf – dann verkürzen Sie die Ringe, statt sie zu überspringen.

Schritt für Schritt: Staffelung einrichten

1. Geräte in Gruppen einteilen

Legen Sie im Active Directory Sicherheitsgruppen oder Organisationseinheiten pro Ring an, zum Beispiel Patch-Ring-0 bis Patch-Ring-2. Wichtig ist, dass mindestens ein Testgerät wirklich so konfiguriert ist wie die Arbeitsplätze im Alltag: gleiche Domäne, gleiche Richtlinien, gleiche Software. Ein leerer Test-PC ohne Gruppenrichtlinien findet den Fehler nicht.

2. Zurückstellung per Gruppenrichtlinie steuern

Über Windows Update for Business lassen sich Qualitätsupdates per Gruppenrichtlinie zurückstellen. Sie finden die Einstellung unter Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → Windows Update → Windows Update for Business. Pro Ring verknüpfen Sie eine eigene Richtlinie mit unterschiedlichem Zurückstellungszeitraum. Wer noch einen WSUS betreibt, kann stattdessen Genehmigungen pro Computergruppe vergeben; beachten Sie dabei, dass Microsoft WSUS nicht mehr weiterentwickelt und Sie mittelfristig eine Alternative einplanen sollten.

3. Domänencontroller einzeln patchen

Haben Sie zwei Domänencontroller, patchen Sie nie beide am selben Abend. Erst ein Controller, danach prüfen Sie, ob Anmeldung, Replikation und DNS funktionieren, und erst dann folgt der zweite. So bleibt im Ernstfall ein funktionierender Controller übrig. Prüfen lässt sich das zum Beispiel mit:

dcdiag /q
repadmin /replsummary

Bei virtuellen Domänencontrollern gehört ein Snapshot oder eine aktuelle Sicherung vor den Patch. Beachten Sie bei Snapshots von Domänencontrollern die Hinweise Ihrer Virtualisierungsplattform zur Replikation, damit kein inkonsistenter Zustand zurückgespielt wird.

4. Ein Notzugang außerhalb der Domäne

Legen Sie pro wichtigem Server und für einen IT-Arbeitsplatz ein lokales Administratorkonto mit eigenem, langem Passwort an – idealerweise mit einer Lösung wie Microsoft LAPS, die pro Gerät ein anderes Passwort vergibt. Das Passwort gehört in Ihren Passwortmanager. Wenn die Domänenanmeldung ausfällt, ist das oft der einzige Weg, ein Update wieder zu entfernen.

5. Rückweg vorher klären

Testen Sie im Pilotring, wie sich ein Update deinstallieren lässt. Installierte Updates zeigt PowerShell an:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

Ob sich ein Paket per wusa /uninstall entfernen lässt oder nur per DISM /Online /Remove-Package, hängt von der Art des Updates ab. Probieren Sie das vor dem Ernstfall aus und dokumentieren Sie den Ablauf. Beachten Sie außerdem: Ein zurückgenommenes Sicherheitsupdate bedeutet, dass die zugehörigen Lücken wieder offen sind. Die Deinstallation ist eine Überbrückung, kein Dauerzustand.

6. Herstellerinformationen einbeziehen

Microsoft dokumentiert bekannte Probleme pro Update in der Release-Health-Übersicht. Wer nach dem Patchday zwei, drei Tage wartet und dort nachliest, bevor er Ring 2 freigibt, erspart sich vieles. Das lässt sich in den Ablauf einbauen: Freigabe für Ring 2 erst, wenn Ring 0 und 1 ohne Auffälligkeiten liefen und keine passenden Einträge zu bekannten Problemen vorliegen.

Was bei einer Panne zu tun ist

1. Ruhe bewahren, nicht weiter verteilen. Ringe, die noch nicht gepatcht sind, bleiben zurückgestellt.
2. Umfang klären. Betrifft es nur Clients, nur Server oder Domänencontroller? Nur bestimmte Konten?
3. Quelle prüfen. Release Health, Herstellerhinweise, Meldungen der Fachpresse.
4. Workaround oder Rücknahme abwägen. Gibt es eine offizielle Umgehung, ist sie meist besser als eine Deinstallation.
5. Ergebnis dokumentieren. Was hat funktioniert? Das gehört in Ihren IT-Notfallplan – eine Vorlage liefert unsere Checkliste zum IT-Notfallplan.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU in Dresden, Sachsen und ganz Ostdeutschland dabei, den Windows Patchday planbar zu machen: Wir richten Update-Ringe und Gruppenrichtlinien ein, betreuen Domänencontroller und Server und sorgen dafür, dass ein Rückweg dokumentiert und getestet ist. Sprechen Sie uns an, wenn Sie ein Konzept wünschen, das zu Ihrer Firmengröße passt.

Häufige Fragen zum Windows Patchday

Soll ich Updates lieber ein paar Wochen liegen lassen? Nein. Ein Aufschub von wenigen Tagen mit Test im Pilotring ist sinnvoll, mehrere Wochen ohne Sicherheitsupdates nicht. Werden Lücken bereits aktiv ausgenutzt, sollten Sie schneller patchen als üblich.

Reicht bei kleinen Firmen nicht ein einziger Testrechner? Für Firmen mit fünf bis zwanzig Arbeitsplätzen genügen oft zwei Ringe: ein Pilotgerät plus IT-Arbeitsplatz zuerst, dann alle übrigen. Wichtig ist, dass das Testgerät realistisch konfiguriert ist und Sie die Ergebnisse tatsächlich prüfen.

Was passiert, wenn sich niemand mehr an der Domäne anmelden kann? Ein lokales Administratorkonto oder ein zweiter, noch nicht gepatchter Domänencontroller verschafft Ihnen Handlungsspielraum. Ohne einen solchen Notzugang bleibt oft nur der Weg über Wiederherstellungsmedien oder ein Backup.

Kann ich Updates komplett automatisch installieren lassen? Für einzelne Arbeitsplatzgeräte ist das vertretbar, wenn Sie über Ringe und Zurückstellung steuern. Domänencontroller und Server sollten Sie kontrolliert und außerhalb der Arbeitszeit patchen.

Hilft ein Backup gegen fehlerhafte Updates? Ja, aber nur, wenn Sie die Wiederherstellung schon einmal getestet haben. Eine Sicherung, die sich nicht zurückspielen lässt, ist im Ernstfall wertlos. Wie Sie das aufsetzen, steht in unserer 3-2-1-Backup-Strategie für KMU.