So blockieren Sie bestimmte Windows-Updates, ohne ganze Patch-Zyklen anzuhalten

Microsoft veröffentlicht monatlich kumulative Updates, doch nicht jeder Patch lässt sich bedenkenlos sofort ausrollen. Manche Updates legen Anwendungen lahm, stören Arbeitsabläufe oder führen auf Client-Geräten zu Stabilitätsproblemen. MSPs und IT-Administrator:innen brauchen deshalb oft eine Möglichkeit, ein bestimmtes Windows-Update zu blockieren, während der übrige Patch-Zyklus planmäßig weiterläuft. Jedes Windows-Update ist über eine eindeutige Knowledge-Base-Nummer (KB-Nummer) gekennzeichnet. So lässt sich gezielt nur der problematische Patch blockieren.

Einen kompakten visuellen Überblick bietet unser Video-Leitfaden So blockieren Sie bestimmte Windows-Updates, ohne ganze Patch-Zyklen anzuhalten.

Anleitung: Ein bestimmtes Windows-Update blockieren, ohne Patch-Zyklen anzuhalten

Mit Werkzeugen wie PowerShell, Gruppenrichtlinien, Registry-Änderungen und RMM-Skripting stoppen Sie gezielt problematische KBs, ohne Windows Update komplett zu pausieren. So bleiben Ihre Endpunkte mit den neuesten Fixes abgesichert, während bekannt fehlerhafte Patches keine Ausfallzeit verursachen.

📌 Voraussetzungen:

• Auf den Geräten muss Windows 11 oder Windows Server 2016, 2019, 2022 beziehungsweise neuer laufen.
• Sie benötigen Administratorrechte auf lokalen oder entfernten Endpunkten, um Updates zu blockieren oder zurückzustellen.
• PowerShell 5.1 oder höher muss verfügbar sein, damit Skripte zum Aus- und Wiedereinblenden bestimmter KB-Updates ausgeführt werden können.
• Zugriff auf die Windows-Registry ist erforderlich, wenn Sie Update-Sperren manuell konfigurieren möchten.
• Die Gruppenrichtlinien-Verwaltungskonsole (GPMC) sollte in Domänenumgebungen verfügbar sein, um Update-Regeln in großem Maßstab durchzusetzen.
• Optional lässt sich eine RMM-Plattform wie NinjaOne einsetzen, um Skripte bereitzustellen, Richtlinien durchzusetzen und blockierte Updates über alle Client-Geräte hinweg auszuwerten.

HINWEIS: Windows-11-Geräte mit Schutzmaßnahmen (Safeguard Holds) oder modernen Richtlinien zur Update-Orchestrierung können sich anders verhalten als ältere Windows-10-Wartungsabläufe. Prüfen Sie Update-Ausnahmen immer gegen Ihren aktuellen Wartungskanal und Ihre Update-Ring-Konfiguration.

Methode 1: Ein bestimmtes Windows-Update mit PowerShell blockieren

Mit PowerShell blenden Sie ein einzelnes problematisches KB aus, sodass es nicht installiert wird, während alle anderen Updates normal durchlaufen.

Voraussetzungen:

• Administratorrechte auf dem Endpunkt oder über Ihr RMM
• PowerShell 5.1 oder höher mit Internetzugang, um das Modul PSWindowsUpdate zu installieren
• Die exakte KB-Nummer, die Sie blockieren möchten

So blockieren Sie mit PowerShell ein bestimmtes Windows-Update:

1. Öffnen Sie PowerShell und installieren Sie das Modul mit diesem Befehl:

Install-Module PSWindowsUpdate -Force

2. Listen Sie anschließend mit diesem Befehl die ausstehenden Updates auf und bestätigen Sie die KB-Nummer:

Get-WindowsUpdate -MicrosoftUpdate

3. Blenden Sie danach mit diesem Code das betreffende KB aus (ersetzen Sie KB5000000 durch Ihr Ziel-KB), damit es nicht installiert wird:

Get-WindowsUpdate -KBArticleID KB5029263 | Hide-WindowsUpdate -Confirm:$false

4. Ausgeblendete Updates zeigen Sie so an:

Get-WindowsUpdate -IsHidden

5. Zum Wiedereinblenden verwenden Sie diesen Befehl:

Hide-WindowsUpdate -KBArticleID ‚KB5000000‘ -MicrosoftUpdate -Hide:$false -Confirm:$false

In restriktiven Unternehmensumgebungen kann der Zugriff auf die PowerShell Gallery gesperrt sein. Dann müssen Sie das Modul PSWindowsUpdate intern vorab bereitstellen oder vorübergehend ausgehenden Zugriff auf PSGallery erlauben.

Methode 2: Bestimmte Updates mit Microsofts Tool wushowhide.diagcab blockieren

Mit dem Tool wushowhide.diagcab blockieren Sie bestimmte Windows-Updates manuell, ohne den gesamten Patch-Zyklus anzuhalten. Für einzelne Rechner eignet es sich gut, für Automatisierung oder große Rollouts jedoch nicht.

Voraussetzungen:

• Sie benötigen lokale Administratorrechte auf dem Endpunkt.
• Das Tool wushowhide.diagcab muss von Microsoft heruntergeladen werden.

So verwenden Sie das Tool wushowhide.diagcab:

1. Laden Sie wushowhide.diagcab von der Microsoft-Website herunter.
2. Führen Sie das Tool aus und folgen Sie den Anweisungen auf dem Bildschirm, um nach verfügbaren Updates zu suchen.
3. Wählen Sie das problematische Update aus und klicken Sie auf „Update ausblenden“, um es zu blockieren.

Microsofts Dienstprogramm wushowhide.diagcab gilt als veraltet und funktioniert auf neueren Windows-11-Builds möglicherweise nicht zuverlässig. Microsoft empfiehlt inzwischen Windows Update for Business und Microsoft Intune.

Methode 3: Updates per GPO oder Registry blockieren (Beispiel Treiber)

Wenn ein Windows-Update immer wieder einen unerwünschten Treiber ausliefert, können Sie ihn über seine Hardware-ID blockieren. Das gelingt per GPO oder über die Registry.

Voraussetzungen:

• Administratorrechte und Zugriff auf die Gruppenrichtlinien-Verwaltungskonsole (bei Domänengeräten) oder den Registrierungs-Editor (bei Einzelgeräten)
• Die Hardware-ID des Treibers, den Sie blockieren möchten. Sie finden sie unter Geräte-Manager > Geräteeigenschaften > Registerkarte Details > Hardware-IDs

So blockieren Sie ein bestimmtes Windows-Update per Gruppenrichtlinie:

1. Öffnen Sie den Gruppenrichtlinien-Editor und navigieren Sie zu:

Computerkonfiguration > Administrative Vorlagen > System > Geräteinstallation > Einschränkungen bei der Geräteinstallation.

2. Aktivieren Sie Installation von Geräten mit Treibern verhindern, die diesen Gerätekennungen entsprechen. Um die Richtlinie wieder zu entfernen, setzen Sie sie auf Nicht konfiguriert oder Deaktiviert.
3. Fügen Sie die Hardware-IDs des Treibers hinzu, den Sie blockieren möchten.

Die Registry-Methode führen Sie mit diesem Code in PowerShell aus:

So machen Sie die Änderung rückgängig:

1. Öffnen Sie den Registrierungs-Editor.
2. Wechseln Sie zu: HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceInstall\Restrictions
3. Löschen Sie den Eintrag DenyDeviceIDs oder entfernen Sie den gesamten Schlüssel Restrictions.
4. Starten Sie den Rechner neu, damit die Änderungen wirksam werden.

⚠️ Warnung: Setzen Sie diese Methode mit Bedacht ein. Eine Sperre per Hardware-ID verhindert, dass Windows den Treiber wieder korrekt installiert, solange die Richtlinie oder der Registry-Eintrag bestehen bleibt.

Methode 4: Blockierte Updates über die Registry protokollieren oder kennzeichnen

Sie können blockierte KBs in die Registry schreiben und so dokumentieren. Techniker:innen oder RMM-Tools erhalten damit einen lokalen Nachweis, den sie bei Audits oder Compliance-Prüfungen abgleichen können.

Voraussetzungen:

• Administratorrechte, um Registry-Schlüssel unter HKLM anzulegen oder zu bearbeiten
• Einheitliche Namenskonventionen für Registry-Einträge (zum Beispiel KB-Nummern als Wertnamen)

So protokollieren oder kennzeichnen Sie blockierte Updates über die Registry:

1. Legen Sie mit diesem Befehl einen Registry-Schlüssel für die blockierten KBs an:

New-Item -Path "HKLM:\SOFTWARE\Org\UpdateExclusions" -Force

2. Fügen Sie anschließend die KB-Nummer hinzu, die Sie nachverfolgen möchten:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\UpdateExclusions" -Name "KB5029263" -Value "Blocked"

3. So halten Sie fest, wann die Sperre zuletzt aktualisiert wurde:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\UpdateExclusions" -Name "LastUpdated" -Value (Get-Date).ToString(„u“)

4. Zur Überprüfung führen Sie dies in der Eingabeaufforderung aus:

reg query HKLM\SOFTWARE\Org\UpdateExclusions

Diese Methode eignet sich ideal für einen einfachen lokalen Nachweis blockierter KBs auf jedem Endpunkt und lässt sich per RMM auch in großem Maßstab ausrollen.

Methode 5: Updates mit Richtlinien von Windows Update for Business (WUfB) verzögern (optional)

Mit Windows Update for Business verzögern Sie bestimmte Update-Typen über Gruppenrichtlinien. Ein einzelnes KB lässt sich damit nicht blockieren, wohl aber ganze Update-Kategorien pausieren, bis Sie Zeit zum Testen hatten.

Voraussetzungen:

• Sie benötigen Windows Pro, Enterprise oder Education (WUfB steht in der Home-Edition nicht zur Verfügung).
• Zugriff auf die Gruppenrichtlinien-Verwaltungskonsole (GPMC).

So nutzen Sie Richtlinien von Windows Update for Business (WUfB), um Updates vorerst zu verhindern:

1. Öffnen Sie den Gruppenrichtlinien-Editor.
2. Navigieren Sie zu:

Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows Update > Windows Update for Business.

3. Konfigurieren Sie diese Richtlinien:
   1. Zeitpunkt für den Empfang von Qualitätsupdates auswählen
   2. Zeitpunkt für den Empfang von Funktionsupdates auswählen
4. Legen Sie je nach Patching-Strategie fest, um wie viele Tage der jeweilige Update-Typ zurückgestellt wird.

Unternehmen, die Microsoft Intune oder Windows Autopatch einsetzen, können Update-Verzögerungen und Schutzmaßnahmen (Safeguard Holds) auch über Deployment-Ringe und Update-Richtlinien umsetzen. Das ermöglicht eine feiner abgestufte, cloudbasierte Update-Steuerung für hybride Umgebungen und Remote-Arbeit.

Wann sollten Sie ein Windows-Update blockieren?

Ein Windows-Update zu blockieren, sollte in der Regel eine vorübergehende Minderung sein, die Sie einsetzen, wenn ein Patch betriebliche Risiken mit sich bringt. Typische Szenarien sind:

• Bluescreens oder Boot-Schleifen nach dem Patch Tuesday
• Nicht mehr funktionierende VPN-, Druck- oder RDP-Funktionen
• Kompatibilitätsprobleme bei Anwendungen
• Instabile Treiber nach kumulativen Updates
• Konflikte mit Sicherheitssoftware
• Fehlgeschlagene Rollouts in Pilotgruppen

IT-Teams sollten Updates möglichst nicht dauerhaft unterdrücken. Prüfen Sie problematische KBs stattdessen in Testgruppen, verfolgen Sie die Hinweise von Microsoft und aktivieren Sie Updates wieder, sobald eine korrigierte Version verfügbar ist.

⚠️ Worauf Sie achten sollten

Weitere Aspekte beim Blockieren bestimmter Windows-Updates

Achten Sie auf Ablösungen

Manche blockierten KBs werden durch neuere Rollups ersetzt. Prüfen Sie die Updates jedes Monats und blockieren Sie bei Bedarf auch das neue KB.

Berichterstattung

Nutzen Sie Ereignisprotokolle und Windows-Update-Protokolle mit dem Befehl Get-WindowsUpdateLog, um zu bestätigen, dass Updates korrekt unterdrückt werden.

Patch-Tools von Drittanbietern

Achten Sie auf Konflikte, wenn Sie zusätzlich WSUS, Intune oder Patch-Management von Drittanbietern einsetzen. Diese Tools können manuelle Sperren überschreiben oder umgehen.

Abhängigkeiten

Manche Windows-Updates setzen bestimmte Vorbedingungen voraus. Ein blockiertes Update kann andere Updates verzögern, bis die Abhängigkeit installiert ist.

Best Practices zum sicheren Blockieren von Windows-Updates

Das Blockieren von Windows-Updates sollte eine vorübergehende betriebliche Absicherung sein, keine dauerhafte Patching-Strategie. So senken Sie das Risiko und bleiben compliant:

• Testen Sie monatliche Updates in Pilotgruppen, bevor Sie sie breit ausrollen
• Dokumentieren Sie alle blockierten KBs und überprüfen Sie sie regelmäßig
• Nutzen Sie Deployment-Ringe oder stufenweise Rollouts für Produktivsysteme
• Verfolgen Sie Microsofts Release Notes und Hinweise zu bekannten Problemen
• Aktivieren Sie blockierte Updates wieder, sobald Fixes oder ablösende Patches verfügbar sind
• Verzögern Sie Sicherheitsupdates nicht länger als nötig

Für MSPs ist die Kombination aus selektivem KB-Blockieren, RMM-Automatisierung und Compliance-Berichterstattung besonders hilfreich, um den Überblick über große Endpunkt-Umgebungen zu behalten.

Fehlerbehebung beim Blockieren bestimmter Windows-Updates

Das Update wird trotzdem installiert

Prüfen Sie, ob das KB durch ein neueres Rollup ersetzt oder über ein anderes Update-Paket ausgeliefert wurde. Blockieren Sie bei Bedarf das ablösende KB.

Hide-WindowsUpdate funktioniert nicht

Stellen Sie sicher, dass das Modul PSWindowsUpdate aktuell ist und PowerShell mit Administratorrechten läuft.

Die Sperre per Geräte-ID greift nicht

Prüfen Sie, ob Sie die richtige Hardware-ID verwenden. Führen Sie pnputil /enum-devices /connected aus, um die IDs aufzulisten und zu kontrollieren.

Die Registry-Einstellung greift nicht

Kontrollieren Sie Registry-Pfad, Datentyp und Berechtigungen. Achten Sie darauf, dass der Schlüssel unter HKLM angelegt wird und nicht unter HKCU.

NinjaOne-Funktionen zum Blockieren bestimmter Windows-Updates

Bestimmte Updates blockieren, Stabilität sichern und den Patch-Zyklus einhalten

Einzelne Windows-Updates zu blockieren ist unverzichtbar, wenn Stabilität oder Kompatibilität auf dem Spiel stehen, vor allem wenn Updates die Tools und Arbeitsabläufe Ihrer Techniker:innen beeinträchtigen. Indem MSPs und IT-Administrator:innen gezielt einzelne KBs sperren, statt das Patching komplett zu pausieren, bleiben Geräte sicher und Ausfallzeiten durch problematische, störende Updates bleiben aus.

Verwandte Themen:

• 4 einfache Wege, Windows-Updates in Windows 10 zu deaktivieren
• So aktivieren oder deaktivieren Sie Neustart-Benachrichtigungen für Windows-Updates in Windows 10
• So löschen Sie den Windows-Update-Verlauf in Windows 10 und Windows 11
• Anleitung: Windows-Update-Probleme mit PowerShell diagnostizieren
• So aktivieren oder deaktivieren Sie die Übermittlungsoptimierung für Windows-Updates in Windows 11