So nutzen Sie Patch-Caching zur Bandbreitenoptimierung in Remote- und Zweigstellen

Aufgrund begrenzter Bandbreite ist die Patch-Bereitstellung in Remote- und Zweigstellen häufig schwierig. Der Prozess wird dadurch langsam, störend und belastet die Netzwerkressourcen stark. Um dieses Problem zu lösen, sollten MSPs und IT-Administrator:innen die Bandbreitenoptimierung in den Mittelpunkt stellen und Patch-Caching nutzen, um Patches lokal zu verteilen und die Benutzererfahrung zu verbessern.

Lesen Sie weiter und erfahren Sie, wie Sie Patch-Caching einsetzen, um die Netzwerkeffizienz zu steigern, Compliance-Anforderungen zu erfüllen und den Wert Ihrer vorhandenen Infrastruktur ohne teure Upgrades voll auszuschöpfen.

Einen schnellen visuellen Überblick bietet unser Video-Leitfaden So nutzen Sie Patch-Caching zur Bandbreitenoptimierung in Remote- und Zweigstellen

Leitfaden: Patch-Caching zur Bandbreitenoptimierung in Remote- und Zweigstellen

Patch-Caching hilft dabei, die typischen Bandbreitengrenzen in Remote- und Zweigstellen-Umgebungen zu überwinden, indem redundanter Datenverkehr über knappe WAN-Verbindungen reduziert wird. So läuft die Patch-Bereitstellung schneller und zuverlässiger. Nachfolgend finden Sie mehrere Methoden mit unterschiedlichen Caching-Strategien, die Unternehmen an ihre konkreten Anforderungen anpassen können.

📌 Voraussetzungen:

• Patch-Management-System (z. B. NinjaOne Patch-Management, Microsoft Endpoint Configuration Manager, WSUS, Intune)
• Kenntnis der unterstützten Caching-Technologien: Windows Delivery Optimization (DO), BranchCache, Peer-to-Peer-Verteilung
• Administratorrechte zum Konfigurieren von Richtlinien über Gruppenrichtlinien (GPO), Intune oder Registry-Einstellungen
• Zentrale Berichterstattung und Protokollierung, um die Effizienz des Cachings zu überprüfen

📌 Empfohlene Bereitstellungsstrategien:

Methode 1: Windows Delivery Optimization aktivieren und konfigurieren

Windows Delivery Optimization (DO) ist eine Peer-to-Peer-Caching-Technologie, die in Microsoft integriert ist. Dabei muss nur ein Gerät ein Update herunterladen, alle anderen beziehen es anschließend aus dem Cache dieses Geräts. Damit ist DO eine praktische und ressourcenschonende Methode, um redundanten Bandbreitenverbrauch zu senken.

So funktioniert DO

Ist DO aktiviert, speichert das Gerät heruntergeladene Updates lokal. Andere Geräte im selben LAN oder in einer definierten Gruppe können die zwischengespeicherten Daten abrufen, statt sie direkt von den Microsoft-Servern herunterzuladen. Administrator:innen können das Cache-Verhalten steuern, darunter:

• Wie viel Speicherplatz belegt wird
• Wie lange Inhalte vorgehalten werden
• Welche Peers Updates weitergeben dürfen

Konfigurationsschritte:

1. Aktivieren Sie Delivery Optimization über Gruppenrichtlinien oder Intune.

• • Navigieren Sie im Gruppenrichtlinien-Editor zu:

Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Übermittlungsoptimierung

Aktivieren Sie die Peer-to-Peer-Freigabe und legen Sie den gewünschten Modus fest (z. B. nur LAN, auf Basis einer Gruppen-ID).

• • Konfigurieren Sie DO in cloudverwalteten Umgebungen über Intune-Gerätekonfigurationsprofile.

⚠️ Wichtig: Konfigurieren Sie Delivery Optimization nicht gleichzeitig über Gruppenrichtlinien und Intune auf demselben Gerät. Entscheiden Sie sich passend zu Ihrem Verwaltungsmodell für nur eine Konfigurationsinstanz, um Richtlinienkonflikte zu vermeiden.

2. Passen Sie Cache-Alter und Speicherplatz an.

• • Legen Sie fest, wie lange zwischengespeicherte Inhalte auf den Geräten verbleiben sollen.
  • Begrenzen Sie den maximalen Speicherplatz, damit die Benutzererfahrung auf kleineren Endpunkten nicht leidet.

3. Verwenden Sie Gruppen-IDs für Außenstellen.

• • Weisen Sie den Geräten eines bestimmten Standorts eine eindeutige Delivery Optimization Group ID zu. So teilen Geräte innerhalb derselben Zweigstelle oder desselben Subnetzes Updates bevorzugt untereinander.

Überprüfung und Überwachung:

Führen Sie diesen PowerShell-Befehl aus:

Get-DeliveryOptimizationPerfSnapThisMonth

Dieser Befehl zeigt an, wie viele Inhalte ein einzelnes Gerät im laufenden Kalendermonat über Delivery Optimization heruntergeladen und hochgeladen hat.

💡 Hinweis: Diese Kennzahlen gelten nur für das jeweilige Gerät und werden nicht über das gesamte Netzwerk oder Unternehmen hinweg zusammengefasst.

Methode 2: BranchCache oder WSUS an Standorten mit knapper Bandbreite nutzen

Peer-to-Peer allein reicht möglicherweise nicht aus, um sehr viele Geräte in größeren Zweigstellen, kommunalen Netzwerken oder Schulen zu aktualisieren. BranchCache und WSUS bieten strukturiertere Wege, um das WAN zu entlasten und die Patch-Verteilung in solchen Umgebungen zu verbessern.

BranchCache

BranchCache ist eine Windows-Funktion, die von zentralen Servern heruntergeladene Inhalte zwischenspeichert und lokal an Peers weiterverteilt. Dafür gibt es zwei Modi:

• Modus „Verteilter Cache“: Jedes Clientgerät hält einen Teil der zwischengespeicherten Daten vor und gibt ihn an andere Geräte im LAN weiter.
• Modus „Gehosteter Cache“: Ein dedizierter Server speichert die zwischengespeicherten Inhalte der Zweigstelle. Alle Endpunkte beziehen Updates von diesem Server, statt sie erneut über das WAN herunterzuladen.

⚠️ Wichtig: BranchCache ist nicht cloudfähig und funktioniert nur in lokalen LAN-Umgebungen. Updates, die direkt aus cloudbasierten Diensten wie Windows Update oder Microsoft Intune stammen, können damit weder zwischengespeichert noch verteilt werden.

Wer BranchCache überwacht, sollte die Cache-Trefferquoten im Blick behalten. Daran lässt sich ablesen, wie viele Updates lokal ausgeliefert und wie viele aus dem Internet geladen wurden, und so die Wirksamkeit bestätigen. Setzen Sie BranchCache ein, wenn Sie Bandbreite sparen möchten, ohne viel Infrastruktur aufzubauen.

WSUS (Windows Server Update Services)

WSUS ist ein zentrales Patch-Management-System: Es lädt Updates einmalig von Microsoft herunter, speichert sie lokal und verteilt sie anschließend an alle Endpunkte im Unternehmen. Es ermöglicht Patch-Freigaben, Zeitplanung und eine detaillierte Compliance-Berichterstattung und eignet sich damit ideal für Unternehmen mit strengen Governance- oder Regulierungsvorgaben.

Anders als BranchCache weist WSUS Cache-Trefferquoten nicht direkt aus. Administrator:innen können die Wirksamkeit aber über Berichte, die WAN-Auslastung und Überwachungstools messen, um sicherzustellen, dass redundante Downloads tatsächlich zurückgehen. Nutzen Sie WSUS, wenn Sie zentrale Steuerung, Compliance-Nachverfolgung und Freigabe-Workflows für Patches benötigen.

💡 Tipp: NinjaOne ergänzt BranchCache und WSUS, indem es die Patch-Bereitstellung automatisiert, Leistungsdaten des Caches erfasst und auditfähige Compliance-Berichte erstellt. Das erleichtert es, über alle Standorte hinweg Konsistenz und Transparenz zu wahren. Weitere Details finden Sie weiter unten im Abschnitt NinjaOne-Integration.

Methode 3: Cache-Gruppen in DO für Außenstellen definieren

Eine weitere Möglichkeit, die Peer-to-Peer-Effizienz beim Patching in verteilten Umgebungen zu steigern, sind Cache-Gruppen in Windows Delivery Optimization. Dabei fassen Sie Geräte im selben Subnetz oder mit derselben zugewiesenen DO-Gruppen-ID zusammen. Hat ein einzelnes Gerät einen Patch heruntergeladen, holen sich alle anderen Geräte der Gruppe den Patch einfach lokal, statt erneut das WAN zu belasten.

So konfigurieren Sie Cache-Gruppen in DO:

1. Weisen Sie den Geräten mit einem der folgenden Werkzeuge Gruppen-IDs zu:

• • Gruppenrichtlinie: Folgen Sie diesem Pfad und tragen Sie unter Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Übermittlungsoptimierung > Gruppen-ID eine GUID ein.

⚠️ Wichtig: Damit Peering innerhalb einer privaten Gruppe funktioniert, müssen Sie zunächst den Downloadmodus unter demselben Pfad auf 2 setzen.

• • Intune: Erstellen Sie ein benutzerdefiniertes Konfigurationsprofil mit der Einstellung für die Gruppen-ID.
  • Windows-Registry: Legen Sie den Zeichenfolgenwert DOGroupID an und fügen Sie unter HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\DeliveryOptimization eine GUID hinzu.

⚠️ Wichtig: Damit Peering innerhalb einer privaten Gruppe funktioniert, müssen Sie zunächst den DWORD-Wert DODownloadMode im selben Pfad auf 2 setzen.

2. Grenzen Sie Gruppen ab, indem Sie Geräten in derselben Zweigstelle, demselben Subnetz oder demselben VPN-Tunnel dieselbe Gruppen-ID zuweisen.
3. Passen Sie über Gruppenrichtlinien, Intune oder die Registry die Cache-Einstellungen an, zum Beispiel:

• • Cache-Alter: Konfigurieren Sie Max Cache Age, um festzulegen, wie lange Inhalte gespeichert bleiben (Standard: 30 Tage).
  • Speicherplatzgrenzen: Konfigurieren Sie Max Cache Size (z. B. 10 bis 20 % des Systemlaufwerks), um ein Aufblähen des Caches zu verhindern.

4. Überprüfen Sie die Peer-to-Peer-Freigabe, indem Sie diesen Befehl auf den Clientgeräten ausführen:

Get-DeliveryOptimizationStatus

Prüfen Sie in den Protokollen, ob Cache-Treffer erzielt werden statt wiederholter Downloads über das WAN

5. Erfassen Sie Daten zur eingesparten Bandbreite und zur Peer-to-Peer-Nutzung und übernehmen Sie die Ergebnisse in zentrale Dashboards (z. B. NinjaOne-Berichterstattung), um die Effizienz zu belegen.

Methode 4: Wirksamkeit des Cachings überwachen und auswerten

Ebenso wichtig ist es, die Wirksamkeit des Cachings aktiv zu überwachen und zu dokumentieren, um ihren Nutzen zu belegen und die Compliance sicherzustellen. Mit integrierten Protokollen und Berichten, etwa den Delivery-Optimization-Protokollen (Get-DeliveryOptimizationStatus) sowie WSUS- oder BranchCache-Berichten zur Update-Verteilung, erfassen Sie Kennzahlen zu:

• Eingesparte Bandbreite: Wie viel WAN-Datenverkehr durch lokales Caching vermieden wurde
• Peer-to-Peer-Cache-Trefferquoten: Der Anteil der Updates, die lokal statt aus dem Internet bezogen wurden, geschätzt anhand der Delivery-Optimization-Protokolle oder durch Ausführen von Get-DeliveryOptimizationStatus und Anwenden dieser Formel auf die Ergebniswerte
• Geschwindigkeit der Patch-Bereitstellung: Prüfen Sie, ob das Caching dabei hilft, Patches effizienter auf die Endpunkte zu verteilen (meist spart das in den Bereitstellungsfenstern Minuten oder Stunden).
• Cache-Auslastung: Stellen Sie sicher, dass die Einstellungen zu Cache-Größe und Cache-Alter effizient genutzt werden, ohne übermäßig Speicherplatz zu belegen

Diese Kennzahlen lassen sich zentral erfassen und in regelmäßige Berichte oder Zusammenfassungen für die vierteljährliche Geschäftsüberprüfung (QBR) einbinden, um Stakeholdern die Refinanzierung der Investition zu zeigen.

Methode 5: Caching an Compliance-Anforderungen ausrichten

Caching spart Bandbreite und beschleunigt das Patching, muss sich aber immer an Compliance- und Sicherheitsvorgaben orientieren, zum Beispiel:

• Regulatorische Standards (NIST 800-40, CIS-Benchmarks und behördliche Patching-Vorgaben), die zeitnahe Sicherheitsupdates verlangen
• Service-Level-Agreements (SLAs), gegen die fehlerhaft konfiguriertes Caching verstoßen kann
• Audits, die den Nachweis verlangen, wann Patches ausgerollt wurden und dass keine Endpunkte angreifbar geblieben sind.

Hier einige Best Practices, um Caching und Compliance in Einklang zu bringen

• Verzögerungen bei der Patch-Verteilung vermeiden:
  • Konfigurieren Sie Cache-Alter und Aktualisierungseinstellungen so, dass Updates nicht zu lange liegen bleiben, bevor sie angewendet werden.
  • Stellen Sie sicher, dass kritische Patches unnötige Caching-Verzögerungen umgehen.
• Cache-Richtlinien dokumentieren:
  • Halten Sie fest, wie DO, BranchCache oder WSUS konfiguriert sind.
  • Nehmen Sie Cache-Gruppen-IDs, Grenzwerte für das Cache-Alter und Richtlinien zur Speichernutzung in die SOPs für das Patch-Management auf.
• Compliance-Berichterstattung integrieren:
  • Sorgen Sie dafür, dass Caching-Kennzahlen in den Compliance-Dashboards auftauchen.
  • Verfolgen Sie die Patch-Zeitpläne, um zu bestätigen, dass Updates SLA- und regulatorische Fristen einhalten.
• Regelmäßig prüfen und überarbeiten:
  • Überprüfen Sie Cache-Einstellungen und Überwachungsberichte in festen Abständen.
  • Vergewissern Sie sich, dass das Caching zu den sich wandelnden regulatorischen Anforderungen und internen Richtlinien passt.

Übersicht der Methoden

Hier eine kurze Zusammenfassung aller genannten Praktiken und wie sie dabei helfen, die Bandbreite in Remote- und Zweigstellen zu optimieren.

Darum ist Patch-Caching in Remote- und Zweigstellen so wichtig

In Remote- und Zweigstellen-Umgebungen wie Schulen, Verwaltungsgebäuden und Außenstellen ist die Bandbreite oft knapp. Lädt jedes Gerät die nötigen Updates direkt aus dem Internet, kann das Netzwerk überlastet werden. Die Patch-Verteilung verlangsamt sich und es können Compliance-Lücken entstehen.

Patch-Caching über Peer-to-Peer-Auslieferung oder lokale Cache-Server sollte dabei helfen:

• Bandbreite zu schonen, indem WAN-Verbindungen nicht mit doppelten Downloads ausgelastet werden.
• Patch-Zyklen über alle Endpunkte hinweg zu beschleunigen.
• Verlangsamungen und Netzwerkstörungen während des Patchings zu minimieren und so die Benutzererfahrung zu verbessern.
• Die Sicherheitslage zu stärken, indem Risiken durch verspätete oder ausgelassene Updates sinken.
• Zeitnahes Patching zu unterstützen, wie es Vorgaben des öffentlichen Sektors und Branchenrahmenwerke für die Compliance verlangen.

Beispiele für Automatisierungsansätze

Mit Automatisierung lässt sich sicherstellen, dass Richtlinien für das Patch-Caching an allen Standorten einheitlich angewendet und korrekt gemessen werden. Nachfolgend einige Automatisierungsbeispiele, mit denen MSPs und IT-Administrator:innen manuellen Aufwand reduzieren und Einblick in die Caching-Leistung gewinnen:

• Richtlinien-Rollout mit NinjaOne oder Intune automatisieren: Verteilen Sie Ihre DO- und Cache-Einstellungen per Standardskript oder -profil auf alle Geräte oder bestimmte Standorte. Hier ein Beispielskript:

💡 Hinweis: Führen Sie das Skript mit Administratorrechten aus. Ersetzen Sie die Gruppen-ID durch eine gültige GUID, die für jede Zweigstelle bzw. jeden Standort eindeutig ist.

Damit wird die Peer-to-Peer-Freigabe innerhalb definierter Cache-Gruppen aktiviert, Geräten derselben Zweigstelle oder desselben Büros eine Gruppen-ID für die lokale Update-Freigabe zugewiesen und eine Obergrenze für die Cache-Größe festgelegt (in diesem Beispiel 20 % des Systemlaufwerks), die steuert, wie viel Speicherplatz DO für gespeicherte Updates nutzen darf.

• Wöchentliche Erfassung von Kennzahlen über eine einfache PowerShell-Aufgabe planen: Erfassen Sie einmal pro Woche DO-Statistiken (z. B. eingesparte Bandbreite, Peer-Aktivität) und senden Sie die Ergebnisse an eine zentrale Freigabe oder Ihr RMM.
• Dashboards zur Refinanzierung der Investition für die Compliance automatisiert erzeugen: Übergeben Sie die wöchentlichen Kennzahlen an ein Dashboard (z. B. NinjaOne-Berichte, Excel, Power BI) und zeigen Sie Stakeholdern über geplante E-Mails oder QBR-fertige Momentaufnahmen unmittelbar den Nutzen.

NinjaOne-Integration

NinjaOne bringt eine integrierte Funktion für Patch-Caching mit, die den Bandbreitenbedarf senkt, indem ein oder mehrere Windows-Geräte als lokale Cache-Server festgelegt werden. Wird ein Patch zum ersten Mal von Microsoft heruntergeladen, landet er in einem Cache-Ordner auf dem festgelegten Server. Andere Geräte im selben Netzwerk beziehen den Patch anschließend aus diesem lokalen Cache, statt ihn erneut aus dem Internet zu laden.

Dieses Setup beschleunigt die Patch-Bereitstellung, schont Bandbreite und vereinfacht das Patch-Management über Remote- und Zweigstellen hinweg. Anders als WSUS konzentriert sich das Patch-Caching von NinjaOne ausschließlich auf das Speichern von Patch-Binärdateien und setzt keinen dedizierten Windows Server voraus. Jedes verwaltete Windows-Gerät kann als Cache-Server dienen, und Endpunkte verbinden sich mit dem ersten erreichbaren Cache-Server in der konfigurierten Prioritätsliste (Standort → Organisation → systemweit, in der Reihenfolge der Hinzufügung).

Hinweise zur Einrichtung und Details zur Konfiguration finden Sie in dieser Dokumentation zum Patch-Caching.

So wird Patch-Caching für Sie zum Gewinn

Patch-Caching ist für MSPs und IT-Administrator:innen ein hervorragendes Tool, um Updates auch in bandbreitenbeschränkten Umgebungen zeitnah auszuliefern, ohne das Netzwerk zu belasten. Dank der verschiedenen verfügbaren Lösungen lassen sich Patch-Zyklen beschleunigen und eine reibungslose Benutzererfahrung schaffen.

Verwandte Themen:

• Intelligenter patchen statt nur schneller: So senkt Autonomes Patch-Management das Risiko
• Patch-Caching: intelligenter und schneller patchen
• So legen Sie den Downloadmodus der Übermittlungsoptimierung in Windows 10/11 fest
• So integrieren Sie Patch-Caching in das Netzwerkdesign Ihrer Kunden
• So integrieren Sie Patch-Caching in das Netzwerkdesign Ihrer Kunden (Video)