Windows Patch Management: Troubleshooting

Thema

In diesem Artikel werden allgemeine Schritte zur Fehlerbehebung für Probleme mit der Windows Patch-Verwaltung beschrieben.

Umgebung

• Microsoft Windows
• NinjaOne-Patch-Verwaltung

Beschreibung

Probleme mit der Windows-Patchverwaltung können von ausgelassenen Scans bis hin zu fehlgeschlagenen Patch-Installationen reichen. In den folgenden Abschnitten werden die häufigsten Szenarien und deren Lösungen behandelt. Wählen Sie ein Thema aus, um fortzufahren:

• Scan nach Patches auf Windows Server Update Services-Geräten fehlgeschlagen
• Fehlgeschlagene Patches
• Patch-Scans werden zu lange ausgeführt
• Verhindern, dass bestimmte Patches angewendet werden
• „Windows Updates“ auf dem lokalen Rechner meldet, dass mein Gerät in letzter Zeit nicht gescannt wurde
• Bei einem Scan in Windows-Updates werden verfügbare Patches gefunden, obwohl die Patch-Verwaltung in NinjaOne konfiguriert ist
• Ein Patch wird in NinjaOne nicht als installiert aufgeführt, wird aber über WMIS-Aufrufe auf dem Gerät als installiert angezeigt
• Das Windows 11-Upgrade wird unerwartet auf Windows 10-Computern installiert

Die Suche nach Patches auf Windows Server Update Services-Geräten ist fehlgeschlagen

Problem

Bei Endpunkten, die in einer Registrierungsdatei auf Windows Server Update Services (WSUS) verweisen, übersieht NinjaOne den Scan für Patching auf den Geräten.

Ursache

Mögliche Ursachen sind unter anderem nicht erreichbare Server, Kommunikationsfehler, eine fehlerhafte Konfiguration oder andere Fehler.

Lösung

Um WSUS lokal auf dem Gerät zu überprüfen oder zu deaktivieren, überprüfen Sie die folgenden Registrierungsschlüssel.

Unter:

[HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdate]

Suchen Sie nach den folgenden Werten:

• WUServer
• WUStatusServer

Bestätigen Sie, dass beide Werte leer sind. Navigieren Sie anschließend zu:

[HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdateAU]

Suchen Sie den Schlüssel „UseWUServer“, ändern Sie dessen Wert auf 0 und starten Sie den Windows Update-Dienst neu.

Fehlgeschlagene Patches

Problem

Wenn Sie versuchen, Windows-Patches anzuwenden, schlägt die Installation einiger davon fehl.

Ursache

Microsoft-Patches sind aus vielen Gründen fehlgeschlagen, unter anderem aus folgenden:

• Netzwerkunterbrechung während des Scans oder des Anwendens
• Fehlerhafter oder fehlerbehafteter Patch
• Anwesenheit von Malware

Lösung

NinjaOne bietet im Aktionsmenü rechts neben dem Patch gängige Lösungen für fehlgeschlagene Patches an:

Darüber hinaus können Sie die folgenden Schritte zur Fehlerbehebung befolgen:

• Recherchieren Sie den betroffenen KB-Eintrag, um festzustellen, ob es sich um ein bekanntes Problem handelt, und befolgen Sie die von Microsoft bereitgestellten Lösungshinweise.
• Überprüfen Sie die Ereignisprotokolle des betroffenen Geräts.
• Verwenden Sie die Windows Update-Fehlerbehebung(externer Link) für betroffene Geräte mit Windows 7, 8 und 10.

Patch-Scans werden zu lange ausgeführt

Problem

Windows-Patch-Scans werden über einen längeren Zeitraum ausgeführt und werden nie abgeschlossen.

Ursache

Die Dauer-Einstellungen für die Scan-Pläne fehlen oder sind zu lang.

Lösung

Die Dauer eines Patch-Scans variiert je nach System, ist jedoch in der Regel innerhalb von drei Stunden abgeschlossen. In einigen Fällen kann ein Scan hängen bleiben, wenn der Windows Update Agent (WUA) oder die Patch-Management-Prozesse von NinjaOne nicht abgeschlossen werden können. Dies kann auf ein Problem mit dem Dienst „wuauserv“ hindeuten und erfordert eine lokale Untersuchung, um die Ursache zu ermitteln.

Die Richtlinieneinstellungen für den Scan-Zeitplan im Windows-Patch-Management erlauben die Festlegung von Dauergrenzen, um die Dauer von Patch-Scans zu steuern. Um dies in Ihrer NinjaOne-Konsole zu konfigurieren, führen Sie die folgenden Schritte aus:

1. Navigieren Sie zu dem Richtlinieneditor, für den Sie eine Scan-Dauer festlegen möchten, und wählen Sie dann die Registerkarte „Windows-Patches“ aus.

2. Klicken Sie unter „Scan-Plan“ auf den aktuellen Zeitplan, um ihn zu bearbeiten.

3. Geben Sie eine Zeit in Stunden oder Minuten für die Dauer ein.

4. Speichern Sie die Änderungen.

Bei Bedarf können Sie dieselben Dauer-Einstellungen auch auf den Update-Plan anwenden.

Verhindern, dass bestimmte Patches angewendet werden

Problem

Es gibt Patches, die Sie nicht auf einem oder mehreren der von Ihnen verwalteten Geräte installieren möchten.

Ursache

Neu veröffentlichte Patches können manchmal unerwartete oder unerwünschte Auswirkungen auf Agenten-Computer haben, wie z. B. Bluescreens oder Anwendungskonflikte.

Lösung

In solchen Situationen können Sie einen Patch auf mehreren potenziell betroffenen Computern ablehnen. Weitere Informationen zu den verfügbaren Optionen finden Sie unter „Windows-Patch-Management: Patches genehmigen, ablehnen und deinstallieren“.

„Windows-Updates lokal auf dem Rechner“ zeigt an, dass mein Gerät in letzter Zeit nicht gescannt wurde

Problem

Das Feld „Letzter Scan“ im Windows-Updates-Tool auf dem Rechner zeigt an, dass Ihr Gerät in letzter Zeit nicht gescannt wurde.

Ursache

„Windows-Updates“ aktualisiert das Feld „Letzter Scan“ ausschließlich auf der Grundlage von Scans, die über die Anwendung lokal auf dem Gerät ausgeführt wurden. Microsoft verwendet eine XML-Datei, um dieses Feld festzulegen. Wenn NinjaOne einen Windows-Patch-Scan durchführt, erkennt „Windows-Updates“ diesen Scan nicht und spiegelt ihn auch nicht wider.

Lösung

Um zu überprüfen, ob auf Ihrem Gerät Scans über NinjaOne durchgeführt wurden, sehen Sie sich zunächst den Aktivitäts-Feed an. Wenn Sie keinen aktuellen Scan gemäß Ihren Konfigurationen für die Windows-Patch-Richtlinien sehen, kontaktieren Sie den Support, um festzustellen, warum der Scan übersehen wurde.

Ein Scan in Windows Updates findet verfügbare Patches, obwohl die Patch-Verwaltung in NinjaOne konfiguriert ist

Problem

Wenn Sie lokal auf einem Rechner über Windows-Updates einen Patch-Scan ausführen, werden verfügbare Patches gefunden, obwohl die NinjaOne-Patch-Verwaltung für die Verwaltung von Updates konfiguriert ist.

Ursache

Im Folgenden sind häufige Gründe aufgeführt, warum Windows-Updates lokal auf einem Rechner verfügbare Patches erkennen können:

1. Der letzte über NinjaOne durchgeführte Update-Zyklus war nicht vorhanden.
2. Seit dem letzten über NinjaOne durchgeführten Update-Zyklus sind neue Patches verfügbar geworden, und NinjaOne hat seinen nächsten Update-Zyklus noch nicht durchgeführt.
3. Sie befinden sich zwischen Ihrem Scan-Zyklus und Ihrem Update-Zyklus, und diese Patches wurden noch nicht angewendet.
4. Die Windows-Patch-Verwaltung kann erst aktualisieren, wenn das Gerät neu gestartet wurde.
5. Patches wurden vom Patch-Management-Tool von NinjaOne abgelehnt, entweder manuell oder gemäß den für Ihre Richtlinie konfigurierten Genehmigungs-Einstellungen.
6. Auf dem Rechner liegen Fehler bei der Windows-Patch-Verwaltung vor.

Lösung

Die folgenden Lösungen entsprechen den oben aufgeführten Ursachen:

1. Überprüfen Sie den Aktivitäts-Feed des Geräts, um festzustellen, ob der zuletzt geplante Scan ausgelassen wurde. Der Scan wurde möglicherweise ausgelassen, wenn das Gerät zum Zeitpunkt der geplanten Ausführung offline war. Weitere Informationen dazu, warum der Scan ausgelassen wurde, erhalten Sie, indem Sie ein Ticket beim Support eröffnen.
2. Dies ist normal, wenn Sie monatliche Updates auf einem Gerät durchführen, da Microsoft jeden Dienstag Patches veröffentlicht.
3. Überprüfen Sie das Gerät, um festzustellen, ob unter „Ausstehend“ oder „Genehmigt“ Updates aufgeführt sind. 
4. Wenn auf dem Gerät aufgrund der Windows-Patch-Verwaltung ein ausstehender Neustart ansteht, kann NinjaOne das Gerät erst aktualisieren, wenn der Neustart erfolgt ist. Weitere Informationen finden Sie unter „Ausstehende Neustarts “.
5. Überprüfen Sie das Gerät, um festzustellen, ob unter der Registerkarte „Abgelehnt“ Updates aufgeführt sind. Die dort aufgeführten Patches werden vom Windows-Patch-Management-Tool von NinjaOne nicht installiert, erscheinen jedoch während eines Windows-Updates-Scans weiterhin als verfügbare Patches lokal auf dem Rechner.
6. Lesen Sie dazu den Abschnitt „Fehlgeschlagene Patches “ weiter oben.

Ein Patch wird in NinjaOne nicht als installiert aufgeführt, wird jedoch über Windows Management Instrumentation-Aufrufe auf dem Gerät als installiert angezeigt

Problem

Ein bestimmter Patch wird unter „Gerät → Betriebssystem-Patches → Installiert“ nicht als installiert angezeigt, obwohl er nachweislich auf dem Gerät vorhanden ist und über Windows Management Instrumentation (WMI)-Aufrufe als installiert erkannt wird.

Es gibt verschiedene Möglichkeiten, installierte Updates auf einem Windows-Rechner abzufragen. Die Ergebnisse der verschiedenen Methoden können je nach Abfrage variieren. Der TechNet-Artikel „Windows: Auflisten aller auf einem Computer angewendeten Windows- und Software-Updates“ (Externer Link) bietet Einblicke in die in dieser Dokumentation verwendeten Methoden.

Die Abbildungen 6 und 7 vergleichen die in der NinjaOne-Konsole aufgeführten installierten Updates mit den über WMI abgefragten installierten Updates. Wie zu sehen ist, gibt es auf beiden Seiten Updates, die von der jeweils anderen Methode nicht aufgeführt werden. Insbesondere erscheinen KB4524569, KB4528759 und KB4528760 in den WMI-Abfrageergebnissen als installiert, werden jedoch in der NinjaOne-Konsole nicht als installiert angezeigt. Umgekehrt erscheinen KB4533002, KB4530684, KB4528760, KB2267602, KB4052623 und KB890830 in der NinjaOne-Konsole, sind jedoch in den WMI-Abfrageergebnissen nicht aufgeführt.

Ursache

Dies tritt auf, weil jede Methode unterschiedliche Speicherorte nach installierten Updates abfragt. NinjaOne fragt nach Updates, die über Windows Update, Microsoft Update, Automatische Updates, WSUS oder Configuration Manager (ConfigMgr) installiert wurden und in der Regel mithilfe eines Microsoft Installers (MSI) installiert werden. Die Installationen dieser Pakete werden im Datenspeicher „Software Distribution“ und in der Registrierung erfasst. NinjaOne fragt diese Speicherorte ab, um Informationen zu installierten Patches zu sammeln.

WMI verwendet die Klasse „Win32_QuickFixEngineering“, die ausschließlich Updates zurückgibt, die über „Component Based Servicing“ (CBS) bereitgestellt werden. Bei diesen Updates handelt es sich in der Regel um kleine, systemweite Updates, die gemeinhin als „Quick-Fixes“ oder „Hotfixes“ bezeichnet werden. Weitere Informationen finden Sie in der Dokumentation zur Klasse „Win32_QuickFixEngineering“(Externer Link).

Lösung

Da diese Updates nicht in der Registrierung erfasst sind, kann NinjaOne sie derzeit nicht abfragen, um ihre Existenz zu überprüfen. In einigen Fällen kann ein Update über ein Betriebssystem-Upgrade (z. B. Version 1903 oder 1909) installiert werden und auf einem System ruhend bleiben, wie in diesem Microsoft-Supportartikel(externer Link) beschrieben.

Im konkreten Fall von KB4528759 und KB4528760 hat Microsoft die Updates in Upgrade-Pakete für Windows 10 auf die aktuelle Build Version 1903 (18362.592) und Version 1909 (18363.592) integriert. Daher ist die Build-Nummer des auf dem Agent-Rechner installierten Betriebssystems entscheidend dafür, festzustellen, ob KB4528759 oder KB4528760 installiert ist.

Das Windows 11-Upgrade wird unerwartet auf Windows 10-Rechnern installiert

Problem

Das Windows 11-Upgrade wird unerwartet automatisch genehmigt und auf Windows 10-Rechnern installiert.

Ursache

Microsoft weist verschiedenen Update-Typen je nach Betriebssystemversion dieselbe KB-Nummer zu. Ein KB, der unter Windows 11 ein routinemäßiges kumulatives Update darstellt, kann unter Windows 10 ein Feature-Update (das Windows 11-Upgrade) darstellen. Dieses Verhalten wird von Microsoft festgelegt und kann von NinjaOne nicht gesteuert werden. Wenn NinjaOne so konfiguriert ist, dass Patches anhand der KB-Nummer automatisch freigegeben werden, kann dies zu einem unbeabsichtigten Betriebssystem-Upgrade auf Windows 10-Rechnern führen.

Lösung

Als bewährte Vorgehensweise sollten Sie das Automatische Freigeben von Patches anhand der KB-Nummer vermeiden, da KB-Nummern nicht über alle OS-Versionen hinweg eindeutig sind.

Um zu verhindern, dass das Windows 11-Upgrade auf Windows 10-Computern angeboten wird, führen Sie das beigefügte Registrierungsskript aus. Dies führt zum gleichen Ergebnis wie das Klicken auf „Bei Windows 10 bleiben“ im Bereich „Windows-Updates“ auf dem Gerät.

Falls das bei Ihnen auftretende Problem oben nicht aufgeführt ist oder Sie nach dem Ausführen der empfohlenen Schritte zur Fehlerbehebung weitere Unterstützung benötigen, wenden Sie sich bitte an den NinjaOne-Support.