Sie sind bereits NinjaOne-Kunde? Melden Sie sich an, um weitere Leitfäden und die neuesten Updates zu sehen.

Windows-Patch-Verwaltung: FAQ

Thema

Dieser Artikel beantwortet häufig gestellte Fragen zur Windows Patch-Verwaltung. 

Weitere Artikel zum Thema Patching in NinjaOne finden Sie in unserem Patching-Ressourcenkatalog.

Umgebung

  • NinjaOne-Patch-Verwaltung
  • Windows-OS

Beschreibung

Allgemeine FAQ

Allgemeine FAQ

Wie werden die Registry-Einstellungen für WSUS-Server in NinjaOne geschrieben?

Wenn der „Control“-Modus in NinjaOne deaktiviert ist, sind automatische Betriebssystem-Updates deaktiviert. Wenn Sie in NinjaOne Änderungen an WSUS konfigurieren, werden diese Änderungen auch in der Registrierung übernommen.

Funktioniert NinjaOne weiterhin zur Aktualisierung des Betriebssystems, wenn wir Windows-Updates in GPO deaktivieren? 

Wenn Sie nicht möchten, dass Benutzer Windows Update manuell ausführen, können Sie diese GPO verwenden: https://learn.microsoft.com/en-us/windows/deployment/update/waas-wu-settings#remove-access-to-use-all-windows-update-features.

Gibt es eine Begrenzung hinsichtlich der Anzahl der Sprachen, in die die von NinjaOne ausgelösten Neustart-Aufforderungen und das Systray-Icon übersetzt werden können? Gibt es eine Möglichkeit, die übersetzten Sprachen zu ermitteln? 

Diese spezifische Nachricht (und ihre Varianten, je nachdem, ob der Neustart nach einer bestimmten Zeit erfolgt) ist in allen von uns unterstützten Sprachen verfügbar: Englisch, Deutsch, Französisch, Spanisch, Italienisch, Niederländisch, Schwedisch, Norwegisch, Dänisch, Portugiesisch, Polnisch und Russisch.

Ist der NinjaRMM-Agent mit Windows 11 kompatibel?

NinjaOne hat den NinjaRMM-Agenten und seine integrierten Komponenten sowohl auf neuen als auch auf aktualisierten Installationen von Windows 11 getestet und das Betriebssystem als unterstützt in unsere Dokumentation „NinjaOne Endpoint Management: Systemanforderungen und Kompatibilität“ aufgenommen. Bitte kontaktieren Sie den Support, falls Probleme auftreten sollten.

Wie stuft Windows den Patch und das Upgrade auf Windows 11 ein?

Laut dem Artikel zum Überblick über Windows 11 von Microsoft wird das Windows 11-Upgrade als Feature Update klassifiziert:

Für Administratoren, die Geräte im Auftrag ihrer Organisation verwalten, wird Windows 11 über dieselben vertrauten Kanäle verfügbar sein, die Sie heute für Windows 10-Funktionsupdates nutzen. Sie können vorhandene Tools für Verteilung und Administration wie Windows Update for Business, Microsoft Endpoint Manager und Windows Autopilot verwenden. Weitere Informationen finden Sie unter „Planen für Windows 11“.

Wie stelle ich sicher, dass meine Windows 10-Geräte nicht auf Windows 11 aktualisiert werden?

Windows-Updates funktionieren wie folgt: Das Feature-Update für Windows 11, 22H2, wird für Windows 10-Geräte vorgeschlagen. Wenn Sie dieses Feature-Update genehmigt haben, führt NinjaOne ein Upgrade Ihrer Windows 10-Geräte auf Windows 11 durch. Um dies zu verhindern, müssen Sie in der lokalen Windows-Update-Benutzeroberfläche die Option „Vorerst bei Windows 10 bleiben“ auswählen.

Sie können das folgende Skript verwenden, um den Befehl zu automatisieren:

reg add HKLMSOFTWAREPoliciesMicrosoftWindowsWindowsUpdate /f /v TargetReleaseVersionInfo /t REG_DWORD /d 1
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsWindowsUpdate /f /v TargetReleaseVersionInfo /t REG_SZ /d 22H2
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsWindowsUpdate /f /v ProductVersion /t REG_SZ /d "Windows 10"

Diese Zeile wird verwendet, um den Befehl zu entsperren:

reg add HKLMSOFTWAREPoliciesMicrosoftWindowsWindowsUpdate /f /v TargetReleaseVersion /t REG_DWORD /d 0

In NinjaOne finden Sie die Genehmigungs-Einstellungen für den Patch-Typ „Feature Updates“ unter „Windows-Patches“ → „Erweiterte Zulassung(en)“ in Ihren Richtlinien-Einstellungen für die Betriebssystem-Patch-Verwaltung.

  • Die Option „Ablehnen“ verhindert, dass der Patch (und alle anderen Feature Updates) auf Ihren verwalteten Rechnern installiert wird, wenn das System ihn bei einem Scan findet.
  • Die Option„Genehmigen“ sorgt dafür, dass der Patch im nächsten Anwendungszyklus auf Ihre verwalteten Rechner übertragen wird, nachdem das System ihn bei einem Scan gefunden hat.
  • Mit „Manuell“ können Sie wählen, ob Sie den Patch ablehnen oder genehmigen möchten, wenn das System ihn bei einem Scan entdeckt.

policy_windows patches_feature updates_edit approval.png
Abbildung 1: Genehmigung für Feature Updates auf Ebene der Richtlinien in NinjaOne bearbeiten

Weitere Informationen zur Konfiguration dieser Einstellungen finden Sie unter „Richtlinien: Windows-Patch-Management “.

Wie funktioniert das Windows Patch Management Tool von NinjaOne?

Die ausführbare Datei für das Patch-Management-Tool von NinjaOne befindet sich im Verzeichnis der Installation des NinjaOne-Agenten. Diese ausführbare Datei übernimmt die Erkennung und Installation von Patches über die Windows Update Agent-API. Je nach Konfiguration führt ein typischer WPM-Scanzyklus bis zu drei Scans durch:

  • Ein Scan nach empfohlenen Updates, der alle Elemente unter „Wichtig“ im Abschnitt „Genehmigungen“ der Patch-Richtlinieneinstellungen des Betriebssystems einschließt.
  • Einen Scan nach „Optionalen Updates“ und „Feature Updates“ (sofern aktiviert).
  • Ein Scan nach Treibern (sofern aktiviert).

Wann wird der Windows-11-Upgrade-Patch für meine verwalteten Rechner über das Windows Patch Management Tool von NinjaOne verfügbar sein?

Weitere Informationen finden Sie unter „Windows-Patch-Verwaltung: Patch-Verfügbarkeit“. 

Was ist der Unterschied zwischen dem Tool für die Patch-Verwaltung für Windows von NinjaOne und den Windows-Updates?

Sowohl das Windows-Patch-Management von NinjaOne als auch Windows Updates beziehen sich direkt auf den Windows Update-Katalog aller verfügbaren Patches. NinjaOne erkennt während eines Scans den Patch-Verlauf und meldet Patches, die außerhalb von NinjaOne über Windows Updates installiert wurden. Es ist jedoch wichtig zu beachten, dass NinjaOne einen Kunden nicht daran hindern kann, einen Patch über Windows Update zu installieren.

Was passiert, wenn Microsoft einen neuen Patch veröffentlicht? 

Microsoft verteilt neu veröffentlichte Patches über Servicekanäle. Wenn das Gerät das Update während eines lokalen Update-Scans erkennen kann, kann NinjaOne diese Patches ebenfalls beim nächsten Patch-Management-Scan erkennen. Wenn das Gerät den Patch nicht erkennen kann, zeigt NinjaOne ihn ebenfalls nicht an, da NinjaOne die Ergebnisse und Daten von Windows Update verwendet.

NinjaOne erkennt Patches nur, wenn sie zum Zeitpunkt der Durchführung eines Windows-Patch-Scans verfügbar sind. Es ist wichtig zu beachten, dass die lokale Durchführung eines Patch-Scans auf einem Gerät alle in NinjaOne konfigurierten Richtlinien für die Windows-Patch-Verwaltung umgeht.

Ich habe ein über Microsoft verfügbares Sicherheitsupdate gefunden, das jedoch in den Patch-Scan-Zyklen von NinjaOne nicht erfasst wird. Woran liegt das?

In seltenen Fällen kann es zu einer Verzögerung zwischen der Veröffentlichung eines Sicherheitsupdates durch Microsoft und der direkten Verfügbarkeit dieses Patches über Windows Update kommen. Der Windows-Update-Katalog fügt Patches in der Regel am zweiten Dienstag jeden Monats hinzu. NinjaOne kann diese Patches während eines Scan-Zyklus erst erfassen, wenn Windows Update sie in den Katalog hinzugefügt hat.

Klicken Sie hier, um eine Liste der aktuellen Patches anzuzeigen, die über Windows Update und damit auch über die Patch-Management-Funktionalität von NinjaOne verfügbar sind. Weitere Informationen zur Patch-Verfügbarkeit finden Sie unter „Windows-Patch-Management: Patch-Verfügbarkeit“.

Wie kann ich verhindern, dass ein bestimmter Patch auf meinen Geräten installiert wird?

Um zu verhindern, dass ein Patch, der bei einem Scan noch nicht gefunden wurde, auf Ihren Geräten installiert wird, können Sie auf Richtlinien- oder globaler Ebene eine vorbeugende Ablehnung für den KB-Eintrag festlegen. Alternativ können Sie einen Patch für Ihre Geräte/Richtlinien manuell ablehnen, wenn NinjaOne ihn bei einem Scan findet. Weitere Informationen finden Sie unter „Windows-Patch-Management: Patches genehmigen und ablehnen“. 

Wie konfiguriere ich NinjaOne für die Bereitstellung von Treibern oder Feature Updates?

Sie können die Installation von Treibern und Funktionsupdates ähnlich wie bei anderen Patch-Typen konfigurieren. Navigieren Sie in den Richtlinieneinstellungen für Windows-Patches zum Abschnitt „Erweiterte Genehmigung“, aktivieren Sie die Kontrollkästchen neben „Treiber“ und/oder „Funktionsupdates“, um diese zu aktivieren, und legen Sie Ihre bevorzugte Genehmigungsoption fest (genehmigen, manuell oder ablehnen).

Wenn Sie Feature Updates lieber außerhalb der Patch-Management-Funktionalität von NinjaOne bereitstellen möchten, verwenden Sie die folgende Skriptressource: „Benutzerdefiniertes Skript: Windows 10-Build aktualisieren“.

Kann ich meine Windows-Patch-Verwaltung-Einstellungen so konfigurieren, dass Windows Defender keine Patches (z. B. Definitionsupdates) bereitstellt?

Nein. Das Tool für die Patch-Verwaltung von NinjaOne kann die Bereitstellung von Patches durch Windows Defender nicht deaktivieren.

Welche Windows-Versionen sind mit dem Windows Patch Management Tool von NinjaOne kompatibel?

Die meisten der in unserer Dokumentation „NinjaOne Endpunkt-Management: Systemanforderungen und Kompatibilität“ aufgeführten Betriebssysteme sind mit unserem Windows-Patch-Management kompatibel. Viele Versionen von Windows Vista, Windows 7 und Windows Server 2008 unterstützen das Windows-Patch-Management jedoch nicht, da Microsoft einen veralteten Windows Update-Service-Endpunkt eingestellt hat (SHA-1-basierte Windows Update-Endpunkte für ältere Windows-Geräte wurden eingestellt).

Sie können Geräte mit Windows 7 SP1, Windows Server 2008 R2 SP1 und Windows Server 2008 SP2 aktualisieren, um das Windows-Patch-Management zu ermöglichen, indem Sie die Schritte im oben verlinkten Microsoft-Artikel befolgen.

Woher stammen die Daten im Feld „Neustart erforderlich“, wenn die Liste der ausstehenden/genehmigten/abgelehnten Patches angezeigt wird?

Diese Daten werden direkt aus dem Microsoft Update-Katalog für jeden Patch abgerufen.

Was bedeuten die Daten im Feld „Installiert/Versucht von“, wenn die Liste der installierten/fehlgeschlagenen Patches angezeigt wird?

  • Ein Wert, der als „NinjaRMM Scheduled Update“ aufgeführt ist, zeigt an , dass der Patch während eines geplanten Windows-Patch-Management-Aktualisierungszyklus gemäß den Richtlinieneinstellungen des Geräts installiert wurde.
  • Ein Wert, der als „NinjaRMM: <NAME des Technikers>“ aufgeführt ist, bedeutet , dass der betreffende Techniker einen Ad-hoc-Update-Zyklus der Windows-Patch-Verwaltung ausgelöst hat, durch den der Patch auf dem Gerät installiert wurde.
  • Ein Wert mit der Bezeichnung „NinjaRMM Update Engine“bedeutet, dass der Patch von der Legacy-Update-Engine von NinjaOne installiert wurde.
  • Jeder andere Wert bedeutet, dass der Patch nicht über das Windows-Patch-Management-Tool von NinjaOne installiert wurde.

Wenn der Patch nicht von NinjaOne installiert wurde, hängt der angezeigte Wert vollständig von der Instanz ab, die die Software installiert hat (dieses Feld kann beispielsweise leer sein). Hier sind einige Beispiele für andere Werte, die hier angezeigt werden können:

Wie können Sie die Sprache in der Aufforderung zum Neustart von Windows Patch-Verwaltung ändern?

Die Aufforderung zum Neustart bei der OS-Patch-Verwaltung verwendet die Sprache des installierten Betriebssystems. Derzeit werden Französisch, Deutsch, Spanisch und Englisch unterstützt.

Warum erscheinen Patches manchmal immer noch in der Liste „Installiert“ in NinjaOne, obwohl ich sie lokal vom Rechner deinstalliert habe?

Dies liegt an der bisherigen Vorgehensweise von Microsoft. In einigen Fällen werden Patches, die lokal auf einem Rechner deinstalliert wurden, weiterhin in der Liste „Installiert“ in NinjaOne angezeigt.

Nach der Durchführung von Feature Updates auf Computern erscheint die Liste „Installiert“ leer. Warum tritt dies auf?

Dies liegt an einer Windows-Funktionalität, die möglicherweise den lokalen Patch-Verlauf eines Computers löscht, wenn ein Feature Update installiert wird. In diesem Fall wird die Liste „Installierte Patches“ als leer angezeigt, aber die Betriebssystemversion des Geräts wird aktualisiert und zeigt die erwartete Windows-Version an.

Wenn die Option zum Aufwecken eines Systems für das Patching aktiviert ist, wie weckt NinjaOne das Gerät dann auf?

Diese Option nutzt eine Windows-API-Funktion, um die Weckzeit eines Geräts festzulegen. Geräte können aus dem Ruhezustand geweckt werden. Damit diese Funktion funktioniert, müssen im System Wecktimer aktiviert sein.

Ist es möglich, dass Geräte nach einem Scan-Zyklus statt nach einem Anwendungszyklus einen Neustart benötigen?

Ab Version 9.0 lösen Scan-Zyklen keine Neustarts mehr aus. Dies verhindert unerwartete Geräte-Neustarts und sorgt für eine sichere Ausführung der Scans.  

Spiegelt das unter „Update-Verlauf anzeigen“ in der lokalen Windows Update-Anwendung angezeigte Datum des letzten Scans die über NinjaOne durchgeführten Scans wider?

Nein. NinjaOne kann das Datum letzten Scans in der Windows Update-Anwendung nicht aktualisieren. Dieses Datum gibt den Zeitpunkt an, zu dem zuletzt ein manueller Patch-Scan von Windows Update und nicht von NinjaOne durchgeführt wurde. 

Werden NinjaOne-Patches lokal auf dem Gerät unter „Update-Verlauf anzeigen“ angezeigt?

Über NinjaOne installierte Patches werden nicht angezeigt. Lokal installierte Patches werden jedoch weiterhin unter „Update-Verlauf“ auf dem Gerät angezeigt.

Warum ist ein manueller Scan- und Anwendungsjob in eine Zeitüberschreitung gelaufen?

Die in der Richtlinie festgelegte Dauer gilt auch für manuelle Scan- und Anwendungszyklen.

Führt NinjaOne BIOS-Updates durch?

NinjaOne verwaltet alle über Microsoft bereitgestellten Patches, zu denen gelegentlich auch BIOS-Updates gehören. Aus Gründen der Konsistenz empfehlen wir die Verwendung benutzerdefinierter Skripte für BIOS-Updates, die Sie in unserem Artikel „Script Share: Patch-Management“ finden. 

Häufig gestellte Fragen zur Patch-Planung

Kann ich einen Windows-Patch-Scan und einen Update-Zyklus so planen, dass sie gleichzeitig ausgeführt werden?

Wir empfehlen, die Scan- und Update-Zeitpläne um mindestens eine Stunde voneinander zu trennen, damit genügend Zeit zugelassen wird, bis eine Aktion abgeschlossen ist, bevor die andere beginnt. Wenn Sie Ihre Scan- und Update-Zyklen dennoch so planen, dass sie gleichzeitig ausgeführt werden, oder wenn ein Installationszyklus beginnt, bevor der Scan-Zyklus vollständig abgeschlossen ist, wird der Scan übersprungen oder abgebrochen, und der Update-Zyklus hat Vorrang.

Wird ein Scan-Zyklus unmittelbar vor einem Anwendungszyklus ausgeführt?

Ja. Während eines Anwendungszyklus im Rahmen der Windows-Patch-Verwaltung wird vor dem Anwenden der Aktualisierungen ebenfalls ein Scan durchgeführt.

Warum erhalte ich eine Benachrichtigung „Neustart erforderlich“ für Windows-Patches, und kann ich den automatischen Neustart verhindern? 

Benachrichtigungen vom Typ „Neustart erforderlich“ werden durch die auf Richtlinienebene eingerichteten Patch-Management-Optionen ausgelöst. Techniker können zwischen mehreren Optionen wählen, darunter die Möglichkeit, dem Endbenutzer zu erlauben, einen Neustart zu akzeptieren, einen Neustart mit Benachrichtigung durchzuführen oder automatisch neu zu starten. Wenn Ihr Patch-Management-Zeitplan so eingerichtet wurde, dass der Endbenutzer zum Neustart aufgefordert wird, hat der Techniker zusätzlich die Möglichkeit, nach einer bestimmten Anzahl von Aufforderungen einen Neustart zu erzwingen. 

Nachfolgend finden Sie ein Beispiel für eine Benachrichtigung „Neustart erforderlich“, wie sie der Endbenutzer sieht, sowie die Einstellungsoptionen für den Neustart, wie sie der Techniker sieht. Techniker verfügen außerdem über ein Dialogfeld zum Hinzufügen benutzerdefinierter Meldungen, sodass der Wortlaut der Benachrichtigung „Neustart erforderlich“ je nach Kundenspezifikationen variieren kann. 

NewUI_PebootDialog.png
Abbildung 2: Beispiel für die Aufforderung „Neustart erforderlich“ (zum Vergrößern anklicken)

reboot req prompt ex.png
Abbildung 3: Beispiel für die Konfiguration der Aufforderung „Neustart erforderlich“ (zum Vergrößern anklicken)

FAQ zur Verfügbarkeit von Patches

Im Folgenden finden Sie eine Liste häufig gestellter Fragen zur Verfügbarkeit von Patches mit dem Windows Patch Management Tool von NinjaOne.

Woher weiß NinjaOne, welche Patches installiert werden müssen?

Microsoft verteilt neu veröffentlichte Patches über Service-Kanäle.

  • Wenn das Gerät das betreffende Update während eines normalen, lokalen Update-Scans erkennt, kann NinjaOne diese Patches ebenfalls beim nächsten Patch-Management-Scan erkennen.
  • Wenn das Gerät den Patch nicht erkennen kann, zeigt NinjaOne ihn auch nicht an, da NinjaOne die Ergebnisse und Daten von Windows Update nutzt.

NinjaOne erkennt Patches nur, wenn sie zum Zeitpunkt der Durchführung eines Windows-Patch-Scans verfügbar sind. Es ist wichtig zu beachten, dass ein lokal auf einem Gerät ausgeführter Windows-Patch-Scan alle in NinjaOne konfigurierten Richtlinien für das Windows-Patch-Management umgeht (d. h., Patches würden nicht gemäß den konfigurierten Richtlinieneinstellungen genehmigt oder abgelehnt).

Was passiert, wenn ein Patch nicht verfügbar ist?

In seltenen Fällen kann es zu einer Verzögerung zwischen der Veröffentlichung eines Sicherheitsupdates durch Microsoft und dem Zeitpunkt kommen, zu dem dieser Patch direkt über Windows Update verfügbar ist. Microsoft rollt Patches schrittweise auf allen Windows-Geräten aus, weshalb Sie feststellen werden, dass sie auf einem Gerät verfügbar sind, auf einem anderen jedoch nicht – selbst wenn Sie ein manuelles Update direkt auf den Geräten durchführen. Klicken Sie hier, um eine Liste der Sicherheitsupdates von Microsoft anzuzeigen.

Microsoft fügt Patches in der Regel am zweiten Dienstag jeden Monats zum Windows-Update-Katalog hinzu. Vorher können NinjaOne-Benutzer die Patches während eines Scan-Zyklus nicht erfassen. Klicken Sie hier, um eine Liste der aktuellen Patches anzuzeigen, die über Windows Update und damit auch über die Patch-Management-Funktionalität von NinjaOne verfügbar sind.

Wie kann ich die Installation eines Patches durchführen, wenn er in NinjaOne nicht verfügbar ist?

Wenn der Windows-Update-Dienst des Geräts den von Microsoft bereitgestellten Patch noch nicht erkennt, müssen Sie den Patch manuell installieren.

Wenn Sie nicht darauf warten möchten, dass Microsoft dem Gerät mitteilt, dass der Patch für dieses Gerät verfügbar ist, gibt es zwei Optionen:

  • Führen Sie Windows Update manuell auf dem/den Gerät(en) aus, um den Patch zu erhalten, sobald er verfügbar ist. Möglicherweise müssen Sie dies mehrmals wiederholen, falls der Patch bei Microsoft noch nicht verfügbar ist.
  • Laden Sie den Patch von der Microsoft Update-Website herunter und installieren Sie ihn manuell über die Befehlszeile oder ein benutzerdefiniertes Skript.

Warum muss dies manuell erfolgen?

  • NinjaOne unterhält kein Patch-Repository für die Bereitstellung von Patches auf Geräten.
  • NinjaOne nutzt den lokalen Windows-Update-Dienst auf dem jeweiligen Gerät, der wiederum die Microsoft-Server kontaktiert, um anhand verschiedener Faktoren zu ermitteln, welche Patches für das Gerät verfügbar sind. Sobald der Update-Dienst den Katalog der verfügbaren Patches erhalten hat, weist NinjaOne das Gerät entsprechend Ihrer Einstellungen in der NinjaOne-Konsole an, wann diese installiert werden sollen.

Findet ein geplanter automatischer Neustart auch dann statt, wenn Benutzer noch angemeldet sind, den Computer aber nicht aktiv nutzen?

Nein. Wir raten zudem davon ab, einen im Leerlauf befindlichen Computer neu zu starten, da Sie dabei wichtige, nicht gespeicherte Daten und offene, noch nicht abgeschlossene Arbeiten verlieren könnten.

FAQ

Nächste Schritte