Patch-Management für Windows Server: Updates, Werkzeuge, Hotpatch

Windows Server trägt in vielen Unternehmen die zentralen Dienste: Anmeldung und Verzeichnis, Dateiablage, Datenbanken, Druck und Fachanwendungen. Entsprechend vorsichtig gehen IT-Teams mit Updates um. Zu vorsichtig darf es aber nicht sein, denn jede nicht eingespielte Sicherheitskorrektur lässt eine bekannte Lücke offen.

Dieser Beitrag behandelt die Besonderheiten bei Windows Server: wie Microsoft Updates veröffentlicht, welche Versionen noch versorgt werden, welche Werkzeuge sich eignen und was Hotpatching leistet. Den allgemeinen Ablauf für alle Serverarten von der Bestandsaufnahme bis zum Bericht beschreibt unser Beitrag Patch Management für Server im KMU aufbauen.

Wie Microsoft Windows Server aktualisiert

Microsoft veröffentlicht Sicherheitsupdates planmäßig am zweiten Dienstag jedes Monats. Dieser Termin heißt umgangssprachlich Patch-Dienstag oder Patch Tuesday. So beschreibt es Microsoft in der Übersicht zu Azure Update Manager. Für Windows Server stellt Microsoft kumulative Updates bereit. Ein kumulatives Update enthält auch die Korrekturen der Vormonate.

Daneben gibt es außerplanmäßige Updates, auf Englisch Out-of-Band (OOB). Sie erscheinen, wenn ein Fehler oder eine Sicherheitslücke nicht bis zum nächsten Monat warten kann. Die Versionsübersicht für Windows Server führt solche Updates gesondert auf. Im Oktober 2026 folgte dort zum Beispiel auf das reguläre Update vom 13. Oktober ein außerplanmäßiges Update am 26. Oktober.

Für Ihre Planung heißt das: Ein fester monatlicher Termin reicht als Grundtakt. Sie brauchen aber zusätzlich einen Weg, um dringende Updates außerhalb dieses Takts zu bewerten und einzuspielen.

Welche Windows-Server-Versionen noch Updates erhalten

Windows Server folgt der festen Lebenszyklusrichtlinie von Microsoft. Nach dem Ende des erweiterten Supports gibt es keine regulären Sicherheitsupdates mehr. Die Daten laut Versionsübersicht (abgerufen am 29.10.2026):

Für Windows Server 2016 bleiben damit weniger als drei Monate. Wer diese Version noch einsetzt, sollte die Ablösung jetzt einplanen.

Für ältere Versionen gab es ein Programm für erweiterte Sicherheitsupdates (Extended Security Updates, ESU). Es richtet sich an Organisationen und ist kostenpflichtig. Es liefert kritische und wichtige Sicherheitsupdates für bis zu drei Jahre nach Supportende, aber keine neuen Funktionen. Für Windows Server 2012 und 2012 R2 endete das dritte und letzte ESU-Jahr am 13. Oktober 2026. Erhältlich waren die ESU über Volumenlizenzverträge oder über Azure Arc; für virtuelle Maschinen in Azure waren sie ohne Aufpreis enthalten. Das beschreibt Microsoft in den häufig gestellten Fragen zu ESU. Windows Server 2016 ist in der ESU-Übersicht dort nicht aufgeführt (Stand 29.10.2026).

Server ohne Sicherheitsupdates brauchen deshalb eine eigene Entscheidung. Das BSI verlangt im IT-Grundschutz-Baustein OPS.1.1.3 Patch- und Änderungsmanagement zu prüfen, ob nicht mehr unterstützte Produkte dennoch sicher betrieben werden können. Ist das nicht der Fall, dürfen sie nicht mehr verwendet werden.

Werkzeuge für Windows-Server-Updates

WSUS: abgekündigt, aber weiter nutzbar

Windows Server Update Services (WSUS) ist eine Serverrolle, mit der Sie Updates im eigenen Netz bereitstellen und gezielt freigeben. Microsoft entwickelt WSUS nicht mehr aktiv weiter. Laut der Liste entfernter und nicht mehr entwickelter Funktionen bleiben die vorhandenen Funktionen und Inhalte aber verfügbar. Abgekündigte Komponenten erhalten nach derselben Seite weiterhin Sicherheits- und Qualitätsupdates im Rahmen des Produktlebenszyklus. Auf der Liste steht auch die Interne Windows-Datenbank (WID), die unter anderem WSUS nutzt. Microsoft empfiehlt dort, stattdessen SQL Server zu erwägen.

Wichtig ist: Der WSUS-Server ist selbst ein lohnendes Ziel. Im Oktober 2025 warnte das BSI vor einer kritischen Schwachstelle in WSUS (CVE-2025-59287), für die Microsoft am 23. Oktober 2025 ein außerplanmäßiges Update veröffentlichte. Nach Kenntnisstand des BSI waren zu diesem Zeitpunkt in Deutschland rund 280 WSUS-Server aus dem Internet erreichbar (Stand 26.10.2025). Das BSI weist darauf hin, dass WSUS hinter einer Firewall betrieben werden sollte. Quelle: BSI-IT-Sicherheitshinweis zu WSUS.

Configuration Manager

Microsoft Configuration Manager (früher SCCM) unterstützt Windows Server 2016 bis 2025 als verwaltete Systeme, wie die Liste der unterstützten Betriebssysteme zeigt. Für Updates nutzt Configuration Manager einen Softwareupdatepunkt, auf dem WSUS läuft. Mit automatischen Bereitstellungsregeln lassen sich monatliche Updates zuerst an eine Testgruppe und danach an weitere Gruppen verteilen. Den automatischen Neustart nach der Installation können Sie für Server unterdrücken und selbst planen. Das beschreibt Microsoft in der Einführung in Softwareupdates.

Ein Detail aus derselben Quelle ist für Berichte wichtig: Der Status „Erforderlich“ kann auch bedeuten, dass ein Update installiert ist, aber noch ein Neustart aussteht. Ein Bericht zeigt also nicht immer, ob der Server schon den neuen Stand ausführt.

Azure Update Manager

Azure Update Manager verwaltet Updates für Server in Azure und für Server im eigenen Rechenzentrum, die über Azure Arc mit Azure verbunden sind. Er zeigt den Update-Stand von Windows- und Linux-Servern in einer Übersicht, plant Installationen in festgelegten Wartungsfenstern und kann alle 24 Stunden automatisch nach fehlenden Updates suchen. Das steht in der Übersicht von Microsoft. Prüfen Sie vor der Einführung, welche Kosten und Abhängigkeiten von Azure für Ihre Server entstehen.

Intune ist für Windows Server nicht vorgesehen

Microsoft Intune verwaltet Arbeitsplatzrechner und mobile Geräte. In der Liste der von Intune unterstützten Betriebssysteme führt Microsoft Windows-11-Editionen, Windows-LTSC-Versionen und Cloud-PCs auf, aber keine Windows-Server-Version. Für die Updates Ihrer Server planen Sie deshalb eines der oben genannten Werkzeuge ein.

Hotpatching: weniger Neustarts, nicht keine

Mit Hotpatching installiert Windows Server Sicherheitsupdates, ohne dass der Server neu starten muss. Dabei wird der Code laufender Prozesse im Arbeitsspeicher geändert. So beschreibt es Microsoft auf der Seite Hotpatch für Windows Server. Dort stehen auch die Voraussetzungen und Grenzen:

• Unterstützte Systeme: virtuelle Maschinen in Azure mit Windows Server 2022 oder 2025 Datacenter: Azure Edition sowie Windows Server 2025 Standard und Datacenter, wenn der Server mit Azure Arc verbunden ist.
• Neustarts bleiben: Alle drei Monate kommt eine neue Basisversion mit dem aktuellen kumulativen Update, und dafür ist ein Neustart nötig. Microsoft nennt als Beispiel vier geplante Basisversionen und acht Hotpatch-Versionen pro Jahr. Bei dringenden Korrekturen, die sich nicht als Hotpatch ausliefern lassen, kann eine ungeplante Basisversion mit Neustart hinzukommen.
• Nur Sicherheitsupdates: Andere Windows-Updates, .NET-Updates, Treiber und Firmware sind nicht enthalten und verlangen weiter einen Neustart.
• Kein automatischer Rückweg: Bei Problemen müssen Sie das letzte Update deinstallieren und die letzte funktionierende Basisversion installieren. Auch das erfordert einen Neustart.

Hotpatching kann Wartungsfenster also seltener machen. Es ersetzt aber weder geplante Neustarts noch die Prüfung danach.

Ablauf für Windows Server

Das BSI beschreibt in OPS.1.1.3 unter anderem diese Anforderungen: Patches zeitnah nach Veröffentlichung bewerten und priorisieren, Änderungen planen, genehmigen und dokumentieren, möglichst vorab testen, eine Rückfall-Lösung bereithalten und prüfen, ob der Patch auf allen relevanten Systemen angekommen ist. Wird ein Patch bewusst nicht eingespielt, sind die Entscheidung und die Gründe zu dokumentieren.

Für Windows Server empfehlen wir dazu diese Punkte:

1. Rollen kennen: Halten Sie fest, welcher Server welche Rolle hat, etwa Domänencontroller, Datei-, Datenbank- oder Virtualisierungsserver, und welche Anwendungen davon abhängen.
2. Reihenfolge festlegen: Beginnen Sie mit Testsystemen oder weniger kritischen Servern. Aktualisieren Sie Server mit derselben Rolle, etwa mehrere Domänencontroller oder Clusterknoten, nacheinander, damit die Rolle verfügbar bleibt.
3. Sicherung prüfen: Stellen Sie vor dem Update sicher, dass eine aktuelle und wiederherstellbare Sicherung vorliegt. Verlassen Sie sich nicht allein auf einen Snapshot der virtuellen Maschine.
4. Nach dem Neustart prüfen: Kontrollieren Sie, ob das Update installiert ist und kein Neustart mehr aussteht, ob die wichtigen Dienste laufen und ob das Ereignisprotokoll neue Fehler zeigt. Installierte Updates zeigt zum Beispiel der PowerShell-Befehl Get-HotFix.
5. Ausnahmen begründen: Für jeden Server, der ein Update nicht erhält, gehören Grund, verantwortliche Person, Schutzmaßnahmen und ein neuer Termin in die Dokumentation.

Patch-Management und NIS2

Unternehmen, die unter die NIS2-Regeln fallen, müssen nach § 30 BSI-Gesetz Risikomanagementmaßnahmen ergreifen. Dazu zählen ausdrücklich Sicherheitsmaßnahmen bei der Wartung von IT-Systemen einschließlich des Managements von Schwachstellen sowie die Aufrechterhaltung des Betriebs. Ein dokumentierter Update-Prozess für Ihre Server ist ein naheliegender Baustein dafür. Einen Überblick, was das für Ihr Unternehmen bedeuten kann, gibt unsere Seite zu NIS2 und Risikomanagement.

Unterstützung durch die GSL Groß GmbH

Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis. Managed Services bedeutet: Ein Dienstleister übernimmt vereinbarte IT-Aufgaben dauerhaft. Wie wir die Sicherheit Ihrer Systeme prüfen, lesen Sie auf unserer Seite zur IT-Sicherheit.

Sie möchten wissen, wie es um die Updates Ihrer Windows-Server steht, oder planen die Ablösung von Windows Server 2016? Sprechen Sie uns an.