Microsoft AZ-801: Windows Server Update- und Patch-Management — Lernleitfaden

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Teil des Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Das Patch-Management in Windows Server umfasst lokale und in Azure gehostete Workloads und kombiniert WSUS für granulare Genehmigungs-Workflows, Richtlinien für Windows Update for Business (WUfB) für ringbasierte Rollouts, Azure-basierte Orchestrierung für Skalierbarkeit und robustes Compliance-Reporting. Eine erfolgreiche Strategie standardisiert Scan-Quellen, isoliert Test- und Pilot-Ringe, steuert Neustarts in Wartungsfenstern und bereinigt kontinuierlich Metadaten, um die Leistung vorhersagbar zu halten. Hybrid-Administratoren müssen auch moderne Azure-Funktionen wie das Update Management Center, automatisches VM-Gast-Patching und Hotpatching für Windows Server Azure Edition verstehen, um Ausfallzeiten zu minimieren und gleichzeitig die Sicherheitslage aufrechtzuerhalten.

WSUS-Architektur und -Verwaltung

Eine gut konzipierte WSUS-Topologie beginnt mit einem Upstream-Server, der Metadaten (und optional Inhalte) von Microsoft Update synchronisiert. Downstream-Server abonnieren diesen Upstream-Server. Im Replikatmodus erbt ein Downstream-Server Genehmigungen, Computergruppen und Einstellungen vom Upstream-Server für eine zentrale Steuerung – ideal für Zweigstellen. Im autonomen Modus empfangen Downstream-Server Update-Metadaten, treffen aber ihre eigenen Genehmigungsentscheidungen – nützlich, wenn regionale Teams die Wartung steuern. Die Synchronisierung sollte täglich für Metadaten mit ausgewählten Sprachen, Produkten und Klassifizierungen geplant werden. Für große Bereitstellungen konfigurieren Sie SSL (Port 8531), um den Client-Scan-Verkehr und die Replikation zwischen WSUS-Servern zu schützen.

Genehmigungsregeln operationalisieren die Ringe. Automatische Genehmigungsregeln können Sicherheitsupdates (und optional kritische Updates) sofort für eine Vorproduktionsgruppe genehmigen, während andere Ringe um Tage oder Wochen verzögert werden. Verwenden Sie explizite Genehmigungen mit Stichtagen für breite Bereitstellungen; Stichtage erzwingen die Installation bis zu einem bestimmten Zeitpunkt, unabhängig von den „aktiven Stunden“ des Clients. Computergruppen definieren Ringe und Workload-Ebenen (Pilot-, breite und kritische Server). Die Gruppenzuweisung kann serverseitig oder clientseitig erfolgen. Beim serverseitigen Targeting erscheinen neue Clients unter „Nicht zugewiesene Computer“ (Unassigned Computers), und Administratoren verschieben sie in WSUS-Gruppen. Beim clientseitigen Targeting legt eine Gruppenrichtlinie TargetGroup und TargetGroupEnabled fest, sodass sich Maschinen beim ersten Scan selbst in einer benannten WSUS-Gruppe registrieren – besser für skalierbare und dynamische OU-basierte Platzierungen.

Client-GPOs müssen den Windows Update Agent auf WSUS verweisen, indem „Internen Pfad für den Microsoft Updatedienst angeben“ (Specify intranet Microsoft update service location) aktiviert wird (sowohl für den Updatedienst als auch für den Statistikserver). Legen Sie „Automatische Updates konfigurieren“ (Configure Automatic Updates) (z. B. Option 4, autom. Herunterladen und geplante Installation) und die „Suchhäufigkeit für automatische Updates“ (Automatic Updates detection frequency) fest, um die Scan-Frequenz zu steuern. Für Server setzen Sie „Keinen automatischen Neustart für geplante Installationen automatischer Updates bei angemeldeten Benutzern durchführen“ (No auto-restart with logged on users) und „Automatischen Neustart nach Updates während der Nutzungszeit deaktivieren“ (Turn off auto-restart for updates during active hours), um störende Neustarts zu vermeiden; koordinieren Sie dann das Neustartverhalten mithilfe von Wartungsfenstern oder Orchestrierungstools. Wenn WUfB-Richtlinien in der Umgebung vorhanden sind, verhindern Sie, dass Clients WSUS umgehen, indem Sie „Keine Updaterückstellungsrichtlinien zulassen, die Scans gegen Windows Update verursachen“ (Do not allow update deferral policies to cause scans against Windows Update) aktivieren.

Eine dauerhafte Leistung erfordert WSUS-Hygiene. Der WSUS-Bereinigungs-Assistent (WSUS Cleanup Wizard) entfernt ersetzte und abgelaufene Updates, löscht veraltete Updatedateien und bereinigt veraltete Computer, die WSUS innerhalb eines festgelegten Intervalls nicht kontaktiert haben. Skripten Sie die Bereinigung mit

undefined

und führen Sie sie nach Synchronisierungen aus, die große Mengen an Updates importieren.

Die Wartung der WSUS-Datenbank ist für Skalierbarkeit und Stabilität unerlässlich. Abgelaufene Updates sollten abgelehnt werden; ersetzte Updates können abgelehnt werden, nachdem ihr Ersatz einen stabilen Zustand in der Produktion erreicht hat. Führen Sie regelmäßig eine Neuindizierung und Aktualisierung der Statistiken für die SUSDB mit Microsofts

undefined

durch. Verlassen Sie sich nicht auf das Verkleinern (Shrinking); konzentrieren Sie sich auf die Indexintegrität. Migrieren Sie für sehr große Umgebungen die SUSDB von WID zu einer vollwertigen SQL Server-Instanz, um erweiterte Indizierung, bessere E/A-Leistung und die native Zeitplanung des SQL Agent zu nutzen. Vermeiden Sie eine übermäßige Auswahl von Produkten und Sprachen – beschränken Sie sich auf das, was Sie tatsächlich bereitstellen, um den Metadaten-Churn und den Genehmigungsaufwand zu reduzieren.

Cloud-orchestrierte Aktualisierung: WUfB, Update Management Center, VM Guest Patching und Hotpatch

Windows Update for Business (WUfB) steuert mithilfe von ringbasierten Zurückstellungen und Pausen, wann Geräte Funktions- und Qualitätsupdates direkt vom CDN von Microsoft erhalten. Zurückstellungsrichtlinien (via GPO oder Intune) legen die Werte für Select when Preview Builds and Feature Updates are received und Select when Quality Updates are received fest. Typische Werte sind 0–365 Tage für Funktionsupdates und 0–35 Tage für Qualitätsupdates. Das Anhalten von Updates stoppt die Installation von Funktions- oder Qualitätsupdates für bis zu 35 Tage ab einem festgelegten Startdatum – nützlich, um einen Rollout anzuhalten, während ein Problem untersucht wird. Ringe werden als separate Richtlinienzuweisungen mit unterschiedlichen Parametern für Zurückstellung und Pause implementiert, wobei man mit zunehmendem Vertrauen von IT/Pilot zu einer breiten Verteilung (Broad) übergeht. Verwenden Sie dies, wenn Sie keine WSUS-Genehmigungen benötigen oder wenn die Bereitstellung von Inhalten aus der Cloud und deren Schutzmaßnahmen bevorzugt werden.

Das Update Management Center (UMC) in Azure modernisiert die Orchestrierung für Azure-VMs und Arc-fähige Server. Bewertungszeitpläne legen fest, wann Maschinen ihre fehlenden Updates und ihren Konformitätsstatus ermitteln – in der Regel täglich, damit

Compliance-Berichterstattung und Legacy Azure Update Management

Die Berichterstattung zur Update-Compliance muss sowohl die Sichtbarkeit für die Geschäftsleitung als auch die operative Ursachenanalyse (Root-Cause Analysis) gewährleisten. Windows Update for Business-Berichte bieten Einblicke auf Geräteebene und aggregierter Ebene in den Update-Status, Safeguard Holds, die Verbreitung von Feature-Versionen und die Fehlerdiagnose. Geräte senden erforderliche Diagnosedaten an einen Log Analytics-Arbeitsbereich, der mit der Berichtslösung verknüpft ist. Das Onboarding kann über Intune, GPO-Registrierungsschlüssel für die Commercial ID oder Azure Arc für Server erfolgen. Verwenden Sie integrierte Azure Monitor-Arbeitsmappen, um die Compliance nach Ring, Betriebssystemversion und Update-Kategorie aufzuschlüsseln. Heften Sie kritische Diagramme an Azure-Dashboards an, um die Sichtbarkeit für das NOC (Network Operations Center) zu gewährleisten.

Azure Update Management (Legacy) kombinierte ein Azure Automation-Konto mit einem Log Analytics-Arbeitsbereich. Maschinen (Azure VMs und Arc-fähige Server) meldeten Bewertungsdaten an Log Analytics; geplante Bereitstellungen riefen Automation-Runbooks auf, um die Patch-Installation innerhalb definierter Wartungsfenster zu orchestrieren. Zu den gesteuerten Parametern gehörten Klassifizierungen, ein- und ausgeschlossene KBs, Pre- und Post-Skripte sowie die Neustartrichtlinie. Obwohl es durch das Update Management Center abgelöst wurde, bleibt das Legacy Update Management in Brownfield-Umgebungen wichtig. Die Migrationsplanung sollte Zeitpläne, Geltungsbereiche und Runbook-Verhalten auf die Patch-Richtlinien und das dynamische Scoping des UMC abbilden.

Patch-Klassifizierung und Schweregrad werden oft verwechselt, aber beide sind für die Richtlinienerstellung von Bedeutung. Sicherheitsupdates ist die Klassifizierung für Updates, die Schwachstellen beheben. Innerhalb der Sicherheitsupdates lauten die Schweregradeinstufungen des Microsoft Security Response Center „Kritisch“ (Critical), „Wichtig“ (Important), „Mittel“ (Moderate) und „Niedrig“ (Low). „Kritisch“ weist typischerweise auf Remotecodeausführung oder weitreichende, wurmartige Auswirkungen hin; „Wichtig“ umfasst oft eine Erhöhung von Berechtigungen (Elevation of Privilege) oder die Offenlegung von Informationen; „Mittel“ und „Niedrig“ spiegeln eine begrenzte Ausnutzbarkeit oder vorhandene Gegenmaßnahmen (Mitigations) wider. In WSUS- und Azure-Richtlinien sollten Sicherheitsupdates (aller Schweregrade) bevorzugt schnell für Pilot-Ringe bereitgestellt und ausgeweitet werden, sobald die Telemetrie die Stabilität bestätigt. Planen Sie währenddessen nicht sicherheitsrelevante Qualitätsupdates basierend auf der Änderungstoleranz des Unternehmens.

Schließlich sollten Sie einen operativen Rhythmus beibehalten. Lehnen Sie abgelaufene und ersetzte Updates nach der Validierung regelmäßig ab, führen Sie monatlich den Bereinigungs-Assistenten und die SQL-Indexwartung durch, gleichen Sie Clients ab, die WSUS oder Azure nicht innerhalb des SLA kontaktieren, und bewerten Sie kontinuierlich die Zurückstellungen der Ringe und die Pausierungslogik. Standardisieren Sie bei hybriden Flotten entweder WSUS oder WUfB als Scan-Quelle pro Gerät; mischen Sie diese nicht auf einem einzelnen Server. Verwenden Sie Azure Arc, um die Governance zu vereinheitlichen, sodass Cloud- und On-Premises-Server in einer einzigen Compliance-Struktur (Fabric) erscheinen.

Praktisches Problemszenario

Fabrikam, Inc. betreibt 600 Windows Server-Maschinen: 250 On-Premises hinter strengen Egress-Kontrollen, 250 Azure VMs, die mehrstufige Anwendungen hosten, und 100 Azure VMs, auf denen Windows Server 2022 Datacenter: Azure Edition läuft. Sie benötigen ein vorhersagbares Patching am Dienstag mit minimaler Ausfallzeit, zentralisierter Berichterstattung und ohne manuelle Zielzuweisung.

Scan-Quellen und Ringe einrichten

Für On-Premises-Server: Stellen Sie einen zentralen WSUS-Upstream-Server im Rechenzentrum mit zwei nachgeschalteten Replikatservern in den Niederlassungen bereit. Erzwingen Sie clientseitiges Targeting per GPO, sodass sich die Server selbst in die WSUS-Gruppen Pilot-Servers, Broad-Servers und Finance-Servers registrieren. Dies gewährleistet eine deterministische Genehmigung von Inhalten ohne Scans im Internet.
Für Azure VMs: Verwenden Sie das Update Management Center mit dynamischem Scoping nach Tags wie Ring=Pilot oder Ring=Broad, um manuell gepflegte Listen zu vermeiden. Dadurch werden Cloud-Maschinen bei ihrer Bereitstellung automatisch der beabsichtigten Ring-Zugehörigkeit zugeordnet. Warum: WSUS erfüllt die Egress-Beschränkungen und ermöglicht feingranulare Genehmigungen; UMC bietet eine Orchestrierung im Cloud-Maßstab und eine Tag-gesteuerte Governance.

Genehmigungs- und Zurückstellungsstrategie definieren

In WSUS: Genehmigen Sie Sicherheitsupdates für Pilot-Server automatisch und sofort; genehmigen Sie sie für Broad-Server mit einer Frist von 7 Tagen. Nicht sicherheitsrelevante Qualitätsupdates werden zuerst für Pilot-Server genehmigt und nach der Überprüfung hochgestuft.
Im UMC: Erstellen Sie zwei Patch-Richtlinien: „Pilot“ installiert Sicherheits- und Qualitätsupdates am Tag nach dem Patch Tuesday; „Broad“ stellt Qualitätsupdates um 7 Tage zurück. Beide verwenden bei Bedarf einen Neustart innerhalb eines 2-stündigen Wartungsfensters. Warum: Ringe fangen Regressionen frühzeitig ab, während die Zeit bis zur Behebung (Time-to-Remediation) von Schwachstellen kurz gehalten wird.

Hotpatching auf Azure Edition-Servern aktivieren

Migrieren Sie geeignete Azure Edition VMs auf Hotpatch-fähige Images und registrieren Sie sie in UMC-Patch-Richtlinien, die die Baseline-Monate berücksichtigen. Stellen Sie sicher, dass pro Baseline-Zyklus mindestens eine Baseline angewendet wird. Warum: Hotpatch eliminiert die meisten Neustarts auf den 100 Azure Edition-Servern, wodurch das SLA erhalten bleibt, während monatliche Sicherheitskorrekturen dennoch angewendet werden.

Automatisches VM-Gast-Patching für Randfälle konfigurieren

Für Utility-VMs mit geringem Risiko: Aktivieren Sie das automatische VM-Gast-Patching (AutomaticByPlatform), beschränkt auf Sicherheitsupdates mit Neustart bei Bedarf, außerhalb der Geschäftszeiten. Warum: Reduziert den Betriebsaufwand für Systeme, bei denen eine granulare Steuerung nicht erforderlich ist.

GPO für WSUS-Clients härten

Legen Sie die GPO-Einstellungen „Internen Pfad für den Microsoft Updatedienst angeben“ (Specify intranet Microsoft update service location), „Automatische Updates konfigurieren“ (Configure Automatic Updates), die Ermittlungshäufigkeit (detection frequency) und „Zurückstellungsrichtlinien für Updates dürfen keine Überprüfungen von Windows Update verursachen“ (Do not allow update deferral policies to cause scans against Windows Update) fest. Konfigurieren Sie für Server „Keinen automatischen Neustart für geplante Installationen durchführen, wenn Benutzer angemeldet sind“ (No auto-restart with logged on users). Warum: Verhindert Konflikte bei der Scan-Quelle und unerwünschte Neustarts während der Servicezeiten.

Compliance-Berichterstattung implementieren

Führen Sie ein Onboarding aller Server für die Windows Update for Business-Berichte durch, indem Sie Azure Arc für On-Prem-Server und die native Integration für Azure VMs verwenden. Senden Sie die erforderlichen Diagnosedaten an einen dedizierten Log Analytics-Arbeitsbereich. Veröffentlichen Sie Azure Monitor-Arbeitsmappen, die nach Ring und Umgebung segmentiert sind. Warum: Bietet eine zentrale Berichtsebene (Single-Pane) für die gesamte hybride Umgebung mit Drilldown-Möglichkeit zur Fehlerdiagnose.

WSUS-Integrität und Datenbankleistung aufrechterhalten

Führen Sie monatlich den WSUS-Bereinigungs-Assistenten aus (Bereinigung abgelaufener/ersetzter Updates, veraltete Computer), lehnen Sie ersetzte Updates nach der Validierung ab und führen Sie WSUSDBMaintenance.sql aus, um die SUSDB neu zu indizieren. Beschränken Sie Produkte/Sprachen auf das, was Fabrikam tatsächlich einsetzt. Warum: Hält Synchronisierungs- und Genehmigungsvorgänge schnell, reduziert die Scan-Zeiten der Clients und verhindert ein Aufblähen der Datenbank.

Sichere Rollout-Fenster orchestrieren

Im UMC: Stellen Sie die Parallelität so ein, dass Verfügbarkeitsgruppen (Availability Sets) und Zonen berücksichtigt werden, um ein gestaffeltes Patchen zu gewährleisten. Koordinieren Sie bei On-Prem-Clustern mit dem Cluster-Aware Updating oder patchen Sie die Knoten sequenziell über Wartungspläne. Warum: Erhält die Anwendungsverfügbarkeit, während Updates angewendet werden.

Dieser Ansatz kombiniert WSUS, wo der Internet-Zugriff eingeschränkt ist, mit Azure-nativer Orchestrierung für Elastizität, Hotpatch zur Minimierung von Neustarts und einheitlicher Compliance-Berichterstattung – alles abgebildet auf eine ringbasierte Governance, die ein Gleichgewicht zwischen Sicherheitsgeschwindigkeit und Stabilität schafft.

← Verschlüsselung · Alle Domänen · Hyper-V →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →