Microsoft MD-102: Windows-Lebenszyklus und Update-Verwaltung — Lernleitfaden

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Teil des Microsoft Endpoint Administrator Associate MD-102 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Die Verwaltung des Lebenszyklus und der Updates von Windows in Microsoft Endpoint Manager (Intune) konzentriert sich auf Windows Update for Business (WUfB), den Windows Update for Business-Bereitstellungsdienst und die optionale Automatisierung mit Windows Autopatch. Das Ziel sind vorhersagbare, ringbasierte Rollouts von Qualitäts- und Funktionsupdates mit minimalen Unterbrechungen, bei gleichzeitiger Beibehaltung von Echtzeit-Transparenz und -Kontrolle. In Intune konfigurieren Sie Updateringe, Richtlinien für Funktions- und Treiberupdates sowie beschleunigte Qualitätsupdates. Einblicke in die Compliance und Bereitschaft erhalten Sie aus den Berichten von Windows Update for Business in Azure Monitor und der Endpunktanalyse. Für den Wechsel zu Windows 11 und die Wiederherstellung von Geräten verwenden Sie die für den Geschäftszweck geeignete Upgrade- oder Zurücksetzungsmethode.

Windows Update for Business-Ringe, Funktions-Targeting und Treiber

Updateringe definieren die grundlegende Erfahrung für das Anbieten und Installieren von Updates. Erstellen Sie in Intune einen Updatering für Windows 10 und höher und weisen Sie ihn Azure AD-Gruppen zu, die Ihre Bereitstellungsringe repräsentieren (z. B. Pilot, Early, Broad). Konfigurieren Sie:

Zurückstellungszeiträume: Verzögern Sie, wann Updates angeboten werden. Typische Werte sind 0–30 Tage für Qualitätsupdates und 0–365 Tage für Funktionsupdates. Zurückstellungen geben Zeit, Telemetriedaten und frühes Feedback zu überwachen, bevor eine breitere Verteilung erfolgt.
Stichtage: Erzwingen Sie die Installation innerhalb einer bestimmten Anzahl von Tagen, nachdem ein Update angeboten wurde (getrennt für Qualitäts- und Funktionsupdates). Stichtage setzen Benutzeraufschübe außer Kraft und stellen sicher, dass Geräte die Installation in einem vorhersagbaren Zeitfenster abschließen.
Neustart-Toleranzzeitraum: Bieten Sie ein begrenztes Zeitfenster nach dem Stichtag vor einem erzwungenen Neustart. Kombinieren Sie dies mit „Automatischer Neustart vor Stichtag“, damit Windows bei Bedarf außerhalb der Nutzungszeit neu starten kann, um die Compliance zu erfüllen. Sie können auch Optionen für die Benutzererfahrung steuern, wie z. B. die automatische Anpassung der Nutzungszeit, ob Benutzer Scans anhalten können und ob andere Microsoft-Produktupdates empfangen werden sollen. Entscheidend ist, dass die Einstellung Treiberupdates zulassen umschaltet, ob Treiber über Windows Update angeboten werden.

Richtlinien für Funktionsupdates zielen darauf ab, Geräte unabhängig von den Zurückstellungen des Rings auf einer bestimmten Windows-Version zu halten. Verwenden Sie in Intune Funktionsupdates für Windows 10 und höher, um ein Produkt (Windows 10 oder 11) und eine Zielversion (z. B. Windows 11, Version 23H2) auszuwählen. Die Richtlinie verwendet den Windows Update for Business-Bereitstellungsdienst, um das Gerät an diese Version zu binden, bis Sie die Richtlinie ändern oder die Version das Ende ihres Lebenszyklus erreicht. Schutzmaßnahmen (Safeguard Holds) – temporäre Blockaden, die Microsoft zum Schutz von Geräten mit bekannten Kompatibilitätsproblemen einrichtet – sind standardmäßig aktiviert. Deaktivieren Sie Schutzmaßnahmen für Funktionsupdates nur dann, wenn Sie überprüft haben, dass das Problem Ihre Umgebung nicht betrifft. Das Umgehen von Schutzmaßnahmen erzwingt das Angebot beim nächsten Scan und kann ein Risiko darstellen.

Die Verwaltung von Treiberupdates wird am besten mit den Richtlinien für die Verwaltung von Windows-Treiberupdates in Intune gehandhabt. Im großen Maßstab setzen Sie Treiberupdates zulassen = Nein in Ihren Updateringen für die breiten Ringe und verwenden den Workflow zur Verwaltung von Treiberupdates, um:

Empfohlene Treiber-/Firmware-Updates pro Modell und Hersteller aus dem Windows Update-Katalog zu ermitteln.
Treiber zu genehmigen und zuerst für Pilotringe zu planen und sie dann nach der Validierung in breitere Ringe zu überführen.
Problematische Treibergenehmigungen anzuhalten oder zurückzusetzen, wenn Probleme festgestellt werden. Dieser Ansatz entkoppelt Treiber vom normalen Rhythmus der Qualitätsupdates und reduziert das Regressionsrisiko.

Beschleunigte Updates und Automatisierung mit Windows Autopatch

Beschleunigte Qualitätsupdates ermöglichen es Ihnen, kritische Sicherheitsupdates außerhalb der normalen Zurückstellungsfenster bereitzustellen. Erstellen Sie in Intune eine Richtlinie für beschleunigte Qualitätsupdates, um das neueste Sicherheitsupdate (oder eine bestimmte KB, falls unterstützt) mit einem aggressiven Installationsstichtag und einem kurzen Neustart-Toleranzzeitraum, der in Stunden oder wenigen Tagen gemessen wird, bereitzustellen. Richtlinien für beschleunigte Updates setzen Zurückstellungen und Pausen außer Kraft. Zu den Anforderungen gehören Geräte, die von Intune verwaltet werden, Updates direkt von Windows Update (nicht von WSUS) erhalten und auf denen die Windows Update Health Tools vorhanden sind. Die Beschleunigung gilt für Qualitäts- (Sicherheits-)Updates, nicht für Funktionsupdates, und ist für die dringende Behebung aktiver Bedrohungen oder Zero-Day-Schwachstellen vorgesehen.

Windows Autopatch bietet eine durchgängige Automatisierung für Windows-Updates, Microsoft 365 Apps for Enterprise, Edge und optional Treiber/Firmware unter Verwendung von dienstgesteuerten Ringen und Richtlinienorchestrierung. Nach dem Onboarding berechtigter Geräte (Windows Enterprise E3/E5 oder Microsoft 365 E3/E5; Intune MDM; Azure AD Join oder Hybrid Azure AD Join) weist Autopatch die Geräte standardmäßigen Anteilen entsprechend den Dienstringen – Test, First, Fast, Broad – zu und verwaltet:

Windows Update-Ringe, das Targeting von Funktionsupdates und Pausen basierend auf Signalen.
Progressive Bereitstellung mit automatischer Hochstufung/Rollback unter Verwendung von Zustandssignalen und Schutzmaßnahmen (Safeguard Holds).
Koordiniertes Patchen von Microsoft 365 Apps und Edge, um die Abweichung zwischen App und Betriebssystem zu minimieren. Autopatch ist ideal, wenn Sie möchten, dass Microsoft den Update-Rhythmus steuert, während Sie die Transparenz und Kontrolle über Zuweisungen und Leitplanken behalten. Sie können weiterhin beschleunigte Updates von Intune parallel zu Autopatch für außerplanmäßige Sicherheitsereignisse verwenden.

Compliance-Berichterstattung, Windows 11-Bereitschaft und Upgrade-/Zurücksetzungspfade

Windows Update for Business-Berichte in Azure Monitor ersetzen die ältere Update Compliance-Lösung und bieten mithilfe von Azure Monitor-Arbeitsmappen und Kusto-Abfragen Einblicke nahezu in Echtzeit. So aktivieren Sie sie:

Erstellen Sie einen Log Analytics-Arbeitsbereich in Azure und die Ressource für Windows Update for Business-Berichte und verknüpfen Sie diese mit dem Arbeitsbereich.
Stellen Sie in Intune Windows Health Monitoring-Profile bereit, um Ereignisdaten von Windows-Updates zu aktivieren, und setzen Sie die Diagnosedaten auf „Erforderlich“ (das Minimum), damit Geräte die benötigte Telemetrie senden können.
Weisen Sie das Verbindungsprofil zu, damit sich in Azure AD eingebundene Geräte bei der Reporting-Pipeline authentifizieren können. Anschließend können Sie den Status von Update-Angeboten/-Installationen, Gründe für Aussetzungsschutz (Safeguard Holds), die Compliance von Funktions- und Qualitätsupdates, den Fortschritt von beschleunigten Updates und den Zustand der Bereitstellung nach Ring oder Gerätegruppe überwachen sowie mithilfe von Azure Monitor Warnungen erstellen.

Bewerten Sie die Windows 11-Bereitschaft durch Validierung von Hardware und Kompatibilität. Zu den Mindestanforderungen gehören eine kompatible 64-Bit-CPU (z. B. Intel 8. Generation/AMD Zen 2 oder neuer auf den unterstützten Listen), 4 GB RAM, 64 GB Speicher, UEFI mit Secure Boot, TPM 2.0, eine DirectX 12-fähige Grafikkarte mit WDDM 2.0 und eine geeignete Anzeige/Auflösung. Verwenden Sie:

Den Bericht zur Windows 11-Bereitschaft in Endpoint Analytics in Intune, um den Status von TPM/Secure Boot, CPU-Familie/-Modell, RAM, Speicher und Bereitschaftsblockern in großem Umfang zu inventarisieren.
Arbeitsmappen der Windows Update for Business-Berichte, um die Bereitschaft für Funktionsupdates und Aussetzungsschutzmaßnahmen (Safeguard Holds) einzusehen.
Test Base for Microsoft 365, um kritische Line-of-Business-Anwendungen gegen Windows 11 und kommende Funktionsupdates zu validieren.

Wählen Sie die richtige Methode für den Betriebssystemübergang basierend auf dem gewünschten Ergebnis:

In-Place-Upgrade: Verwenden Sie „Funktionsupdates für Windows 10 und höher“ in Intune, um verwaltete Geräte auf ein bestimmtes Windows 10/11-Release zu migrieren, wobei Apps, Daten und Einstellungen erhalten bleiben. Dies ist die primäre Methode für das Feature-Servicing und die Migration von Windows 10 auf Windows 11 bei konformer Hardware. Dabei werden Aussetzungsschutzmaßnahmen beachtet (es sei denn, Sie deaktivieren sie explizit).
Fresh Start: Eine Korrekturmaßnahme, die Windows neu installiert und von OEMs vorinstallierte Software sowie Win32-Apps entfernt. Es wird versucht, Benutzerdaten beizubehalten, aber viele Einstellungen werden zurückgesetzt. Verwenden Sie es, um ein Gerät zu entschlacken oder wiederherzustellen, dessen Leistung nachgelassen hat, ohne es vollständig zu löschen. Das Gerät bleibt in Azure AD eingebunden und MDM-verwaltet.
Autopilot Reset: Setzt ein bei Windows Autopilot registriertes Gerät in einen unternehmensbereiten Zustand zurück, wobei die Azure AD-Einbindung, der Gerätename und die Intune-Registrierung erhalten bleiben. Es entfernt Benutzerprofile und Apps und wendet gerätebezogene Richtlinien und Apps erneut an. Verwenden Sie es, um ein Gerät für einen neuen Benutzer schnell neu bereitzustellen oder nach einer Beschädigung wiederherzustellen, wobei die Seite für den Registrierungsstatus (Enrollment Status Page) sicherstellt, dass erforderliche Apps und Richtlinien vor der Nutzung angewendet werden. Ergänzen Sie dies durch eine saubere Ringstrategie: kleine Pilot-Ringe mit minimalen oder keinen Rückstellungen, progressiv größere Ringe mit bemessenen Rückstellungen und Fristen sowie strenge Fristen mit kurzen Schonfristen für Hochrisikoumgebungen. Nutzen Sie Treiber-Management und beschleunigte Updates, um Ausreißer zu behandeln, ohne den Kernrhythmus zu destabilisieren.

Praktisches Problemszenario

Adobe muss 45.000 Windows-Endpunkte weltweit auf einen vorhersehbaren monatlichen Patch-Rhythmus umstellen, die Einführung von Windows 11 pilotieren und treiberbedingte Regressionen reduzieren, die zuvor nach dem Patch Tuesday zu Helpdesk-Spitzen führten.

Definieren Sie Azure AD-Gerätegruppen für Ringe: Pilot (2 %), Early (8 %), Broad (90 %). Warum: Eine klare Abgrenzung ermöglicht eine progressive Ausweitung und gezielte Pausen, ohne die Zuweisungen in jedem Zyklus neu gestalten zu müssen.
Erstellen Sie Intune Windows Update-Ringe: Pilot mit 0-Tage-Rückstellungen, 3-Tage-Fristen für Qualitätsupdates, 1 Tag Schonfrist; Early mit 7-Tage-Rückstellung für Qualitätsupdates, 7-Tage-Frist, 2 Tage Schonfrist; Broad mit 14-Tage-Rückstellung für Qualitätsupdates, 7-Tage-Frist, 2 Tage Schonfrist. Setzen Sie „Treiberupdates zulassen“ = Nein für Early/Broad. Warum: Ein enger Pilot-Ring beschleunigt die Signalgewinnung; gestaffelte Rückstellungen reduzieren den Blast Radius; die Deaktivierung von Treibern in größeren Ringen minimiert Hardware-Regressionen.
Implementieren Sie „Funktionsupdates für Windows 10 und höher“, um nur für den Pilot-Ring Windows 11, Version 23H2, bereitzustellen; belassen Sie Early/Broad auf ihren aktuellen Versionen. Beachten Sie die Aussetzungsschutzmaßnahmen. Warum: Bindet Geräte an ein getestetes Feature-Release, stimmt sich mit der Ring-Validierung ab und vermeidet versehentliche Upgrades allein durch die Ringe.
Aktivieren Sie das Windows-Treiberupdate-Management. Genehmigen Sie vom Hersteller empfohlene Treiber monatlich für den Pilot-Ring; stufen Sie sie nach einer Woche mit sauberen Telemetriedaten zu Early/Broad hoch. Warum: Eine zentrale Genehmigungssteuerung entkoppelt Treiber von Qualitätsupdates und bietet eine Grundlage für Rollbacks.
Konfigurieren Sie Windows Update for Business-Berichte mit einem dedizierten Log Analytics-Arbeitsbereich und Windows Health Monitoring-Profilen. Erstellen Sie Arbeitsmappen und Warnungen nach Ring für den Installationserfolg, Aussetzungsschutzmaßnahmen und Rollback-Auslöser. Warum: Azure Monitor bietet Live-Ansichten zur Compliance und Warnungen bei Problemen wie Installationsfehlern, die einen Schwellenwert überschreiten.
Verwenden Sie die Windows 11-Bereitschaftsanalyse von Endpoint Analytics, um CPU/TPM/Secure Boot-Blocker zu identifizieren und durch Firmware-Updates oder Austauschpläne zu beheben. Warum: Eine skalierbare Bestandsaufnahme der Bereitschaft verhindert fehlgeschlagene Upgrades und dient als Grundlage für die Hardware-Aktualisierung.
Nehmen Sie geeignete Geräte in Windows Autopatch auf, um die fortlaufende Automatisierung von Windows-Qualitätsupdates und Microsoft 365 Apps-Releases zu gewährleisten. Halten Sie Pilot-Geräte zunächst aus Autopatch heraus, um eine engere experimentelle Kontrolle zu behalten. Warum: Autopatch reduziert den Betriebsaufwand, während eine kuratierte Pilot-Spur für die Änderungskontrolle beibehalten wird.
Bereiten Sie eine Richtlinie zur Beschleunigung von Qualitätsupdates (Expedite quality updates) mit einer 2-Tage-Frist und einer 8-stündigen Neustart-Schonfrist für Zero-Day-Szenarien vor; testen Sie diese jetzt auf dem Pilot-Ring. Warum: Vorab validierte Einstellungen für die Beschleunigung ermöglichen eine schnelle, sichere Reaktion auf dringende Sicherheitsbedrohungen, ohne die Ringe während eines Vorfalls neu konfigurieren zu müssen.
Etablieren Sie Wiederherstellungs-Playbooks: Verwenden Sie Autopilot Reset für die Neubereitstellung ausgefallener Geräte mit Erzwingung der ESP (Enrollment Status Page); reservieren Sie Fresh Start für die Bereinigung von OEM-Software und die Wiederherstellung bei ausgewählten Modellen. Warum: Die richtigen Zurücksetzungspfade beschleunigen die Wiederherstellung und stellen sicher, dass erforderliche Apps/Richtlinien vor dem Benutzerzugriff erneut angewendet werden.

Dieses Design verbindet dienstgesteuerte Automatisierung (Autopatch) mit Intune-Richtliniensteuerung und Azure Monitor-Einblicken, um ein sicheres, beobachtbares und schnelles Windows-Servicing im Unternehmensmaßstab zu ermöglichen.

← Co-Management und hybride Umgebungen · Alle Domänen · Fernverwaltung und Überwachung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →