Intune-Treiber-Updates lassen sich automatisch oder manuell freigeben

Gerade in größeren Umgebungen erlebe ich immer wieder, dass Treiber- und Firmware-Updates zum Risiko werden, ohne dass es jemand bemerkt. Veraltete Treiber verursachen Hardwareprobleme und lassen zudem Sicherheitslücken offen. Mit den Intune-Treiber-Updates hat man als Admin endlich ein zentrales Werkzeug, um das Thema in den Griff zu bekommen. Wie so oft kommt es aber auf die Einzelheiten an.

Intune-Treiber-Updates setzen passende Lizenzen, Geräte und Diagnosedaten voraus

Verwaltet werden die Updates im Intune Admin Center unter Geräte → Windows → Treiber-Updates. Voraussetzung sind Windows 10/11 Pro, Enterprise oder Education und eine passende Intune-Lizenz. Die Geräte müssen außerdem Entra-joined oder hybrid-joined sein. Leicht übersehen wird die Übermittlung von Windows-Diagnosedaten (mindestens Basis): Ist sie für die Geräte nicht aktiviert, tauchen sie in der Verwaltung schlicht nicht auf. Einzelheiten und typische Stolperfallen zu den Anforderungen beschreibt Microsoft Learn.

Ein neues Profil legt man über „Profil erstellen“ an und bestimmt dabei, ob Updates automatisch oder manuell freigegeben werden. In vielen Tenants, die ich betreue, startet man zunächst mit einer Pilotgruppe; dafür eignen sich Entra-ID-Gruppen am besten. Die wichtigste Entscheidung fällt zwischen automatischer Freigabe, bei der Updates nach Microsofts Empfehlung installiert werden, und manueller Freigabe, bei der der Admin jedes Update prüft und einzeln entscheidet.

Die automatische Freigabe ist bequem, die manuelle gibt mehr Kontrolle

Auf den ersten Blick wirkt die automatische Freigabe bequem. In der Praxis bleibt aber immer das Risiko, dass ein „empfohlener“ Treiber auf bestimmter Spezialhardware Probleme macht, und das muss man abwägen. Bei manueller Freigabe zeigt das Intune-Portal alle anstehenden Treiber- und Firmware-Updates an. Man kann Microsofts Empfehlungen sichten, sich Details wie Versionsnummer, Beschreibung und Klassifizierung ansehen und Updates gezielt freigeben oder pausieren. Besonders hilfreich ist das, wenn in den Pilotgruppen neue Hardware oder kritische Anwendungen im Einsatz sind.

Vor der Verteilung lässt sich eine Aufschubfrist (Deferral) von bis zu 30 Tagen festlegen, sodass genug Zeit bleibt, im kleinen Kreis zu testen. Wer Windows Autopatch einsetzt, sollte genau prüfen, welche Gerätegruppen jeweils abgedeckt sind und wo sie sich überschneiden. Autopatch verwaltet Treiber getrennt auf Basis von Microsofts Bewertung. Die Steuerung ist dort noch feiner, läuft aber auch stärker automatisiert ab. Kombiniert man Intune-Treiber-Updates mit Autopatch, ist deshalb Aufmerksamkeit gefragt, damit sich unterschiedliche Freigaben nicht gegenseitig in die Quere kommen.

flowchart TD
    A["Neue Treiber werden bei Microsoft veröffentlicht"] --> B["Intune erkennt verfügbare Updates"]
    B --> C["Admin prüft im Intune Portal"]
    C --> D["Manuelle Freigabe oder automatische Installation"]
    D --> E["Gerät installiert Update nach Deferral"]
    E --> F["Monitoring & Reporting"]

Abbildung: So läuft ein Treiber-Update mit Intune-Profilen ab.

Neben Intune sollte kein OEM-Tool mehr Treiber verteilen

Fast jeder Hersteller, ob Dell, HP oder Lenovo, bringt eigene Tools für die Pflege von Firmware und Treibern mit, und häufig laufen sie neben Intune einfach weiter. Konflikte sind dann vorprogrammiert, etwa wenn ein OEM-Tool ältere Treiber installiert, während Intune neuere Versionen aus dem Microsoft-Katalog verteilt. Microsoft rät inzwischen deutlich dazu, sich für einen Weg zu entscheiden und die OEM-Tools auf verwalteten Geräten abzuschalten. Intune bezieht seine Treiber grundsätzlich aus dem Microsoft Update Catalog. Die Auswahl ist dadurch zwar kleiner, dafür wird die Umgebung einheitlicher und berechenbarer.

Mein Tipp: Wer auf Intune umstellt, deinstalliert die OEM-Update-Tools (z. B. Dell Command Update) am besten gleich im Autopilot-Deployment-Skript per PowerShell. Dann kommen sich die beiden Wege gar nicht erst ins Gehege.

Manche Geräte kommen ohne ein bestimmtes OEM-Tool nicht aus, zum Beispiel wegen BIOS-Updates, die nicht über Microsoft Update verteilt werden. Für sie braucht man eine gezielte Ausnahme: Entweder nimmt man diese Geräte gar nicht ins Intune-Profil auf, oder man verwaltet sie über ein eigenes Pilotprofil.

Das Reporting zeigt Problemgeräte, und fehlerhafte Updates lassen sich pausieren

Das Reporting zu den Intune-Treiber-Updates gibt einen soliden Überblick. Für jedes Gerät ist zu sehen, welche Updates anstehen, installiert oder fehlgeschlagen sind. Nach größeren Rollouts schaue ich regelmäßig in diese Übersicht, um Problemgeräte zu finden. Bei der Fehlersuche hilft das Geräteprotokoll (Intune → Gerät auswählen → Updateverlauf), das Fehler und Statusmeldungen der Treiberbereitstellung auflistet. Ein Update zurückzurollen, ist dagegen meist Handarbeit auf dem Gerät, weil Intune dafür derzeit nur eingeschränkte Möglichkeiten bietet.

Verursacht ein bestimmtes Update Probleme, kann man seine Auslieferung gezielt pausieren. Im Alltag ist das Gold wert, etwa wenn Druckertreiber plötzlich Ärger machen oder ein BIOS-Update Boot-Fehler auslöst. Üblicherweise hält man das Update für die betroffene Gerätegruppe an, bis die Ursache gefunden ist. Mehr zu den Freigabeoptionen und zum Pausieren steht in der Microsoft-Dokumentation.

Intune-Treiber-Updates lohnen sich, wenn man sie mit Augenmaß einführt

Für mich sind die Intune-Treiber-Updates ein klarer Fortschritt, weil ich die Treiberpflege endlich zentral und nachvollziehbar steuern kann. Wer bisher mit OEM-Tools gearbeitet hat, muss allerdings umdenken und konsequent auf Microsofts Update-Katalog wechseln, denn beides parallel zu betreiben, endet fast immer im Chaos. Vor allem im Zusammenspiel mit Windows Autopatch und dem Lifecycle-Management (siehe auch Windows Autopilot Device Preparation: Was neu ist) sollte man die Zuständigkeiten sauber trennen. Mit Reporting, Pilotgruppen und klaren Freigabeprozessen ist man auf der sicheren Seite und hält das Risiko fehlerhafter Firmware- oder Treiber-Updates klein. Ein Selbstläufer ist das Thema nicht, doch die neuen Intune-Funktionen nehmen einen großen Teil der Unsicherheit aus dem Prozess.