Wenn ein neuer Windows-Release-Zyklus beginnt, ist das für mich jedes Mal ein besonderer Moment. Seit dem 1. Oktober 2024 ist Windows 11 Version 24H2 offiziell verfügbar, und in vielen Unternehmen fängt die eigentliche Vorbereitung erst jetzt an. Die Eckdaten sind schnell erzählt: 24 Monate Support für Home und Pro, 36 Monate für Enterprise und Education. Wer beim Update aber nicht im Blindflug unterwegs sein will, kommt mit ein paar Klicks im Endpoint Manager nicht aus.

Die Feature-Update-Richtlinie in Intune steuert den Rollout von 24H2

In den Tenants, die ich betreue, ist die Feature-Update-Richtlinie in Intune das wichtigste Werkzeug, um Updates planbar zu machen. Unter Geräte → Windows → Feature-Updates lege ich fest, auf welche Version bestimmte Geräte aktualisiert werden dürfen. Besonders praktisch finde ich, dass sich die Bereitstellung in Ringen staffeln lässt: zuerst die IT-Testgruppe, danach ein Pilotkreis und erst zum Schluss alle Mitarbeiter. Mit den granularen Zuweisungen und dem Windows Feature Update Report sieht man jederzeit, welche Geräte schon auf 24H2 laufen und welche noch festhängen. Außerdem greifen die Windows-eigenen Schutzmechanismen, die sogenannten „Safeguard Holds“: Sind Probleme bekannt, etwa inkompatible Treiber, hält Windows das Update zurück, bis Microsoft Entwarnung gibt.

flowchart TD
  Start["Start: Neue Windows-Version verfügbar"] --> IntunePolicy["Intune Featureupdate-Richtlinie"]
  IntunePolicy --> TestRing["Test-Ring (IT)"]
  TestRing --> PilotRing["Pilot-Ring (Abteilungen)"]
  PilotRing --> MainRollout["Haupt-Rollout"]
  MainRollout --> Safeguard["Safeguard Hold (Inkompatibilitäten)"]
  MainRollout --> Reporting["Featureupdate-Report"]

Abbildung: Stufenweiser Rollout von Windows 11 24H2 mit Intune und Safeguard Holds.

Laufen ältere Windows-Versionen parallel, werden einzelne Geräte gelegentlich aus technischen Gründen ausgebremst. Woran es hakt, erkenne ich im Windows Feature Update Report in Intune (Berichte → Windows-Updates) meist auf den ersten Blick. Häufig stecken Safeguard Holds dahinter, abgelehnte Updates oder fehlende Voraussetzungen wie zu wenig freier Speicherplatz.

Praxis-Tipp: Für jede Welle halte ich fest, welche Kompatibilitätstests gelaufen sind. Am wichtigsten sind dabei zentrale Anwendungen und spezielle Hardwaretreiber. Klemmt es irgendwo, lohnt sich ein Blick in die offizielle Übersicht der Neuerungen, denn dort sind viele Inkompatibilitäten samt Workaround beschrieben.

Windows Autopatch automatisiert viel, passt aber nicht in jede Umgebung

Windows Autopatch reizt viele Organisationen, weil sie sich damit weitgehend zurücklehnen können. Der Dienst übernimmt die Steuerung des Rollouts vollständig, ordnet die Geräte selbstständig Ringen zu und verteilt das Feature-Update schrittweise. Wer Lizenzen für Microsoft 365 E3/E5 oder Business Premium hat, bekommt damit eine attraktive Option: Der manuelle Aufwand sinkt, und über Berichte und Freigabepunkte behält man trotzdem die Kontrolle. In der Praxis erlebe ich dennoch eine gewisse Zurückhaltung. Vor allem in komplexeren Umgebungen möchten Admins genau wissen, wann welches Gerät an der Reihe ist und welche Anwendungen vorher noch geprüft werden müssen. Ob der Dienst zur eigenen Organisation passt, lässt sich mit der Autopatch-Dokumentation gut einschätzen.

Für Admins zählen in 24H2 vor allem drei Neuerungen

Natürlich interessiert mich bei jedem Feature-Update auch, was sich unter der Haube getan hat. In Version 24H2 sind mir besonders diese Punkte aufgefallen:

  • Verbesserungen bei Windows LAPS (z. B. Mandantenregistrierung, Recovery-Optionen)
  • Sudo für Windows: Befehle gezielt mit erhöhten Rechten ausführen (derzeit für lokale Admins)
  • SMB-Signierung auf Clients jetzt standardmäßig aktiviert (besserer Schutz vor Man-in-the-Middle-Angriffen)

Windows LAPS hat einige interessante Erweiterungen bekommen. Wer LAPS noch nicht über Intune und Entra ID verwaltet, sollte den Umstieg jetzt angehen. Wie das geht, beschreibe ich in meinem Praxisleitfaden Windows LAPS in Intune und Entra ID einrichten. Die verpflichtende SMB-Signierung hat in den ersten Umgebungen bereits Ärger mit Altsystemen verursacht, vor allem dort, wo noch ältere Storage-Lösungen laufen.

Ohne gründliche Kompatibilitätstests geht kein Rollout an den Start

Ein schneller Rollout mag verlockend sein, doch ohne sorgfältige Tests mit den wichtigsten Anwendungen und Hardwarekomponenten geht es nicht. Spezialsoftware, VPN- oder Security-Clients können das ganze Vorhaben schnell zum Stillstand bringen. Bevor das neue Release über den IT-Ring hinaus verteilt wird, mache ich deshalb mindestens einen vollständigen Testlauf mit den zentralen Geschäftsanwendungen und den Standard-Hardwaremodellen. Ebenso lohnt es sich, früh Pilotanwender aus verschiedenen Abteilungen dazuzuholen. Dann merkt man rasch, ob zum Beispiel Druckertreiber oder Scanner Schwierigkeiten bereiten.

Übersicht bringt mehr Kontrolle als Aktionismus

Mit Intune und Autopatch lässt sich der Rollout von Windows 11 24H2 heute deutlich entspannter steuern als noch vor ein paar Jahren. Trotzdem sollte man die eigenen Prozesse ehrlich bewerten und die Berichte in Intune ernst nehmen. Ich habe zu oft gesehen, dass einzelne Geräte monatelang festhingen, weil sie mit einem Kompatibilitätsproblem irgendwo in der Ringstruktur untergegangen waren. Kontrolle ist wichtiger als Tempo. Ein sauber dokumentierter, stufenweiser Rollout mit aussagekräftigen Berichten erspart Admins wie Anwendern eine Menge Frust.