In vielen Tenants, die ich betreue, läuft der monatliche Patch-Zyklus für Windows 11 längst routiniert. Trotzdem bleibt es eine Dauerbaustelle, ausreichend Sicherheit herzustellen, ohne die Nutzer ständig zu stören. Kaum ist Patchday, gehen die ersten Tickets ein: geplante Neustarts, die mit Terminen kollidieren, oder Fenster, die beim Neustart noch offen waren. Seit April 2025 gibt es dafür endlich eine handfeste Verbesserung. Windows 11 Hotpatch ist für Enterprise x64 mit Version 24H2 allgemein verfügbar, und im Patch-Alltag macht sich das deutlich bemerkbar.

Hotpatch spielt Sicherheitsupdates im laufenden Betrieb ein

Aus dem Azure-Stack ist das Prinzip schon länger bekannt: Kritische Sicherheitsupdates werden installiert, ohne dass das System neu starten muss. Für Windows 11 Enterprise (x64, also Intel/AMD) mit 24H2 bedeutet das, dass sich Security-Updates in zwei von drei Monaten pro Quartal per Hotpatch im laufenden Betrieb einspielen lassen. Lediglich im sogenannten Baseline-Monat verlangt das System einen klassischen Neustart, denn dann stehen kumulierte Wartungsarbeiten, neue Funktionen und größere Änderungen an. Erzwungene Unterbrechungen werden so seltener, und der Arbeitsalltag lässt sich freier planen.

Praxis-Tipp: Die Baseline-Monate sind in der Microsoft-Dokumentation und im Update-Reporting (z. B. Intune oder Windows Update Reports) jeweils eindeutig als „Cumulative Update“ gekennzeichnet. Hotpatch hilft dir in diesen Monaten nicht weiter, deshalb solltest du dafür gezielt Wartungsfenster einplanen.

Ohne passende Lizenz, Version 24H2 und VBS lässt sich Hotpatch nicht nutzen

Die Voraussetzungen für Windows 11 Hotpatch sind überschaubar. Du brauchst eine Lizenz für Windows 11 Enterprise E3 oder E5 (oder eine gleichwertige Microsoft-365-Lizenz). Auf dem Gerät muss Version 24H2 laufen, außerdem muss Virtualization Based Security (VBS) aktiviert sein. Verwaltet wird das Ganze zentral über Intune, und dort solltest du dir die Quality-Update-Policy genauer ansehen. In der Intune-Konsole findest du unter Geräte → Windows Updates → Qualitätsupdates die Option „Wenn verfügbar, ohne Neustart anwenden (Hotpatch)“. Sobald du sie aktivierst, stellt Intune unterstützte Geräte automatisch auf Hotpatching um. Für Arm64 gibt es bislang nur eine Preview, produktiv einsetzen lässt sich Hotpatch derzeit ausschließlich auf x64.

Wer seine Gruppen und Zuweisungen sauber pflegt, kennt diese Einstellung bereits aus Windows Autopatch (siehe Windows Autopatch: Update-Ringe, Gruppen und Praxis-Tipps). Die neue Hotpatch-Option funktioniert sowohl bei Geräten, die über Autopatch verwaltet werden, als auch bei Windows-11-Enterprise-24H2-Geräten, die „klassisch“ an Intune angebunden sind.

Zwei Hotpatch-Monate wechseln sich mit einem Baseline-Monat ab

Damit das Zusammenspiel von Hotpatch- und Baseline-Monaten greifbarer wird, habe ich ein typisches Update-Jahr als Ablaufdiagramm skizziert:

graph TD
    Start["Monat 1: Hotpatch"] --> Monat2["Monat 2: Hotpatch"]
    Monat2 --> Baseline["Monat 3: Baseline (Neustart)"]
    Baseline --> Start

Abbildung: Auf zwei Hotpatch-Monate ohne Neustart folgt ein Baseline-Monat mit Neustart, danach beginnt der Zyklus von vorn.

Die Erwartungshaltung verschiebt sich dadurch grundlegend. Die meisten Security-Updates laufen künftig im Hintergrund, und einen Neustart musst du nur noch alle drei Monate einplanen.

Nutzer merken weniger von Updates, und Admins behalten trotzdem den Überblick

Für die Nutzer ändert sich das sofort spürbar. Die meisten Updates werden wie gewohnt als installiert angezeigt, ohne dass Windows anschließend einen Neustart verlangt. Im Windows-Update-Dialog ist zwar zu sehen, dass ein Update eingespielt wurde, das gefürchtete Fenster „Jetzt neu starten“ taucht in den meisten Monaten aber nicht mehr auf. Wer viel unterwegs arbeitet oder in Besprechungen sitzt, profitiert davon besonders. Im Baseline-Monat ändert sich dagegen nichts: Der Neustart ist Pflicht, und geplante Wartungsfenster oder Update-Gruppen behalten ihre Bedeutung.

Admins sind vor allem auf ein gutes Reporting angewiesen. Den Status siehst du im Intune Admin Center unter Berichte → Windows Update Berichte sowie in den neuen Quality-Update-Reports (Windows-Update-Berichte). Geräte mit Hotpatch führt Intune dort gesondert auf. Wer Windows Autopatch einsetzt, findet den aktuellen Stand im Hotpatch-Update-Reporting.

Möchtest du genau wissen, welche Updates (Hotpatch oder Baseline) installiert wurden, kannst du das direkt auf dem Client mit einem PowerShell-Befehl prüfen (als lokaler Admin unter Windows 11 24H2 ausführen):

Get-WindowsUpdateLog

Im Log sind Hotpatch- und Baseline-Einträge eindeutig gekennzeichnet, sodass du jede Installation genau nachvollziehen kannst.

Für ältere Geräte laufen die bestehenden Update-Prozesse weiter

Viele Unternehmen nehmen Windows 11 Hotpatch zum Anlass, ihren Update-Prozess noch einmal kritisch zu prüfen. Komplex bleibt es in Tenants mit gemischten Windows-Versionen, unterschiedlichen Lizenzständen oder Clients, die noch nicht auf 24H2 aktualisiert wurden. Ohne Version 24H2 geht bei Hotpatch nichts. Geräte mit älteren Versionen oder mit Windows Pro patchst du weiterhin auf dem herkömmlichen Weg. Hinweise zur Migration auf 24H2 findest du im Beitrag Windows 11 24H2: Rollout mit Intune im Griff behalten. Falls Virtualization Based Security bei dir noch nicht ausgerollt ist, solltest du das jetzt nachholen, denn ohne VBS bleibt Hotpatch außen vor.

Nutzt du bereits Windows Autopatch, verläuft die Umstellung auf Hotpatch in der Regel sehr reibungslos. Aber auch klassische Intune-Wartungsgruppen profitieren davon, sofern alle Voraussetzungen erfüllt sind.

Im Pilotbetrieb hat sich Hotpatch bewährt

Ich habe Hotpatch mehrere Monate lang in echten Umgebungen pilotiert und bin überzeugt, dass das Konzept trägt. Weil seltener ein Neustart erzwungen wird, sinkt der Supportaufwand merklich, und die Nutzer akzeptieren Windows-Updates eher, ohne dass die Sicherheit darunter leidet. Für die Baseline-Monate bleibt natürlich etwas Planungsaufwand. Die Anrufe wegen plötzlich auftauchender Update-Neustarts sind aber deutlich zurückgegangen. Wer früh auf 24H2 und Hotpatch umsteigt, hat den eigenen Patch-Zyklus spürbar besser im Griff. Für viele Admins bedeutet das einen echten Fortschritt.