Wer in den letzten Monaten mit Windows Autopatch gearbeitet hat, merkt schnell, dass Windows-Updates im Unternehmen längst nicht mehr so starr ablaufen wie früher. Bei Kunden, die bisher kein echtes Patch-Management hatten oder deren Intune-Update-Ringe über Jahre gewachsen sind, löst die Einführung von Autopatch oft Aha-Momente aus, wirft aber auch viele Fragen auf. Seit dem letzten Jahr hat sich einiges getan. Autopatch ist vollständig im Intune Admin Center aufgegangen („Tenant administration“ bzw. „Mandantenverwaltung“ → „Geräte“ → „Windows-Updates“), den eigenen Autopatch-Adminbereich gibt es nicht mehr. Durch die engere Anbindung an Intune wird vieles übersichtlicher. Gleichzeitig entstehen neue Baustellen, etwa bei der Abgrenzung zu eigenen Update-Konfigurationen und bei der Zuweisung von Gruppen und Geräten.

Autopatch verteilt Geräte in Gruppen auf vier feste Ringe

Im Mittelpunkt von Windows Autopatch stehen die Autopatch-Gruppen, die ihrerseits in Deployment-Ringe gegliedert sind. Diese Ringe werden häufig mit den klassischen Intune-Update-Ringen verwechselt, sie sind aber ein eigenes Autopatch-Konzept. Die Geräte landen in vier vordefinierten Ringen (Test, First, Fast, Broad), die sich darin unterscheiden, wie schnell und in welchem Umfang Updates verteilt werden. Innerhalb einer Autopatch-Gruppe könnt ihr die Geräte nach eigenen Kriterien ordnen, zum Beispiel nach Abteilung oder Standort. Gepflegt werden die Gruppen inzwischen komplett im Intune Admin Center, ob es nun um neue Geräte oder um Ausnahmen geht. Wie sich das im Detail steuern lässt, beschreibt die offizielle Microsoft-Dokumentation zu Autopatch-Gruppen.

Den typischen Ablauf, wenn Autopatch ein Qualitätsupdate bereitstellt, zeigt das folgende Diagramm:

flowchart TD
Start["Autopatch Quality Update Release"] --> Test["Ring: Test (wenige Geräte)"]
Test --> First["Ring: First (Pilotgruppe)"]
First --> Fast["Ring: Fast (erweiterte Gruppe)"]
Fast --> Broad["Ring: Broad (große Masse)"]
Broad --> Done["Update-Rollout abgeschlossen"]

Abbildung: Ein Quality Update wird stufenweise über die Ringe der Autopatch-Gruppen verteilt.

In größeren Umgebungen ist diese Staffelung Gold wert, weil Fehler früh auffallen und sich der Rollout bei Bedarf anhalten oder verzögern lässt. Mehr als einmal habe ich erlebt, dass im „Test“-Ring Probleme sichtbar wurden, die sonst unbemerkt bei der breiten Masse angekommen wären.

Qualitäts- und Feature-Updates laufen gestaffelt über die Ringe

Qualitätsupdates steuert Autopatch zentral und größtenteils automatisch. Das Intune Admin Center zeigt übersichtlich, wie es um den Update-Status steht. Muss eine kritische Sicherheitslücke kurzfristig geschlossen werden, lassen sich Qualitätspatches gezielt beschleunigen („expedite“). Die passende Option liegt unter „Windows-Updates“ → „Expedite updates“. Feature-Updates, also neue Windows-Versionen wie 24H2, führt Autopatch ebenfalls gestaffelt über die Ringe ein. Abläufe und Stolpersteine sehen dabei je nach Umgebung unterschiedlich aus, deshalb lohnt sich ein Blick in meinen Beitrag zum 24H2-Rollout mit Intune und Autopatch. Vor jeder Planung sollte feststehen, ob die eigenen Anwendungen und die Hardware mit der neuen Version zurechtkommen.

Unterschätzt wird oft, wie stark sich das Reporting in Autopatch verbessert hat. Die Geräte- und Update-Berichte im Intune Admin Center zeigen, wann Updates verteilt wurden, wo es klemmt und welche Geräte immer wieder aus der Reihe tanzen. Genaueres zur Steuerung von Qualitätsupdates steht in der Microsoft-Übersicht zu Quality Updates.

Aus Erfahrung: Wer auf Probleme oder Verzögerungen in einzelnen Ringen zügig reagieren möchte, sollte die Update-Berichte regelmäßig ansehen und die Gruppenzuordnung der Geräte aktiv pflegen. Häufig stecken einzelne Geräte in der falschen Gruppe oder haben Sonderaufgaben, die eine eigene Behandlung verlangen.

Kiosk-Geräte und Spezialhardware brauchen oft eine Sonderbehandlung

Wer größere Umgebungen mit Autopatch betreut, weiß, dass nicht jedes Gerät in die Standardlogik passt. Kiosk-Systeme, Sonderhardware oder besonders abgesicherte Arbeitsplätze sollen häufig gar nicht automatisch oder zumindest nicht nach dem üblichen Zeitplan gepatcht werden. Zum Glück lässt sich das über gezielte Zuweisungen oder Ausschlussregeln in den Autopatch-Gruppen regeln. In einigen Projekten habe ich solche Geräte bewusst aus den Autopatch-Gruppen genommen und über separate Intune-Update-Ringe oder sogar von Hand gepflegt. Für die Microsoft 365 Apps bieten sich parallel die Update-Kanäle an. Mehr dazu steht in meinem Beitrag zur Wahl des passenden Update-Kanals für Microsoft 365 Apps.

Autopatch kümmert sich auch um Treiber, Firmware und Microsoft 365 Apps

Spürbaren Mehrwert bringt Windows Autopatch durch die integrierte Verwaltung von Treibern, Firmware und Microsoft 365 Apps. Bei Treiber- und Firmware-Updates greift Autopatch auf die im Gerät hinterlegten Herstellerinformationen zurück und verteilt freigegebene Updates automatisch, nach demselben Ring-Prinzip wie bei Windows. Das spart manuelle Arbeit und sorgt für einheitlichere Stände. Bei exotischer Hardware besteht allerdings das Risiko, dass unerwünschte Updates ausgerollt werden. Deshalb prüfe ich die Zuweisungen und Ausnahmen für Treiber im Intune Admin Center in regelmäßigen Abständen. Auch die Updates der Microsoft 365 Apps übernimmt Autopatch, wobei sich für verschiedene Gruppen unterschiedliche Kanäle festlegen lassen.

Lizenzierung und Voraussetzungen sollten vorab geklärt sein

Über die Lizenzierung von Windows Autopatch wird immer wieder diskutiert. Seit den Änderungen 2024 genügt für viele Funktionen Windows Enterprise E3 oder E5. Einzelne Bereiche, etwa Grundfunktionen beim Patching, stehen auch mit Microsoft 365 Business Premium zur Verfügung. Gerade in Mischumgebungen rate ich trotzdem dazu, vorher die aktuelle Microsoft-Dokumentation zu Windows Autopatch gründlich zu lesen. Die Geräte müssen in Microsoft Entra ID eingebunden sein (Entra-joined oder Hybrid-joined) und über Intune verwaltet werden.

Einen schnellen Überblick über die Autopatch-fähigen Geräte und ihre Gruppenzuordnung bekommt man im Intune Admin Center unter „Geräte“ → „Windows Autopatch“. Eine automatisierte Übersicht per PowerShell gibt es im Februar 2025 noch nicht, oft reicht aber schon die Exportfunktion in der Konsole.

Das Ring-Modell trägt, wenn Gruppen und Berichte gepflegt werden

Sind die Grundlagen sauber gelegt, nimmt Windows Autopatch Admins bei der Update-Steuerung viel Arbeit ab. Es kommt vor allem darauf an, Autopatch klar von eigenen Intune-Update-Konfigurationen abzugrenzen und mit Ausnahmefällen bewusst umzugehen. Zaubern kann das Ring-Modell nicht. Es arbeitet aber erstaunlich zuverlässig, solange man die Gruppen pflegt und die Berichte ernst nimmt. In Umgebungen mit Microsoft 365 Apps, unterschiedlichen Gerätetypen und wechselnden Anforderungen ist Autopatch für mich ein echter Fortschritt, wenn auch kein Selbstläufer. Mit sorgfältiger Planung und konsequentem Nachsteuern verlieren Updates ihren Schrecken. Den nächsten Feature-Updates sehe ich jedenfalls gelassen entgegen, und so mancher Wartungsabend bleibt mir erspart.