Warum ein Gerät einen fehlenden Patch anzeigt, den Windows Update nicht anbietet

Finden Sie heraus, warum Ihr Gerät einen fehlenden Patch anzeigt, den Windows Update nicht anbietet.

Manchmal markiert Redamp.io ein Gerät als fehlend mit einem Patch, den Microsoft bereits veröffentlicht hat, obwohl Windows Update auf diesem Gerät nichts zur Installation anbietet. Das ist meist weder ein defekter Agent noch ein verpasster Check-in. In den meisten Fällen bietet Windows Update den Patch absichtlich noch nicht an, und ein Erzwingen kann mehr schaden als Abwarten. Dieser Artikel erklärt, warum das passiert und was je nach Ursache zu tun ist.

Warum das passiert

Es gibt fünf häufige Ursachen, ungefähr in dieser Reihenfolge:

  1. Safeguard-Hold, also Kompatibilitätssperre. Microsoft hat ein bekanntes Problem mit einer bestimmten Treiber-, Anwendungs- oder Hardwarekombination erkannt, das dazu führen würde, dass das Update auf genau diesem Gerät fehlschlägt oder zurückgesetzt wird. Microsoft hält das Update absichtlich zurück, bis eine Korrektur verfügbar ist, und Windows Update zeigt statt einer Download-Option eine Meldung wie „Dieses Update ist unterwegs, aber noch nicht für Ihr Gerät bereit“.
  2. Gestaffelte Ausrollung. Auch ohne Kompatibilitätsproblem verteilt Microsoft Patches schrittweise an die installierte Basis. Ein Gerät kann einfach noch nicht in der aktuellen Welle sein.
  3. Zurückstellung oder Pause über Richtlinien. Einstellungen für Windows Update for Business zur Zurückstellung oder die manuelle Funktion „Updates pausieren“ mit bis zu 35 Tagen Verzögerung verschieben die Installation absichtlich aus Test- oder Stabilitätsgründen.
  4. Update-Server nicht synchronisiert oder nicht freigegeben. Wenn das Gerät per Gruppenrichtlinie auf einen internen Update-Server wie WSUS oder ConfigMgr verweist, wird der Patch erst angeboten, wenn dieser Server ihn synchronisiert und ein Administrator ihn freigegeben hat, unabhängig davon, wann Microsoft ihn öffentlich veröffentlicht hat.

Wie Sie erkennen, welche Ursache zutrifft

Beginnen Sie direkt auf dem Gerät:

Wenn Sie Geräte über Intune verwalten, listet Windows Update for Business reports aktive Safeguard-Holds mit einer achtstelligen ID auf. Diese können Sie auf der Seite „Known issues“ des jeweiligen Windows-Releases nachschlagen, um das zugrunde liegende Problem zu sehen.

Wenn die Geräte über WSUS oder ConfigMgr verwaltet werden, prüfen Sie, ob die KB für die relevante Zielgruppe freigegeben und synchronisiert ist. Das Freigabedatum, nicht das Veröffentlichungsdatum, bestimmt, ob sie angeboten wird.

Was zu tun ist

Wenn es ein Safeguard-Hold ist: Warten Sie. Die Empfehlung von Microsoft lautet, das Update nicht zu erzwingen, bis die Sperre aufgehoben ist, da der Hold genau dazu dient, ein schlechtes Ergebnis, ein Rollback, Datenverlust oder Treiberprobleme auf genau dieser Gerätekonfiguration zu verhindern. Ein manuelles Erzwingen bringt das Risiko zurück, das durch den Hold vermieden werden sollte.

Wenn es eine gestaffelte Ausrollung ohne bekanntes Problem ist: In der Regel können Sie das Update selbst installieren. Laden Sie die konkrete KB aus dem Microsoft Update Catalog herunter und installieren Sie sie direkt mit wusa.exe /quiet /norestart oder, bei kumulativen Update-Paketen, mit DISM /Online /Add-Package, um die normale Angebotslogik zu umgehen. Für einen ganzen Gerätebestand können Sie es als Win32-App-Bereitstellung in Intune oder ConfigMgr ausrollen, statt auf die reguläre Windows-Update-Pipeline zu warten.

Wenn es eine Zurückstellung oder Pause per Richtlinie ist: Bestätigen Sie, dass dies beabsichtigt ist. Wenn ja, ist nichts zu tun; das Gerät ist nicht wirklich gefährdet, sondern nur absichtlich verzögert.

Wenn der Update-Server nicht synchronisiert oder nicht freigegeben wurde: Geben Sie das Update in WSUS oder ConfigMgr frei oder lösen Sie eine manuelle Synchronisierung aus.

Wenn Administratoren einen Safeguard-Hold trotzdem umgehen möchten, zum Beispiel nachdem bestätigt wurde, dass das bekannte Problem auf die vorhandene Hardware nicht zutrifft, kann dies über die CSP-Einstellung Update/DisableWUfBSafeguards in Intune oder die Gruppenrichtlinie „Safeguards für Feature-Updates deaktivieren“ erfolgen. Microsoft empfiehlt dies nur zur Validierung in einer kontrollierten IT-Umgebung, nicht als routinemäßige Lösung, und die Einstellung sollte anschließend wieder zurückgenommen werden.

Verwandte Microsoft-Ressourcen