Systemupdates

Erkenne fehlende Betriebssystem-Updates unter Windows, Linux und macOS und lass dich warnen, wenn zu viele passende Updates ausstehen.

Der Check Systemupdates zeigt dir, ob auf einem Gerät Betriebssystem-Updates fehlen. Er meldet Anzahl und Kategorien fehlender Patches und löst Warnungen und kritische Alarme anhand deiner Schwellenwerte aus. Der Check läuft unter Windows, Linux und macOS (jeweils x64 und ARM64) standardmäßig alle 6 Stunden. Unter Windows nutzt er die Windows Update API; unter Linux fragt er den nativen Paketmanager ab (apt, dnf, yum, zypper oder pacman); unter macOS nutzt er softwareupdate. Der Agent erkennt das Betriebssystem automatisch, eine manuelle Konfiguration ist nicht erforderlich.

Schritte

Gehe zu Geräte und öffne das Gerät.
Klicke auf den Tab Checks → Check hinzufügen → Systemupdates.
Konfiguriere Warnschwelle, Kritische Schwelle und bei Bedarf Nur Sicherheitsupdates zählen (Linux/macOS).
Optional — klicke auf Erweiterte Optionen anzeigen für die Windows-spezifischen Einstellungen Mindestalter der Updates (Tage, Windows), Schweregradfilter (Windows) und Optionale / Vorschau-Updates einbeziehen (Windows).
Klicke auf Check hinzufügen.

Dialog Check hinzufügen: Systemupdates, Warnschwelle 1, Kritische Schwelle 10, Nur Sicherheitsupdates zählen (Linux/macOS) und Erweiterte Optionen anzeigen ausgeschaltet.

Einstellungen

Beide Schwellenwerte vergleichen die Anzahl der passenden Updates, nicht die reine Anzahl ausstehender Updates. Unter Windows passt ein Update, wenn es den Schweregradfilter und das Mindestalter der Updates passiert. Unter Linux und macOS passt jedes ausstehende Update — außer Nur Sicherheitsupdates zählen ist aktiviert, dann nur die sicherheitsrelevanten.

Feld	Typ	Erforderlich	Standard	Beschreibung
Warnschwelle	integer	Nein	1	Warnung, wenn mindestens so viele passende Updates ausstehen
Kritische Schwelle	integer	Nein	10	Kritischer Alarm, wenn mindestens so viele passende Updates ausstehen
Nur Sicherheitsupdates zählen (Linux/macOS)	boolean	Nein	false	Unter Linux/macOS nur sicherheitsrelevante Updates zählen (das Security-Repository unter Linux, empfohlene Updates unter macOS). Keine Auswirkung unter Windows, das stattdessen den Schweregradfilter nutzt.
Schweregradfilter (Windows)	array (Mehrfachauswahl: Critical, Important, Moderate, Low)	Nein	["Critical", "Important"]	Nur Windows: MSRC-Schweregrade, die beim Zählen ausstehender Updates berücksichtigt werden. Updates, deren Schweregrad nicht in dieser Liste steht, werden ignoriert — es sei denn, Optionale / Vorschau-Updates einbeziehen ist aktiviert: Optionale Updates tragen keinen Schweregrad und werden unabhängig von diesem Filter gezählt. Leer lassen, um alle zu zählen. Unter Linux/macOS ignoriert. Nur sichtbar unter Erweiterte Optionen anzeigen.
Mindestalter der Updates (Tage, Windows)	integer	Nein	3	Nur Windows: Updates, die jünger als diese Anzahl Tage sind, werden ignoriert, damit neu veröffentlichte Patches reifen können, bevor sie auf die Schwellenwerte angerechnet werden — so hat Microsoft Zeit, ein fehlerhaftes Update zurückzuziehen. Linux/macOS-Updates tragen kein zuverlässiges Veröffentlichungsdatum pro Update, daher hat dies dort keine Auswirkung. Nur sichtbar unter Erweiterte Optionen anzeigen.
Optionale / Vorschau-Updates einbeziehen (Windows)	boolean	Nein	false	Nur Windows: auch optionale Nicht-Sicherheitsupdates wie monatliche Vorschau-Kumulativupdates zählen. Diese tragen keinen MSRC-Schweregrad und werden daher unabhängig vom Schweregradfilter gezählt. Optionale Treiberupdates bleiben ausgeschlossen. Keine Auswirkung unter Linux/macOS. Nur sichtbar unter Erweiterte Optionen anzeigen.

Wenn die Warnschwelle höher konfiguriert ist als die kritische Schwelle, tauscht der Check die beiden Werte zur Laufzeit, sodass die kritische Schwelle die Obergrenze bleibt.

MSRC-Schweregrade (Windows)

Unter Windows werden ausstehende Updates anhand ihres Schweregrads vom Microsoft Security Response Center (MSRC) klassifiziert, und das Feld Schweregradfilter steuert, welche Schweregrade auf die Schwellenwerte angerechnet werden. Linux und macOS kennen keine MSRC-Schweregrade — dort bestimmt stattdessen die Option Nur Sicherheitsupdates zählen, welche Updates gezählt werden.

Schweregrad	Bedeutung
Critical	Eine Ausnutzung könnte Codeausführung ohne Benutzerinteraktion ermöglichen
Important	Eine Ausnutzung könnte Vertraulichkeit, Integrität oder Verfügbarkeit von Daten beeinträchtigen
Moderate	Auswirkungen werden durch Standardkonfiguration, Auditierung oder die Schwierigkeit der Ausnutzung gemindert
Low	Auswirkungen werden durch Eigenschaften der betroffenen Komponente umfassend gemindert

Ergebnisse

Der Check meldet eine Warnung bzw. einen kritischen Alarm, sobald mindestens so viele passende Updates ausstehen wie in Warnschwelle bzw. Kritische Schwelle eingestellt. Wenn der Check gar nicht laufen kann — kein unterstützter Paketmanager unter Linux, softwareupdate unter macOS nicht verfügbar, eine nicht unterstützte Plattform oder nicht auswertbare Tool-Ausgabe — meldet er statt einer Update-Anzahl ein Fehler-Ergebnis mit passender Meldung.

Jeder Lauf liefert:

Feld	Beschreibung
`platform`	Erkannte Agent-Plattform: `windows`, `linux` oder `macos`
`pendingCount`	Gesamtzahl ausstehender Updates, die die Update-Quelle der Plattform meldet (vor Schweregrad- und Altersfilter)
`criticalUpdateCount`	Windows: Anzahl ausstehender Updates mit MSRC-Schweregrad `Critical` nach dem Mindestalter-Filter
`importantUpdateCount`	Windows: Anzahl ausstehender Updates mit MSRC-Schweregrad `Important` nach dem Mindestalter-Filter
`securityUpdateCount`	Linux/macOS: Anzahl sicherheitsrelevanter ausstehender Updates. Unter Windows entspricht dies Critical + Important
`updates[]`	Details je Update, gekürzt auf die ersten 20 Einträge. Unter Windows enthält die Liste die Updates, die den Schweregrad- und Mindestalter-Filter passieren, zuzüglich der optionalen/Vorschau-Updates, wenn Optionale / Vorschau-Updates einbeziehen aktiviert ist. Unter Linux und macOS enthält sie jedes ausstehende Update, unabhängig davon, ob Nur Sicherheitsupdates zählen aktiviert ist. Jeder Eintrag enthält `title`, `severity` und `kbId` (nur Windows — Linux- und macOS-Einträge tragen keine KB-Nummer). `severity` enthält unter Windows den MSRC-Schweregrad, unter Linux `Security` oder `Update` und unter macOS `Recommended` oder `Optional`.

Der Check meldet ausstehende Updates. Das Installieren übernimmt eine Patch-Richtlinie — den Rollout konfigurierst du unter Patch-Verwaltung → Richtlinien. Der Tab Updates eines Geräts listet dessen ausstehende Updates und zeigt je Update, wann eine Richtlinie es eingeplant hat.

Wie Updates erkannt werden

Plattform	Verwendetes Tool	Was geprüft wird
Windows	PowerShell-Skript (`powershell.exe`), das die Windows Update COM API über `New-Object -ComObject Microsoft.Update.Session` instanziiert	Fragt den Windows Update Agent ab. Durchsucht die standardmäßig konfigurierte Update-Quelle (bei WSUS-Anbindung den WSUS-Server) und zusätzlich Windows Update, Microsoft Update sowie weitere registrierte Update-Dienste. Mehrfach gefundene Updates zählen nur einmal. Das Ergebnis gilt als gültig, sobald mindestens eine Quelle durchsucht werden konnte
Linux	Der erste verfügbare native Paketmanager: `apt`, `dnf`, `yum`, `zypper` oder `pacman`	Listet aktualisierbare Pakete aus den konfigurierten Repositories. Mit aktivierter Option Nur Sicherheitsupdates zählen werden nur sicherheitsrelevante Updates gezählt (Security-Repository bei apt, Security-Advisories bei dnf/yum, Security-Patches bei zypper). pacman (Arch) kennt keine Sicherheitsklassifizierung — dort zählt diese Option keine Updates
macOS	`softwareupdate -l`	Listet verfügbare macOS-Softwareupdates. Mit aktivierter Option Nur Sicherheitsupdates zählen werden nur empfohlene Updates gezählt

Unter Windows nutzt der Check denselben Update-Mechanismus wie die Windows Update-Einstellungen.
Wenn deine Organisation Updates über WSUS (Windows Server Update Services) verwaltet, kann der Check trotzdem Updates melden, die dein WSUS-Administrator nicht freigegeben hat: Er durchsucht neben dem WSUS-Server auch Windows Update und Microsoft Update, sofern das Gerät diese erreicht.
Unter Linux aktualisiert der Check die Paketquellen nicht selbst. apt, dnf und yum werten die zuletzt geladenen Paketlisten bzw. den lokalen Metadaten-Cache aus. Werden diese nicht regelmäßig aktualisiert, meldet der Check zu wenige Updates.

Update-Katalog

Unabhängig vom gerätebezogenen Check stellt octoja unter Patch-Verwaltung → Update-Katalog eine umgebungsweite Übersicht über jedes Update bereit. Der Katalog umfasst Windows- und macOS-Updates. Öffne ein Update aus dem Katalog, um zu sehen, ob es sicher ausgerollt werden kann: Die Detailseite zeigt seine Hinweise, seinen Blockierungsstatus und den Status des Updates auf jedem betroffenen Gerät.

Hinweise zu einem Update

octoja führt für jedes Update Hinweisinformationen zusammen, damit du ein problematisches Update erkennst, bevor es deine Geräte erreicht.

Hinweis	Quelle
Bekannte Probleme	Von Microsoft zum Update veröffentlichte Probleme, jeweils mit einem Status wie Bestätigt, Entschärft, Wird untersucht, Workaround verfügbar oder Behoben
Community-Meldungen	Aus der breiteren Community gesammelte Problemmeldungen
Von anderen octoja-Nutzern gemeldet	Ein mandantenübergreifendes Signal, das zeigt, wie viele andere octoja-Nutzer das Update markiert oder bereits blockiert haben, sodass du von der Erfahrung aller octoja-Nutzer profitierst

Ein problematisches Update blockieren

Wenn ein Update Probleme verursacht, kannst du verhindern, dass octoja es irgendwo installiert. Öffne das Update im Update-Katalog und klicke auf Update blockieren — mit optionalem Grund und optionalem Ablaufdatum. Blockierungen werden über die KB-Nummer geführt, daher erscheint die Schaltfläche bei Updates, die eine solche tragen. Blockieren und Freigeben erfordern die Berechtigung Patch-Richtlinien verwalten.

Die Blockierung gilt mandantenweit. Sie greift überall in deiner Umgebung, nicht nur für eine einzelne Patch-Richtlinie. Nach der Freigabe wird das Update gemäß deinen Patch-Richtlinien wieder installierbar.

Feld	Beschreibung
Update blockieren / Update freigeben	Fügt eine globale Blockierung hinzu oder entfernt sie, anhand der KB-Nummer des Updates
Grund (optional)	Freitext-Notiz, die mit der Blockierung gespeichert und überall dort angezeigt wird, wo die Blockierung erscheint — auch auf dem Tab Updates des Geräts
Blockiert bis (optional)	Datum, an dem die Blockierung von selbst endet. Lässt du das Feld leer, bleibt das Update blockiert, bis es jemand freigibt; mit Datum endet die Blockierung am Ende des gewählten Tages
Blockiert-Abzeichen	Wird im Katalog und auf der Detailseite angezeigt, solange die Blockierung gilt; das Update wird keinem Gerät zugewiesen, bis die Blockierung aufgehoben wird oder abläuft

Zurückgezogene Updates

Die Detailseite eines Updates listet jedes betroffene Gerät zusammen mit dem Status des Updates auf diesem Gerät. Ein macOS-Gerät zeigt Zurückgezogen, wenn softwareupdate das Update zum Installationszeitpunkt nicht mehr anbietet — Apple hat es zurückgezogen oder ein neueres Update hat es ersetzt. Derselbe Status erscheint in den Ergebnissen des Patch-Zyklus und zählt dort nicht als Fehlschlag, sodass ein Zyklus trotzdem sauber abschließt.

Tipps

Beginne mit den Standardwerten (Warnung bei 1, Kritisch bei 10) und passe sie an deine Umgebung an.
Verwende ein Konfigurationspaket, um den Check allen Geräten auf einmal zuzuweisen, anstatt jedes Gerät einzeln zu konfigurieren.
Sieh dir den Tab Updates auf der Geräte-Detailseite an, um zu sehen, welche konkreten Updates ausstehen.
Bevor du ein weitreichendes Update genehmigst, prüfe im Update-Katalog auf bekannte Probleme oder eine hohe Zahl unter Von anderen octoja-Nutzern gemeldet.

FAQ

Warum läuft die Windows-Update-Suche nach 300 Sekunden ab, obwohl der Health-Check erfolgreich ist?

Die Update-Suche hat das interne, nicht konfigurierbare Zeitlimit des Checks überschritten. Windows-Update-Agent-Zustand liest Verlauf und Richtlinieninformationen, statt dieselbe aktuelle Suche auszuführen. Er kann deshalb unabhängig davon erfolgreich sein.

Prüfe die konfigurierte Update-Quelle und den Netzwerkzugriff. Bleibt das Timeout bestehen, sende dem Support den Zeitpunkt, Agentenlogs und Fehler aus den Windows-Update-Ereignissen.

Soll ich WindowsUpdate_OctojaBackup löschen, um die Update-Suche zu reparieren?

Nein. HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate_OctojaBackup bewahrt die ursprüngliche Update-Richtlinie für die Wiederherstellung auf. Der Schlüssel belegt keine fehlgeschlagene Suche; eine dort gespeicherte Adresse sagt nicht aus, welchen Update-Server Windows aktuell verwendet.

War dies hilfreich?

Brauchen Sie noch Hilfe? Team fragen