Updates ausschließen oder sperren

Manchmal soll ein bestimmtes Betriebssystem-Update nicht installiert werden — ein fehlerhafter Treiber, ein störendes KB-Update oder eine ganze Update-Kategorie, die du nie auf deinem Gerätebestand haben möchtest. octoja bietet dir drei Wege, ein Update zu stoppen — welchen du wählst, hängt davon ab, wie weit die Ausnahme reichen soll.

Bevor du beginnst

Alle drei Methoden nutzen dieselbe Berechtigung.

• Du benötigst die Berechtigung Patch-Richtlinien verwalten, um Richtlinien-Ausnahmen hinzuzufügen, den Schalter für bekannte Probleme zu aktivieren und Updates zu blockieren — dieselbe Berechtigung, mit der du auch Patch-Richtlinien erstellst und bearbeitest. Berechtigungen werden pro Gruppe unter Administration → Gruppen vergeben (siehe Berechtigungen zuweisen).

Ein Update in einer Patch-Richtlinie ausschließen

Eine Richtlinien-Ausnahme verhindert, dass passende Updates die Geräte erreichen, die diese Richtlinie abdeckt — selbst dann, wenn das Update in einem Zyklus bereits genehmigt wurde.

1. Gehe zu Patch-Verwaltung → Richtlinien und öffne eine Richtlinie oder erstelle eine neue (siehe Patch-Richtlinien und Zyklen einrichten).
2. Scrolle zum Abschnitt Ausnahmen und klicke auf Ausnahme hinzufügen.
3. Wähle unter Worauf passt die Regel? entweder Update-ID, KB-Artikelnummer oder Kategorie.
4. Gib den passenden Wert ein — zum Beispiel die KB-Nummer KB5041023 oder eine Kategorie wie Drivers.
5. Füge bei Bedarf weitere Regeln hinzu und klicke dann auf Richtlinie speichern.

Windows-Update-IDs können die Revision enthalten: wua:<UpdateID>:<Revision>. Eine Ausnahme mit dieser vollständigen Kennung betrifft nur diese Revision. Eine reine Windows-Update-ID ohne Präfix und Revision gilt dagegen für alle Revisionen dieses Updates; bestehende Ausnahmen mit solchen IDs bleiben wirksam. Nutze die KB-Artikelnummer, wenn du alle Updates zu einer KB ausschließen möchtest.

Der Kunden-Geltungsbereich einer Richtlinie legt fest, wessen Geräte sie abdeckt. Lässt du ihn leer, gilt die Richtlinie — und damit ihre Ausnahmen — für die Geräte aller Kunden. Eine Ausnahme umfasst alle Ringe der Richtlinie und erreicht damit jedes Gerät, das diese Richtlinie verwaltet — Geräte, die von einer anderen Richtlinie verwaltet werden, sind davon aber nicht betroffen. Für ein Update, das nirgends auf irgendeinem Gerät installiert werden darf, nutze stattdessen eine globale Sperre.

Ein Update global sperren

Eine globale Sperre stoppt ein einzelnes Windows-Update — anhand seiner KB-Nummer — in deiner gesamten Instanz. Ein gesperrtes Update wird an kein Gerät ausgeliefert, wird in neu erzeugte Patch-Zyklen nicht aufgenommen, und die automatische Weiterleitung trägt es nicht in weitere Ringe. Eine Sperre gilt, bis du sie wieder aufhebst — oder bis zu einem Ablaufdatum, das du beim Sperren festlegst. Globale Sperren gelten nur für Windows-Updates; um ein macOS-Update zu stoppen, schließe es stattdessen in einer Patch-Richtlinie aus.

1. Gehe zu Patch-Verwaltung → Update-Katalog und öffne das Update, das du stoppen möchtest. Ein Update erscheint im Katalog, sobald es auf einem Gerät aussteht oder Teil eines Zyklus war — du kannst nur ein Update sperren, das bereits im Katalog ist.
2. Klicke auf der Seite des Updates auf Update blockieren.
3. Gib optional einen Grund ein, damit dein Team den Hintergrund kennt.
4. Lass Blockiert bis (optional) leer, um das Update bis zur manuellen Freigabe zurückzuhalten, oder wähle ein Datum — die Sperre endet dann am Ende dieses Tages. Der früheste wählbare Tag ist heute.
5. Bestätige mit Update blockieren.

Das Update trägt jetzt die Markierung Blockiert — sowohl auf seiner eigenen Seite als auch in der Liste des Update-Katalogs, sodass gesperrte Updates leicht zu erkennen sind; hast du ein Ablaufdatum gesetzt, lautet die Markierung in der Liste Blockiert bis zu diesem Datum. Auf der Seite des Updates stehen zusätzlich der Grund und entweder das Ablaufdatum oder Blockiert bis zur manuellen Freigabe. Um es wieder zuzulassen — vor dem Ablauf oder jederzeit, wenn du keines gesetzt hast — öffne das Update und klicke auf Update freigeben.

Hinweis: Eine globale Sperre greift bei der Auslieferung von Updates an die Geräte, sodass ein gesperrtes Update nie installiert wird — selbst dann nicht, wenn es einem manuell erstellten Notfall-Patch-Zyklus hinzugefügt wird.

Updates mit einem bekannten Problem zurückhalten

Der Abschnitt Ausnahmen einer Patch-Richtlinie enthält außerdem einen Schalter namens Updates mit bekannten Problemen ausschließen. Aktivierst du ihn und klickst auf Richtlinie speichern, hält diese Richtlinie jedes Update zurück, für das aktuell ein Problem gemeldet ist — ein ungelöstes bekanntes Microsoft-Problem, eine rote oder gelbe Community-Meldung oder Meldungen von anderen octoja-Nutzern. Du benennst das Update dabei nie selbst: octoja gleicht die stündlich synchronisierten Meldungsdaten mit den KB-Nummern der Updates ab, die die Richtlinie ausliefern würde.

Anders als eine Ausnahmeregel hebt sich diese Zurückhaltung von selbst wieder auf. Sobald keines dieser Signale mehr aktiv ist, wird das Update automatisch wieder ausgeliefert — du musst nichts rückgängig machen. Auch eine globale Sperre kann von allein enden, aber nur an dem Datum, das du gesetzt hast; dieser Schalter richtet sich nach dem Problem, nicht nach dem Kalender. Die Meldungen sind an KB-Nummern gebunden, deshalb betrifft der Schalter in der Praxis nur Windows-Updates, und er wird pro Richtlinie gesetzt — aktiviere ihn also in jeder Richtlinie, die auf eine saubere Rückmeldung warten soll.

Welche Variante solltest du wählen?

Greife zu einer Richtlinien-Ausnahme, wenn die Ausnahme gezielt ist — ein bestimmter Kunde oder eine einzelne Patch-Richtlinie. Greife zu einer globalen Sperre, wenn die Antwort die gesamte Instanz betrifft: Dieses Windows-Update darf nirgends, auf keinem Gerät, installiert werden. Eine globale Sperre ist der direkte Weg, um „diese KB nicht ausliefern“ zu sagen, ohne jede Richtlinie einzeln zu bearbeiten — und wenn du nur die nächsten Wochen aussetzen möchtest, gib ihr ein Ablaufdatum, statt sie später von Hand aufzuheben. Greife zu Updates mit bekannten Problemen ausschließen, wenn du einzelne KB-Nummern gar nicht erst nachverfolgen möchtest — das ist eine Dauer-Anweisung, alles zu überspringen, was aktuell als fehlerhaft gemeldet ist, und es wieder aufzunehmen, sobald es behoben ist.

Eine Ausnahme unterscheidet sich außerdem davon, ein Update während der Zyklusprüfung abzulehnen oder zurückzustellen: Ein Ablehnen oder Zurückstellen gilt nur für diesen einen Zyklus, und das Update kann im nächsten wieder auftauchen. Eine Richtlinien-Ausnahme ist dauerhaft für ihre Richtlinie — sie hält das Update in jedem Zyklus von den Geräten dieser Richtlinie fern, bis du die Regel entfernst.

Siehe auch: Patch-Verwaltung für das Gesamtbild, Patch-Richtlinien und Zyklen einrichten zum Erstellen von Richtlinien, Ringen und Zyklen sowie Berechtigungen zuweisen zum Vergeben der Berechtigung „Patch-Richtlinien verwalten“.