Hotpatch für Windows-Qualitätsupdates

Mit Hotpatch-Updates können Sie schnell Maßnahmen ergreifen, um Ihre organization vor der sich entwickelnden Landschaft von Cyberangriffen zu schützen und gleichzeitig Unterbrechungen für Benutzer zu minimieren. Hotpatch-Updates sind monatliche Sicherheitsupdates in B-Versionen , die installiert und wirksam werden, ohne dass Sie das Gerät neu starten müssen. Durch die Minimierung der Notwendigkeit eines Neustarts tragen diese Updates zu einer schnelleren Compliance bei, wodurch es für Organisationen einfacher wird, die Sicherheit aufrechtzuerhalten und gleichzeitig Workflows ohne Unterbrechungen aufrechtzuerhalten.

Hotpatch-Sicherheitsupdates sind standardmäßig für alle berechtigten Geräte in Microsoft Intune aktiviert. Dieser Ansatz hilft Organisationen, die Sicherheitscompliance aufrechtzuerhalten und gleichzeitig Workflowunterbrechungen zu minimieren.

Sie können konfigurieren, ob Hotpatch für Ihre Geräte aktiviert ist, indem Sie entweder eine Einstellung auf Mandantenebene oder Richtlinien für Qualitätsupdates verwenden.

Hauptvorteile

• Schnellere Sicherheit: Hotpatch-Sicherheitsfixes werden ohne Neustart wirksam, wodurch Geräte viel schneller sicher werden.
• Geringere Unterbrechungen: Hotpatch installiert berechtigte Sicherheitsupdates, ohne dass ein sofortiger Geräteneustart erforderlich ist, sodass Benutzer produktiv bleiben.
• Kleinere Nutzlasten: Die Größe des Hotpatch-Pakets ist deutlich kleiner als bei den kumulativen Standardupdates.
• Keine Änderungen an vorhandenen Updateringen: Vorhandene Updateringkonfigurationen bleiben in Kraft und werden zusammen mit Hotpatchkonfigurationen berücksichtigt.
• Transparenz auf Richtlinienebene: Der Hotpatch-Qualitätsupdatebericht bietet eine Ansicht des Update-Status auf Richtlinienebene für Geräte, die Hotpatch-Updates erhalten.

Voraussetzungen

Für Hotpatch gelten die gleichen Voraussetzungen wie für Windows-Richtlinien für Qualitätsupdates. Siehe Voraussetzungen für Qualitätsupdates. In diesem Abschnitt werden zusätzliche Voraussetzungen hervorgehoben, die für Hotpatch spezifisch sind.

Nicht berechtigte Geräte

Geräte, die eine oder mehrere Voraussetzungen nicht erfüllen, erhalten stattdessen automatisch das neueste kumulative Update (Latest Cumulative Update, LCU). Das neueste kumulative Update (Latest Cumulative Update, LCU) enthält monatliche Updates, die die Updates des Vormonats ersetzen und sowohl Sicherheitsupdates als auch nicht sicherheitsrelevante Versionen enthalten.

LCUs erfordern einen Neustart des Geräts, die LCU stellt jedoch sicher, dass das Gerät vollständig sicher und kompatibel bleibt.

Release-Zyklen

Weitere Informationen zum Veröffentlichungskalender für Hotpatch-Updates finden Sie in den Versionshinweisen für Hotpatch.

• Baseline: Enthält die neuesten Sicherheitskorrekturen, kumulative neue Features und Verbesserungen. Neustart erforderlich.
• Hotpatch: Enthält Sicherheitsupdates. Kein Neustart erforderlich.

Wenn auf einem Gerät während eines Hotpatchmonats Hotpatch-Updates aktiviert sind, jedoch nicht das neueste Basisupdate installiert ist, erhält das Gerät sowohl das neueste Basisupdate (Neustart erforderlich) als auch das neueste Hotpatch-Update.

Hotpatch unter Windows 11 Enterprise oder Windows Server 2025

Hotpatch-Updates sind zwischen Windows 11 und Windows Server 2025 ähnlich.

• Windows Autopatch verwaltet Windows 11-Updates
• Azure Update Manager und optionales Azure Arc-Abonnement für Windows 2025 Datacenter/Standard Editionen (lokal) verwaltet Windows Server 2025 Datacenter Azure Edition.

Die jedes Jahr geplanten Kalenderdaten, acht Hotpatch-Monate und vier Basismonate, sind für alle Hotpatch-unterstützten Betriebssysteme identisch. Für ein Betriebssystem (z. B. Windows Server 2022) sind zusätzliche Basismonate möglich, während es Hotpatchmonate für ein anderes Betriebssystem wie Server 2025 oder Windows 11, Version 24H2 gibt. Lesen Sie die Versionshinweise unter Windows-Versionsintegrität.

Registrieren von Geräten für Hotpatchupdates

Sie können Hotpatch-Updates für Ihre Geräte mithilfe einer Einstellung auf Mandantenebene oder von Qualitätsupdaterichtlinien aktivieren. Die Einstellung auf Mandantenebene ist die Standardeinstellung, die auf Geräte angewendet wird, die nicht Mitglied einer Qualitätsupdaterichtlinie sind. Wenn ein Gerät einer Richtlinie für Qualitätsupdates zugewiesen ist, wird die Hotpatch-Einstellung aus dieser Richtlinie angewendet.

Standardeinstellung für Hotpatch-Mandanten

Die Standardeinstellung des Mandanten wird nur auf Geräte angewendet, die nicht Mitglied einer Richtlinie für Qualitätsupdates sind.

Windows Autopatch berücksichtigt Ihre Konfiguration der Richtlinien für Qualitätsupdates. Wenn ein Gerät einer dieser Richtlinien zugewiesen ist, wird die Hotpatch-Einstellung aus dieser Richtlinie angewendet.

Konfigurieren Sie das Standardverhalten der Hotpatch-Aktualisierung für Ihren Mandanten wie folgt:

1. Wählen Sie im Microsoft Intune Admin CenterMandantenverwaltung>Windows Autopatch>Mandantenverwaltung aus.
2. Wählen Sie die Registerkarte Mandanteneinstellungen aus.
3. Schalten Sie die Einstellung Updates anwenden, ohne das Gerät neu zu starten ("Hotpatch") auf "Zulassen " oder "Blockieren".

Konfigurieren Sie Hotpatch mithilfe von Qualitätsupdaterichtlinien.

Windows Autopatch berücksichtigt Ihre Konfiguration der Hotpatch-Einstellung in den Richtlinien für Qualitätsupdates. Wenn ein Gerät einer dieser Richtlinien zugewiesen ist, wird die Hotpatch-Einstellung aus dieser Richtlinie angewendet, nicht die Standardeinstellung des Mandanten.

So registrieren Sie Geräte für den Empfang von Hotpatch-Updates:

1. Wählen Sie im Microsoft Intune Admin CenterWindows-Updates für Geräte> aus.
2. Wählen Sie die Registerkarte Qualitätsupdates aus.
3. Wählen Sie "Erstellen" und dann " Windows-Richtlinie für Qualitätsupdates" aus.
4. Geben Sie im Abschnitt Grundlagen einen Namen für Ihre neue Richtlinie ein, und wählen Sie Weiter aus.
5. Legen Sie im Abschnitt "Einstellungen " die Option "Wenn verfügbar" fest, ohne das Gerät neu zu starten ("Hotpatch") auf Zulassen anwenden. Klicken Sie dann auf Weiter.
6. Wählen Sie die entsprechenden Bereichstags aus, oder übernehmen Sie die Standardeinstellung. Klicken Sie dann auf Weiter.
7. Weisen Sie die Geräte der Richtlinie zu, und wählen Sie Weiter aus.
8. Überprüfen Sie die Richtlinie, und wählen Sie "Erstellen" aus.

Durch diese Schritte wird sichergestellt, dass Zielgeräte, die die Berechtigungskriterien erfüllen, ordnungsgemäß konfiguriert werden. Siehe Voraussetzungen. Nicht berechtigten Geräten werden die neuesten kumulativen Updates (LCU) angeboten. Lesen Sie Wodurch ein Gerät nicht teilnahmeberechtigt ist.

Zurücksetzen eines Hotpatchupdates

Das automatische Rollback eines Hotpatch-Updates wird nicht unterstützt, aber Sie können sie deinstallieren. Wenn ein unerwartetes Problem mit Hotpatch-Updates auftritt, können Sie es untersuchen, indem Sie das Hotpatch-Update deinstallieren, das neueste kumulative Standardupdate (LCU) installieren und neu starten. Die Deinstallation eines Hotpatch-Updates ist schnell, erfordert jedoch einen Neustart des Geräts.

Bericht zu Hotpatch-Qualitätsupdates

Nachdem eine Windows-Richtlinie für Qualitätsupdates mit aktivierten Hotpatch-Updates erstellt wurde, können Sie die Ergebnisse, den Status der Hotpatch-Bereitstellung und Fehler in den Berichten überwachen.

Dieser Bericht zeigt die Gesamtzahl der Zielgeräte und den aktuellen Updatestatus aller Geräte an, die für Hotpatch-Updates aktiviert sind.

So greifen Sie auf den Bericht zu:

1. Wählen Sie im Microsoft Intune Admin Centerdie Option Berichte aus.
2. Wählen Sie im Abschnitt Windows Autopatch die Option Windows-Qualitätsupdates aus
3. Wählen Sie auf der Registerkarte Berichte die Option Hotpatch-Qualitätsupdates aus.

Problembehandlung bei Hotpatch-Updates

Schritt 1: Überprüfen Sie, ob das Gerät für Hotpatch-Updates geeignet ist und auf einer Hotpatch-Baseline, bevor das Hotpatch-Update installiert wird

Hotpatching folgt dem Hotpatch-Veröffentlichungszyklus. Überprüfen Sie die Voraussetzungen, um sicherzustellen, dass das Gerät für Hotpatch-Updates berechtigt ist. Informationen zu Geräten, die die Voraussetzungen nicht erfüllen, finden Sie unter Nicht berechtigte Geräte.

Den neuesten Veröffentlichungszeitplan finden Sie in den Hotpatch-Versionshinweisen. Informationen zum Updateverlauf von Windows finden Sie unter Updateverlauf von Windows 11, Version 24H2.

Schritt 2: Überprüfen, ob die virtualisierungsbasierte Sicherheit (VBS) auf dem Gerät aktiviert ist

1. Wählen Sie Start aus, und geben Sie die Systeminformationen in die Suche ein.
2. Wählen Sie Systeminformationen aus den Ergebnissen aus.
3. Suchen Sie unter "Systemzusammenfassung" unter der Spalte "Element" nach virtualisierungsbasierter Sicherheit.
4. Stellen Sie sicher, dass unter der Spalte Wertder Eintrag Wird ausgeführt angezeigt wird.

Schritt 3: Überprüfen, ob das Gerät ordnungsgemäß konfiguriert ist, um Hotpatch-Updates zu aktivieren

1. Überprüfen Sie in Intune Ihre konfigurierten Richtlinien in Windows Autopatch, um zu sehen, welche Gerätegruppen von einer Hotpatch-Richtlinie betroffen sind, indem Sie die Seite "WindowsUpdate-Qualitäts-Updates>" aufrufen.
2. Stellen Sie sicher, dass die Hotpatch-Updaterichtlinie auf Zulassen festgelegt ist.
3. Wählen Sie auf dem Gerät "Starteinstellungen>>Windows Update>Erweiterte Optionen>" aus.Konfigurierte Updaterichtlinien> finden "Hotpatching aktivieren, wenn verfügbar". Diese Einstellung weist darauf hin, dass das Gerät in Hotpatch-Updates registriert ist, wie von Windows Autopatch konfiguriert.

Schritt 4: Deaktivieren der kompilierten Hybrid-PE-Verwendung (CHPE) (nur Arm64 CPU)

Weitere Informationen finden Sie unter Arm 64-Geräte müssen die Verwendung kompilierter Hybrid-PE (CHPE) deaktivieren (nur Arm 64 CPU).

Schritt 5: Verwenden Sie die Ereignisanzeige, um sicherzustellen, dass auf dem Gerät Hotpatch-Updates aktiviert sind.

1. Klicken Sie mit der rechten Maustaste auf das Startmenü, und wählen Sie Ereignisanzeige aus.
2. Suchen Sie im Filter nach AllowRebootlessUpdates . Wenn AllowRebootlessUpdates auf 1festgelegt ist, ist das Gerät in der Windows Autopatch-Updaterichtlinie registriert und Hotpatchupdates aktiviert: "data": { "payload": "{\"Orchestrator\":{\"UpdatePolicy\":{\"Update/AllowRebootlessUpdates\":true}}}", "isEnrolled": 1, "isCached": 1, "vbsState": 2,

Schritt 6: Überprüfen Sie die Windows-Protokolle auf Hotpatch-Fehler

Hotpatch-Updates stellen einen Posteingangsüberwachungsdienst bereit, der die Integrität der auf dem Gerät installierten Updates überprüft. Wenn der Überwachungsdienst einen Fehler erkennt, protokolliert der Dienst ein Ereignis in den Windows-Anwendungsprotokollen. Wenn ein kritischer Fehler auftritt, installiert das Gerät das Standardupdate (LCU), um sicherzustellen, dass das Gerät vollständig sicher ist.

1. Klicken Sie mit der rechten Maustaste auf das Startmenü, und wählen Sie Ereignisanzeige aus.
2. Suchen Sie im Filter nach Hotpatch , um die Protokolle anzuzeigen.