Windows Server Update Service der GWDG

Um das Betriebssystem Windows und die Office-Produkte auf dem aktuellen Stand zu halten, ist es erforderlich, die regelmäßig von Microsoft bereitgestellten Korrekturen, auch Patches genannt, einzufahren. Die GWDG betreibt hierfür einen WSUS-Server, der die Korrekturen vorsortiert seinen Kunden zur Verfügung stellt.

Dieser Server zielt im Wesentlichen auf die Windows-Systeme in den Instituten und dient zudem als Upstream-Server für die verschiedenen institutsinternen WSUS-Server (Downstream-Server). Daher bietet er ein auf dieses Klientel abgestimmtes Sortiment an. Heimische PCs sollten stattdessen den Windows Update Service (über die Aktivierung der automatischen Update-Funktion) von Microsoft nutzen, da dieser ein umfangreicheres Angebot an Updates bereitstellt.

Um Windows (keine Home-Versionen!) auf den WSUS-Server auszurichten, startet man unter einem Benutzeraccount mit administrativen Rechten den Editor für die Gruppenrichtlinien: „gpedit.msc“.

Dort findet sich links unter Computerkonfiguration > Administrativen Vorlagen > Windows-Komponenten der Eintrag Windows Update, worüber der automatische Update-Prozess detailliert konfiguriert werden kann.

Hervorzuheben sind hierbei die folgenden Einträge in der rechten Spalte:

„Interne Pfad für den Microsoft Updatedienst angeben“ sowie „Internetserver für die Statistik“: hier wird der Server bestimmt, von dem das Update bezogen werden soll. Seine Adresse lautet:

https://wsus.gwdg.de:8531

Anschließend muss über die Richtlinie „Clientseitige Zielzuordnung aktivieren“ eine Zielgruppe gewählt werden. Reguläre Updates für Windows und andere Microsoft Produkte wie Edge und Defender werden in allen Zielgruppen automatisch direkt nach Release durch Microsoft freigegeben. Die Freigabe der monatlichen Sicherheitsupdates lässt sich hingegen um einige Tage verzögern. Dies gibt uns die Möglichkeit, die Verteilung von problemanfälligen Updates rechtzeitig zu stoppen. Sie können dabei aus den Zielgruppen Ring-0 bis Ring-5 wählen, wobei die Zahl die Verzögerung in Tagen angibt. Wir empfehlen folgende Zielgruppen:

• Ring-0: Freigabe am 2. Dienstag des Monats nach Release durch Microsoft um 17:00 UTC. Empfohlen für Testsysteme.
• Ring-2: Freigabe Donnerstagabend. Empfohlen für Workstations.
• Ring-5: Freigabe Sonntagabend. Empfohlen für Server, die in der Nacht auf Montag zur Installation rebooten.

Informationen zu Funktionsupdates: Alle Zielgruppen befinden sich auf der finalen Windows 10 Version 22h2. Funktionsupdates für Windows 11 können zurzeit nicht über WSUS verteilt werden, da Microsoft diese mit einem Zwangsupgrade von Windows 10 auf 11 kombiniert hat. Sie können diese bei Bedarf online über Windows Update erhalten.