Bisher galt in vielen Betrieben: Das Windows-Update kommt, wenn es gerade passt. Zwei, drei Wochen Aufschub waren normal, manchmal auch länger, weil niemand mitten in der Angebotsphase einen Neustart riskieren wollte. Microsoft sagt jetzt etwas anderes. Sicherheitsupdates für Windows sollen innerhalb von drei Tagen nach Erscheinen auf den Rechnern sein. Für kleine und mittlere Unternehmen ist das eine spürbare Änderung, und sie hat einen konkreten Grund.
Was Microsoft genau empfiehlt
Die Empfehlung stammt aus dem Juli 2026. Jeremy Chapman, Director bei Microsoft 365, hat sie im Microsoft-Mechanics-Blog unter dem Titel „Deploy Windows updates to counter AI-discovered threats“ veröffentlicht. Die Zahlen darin sind eindeutig:
- Qualitätsupdates mit Sicherheitskorrekturen höchstens drei Tage zurückstellen.
- Die Frist für die Installation (Deadline) auf null oder einen Tag setzen.
- Danach höchstens zwei Tage Kulanz, bevor der Rechner von selbst neu startet.
Microsofts eigene Dokumentation zu Update-Richtlinien, zuletzt im Juni 2026 überarbeitet, sagt dazu: Zwischen Veröffentlichung eines Qualitätsupdates und fertiger Installation sollen nicht mehr als sieben Tage liegen. Die Drei-Tage-Empfehlung ist also die schärfere Variante davon. Sie gilt, wie Microsoft selbst einschränkt, dort, wo der Geschäftsbetrieb nicht beeinträchtigt wird.
Gemeint sind Unternehmen, die ihre Rechner über Windows Update for Business, Intune oder Windows Autopatch verwalten. Privatanwender sind nicht direkt angesprochen. Die Logik dahinter gilt aber für jeden Rechner, auf dem Firmendaten liegen.
Warum drei Tage und nicht mehr drei Wochen
Der Grund ist KI auf der Seite der Angreifer. Wenn Microsoft am Patchday ein Update veröffentlicht, ist damit auch bekannt, welche Lücke es schließt. Früher brauchten Angreifer Wochen, um daraus einen funktionierenden Angriff zu bauen. Heute lassen sie KI-Systeme den Unterschied zwischen alter und neuer Version analysieren und bekommen in deutlich kürzerer Zeit einen brauchbaren Exploit. Chapman formuliert es so: Wer kritische Updates erst ein paar Wochen nach Erscheinen verteilt, lässt Angreifern mit KI reichlich Zeit, bekannte Lücken zu finden und auszunutzen.
Die Zahlen bestätigen das. Am Patchday im September 2026 hat Microsoft 974 Schwachstellen über alle Produkte behoben, 723 davon in der Windows-Produktfamilie. Eine davon, eine Rechteausweitung im Windows-Update-Stack, wurde zu dem Zeitpunkt bereits aktiv ausgenutzt. Microsoft führt die hohe Zahl auch darauf zurück, dass die eigenen KI-Systeme mehr Fehler im Windows-Code finden. Es werden also mehr Lücken gemeldet und schneller angegriffen. Beides zusammen verkürzt das Zeitfenster, in dem ein ungepatchter Rechner sicher ist.
Das Dilemma: schnell patchen, aber nichts kaputt machen
Wer länger IT betreut, kennt die andere Seite. Updates machen manchmal selbst Probleme. Im September 2026 traf es nach dem Patchday Remote-Desktop-Server, Always-On-VPN unter Windows 11 und Hyper-V. Microsoft musste mehrere Nachupdates außer der Reihe nachschieben. Wer am ersten Tag alles überall installiert hatte, stand an diesem Morgen mit Terminalservern da, die nicht mehr wollten.
Beides ist wahr: Wer wochenlang wartet, ist angreifbar. Wer blind sofort installiert, riskiert Ausfälle. Die Lösung ist kein Entweder-oder, sondern ein Ablauf, der beides berücksichtigt.
Wie wir das bei unseren Kunden machen
Bei DATACREW laufen die Updates der betreuten Rechner nicht einfach durch, sondern in Stufen. Am Patchday bekommen zuerst unsere eigenen Systeme und Testgeräte die Updates. Am nächsten Tag folgen einzelne Rechner je Kunde, möglichst aus verschiedenen Abteilungen und mit der jeweiligen Branchensoftware. Erst wenn das einen Tag unauffällig gelaufen ist, geht das Update an alle übrigen Arbeitsplätze. So bleiben wir innerhalb der drei Tage und merken trotzdem, wenn etwas hakt, bevor es alle trifft.
Bei Servern gehen wir vorsichtiger vor. Zuerst Testsysteme, dann die Systeme, die aus dem Internet erreichbar sind oder eine aktiv ausgenutzte Lücke betreffen, zuletzt der Rest im regulären Wartungsfenster. Vor jedem Serverupdate steht eine aktuelle Sicherung, siehe Server-Sicherung und Backup. Falls ein Update einen Dienst beschädigt, spielen wir den Stand von gestern zurück und warten auf die Korrektur von Microsoft.
Über die DATACREW Fernwartung sehen wir bei allen betreuten Rechnern, welche Updates installiert sind und welche fehlen. Ein Rechner, der drei Wochen nicht aktualisiert wurde, fällt damit auf, auch wenn sein Benutzer das Update jedes Mal weggeklickt hat. Das ist der Unterschied zwischen „Updates sind eingeschaltet“ und „Updates sind drauf“.
Was Sie als Unternehmen jetzt tun sollten
- Prüfen, ob Updates auf Ihren Rechnern tatsächlich installiert werden oder nur angeboten. Windows-Taste und R drücken, „winver“ eingeben: Die Build-Nummer zeigt den Stand.
- Den Aufschub für Qualitätsupdates auf höchstens drei Tage setzen, wenn Sie Intune, Autopatch oder Gruppenrichtlinien nutzen. Deadline ein Tag, Kulanz zwei Tage.
- Einen kleinen Testring einrichten: zwei bis drei Rechner, die Updates einen Tag früher bekommen als der Rest.
- Rechner mit Windows 10 umstellen oder ersetzen. Sie bekommen keine regulären Sicherheitsupdates mehr, siehe Windows 10: Support-Ende für KMU.
- Die Server-Sicherung prüfen, bevor Sie Updates beschleunigen. Ein Update, das etwas beschädigt, ist nur dann harmlos, wenn der Stand von gestern da ist.
- Den Ablauf dokumentieren. Für Unternehmen unter NIS2 ist das Teil des Schwachstellenmanagements, siehe NIS2 technisch umsetzen.
Wenn Sie nicht wissen, wie es um die Updates in Ihrem Betrieb steht, schauen wir uns das gemeinsam an. Für Kunden in der IT-Komplettbetreuung ist das Patch-Management ohnehin Teil der laufenden Betreuung. Rufen Sie uns an oder schreiben Sie uns.
Quellen
- Microsoft Mechanics Blog, Jeremy Chapman: „Deploy Windows updates to counter AI-discovered threats“, Juli 2026
- Microsoft Learn: „Policies for update compliance and user experience“, Stand Juni 2026
- Microsoft Security Update Guide, Patchday September 2026