UEM statt Windows Deployment Services 

Für Windows-11-Updates funktionieren die Windows-Bereitstellungsdienste nicht mehr. Zum Glück gibt es Alternativen. 

Am 14. Oktober 2025 stellt Microsoft seinen Support für Windows 10 ein. Der Nachfolger ist bereits auf vielen Geräten installiert, aber längst nicht alle haben die nötige Power an Bord, sprich Trusted Platform Module der zweiten Generation, die Windows 11 nun mal benötigt. Schätzungsweise rund zehn Prozent der Geräte müssen ausgetauscht werden, bei elf Prozent ist immerhin eine Aufrüstung erforderlich.

Ein Betriebssystemwechsel ist immer heikel. Boomer werden sich noch an Zeiten erinnern, wo sie nach und nach 20 Disketten ins Laufwerk schieben mussten, um die nächste Windows-Version zu installieren – nicht gerade komfortabel. Inzwischen gibt es zwar längst Nachfolgemodelle wie die Windows Deployment Services. Auch sie aber haben ihre Nachteile, vor allem beim jetzt anstehenden Wechsel auf Windows 11.

Mit den Windows Deployment Services (WDS), einer Serverrolle im Windows-Server-OS, lassen sich Betriebssysteme automatisiert und standortunabhängig über das Netz installieren. Administrationsabteilungen können die WDS bei netzwerkbasierten Installationen zum Aufsetzen neuer PCs nutzen und müssen dann nicht jedes einzelne Betriebssystem installieren. Das spart viel Aufwand gegenüber dem herkömmlichen Vorgehen, Clients mühsam mit Installations-CDs oder -DVDs zu füttern.

WDS setzen zu viele Voraussetzungen 

In der Praxis treten jedoch häufig Probleme auf, denn nicht immer ist das Microsoft-Tool die passende Wahl für jedes System. Um WDS in vollem Umfang zu betreiben, müssen bestimmte Voraussetzungen erfüllt sein. Dazu gehört, innerhalb des Netzwerkes über eine DHCP-Domäne zu verfügen (im Idealfall ein Windows-Server-DHCP), ausreichend Speicherplatz zu haben und ein PXE-Protokoll zu verwenden. Insbesondere das Preboot Execution Environment (PXE), das für die Installation notwendig ist, bereitet in der Praxis immer wieder Schwierigkeiten, vor allem beim Starten eines Clients vom WDS-Server aus. Fehlermeldungen – etwa eine als ungültig eingestufte Startdatei – führen zu Verzögerungen im Prozess und öffnen zudem Sicherheitslücken. Auch die Bereitstellung von Images über einen WDS-Server mithilfe von Multicast führt immer wieder dazu, dass Abläufe verlangsamt statt beschleunigt werden.

Unternehmen sollten sich deshalb nach Alternativen, das heißt nach alternativen Bereitstellungs-Tools umsehen. Schon allein deswegen, weil die WDS ein Auslaufmodell sind und Workflows, die boot.wim von Installationsmedien oder windows Setup im WDS-Modus ausführen, nicht mehr unterstützen, was auch Microsoft einräumt. Gleichzeitig weisen die Redmonder auf Alternativen hin, die eine bessere, flexiblere und funktionsreiche Erfahrung für die Bereitstellung von Windows-Images bieten sollen. Der Microsoft Configuration Manager oder das Microsoft Deployment Toolkit zum Beispiel. Auch letzteres aber unterstützt wiederum keine Windows-11-Updates.

OS Deployment, eingebettet in das Unified-Endpoint-Management (UEM)

Einen Weg aus dieser Sackgasse bietet UEM-Hersteller Aagon mit dem zu seiner ACMP Suite gehörenden Modul OS Deployment (OSD). Damit können Administrationsabteilungen für jede Abteilung ein sogenanntes Rollout-Template erstellen, das heißt, einen klar definierten, automatisierten Ablauf für die Installation des neuen Betriebssystems im jeweiligen Unternehmensbereich festlegen. Ein solches Template umfasst zunächst Windows 11 mit den passenden Einstellungen. Es installiert über das Modul Desktop Automation anschließend automatisch sowie standardisiert die für den Client vorgesehene Software. Mit den so genannten ACMP Client Commands aus dem Modul Desktop Automation lassen sich Windows-Betriebssysteme für den Einsatz bei einzelnen Usern vorbereiten. 

Als Rollout-Lösung unterstützt OSD alle von Windows bereitgestellten Treiber direkt. Darüber hinaus können Herstellertreiber mit dem ACMP OSD Treiber Wizard menügeführt von bestehenden Rechnern ausgelesen und als Treiberpaket importiert werden. Individuell definierbare Rollout-Templates ermöglichen ein passendes Rollout für die unterschiedlichen Bereiche des Unternehmens und Anforderungen der Mitarbeiter. Auch nach der fertigen Installation des Betriebssystems geht der Rollout weiter und versorgt die Zielrechner mit allen wichtigen Treibern und Einstellungen bis hin zur Einrichtung unterschiedlicher Energiesparoptionen, beispielsweise Green IT. Auch dies geschieht mittels ACMP Desktop Automation.

Das alles spart enorm Zeit und minimiert außerdem Fehler. ACMP OS Deployment ist die derzeit modernste Lösung für die unbeaufsichtigte, netzwerkbasierte Betriebssysteminstallation inklusive vollständiger (U)EFI- und Secure-Boot-Unterstützung. Hersteller Aagon konnte bei ihrer Entwicklung auf langjährige Erfahrungen in diesem Bereich zurückgreifen, die er mit dem Vorgängerprodukt ACK gewonnen hatte.

Unabhängig werden vom WSUS-geführten Updatemanagement 

Mit dem Betriebssystemwechsel ist die Arbeit natürlich nicht beendet, denn schon bald stehen die nächsten Updates bereit. Gut also, wenn eine UEM-Lösung – neben den klassischen Komponenten Inventarisierung, Lizenz-, Patch- und Asset Management, Softwareverteilung/-paketierung, Security und eben OS Deployment – auch eine Komponente für automatisierte Microsoft-Updates an Bord hat. Es versteht sich von selbst, wie bedeutsam ein regelmäßiges Patch- und Updatemanagement des Betriebssystems im Zusammenhang mit der Cybersecurity des gesamten Unternehmens ist. 

Bei Aagon heißt die Komponente CAWUM (Complete Aagon Windows Update Management). Sie löst das Windows-Updatemanagement komplett von den beschränkenden Windows Server Update Services, mittels derer Windows-Updates traditionell über das interne Netzwerk und eigene Windows-Server verteilt werden. Die Entkopplung von den regulären Windows-Updates soll, so der Hintergedanke, größere Möglichkeiten der Verwaltung für einzelne Clients eröffnen. Oft aber geht die Feinsteuerung nicht weit genug; auch gibt es immer wieder Performance-Engpässe.

Jeder Client erhält nur die nötigen Patches

Deshalb gibt es Alternativen wie CAWUM. Die Komponente ist eingebettet in die ACMP Konsole, wo sie mit anderen Modulen interagiert, lässt sich aber auch als eigenständige Lösung nutzen. Das Besondere: Clients erhalten nicht das gesamte, mehrere Gigabytes große Update File, sondern nur die Patches, die die Clients im Einzelnen benötigen. Das spart wertvolle Bandbreite und ist vom zeitlichen Installationsaufwand her ein enormer Gewinn für die Effizienz der IT. 

Zusätzlich ist es möglich, genau zu steuern, auf welchen File Repositories welche Patches in welchen Sprachen vorliegen sollen. Einzelne Freigabeprozesse lassen sich definieren und Windows-Updates auf einzelnen Testsystemen unterschiedlicher Teilnetzwerke verteilen. Die automatisierte Umsetzung erhöht die Sicherheit, spart Kosten, denn es werden deutlich weniger personelle Ressourcen beansprucht, und Update-Prozesse werden planbar und transparent. 

Fazit

Der integrative Grundgedanke der ACMP Suite hat sich schon seit längerem als Erfolgsmodell erwiesen. Alle Komponenten für die Arbeit mit den Clients unter einer Oberfläche zu haben, ist eben ein enormer Vorteil für IT-Administrationsabteilungen. Dazu gehören neben den klassischen Komponenten inzwischen auch Security-Funktionen sowie alles, was mit Windows-Neuinstallation und -Updates zu tun hat. 

Wer sich von den Vorteilen der ACMP Suite selbst überzeugen möchte, kann die kostenlose und unverbindliche Testversion nutzen unter: www.aagon.com/testversion.