Der Patchday ist immer der zweite Dienstag im Monat. Das heißt: Heute ist der Tag danach. Wenn gestern Abend etwas ausgerollt wurde, das deinem Rechner nicht gefällt, merkst du es heute – und zwar in der Regel nicht an einer Fehlermeldung, sondern daran, dass der Drucker nicht mehr gefunden wird, der zweite Monitor schwarz bleibt oder ein Spiel ohne Vorwarnung schließt.
Deshalb ist der Mittwoch der richtige Tag für diese Arbeit. Nicht der Dienstag – da wird gerade verteilt. Nicht der Freitag – wenn du freitags am Update-Mechanismus schraubst, hast du das Wochenende daran. Mittwoch ist die Stelle in der Woche, an der man noch zwei Arbeitstage Puffer hat. Hier ist die Routine, die bei mir seit drei Jahren läuft, inklusive der Werkzeuge, die Microsoft inzwischen stillgelegt hat.
Schritt 1: Feststellen, was überhaupt angekommen ist
Bevor du irgendetwas reparierst, brauchst du zwei Zahlen: die Build-Nummer und die KB-Nummer.
:: Build-Nummer und Version anzeigen
winver
:: Installierte Updates mit Datum, als Liste
wmic qfe list brief /format:table
:: Moderne Variante in PowerShell
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5Die KB-Nummer ist der Schlüssel zu allem, was danach kommt: Sie steht in den bekannten Problemen, in Foren und in den Release Notes. Notier sie dir, bevor du anfängst zu basteln. Den vollständigen Verlauf findest du außerdem unter Einstellungen, Windows Update, Updateverlauf – dort steht auch, ob ein Update fehlgeschlagen ist, statt einfach nicht aufzutauchen.
Pro-Tipp: Wenn der Verlauf ein Update als „fehlgeschlagen“ mit Fehlercode zeigt, ist das die bessere Ausgangslage als ein stiller Fehler. Die häufigsten Codes und ihre echte Bedeutung habe ich in meinem Beitrag zu blockierten Windows-Updates und ihren Fehlercodes zusammengestellt.
Schritt 2: Nachlesen, ob es nicht an dir liegt
Das ist der Schritt, den fast alle überspringen, und er spart die meiste Zeit. Microsoft führt für jede Windows-Version eine offizielle Liste bekannter Probleme. Dort steht, was nach einem Update kaputt ist, seit wann, welche Geräte betroffen sind und – meistens – ein Workaround.
Der Einstieg ist die Übersichtsseite Windows Versionsintegrität bei Microsoft Learn; von dort geht es zu den Seiten der einzelnen Versionen, zum Beispiel zu den bekannten Problemen von Windows 11 25H2. Dort findest du den Status („wird untersucht“, „gelöst“), das Datum der letzten Aktualisierung und oft eine konkrete Ursache.
Zwei Dinge sind daran wichtig. Erstens: Die Liste ist nach Version getrennt. Wenn du auf 24H2 bist, hilft dir die Seite für 26H1 nicht. Zweitens: Ein Problem, das dort als bekannt geführt wird, musst du nicht selbst lösen. Dann ist Abwarten die richtige Entscheidung, nicht Reparieren. Ich habe einmal einen halben Abend mit einem Audiotreiber verbracht, dessen Ausfall zwei Tage später von Microsoft bestätigt und in der Folgewoche behoben wurde.
Schritt 3: Der Rückweg muss vor dem Problem existieren
Jetzt die unangenehme Wahrheit: Auf vielen Windows-Installationen ist der Systemschutz ausgeschaltet. Es gibt also keine Wiederherstellungspunkte, auch wenn alle davon reden. Prüfen kannst du das in einem Satz – Windows-Taste drücken, „Wiederherstellungspunkt erstellen“ eintippen, und wenn in der Liste bei deinem Systemlaufwerk „Aus“ steht, hast du keinen Rückweg.
- Systemschutz einschalten und 5 bis 10 Prozent der Systempartition dafür freigeben. Das kostet Platz und spart im Ernstfall einen Abend.
- Wiederherstellungspunkt von Hand anlegen, bevor du an Treibern arbeitest. Windows legt bei Updates meist selbst einen an, aber „meist“ ist kein Verlass.
- Das 10-Tage-Fenster kennen: Nach einem Feature-Update – also einem Versionswechsel, nicht einem monatlichen Patch – kannst du zehn Tage lang zur Vorversion zurück. Danach räumt Windows die alten Dateien auf, und der Weg ist zu.
- Ein echtes Backup bleibt die Grundlage. Ein Wiederherstellungspunkt ist kein Backup, er sichert keine Daten. Wie das sauber zusammengeht, steht in meinem Beitrag zur 3-2-1-Backup-Regel – und warum erst der erfolgreiche Restore zählt, in Backup ist erst fertig, wenn der Restore funktioniert.
Updates deinstallieren: drei Wege, einer davon ist tot
Wenn ein monatliches Update wirklich der Übeltäter ist, gibt es drei Wege zurück – und in vielen Anleitungen im Netz steht noch der, der nicht mehr funktioniert.
Weg 1, der normale: Einstellungen, Windows Update, Updateverlauf, ganz unten „Updates deinstallieren“. Dort stehen die kumulativen Updates mit KB-Nummer. Ein Klick, ein Neustart. Das reicht in den meisten Fällen.
Weg 2, der zuverlässige: DISM auf der Kommandozeile, als Administrator. Nützlich, wenn der Dialog das Update nicht anbietet oder wenn du es per Skript brauchst.
:: Alle installierten Pakete samt Installationsdatum auflisten
dism /online /get-packages /format:table
:: Paket entfernen - der Paketname ist die lange Zeile aus der Liste
dism /online /remove-package /packagename:Package_for_RollupFix~31bf3856ad364e35~amd64~~26100.0.0.0
:: Danach Neustart, dann pruefen:
winverWeg 3, der nicht mehr geht: wusa /uninstall. Dieses Kommando konnte früher MSU-Pakete entfernen und taucht in unzähligen älteren Anleitungen auf. Für die heutigen kumulativen Updates ist die Deinstallationsfunktion von wusa abgekündigt und wirkungslos. Wenn eine Anleitung das vorschlägt, ist sie veraltet – und zwar wahrscheinlich auch in allem anderen.
Pro-Tipp: Deinstallier nie mehrere Updates auf einmal. Eines entfernen, neu starten, testen. Sonst weißt du am Ende nicht, welches der Auslöser war – und Windows installiert die übrigen beim nächsten Suchlauf ohnehin wieder.
Treiber sind häufiger schuld als Windows selbst
Nach meiner Erfahrung liegt es in etwa zwei von drei Fällen nicht am Windows-Update, sondern an einem Treiber, der über Windows Update mitgekommen ist. Grafik, Audio, Netzwerk, Drucker – in dieser Reihenfolge.
Der Weg zurück führt über den Geräte-Manager: Gerät aufklappen, Eigenschaften, Reiter Treiber, „Vorheriger Treiber“. Zwei Dinge musst du dabei wissen. Erstens funktioniert das nur eine Version zurück, und nur solange Windows die Vorversion noch vorhält – ist der Knopf ausgegraut, gibt es keine. Zweitens holt Windows Update den neuen Treiber beim nächsten Suchlauf einfach wieder, wenn du nichts dagegen tust. Für diesen Fall lässt sich die Treiberverteilung über Windows Update getrennt abschalten; die Gruppenrichtlinie dafür heißt „Keine Windows Update-Treiber in die Suche einschließen“ und liegt unter Computerkonfiguration, Administrative Vorlagen, Windows-Komponenten, Windows Update. Wie man an solche Stellen überhaupt herankommt, habe ich im dritten Teil der Windows-Poweruser-Reihe beschrieben.
Bei Grafiktreibern lohnt der direkte Weg zum Hersteller statt der Windows-Variante, und zwar mit der Option für die saubere Neuinstallation statt dem Upgrade über den alten Stand. Dass ein Treiber-Update auch auf gesunden Systemen reihenweise Bluescreens auslösen kann, haben wir hier am Beispiel eines NVIDIA-Treibers schon einmal durchgemacht.
Pausieren statt kämpfen – aber richtig
Windows 11 erlaubt, Updates bis zu fünf Wochen auszusetzen. Das ist kein Schlupfloch, sondern ein Werkzeug, und es ist die vernünftigere Reaktion als das Abschalten von Diensten, das Umbiegen der Registry oder eine der Tuning-Tools, die „Updates für immer aus“ versprechen und dir dabei den Sicherheitsstand von vorgestern einfrieren.
- Eine Woche pausieren am Patchday ist für einen Rechner, mit dem du arbeitest, ein legitimes Vorgehen. Dann ist die erste Welle durch, bekannte Probleme sind dokumentiert, und du installierst in Ruhe.
- Nutzungszeit setzen, damit der Neustart nicht mitten in der Arbeitszeit kommt. Das ist dieselbe Einstellung, die ich auch für die Wartungsfenster in meinem Beitrag zum automatisierten Wochenstart empfehle.
- Nicht dauerhaft blockieren. Nach fünf Wochen muss Windows einmal durchlaufen, bevor du erneut pausieren kannst – und das ist richtig so. Wer monatelang nicht patcht, tauscht ein Komfortproblem gegen ein Sicherheitsproblem.
- Feature-Updates getrennt behandeln. Ein Versionswechsel ist kein Patch. Den legt man auf einen Termin, an dem man Zeit hat – was passiert, wenn man das Microsoft überlässt, war beim Zwangsupdate auf 25H2 zu beobachten.
Die Version festnageln statt die Updates abschalten
Es gibt einen Mittelweg zwischen „alles sofort“ und „nie wieder“, und er ist in Windows 11 Pro eingebaut: Du kannst die Zielversion festlegen. Das Gerät bleibt dann auf der eingestellten Version – zum Beispiel 25H2 – und bekommt weiterhin alle monatlichen Sicherheitsupdates, aber kein Feature-Update auf die nächste Version. Genau das will man auf einem Arbeitsrechner.
Die Einstellung liegt in der Gruppenrichtlinie unter Computerkonfiguration, Administrative Vorlagen, Windows-Komponenten, Windows Update, Windows Update for Business: „Zielversion des Featureupdates auswählen“. Dort trägst du Produkt („Windows 11″) und Zielversion ein. Wichtig: Die Angabe muss exakt stimmen, und du musst sie anheben, bevor deine Version aus dem Support fällt – sonst steht das Gerät irgendwann ohne Updates da, und zwar still. Ein Kalendereintrag für das Support-Ende gehört deshalb dazu.
Was ich dagegen nicht mehr mache: den Windows-Update-Dienst deaktivieren, Aufgaben im Taskplaner löschen oder eines der Tools benutzen, die „Updates dauerhaft aus“ versprechen. Das führt zu Systemen, die sich später nicht mehr aktualisieren lassen, weil die Komponentenablage inkonsistent ist – und dann steht man vor einer Neuinstallation statt vor einem Update. Wenn ein Rechner wirklich nichts bekommen darf, gehört er nicht ins Internet.
Die Mittwochs-Checkliste
- Build-Nummer und KB-Nummern notieren (
winver, Updateverlauf) - Bekannte Probleme für die eigene Windows-Version nachlesen
- Systemschutz prüfen, Wiederherstellungspunkt anlegen
- Peripherie einmal durchgehen: Drucker, zweiter Monitor, Headset, VPN
- Bei Problemen nur ein Update entfernen, dann neu starten und testen
- Treiberstände von Grafik und Netzwerk notieren, bevor du sie änderst
- Prüfen, ob das Backup der letzten Nacht durchgelaufen ist
- SSD-Gesundheit mitnehmen, wenn du schon im System bist – siehe SMART-Werte richtig lesen
- Ergebnis in zwei Zeilen dokumentieren, mit Datum
Der letzte Punkt wirkt wie Bürokratie und ist der wertvollste. „14.10., KB-Nummer, nach dem Update kein Ton, Audiotreiber zurückgesetzt, läuft“ – zwei Zeilen in einer Textdatei. Beim nächsten Mal weißt du in zehn Sekunden, ob du dieses Problem schon einmal hattest. Dasselbe Prinzip gilt für das Netzwerk und für alles andere, was man nur zweimal im Jahr anfasst: Ich habe das in meinem Beitrag zum Dokumentieren des Heimnetzes aufgeschrieben, und für das Homelab gilt es in verschärfter Form – wie ich Container aktualisiere, ohne sie zu zerlegen, steht dort.
Was den Mittwoch angeht: Es sind zwanzig Minuten im Monat. Der Unterschied ist nicht, dass nichts mehr kaputtgeht – der Unterschied ist, dass ich weiß, was ich gestern geändert habe, wenn heute etwas nicht geht.
