Intune und Driver Update Management: Konzept im Überblick

Einleitung

Da ist es! Windows-Treiber- und Firmware-Updates mit Intune 🥳 Dieser Post ist ein kurzer Einstieg und eine Konzept-Zusammenfassung zu diesem neuen Feature.

Bisher kannte Windows Update for Business nur ein Alles-oder-nichts-Setting. Treiber-Updates konnten blockiert oder erlaubt werden. Jetzt kannst du Treiber-Updates granular und nativ mit Intune Policies überwachen und verteilen.

Offizielle Quellen:

• Tech Community - Ankündigung
• Learn - Überblick
• Learn - Bereitstellungsplan erstellen

---

Komponenten

• Windows Update (WU) - Cloud-Dienst, der Update-Quellen über ein CDN bereitstellt
• Windows Update for Business Deployment Service (WUfB-DS) - ein weiterer WU-Cloud-Dienst, der die Genehmigung, Planung und Absicherung von Updates auf verwalteten Geräten steuert, inklusive API und Reporting
  -> er erkennt aus dem WU-Inventar die passenden Treiber-Updates für deine Geräte
• Intune - Driver-Update-Policies für registrierte Geräte konfigurieren

Features

• Microsoft erkennt passende Treiber-Updates für deine Geräte automatisch
• Du profitierst vom vertrauenswürdigen Inventar des WU-Katalogs, in dem Hersteller und OEMs ihre Treiber veröffentlichen
• Updates genehmigen, ablehnen oder pausieren
• Sichtbarkeit optionaler Updates steuern
• Detailliertes Reporting in Intune

Voraussetzungen

Deployment-Strategie

Überlege dir die Deployment-Strategie, bevor du die Intune-Profile erstellst:

🛑 «Roter Knopf»: geht davon aus, dass alles gut ist, bis das Gegenteil bewiesen ist. Der IT-Admin stoppt ausdrücklich von Hand
✅ Grüner Knopf: geht davon aus, dass alles schlecht ist, bis das Gegenteil bewiesen ist. Der IT-Admin prüft und verteilt neue Inhalte

Deployment Rings

Ich empfehle generell, mehrere Policies zu nutzen und einen Ring-basierten Ansatz zu wählen. Dabei erhalten bestimmte Benutzer oder Geräte Treiber-Updates früher, testen die Funktion und prüfen, ob alles wie erwartet läuft. Wird eine negative Auswirkung erkannt, kannst du das Treiber-Update für den aktuellen Ring pausieren und für die späteren Rings ablehnen.

Meine Empfehlung: 1 bis 4 Update Rings erstellen, denen du unterschiedliche Geräte- oder Benutzergruppen zuweist. Wenn du die automatische Genehmigung wählst, plane genug Deferral-Zeit ein, je grösser der Ring wird. Bei manueller Genehmigung musst du jedes einzelne Treiber-Update genehmigen. Beides hat Vor- und Nachteile.

Ansätze für die Mitgliedschaft

Um die Policies zu bauen, musst du dir Gedanken über die Mitgliedschaften und die Deployment Rings machen. Es gibt mehrere Ansätze:

• Dieselben Rings und dasselbe Deployment wie bei den Windows Update Rings
• Eine Policy pro Hardwaremodell (allen Geräten zuweisen und einen Filter auf das Modell setzen)
• Eine Automatisierung bauen, die verschiedene Hardwaremodelle einem Ring zuordnet
• Windows Autopatch nutzen

So funktioniert es

1. In Intune konfigurierst du ein Profil und wählst eine Genehmigungsmethode:

   • Treiber-Updates manuell genehmigen und verteilen ⚒️
   • Alle empfohlenen Treiber-Updates automatisch genehmigen 🚀

2. Geräte melden sich innerhalb von 24 Stunden bei ihrem täglichen Update-Scan bei WU und berichten an WUfB-DS und Intune

3. Intune und WUfB-DS synchronisieren täglich, verarbeiten die Daten der Endpunkte und zeigen die Ergebnisse im Intune Admin Center

4. Entweder genehmigst du ein Treiber-Update, oder es wird automatisch genehmigt. Das weist das Gerät an, das Treiber-Update bei der nächsten Windows-Update-Suche im Hintergrund zu installieren

Automatische Genehmigung

Wenn du einen vollständig automatisierten Ablauf willst, kannst du alle empfohlenen Treiber-Updates automatisch genehmigen. Kurz gesagt, läuft dann laufend dieser Prozess ab:

1. Ein unabhängiger Hardwarehersteller oder OEM markiert ein Treiber-Update als erforderlich oder empfohlen
2. WUfB-DS synchronisiert das Inventar mit Intune, um die Anwendbarkeit auf Geräten zu prüfen
3. Treiber-Updates werden automatisch genehmigt
4. Beim nächsten Windows-Update-Scan (täglich) installiert das Gerät dieses Treiber-Update
5. Sobald eine neuere Version des Updates erscheint, wird die ältere Version in den Bereich «Other drivers» verschoben
6. Die ältere Version verschwindet aus der Liste in Intune, sobald alle Geräte die neuere Version installiert haben

Lebenszyklus eines Treiber-Updates

Dieses Flussdiagramm zeigt den Lebenszyklus eines Treiber-Updates.

Setup

1. Öffne das Intune Admin Center
2. Navigiere zu Devices>Windows 10 and later updates>Driver updates
3. Erstelle ein Profil, benenne es und wähle die Genehmigungsmethode
4. Weise es einer Gruppe zu
5. Prüfe und genehmige Updates regelmässig (wenn die Genehmigungsmethode manuell ist)

Schliessen

Das neue Feature einführen

Jeder Organisation, die das Driver-Update-Feature mit Intune nutzen will, rate ich, mit diesen Schritten einzusteigen:

1. Verschaffe dir einen Überblick über deine Gerätetypen
2. Plane die Deployment-Strategie und die Rings
3. Erstelle eine Dev-Policy mit manuellem Genehmigungsmodus und nimm einige verschiedene Gerätemodelle auf (so siehst du, wie viele Treiber-Updates deine Geräte erhalten würden, ohne etwas zu verteilen. ⚠️ Sobald einem Gerät eine Driver-Update-Policy zugewiesen ist, stoppst du nur das bestehende Driver-Update-Deployment von WU.)
4. Erstelle eine Policy für eine begrenzte Anzahl Geräte, um das Feature auszuprobieren (wähle deine Genehmigungsmethode, ich würde mit automatisch starten)
5. Sobald du Erfahrung gesammelt hast, bereite ein allgemeines Rollout-Konzept vor und erstelle weitere Policies

Wichtige Hinweise

• Den Windows-Update-Katalog durchsuchen
• Deadline- und Grace-Period-Einstellungen gelten aus den Einstellungen der Quality Updates
• Treiber-Updates in Autopilot werden nicht unterstützt
• Ein Treiber-Update zurückzurollen ist derzeit nicht möglich
• Ein Gerät zwei Driver-Update-Policies zuzuweisen, wird nicht empfohlen (⚠️ der Status «Approved» gewinnt immer)
• Für Firmware-Updates, die in WU veröffentlicht sind, muss das BIOS/UEFI nicht entsperrt sein

Was heisst das für Schweizer Firmen?

• Für KMU und IT-Dienstleister mit gemischten Gerätemodellen lohnt sich der Ring-Ansatz: wenige Pilotgeräte erhalten Treiber zuerst, der Rest folgt mit Deferral
• Die Lizenzvoraussetzung ist mit Microsoft 365 Business Premium erfüllt (siehe Tabelle oben). Prüfe, ob deine Kunden diese Lizenz oder Windows Enterprise E3/A3 haben
• Die Strategie mit dem grünen Knopf braucht Admin-Zeit. Plane sie bei kleinen Teams bewusst ein oder starte mit der automatischen Genehmigung auf einem kleinen Ring
• Aktuelle Treiber und Firmware gehören zu den technischen Massnahmen, die du im Rahmen des revDSG für die Datensicherheit dokumentieren kannst

---

Suchst du mehr Inhalte zu Windows Update (for Business) und Intune? Bitte sehr:

Windows updates - write upWindows updates explained: update methods, release channels and servicing, and how to manage Windows updates with Intune and Windows Update for Business.Oceanleaf · Niklas Tinner