Windows 11 25H2 im Unternehmen: Rollout & Support

Rollout in Ringen statt auf einen Schlag

Ein Funktionsupdate gleichzeitig auf alle Geräte zu schieben, ist die schnellste Art, sich einen schlechten Tag zu bescheren. Bewährt hat sich stattdessen der gestaffelte Rollout über Update-Ringe:

1. Pilot-Ring, 5–10 % der Geräte. IT-affine Nutzer und eine bewusste Auswahl an Fachanwendungs-Arbeitsplätzen. Hier zeigt sich innerhalb weniger Tage, ob Treiber, VPN, Drucker und Branchensoftware mitspielen.
2. Breiter Ring für die Hauptbelegschaft. Erst nach unauffälligem Pilotbetrieb, in Wellen über einige Tage verteilt – nicht alles an einem Montagmorgen.
3. Kritische Systeme zuletzt. Arbeitsplätze an Produktionsanlagen, in der Buchhaltung während des Monatsabschlusses oder an Spezial-Hardware werden bewusst nachgezogen.
4. Ergebnis prüfen, bevor der nächste Ring startet. Intune liefert Berichte je Ring-Richtlinie: Wie viele Geräte sind auf der Zielversion, wo hängt es, wo bricht die Installation ab.

Gesteuert wird das zentral über Windows Update for Business in Microsoft Intune. Microsoft beschreibt das Vorgehen in seiner Dokumentation zu Update-Ring-Richtlinien: Zeitpunkt, Reihenfolge und Tempo legen Sie einmal fest, statt an jedem Gerät zu stehen. Wie diese zentrale Steuerung im Betrieb aussieht, zeigt unser Angebot Managed Intune.

Neue Geräte wiederum kommen idealerweise gar nicht erst mit einer veralteten Version ins Haus, sondern werden per Autopilot direkt mit dem aktuellen Stand provisioniert – Teil des Geräte-Managements bei kjello.

Sie packen einen neuen Laptop aus, schalten ihn ein, und er konfiguriert sich selbst: Apps, Einstellungen, Sicherheitsrichtlinien. Das ist keine Zukunft, das geht heute.

Jens HagelGründer & Geschäftsführer

Der klassische Fehler an dieser Stelle ist, den Pilot-Ring zu überspringen, „weil es ja nur ein Enablement-Package ist”. Genau die unauffälligen Updates bringen gelegentlich einen Treiber oder eine Altsoftware ins Stolpern – und dann steht die halbe Firma statt eines Testrechners. Der Pilot kostet drei Tage; ihn wegzulassen kostet im Zweifel einen Arbeitstag der gesamten Belegschaft.

Ohne Inventar kein Zeitplan

Ein Rollout-Plan setzt eine Liste voraus: Welches Gerät läuft auf welcher Version, mit welchem Patch-Stand, bei wem. Wo diese Liste in einer Excel-Datei von vorletztem Jahr steckt, beginnt jedes Update mit einer Inventur statt mit einer Entscheidung. Wie ein belastbares Verzeichnis entsteht und gepflegt bleibt, beschreibt unser Beitrag zum IT-Asset-Management im KMU.

Aus so einer Übersicht wird der Zeitplan fast von selbst: Geräte auf 24H2 bekommen das Enablement-Package, Nachzügler auf 23H2 den vollen Versionssprung, und die drei Rechner an der Spezialmaschine landen im letzten Ring. Ohne Übersicht bleibt nur, alles gleichzeitig freizugeben und zu hoffen. Dass daraus selten ein Konzept wird, hören wir in Erstgesprächen regelmäßig:

Wer die Geräteliste ohnehin führt, hat den Rollout-Plan bereits zu zwei Dritteln fertig. Der Rest ist Terminierung.

Kompatibilität: der Punkt, an dem Rollouts kippen

Windows selbst macht bei 25H2 selten Ärger. Die Probleme kommen von außen: ein VPN-Client, der ein Update braucht, ein Druckertreiber, eine ERP- oder Branchenlösung, die nur für eine bestimmte Version freigegeben ist. Vor den breiten Rollout gehört deshalb eine kurze Kompatibilitätsrunde – für die wichtigsten zwei, drei Fachverfahren eine Rückfrage beim Hersteller, ob 25H2 freigegeben ist.

Zwei Streichungen verdienen dabei besondere Aufmerksamkeit, weil sie leise wirken. Microsoft entfernt mit Version 25H2 PowerShell 2.0 vollständig aus dem Betriebssystem und deinstalliert das Kommandozeilenwerkzeug WMIC bei der Installation des Feature-Updates. In der Praxis hängen daran oft Dinge, an die niemand mehr denkt: ein Anmeldeskript aus 2016, eine Inventarabfrage im Monitoring, die Installationsroutine eines Fachverfahrens. Sie werfen keinen Fehler auf dem Bildschirm – sie liefern einfach kein Ergebnis mehr.

Ein gepflegtes Inventar ist damit die Grundlage nicht nur für 25H2, sondern für jeden künftigen Versionswechsel – und Teil einer sauber betreuten IT als Service über das kjello-Portal zu 29 € pro Nutzer und Monat.

„Das macht unser Admin nebenbei”

Ein Versionswechsel ist beherrschbar – solange jemand da ist, der ihn beherrscht. Der übliche Aufbau im Mittelstand ist eine Person, die IT neben ihrer eigentlichen Rolle mitmacht. Fällt sie während des Rollouts aus, hängen die Ringe fest, die Nachzügler bleiben auf einer auslaufenden Version, und niemand merkt es, weil niemand die Berichte liest. Kalkulieren Sie deshalb weniger mit Stunden als mit Zuständigkeit: Wer liest nach jedem Ring den Statusbericht, und wer entscheidet, ob der nächste startet? Was ein geordneter Update-Prozess je Arbeitsplatz kostet, lässt sich im IT-Kosten-Rechner überschlagen.

Checkliste: Windows 11 25H2 im Unternehmen

• Bestand erfassen. Welche Geräte laufen auf welcher Windows-11-Version und welchem Patch-Stand?
• Support-Fristen prüfen. Welche Versionen fallen wann aus dem Support – 24 Monate Pro/Home, 36 Monate Enterprise/Education?
• Altskripte suchen. Wo werden PowerShell 2.0 oder WMIC noch verwendet, etwa in Anmelde-, Inventar- oder Monitoring-Routinen?
• Kompatibilität klären. Sind die geschäftskritischen Fachanwendungen für 25H2 freigegeben?
• Update-Ringe anlegen. Pilot, breite Welle, kritische Systeme – in Intune konfiguriert.
• Pilot fahren. 5–10 % der Geräte, mindestens ein paar Tage beobachten, Bericht auswerten.
• Breit ausrollen. In Wellen, mit Rückfalloption, wenn ein Ring auffällt.
• Neue Geräte per Autopilot direkt mit aktueller Version bereitstellen.
• Ergebnis dokumentieren. Versionsstand nach dem Rollout festhalten – das ist der Ausgangspunkt für den nächsten. Wie das ohne Zettelwirtschaft geht, zeigt die IT-Dokumentation im Mittelstand.

Fazit: kein Feuerwerk, aber Pflichtprogramm mit Plan

Windows 11 25H2 ist technisch unspektakulär – ein Enablement-Package, ein Neustart, fertig. Genau das verleitet dazu, es zu unterschätzen. Für ein einzelnes Gerät stimmt die Sorglosigkeit; für einen ganzen Betrieb entscheidet die Vorbereitung darüber, ob der Rollout geräuschlos läuft oder einen Support-Sturm auslöst. Wer seinen Gerätebestand kennt, in Ringen ausrollt und die Support-Fristen im Blick behält, macht aus dem Versionswechsel eine Routine statt eines Risikos.