Was WSUS, Intune, winget und Chocolatey jeweils nicht patchen

Keines dieser vier Werkzeuge patcht deine Firewall. Auch nicht den Hypervisor, das NAS, die verwalteten Switche oder den Management-Controller in den Servern. Alle vier sind Kanäle, um Software auf Windows-Geräte zu bringen. Was jedes davon abdeckt, unterscheidet sich deutlich; was alle vier auslassen, ist dagegen dasselbe — und wie groß dieser Rest ist, hat in den meisten Häusern nie jemand gemessen.

WSUS: was über Microsoft Update kommt — und sonst nichts

Microsoft beschreibt den Umfang nüchtern: WSUS verteilt die Updates, die über Microsoft Update veröffentlicht werden. Fremdsoftware ist in diesem Strom nicht enthalten. Jemand muss sie hineinveröffentlichen — früher mit dem System Center Updates Publisher, den Microsoft seit dem 31.01.2024 als nicht mehr unterstützt führt, heute über die Drittanbieter-Kataloge des Configuration Managers oder ein gekauftes Publishing-Werkzeug.

Die Abkündigung vom 20.09.2024 wird regelmäßig als Abschaltungsankündigung gelesen. Das ist sie nicht: Microsofts Formulierung lautet, dass keine neuen Funktionen mehr entstehen, die vorhandene Funktionalität aber erhalten bleibt und weiterhin Updates über den WSUS-Kanal veröffentlicht werden. Die Rolle steckt auch in Windows Server 2025, und der Plan, die Treiber-Synchronisierung im April 2025 zu streichen, wurde ohne neuen Termin aufgeschoben. Der gefährliche Irrtum läuft in die andere Richtung: Eine WSUS-Konsole mit voller Konformität ist eine Aussage über Microsoft-Software. Browser, PDF-Betrachter, Java-Laufzeit, Sicherungs-Agent stecken nicht in dieser Zahl.

Intune: Zeitpunkt für Windows, Paketierung für alles andere

Update-Ringe und Windows-Update-Clientrichtlinien steuern, wann Windows-Update-Inhalte installiert werden — Qualitäts-, Funktions- und Treiberupdates. Microsoft ist bei der Arbeitsteilung deutlich: Intune speichert nur die Richtlinienzuweisungen, nicht die Updates selbst. Die Einstellung Microsoft product updates weitet die Suche auf App-Updates aus Microsoft Update aus — auch das ist Microsoft-Software.

Für Fremdanwendungen bleiben zwei Wege. Entweder du paketierst sie als Win32-App — die führt Microsofts Übersicht der App-Typen unter Line-of-Business, und in der Update-Spalte steht für diese Kategorie: du musst die App selbst aktualisieren. Oder du lizenzierst Enterprise App Management mit seinem von Microsoft vorbereiteten Anwendungskatalog — Microsoft führt ihn als Teil der Microsoft Intune Suite, zum Testen und Kaufen, laut eigener FAQ zusätzlich als eigenständig erwerbbares Produkt. Selbst dann dokumentiert Microsoft die Grenzen des automatischen Wegs selbst — kein Rückweg auf die Vorversion, keine Ringe oder gestaffelte Verteilung, Katalogdaten bis zu eine Stunde zwischengespeichert. Eine zurückgezogene Version kann in diesem Fenster also noch auf Geräte gelangen. Leicht zu übersehen: Zu den Treiberrichtlinien vermerkt Microsoft, dass Intune keine Bestandsaufnahme installierter Treiber erhebt.

winget: eine Aktion, kein Kanal

winget aktualisiert installierte Anwendungen. Was es nicht tut, ist sich wie ein Verteildienst verhalten: keine zentrale Freigabe, keine Frist, kein Bericht, der sagt, auf welchem Gerät der nächtliche Lauf gescheitert ist.

Dazu zwei stille Lücken. Microsofts Dokumentation hält fest, dass manche Anwendungen keine Version melden und deshalb von winget upgrade übersprungen werden, solange --include-unknown fehlt — mit dieser Option installiert das Werkzeug sie neu, ohne beurteilen zu können, ob das nötig war. Angeheftete Pakete brauchen zusätzlich --include-pinned. Ein Lauf, der nichts zu tun meldet, ist damit nicht dasselbe wie ein aktuelles Gerät. Die Standardquelle ist ein Gemeinschafts-Verzeichnis: Hersteller und Beitragende reichen Manifeste ein, die Microsoft als automatisch geprüft und gegebenenfalls zusätzlich manuell durchgesehen beschreibt. Das ist eine Lieferkette mit Verzögerung, und die steht nirgends je Paket.

Chocolatey: Pakete aus der Gemeinschaft, mit einem Stichtag daran

choco outdated listet auf, was hinterherhinkt, choco upgrade all zieht nach. Zusammen mit winget ist das der Weg, der Windows-Fremdsoftware erreicht, ohne dass du sie vorher paketierst — und der mit der Regeländerung, die viele Häuser noch nicht kennen. Chocolatey Software rät seit Jahren davon ab, Produktionsgeräte einer Organisation direkt auf das Community-Repository zu richten; genannt werden Verlässlichkeit, Vertrauen und Kontrolle. Mit einer am 01.06.2026 veröffentlichten Änderung der Nutzungsbedingungen wird daraus zum 01.01.2027 eine Pflicht: Organisationen dürfen das Community-Repository nicht mehr unmittelbar zur Verwaltung ihrer Rechner nutzen und brauchen ein internes Repository oder einen vorgeschalteten Zwischenspeicher, der die Pakete von innen ausliefert. Persönliche Arbeitsplätze bleiben ausgenommen.

Zwei Eigenschaften gehören in denselben Atemzug. Aus Lizenzgründen laden viele Gemeinschaftspakete das eigentliche Installationsprogramm zur Laufzeit beim Hersteller — ändert der die Adresse, bricht das Paket, bis ein Freiwilliger nachzieht. Und das Repository ist auf ungefähr 20 Paketanfragen pro Minute und IP-Adresse begrenzt — eine Grenze, die ein Gerätepark hinter einer gemeinsamen Ausgangsadresse erreichen kann; die Sperre danach gilt eine Stunde.

Die Geräte, für die keines der vier zuständig ist

Jedes der vier Werkzeuge setzt ein laufendes Windows darunter voraus. Diese Annahme schließt eine ganze Schicht der Umgebung aus:

• Firewalls, VPN-Gateways, Lastverteiler, Switche, Access Points — Firmware, von Hand
• Hypervisoren, NAS-Systeme, Sicherungs-Appliances, Bandbibliotheken
• Management-Controller im Server, USV-Netzwerkkarten, Drucker, IP-Kameras
• Container-Basisabbilder samt der Laufzeiten und Bibliotheken darin

Für diese Klasse gibt es keinen Agenten zum Ausrollen und keine Konsole, die etwas zusammenfasst. Das Update ist eine Firmware-Datei, eine Weboberfläche und ein Wartungsfenster. Der einzige Hebel davor ist zu wissen, dass es überhaupt eine neue Version gibt — und genau das liefert kein Verteilwerkzeug.

Drei Fragen, mit denen du deine Deckung misst

• Wie viele verschiedene Produkte laufen im Haus, und wie viele davon tauchen in irgendeinem Bericht eines der vier Werkzeuge auf? Die Differenz ist die Restmenge. Beide Zahlen aufschreiben, bevor eine davon geschätzt wird.
• Je Produkt: Wer erfährt von einer neuen Version zuerst — das Werkzeug oder ein Mensch? Wo die Antwort ein Mensch ist, hängt das Update daran, dass jemand nachsieht.
• Wenn ein Update fehlschlägt: Steht das in einem Bericht oder nur im lokalen Protokoll? Ein Werkzeug ohne Rückmeldung ist ein Vorschlag, keine Kontrolle.

Die ehrliche Einschränkung

Eine Benachrichtigung installiert nichts. Sie schließt keine Lücke und ersetzt kein Verteilwerkzeug — sie sagt nur, dass eine offen ist. Für alles, was WSUS oder Intune ohnehin erreicht, ist eine zusätzliche Mail Lärm; dort ist der Kanal das bessere Werkzeug und soll die Aufgabe behalten. Der Nutzen liegt vollständig in der Restmenge, und die ist in jedem Haus anders groß. Auch die zitierten Herstellerpositionen bewegen sich, deshalb trägt jede Aussage oben das Datum, an dem sie geprüft wurde.

patchletter verfolgt die Release-Quellen der Hersteller und mailt dir, wenn eine neue Version erscheint — auch für die Produkte, die kein Verteilkanal erreicht. Die beiden Werkzeuge aus diesem Artikel stehen ebenfalls im Katalog: WinGet (zuletzt erfasst 1.29.280, Herstellerdatum 24.06.2026) und Chocolatey (2.7.3, 10.06.2026), beides Stand 19.08.2026. Hak im Katalog an, was du betreust. Kostenlos, ohne Konto, Abmeldung mit einem Klick.

Herstellerangaben geprüft am 19.08.2026, jede an der Stelle verlinkt, an der sie benutzt wird: Microsoft Learn und der Windows-IT-Pro-Blog zu WSUS, Configuration Manager, Intune und winget; Chocolatey-Dokumentation nebst der Mitteilung zu den Nutzungsbedingungen vom 01.06.2026. Versionsangaben aus dem eigenen Bestand, Stand: 19.08.2026.