Firewall, Malware-Schutz, LAPS und Updates zentral in Netzwerken steuern Microsoft kündigt WSUS ab – Zeit für den Umstieg auf Intune?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Für die zentrale Verwaltung von Arbeitsstationen und Servern in den Bereichen Firewall, Malware-Schutz, LAPS und Updates ist Microsoft Intune sicher eine der aktuell besten Möglichkeiten. Schlussendlich gewinnt Intune auch durch die Abkündigung von WSUS mit Windows Server 2025 eine größere Rolle.

Mit Windows Server 2025 deklariert Microsoft die interne Update-Lösung Windows Server Update Services (WSUS) als „abgekündigt“. Das heißt, Microsoft wird keine neuen Funktionen mehr in die Update-Lösung implementieren, und in eine der nächsten Versionen des Windows-Servers wird WSUS aus dem Betriebssystem komplett entfernt. Es kann sich daher jetzt schon lohnen, auf alternative Lösungen zu setzen. In Microsoft-Netzwerken kann es durchaus sinnvoll sein hier auf Intune zu setzen. Mit der Cloud-Lösung lassen sich zentral Server und Arbeitsstationen absichern, unabhängig vom Standort. Eigene Server sind dafür keine notwendig, die Konfiguration läuft komplett über die Cloud. Parallel können Unternehmen auch auf Microsoft Azure Automation und die darin integrierte Updates-Funktion setzen.

Bildergalerie

Bildergalerie mit 7 Bildern

Microsoft Defender zentral steuern

Malware-Schutz für Windows in Intune steuern

Malware-Schutz mit Microsoft Defender zentral mit Intune steuern

Wir haben uns bereits in einem eigenen Beitrag damit auseinandergesetzt, wie sich Microsoft Defender in Windows zentral steuern lässt. Auch dem Thema Microsoft Azure Update haben wir einen eigenen Beitrag gewidmet.

Generell erfolgt die Konfiguration der zentralen Einstellungen für die Windows-/Defender-Firewall und Malware Defender im Bereich „Endpunktsicherheit“ des Intune Admin Centers. Hier lassen sich Richtlinien erstellen, wie in den verlinkten Texten erläutert. Dazu müssen die Rechner kein Mitglied in Active Directory sein, sodass auch Home-Office-Geräte und externe PCs sowie Notebooks problemlos angebunden werden können.

Video-Tipp #61: Update-Management für Azure-VMs

Patchmanagement für Linux und Windows als Azure-VM

Microsoft Updates mit Azure Update steuern

Speziell für die Verteilung von Windows-Updates für Windows-Server ist sicherlich Microsoft Azure Automation Update Management ein. Azure Monitor und Azure Update Management lassen sich kombinieren, um Protokolle der Server anzufertigen und gleichzeitig Updates zu installieren. Einfach ausgedrückt, erweitert Azure Update Management die Funktionen von Azure Monitor um eine Updateverwaltung. Microsoft stellt Azure Update Management kostenlos zur Verfügung. Allerdings müssen Admins darauf achten, dass für den Betrieb auch ein kostenpflichtiger Log Analytics-Arbeitsbereich (Workspace) und auch Speicher in Azure für die Protokolle notwendig ist.

Die Einrichtung von Azure Update Management kann über das Webportal in Microsoft Azure erfolgen, aber bequemer über das Windows Admin Center (WAC). Dieses bietet generell immer mehr Funktionen, um lokale Server, aber auch Ressourcen aus Azure zu verwalten und im lokalen Rechenzentrum zu nutzen.

Lokale Kennwörter mit LAPS zentral steuern

Neben Windows-Updates, Firewall und Malware-Defender ist auch der Schutz der Kennwörter von lokalen Admin-Konten ein wichtiger Faktor für den Schutz von PCs und Servern. Dazu stellt Microsoft kostenlos die Local Admin Password Solution (LAPS) zur Verfügung. Der Dienst lässt sich mit Gruppenrichtlinien in Active Dirctory steuern, aber auch mit Microsoft Intune. Das erleichtert die Verwaltung deutlich, vor allem weil keinerlei lokale Installationen notwendig sind. Mit LAPS in Intune lassen sich Arbeitsstationen mit Windows 10/11 genauso absichern, wie Windows Server 2019/2022 und Windows Server 2025.

LAPS-Verbesserungen und Datenschutz-Fallen

Neue Gruppenrichtlinien für mehr Sicherheit in Windows 11 23H2

Für die zentrale Steuerung von LAPS mit Intune, sollte zuerst im Entra Admin Center (entra.microsoft.com) bei „Geräte -> Geräteeinstellungen-> „Lokale Administratoreinstellungen“ der Menüpunkt „Aktivieren der lokalen Microsoft Entra-Administratorkennwortlösung (Local Administrator Password Solution, LAPS)“ aktiviert werden. Danach kann man über das Intune Admin Center (intune.microsoft.com) zu „Endpunktsicherheit -> Kontoschutz -> Richtlinie erstellen“ eine neue Richtlinie erstellen, die automatisch auf allen angebundenen Computern angewendet wird. Beim Erstellen der Richtlinie erfolgt zuerst die Auswahl von „Windows“ bei „Plattform“ und „Local admin password solution (Windows LAPS)“ bei „Profil“. Danach erfolgt die Konfiguration von LAPS, genauso wie in lokalen Admin-Umgebungen. Da kein Active Directory und auch keine Gruppenrichtlinien notwendig sind, ist die Konfiguration aber einfacher. Diese Richtlinie kann problemlos parallel mit anderen Richtlinien genutzt werden, zum Beispiel für den Malware-Schutz und zur Konfiguration der Defender-Firewall. Die Steuerung er Updates lässt sich wiederum über Azure Update Management konfigurieren. Alle relevanten Einstellungsmöglichkeiten für die Sicherheit lagert Microsoft also immer mehr in die Cloud aus.

Im Rahmen der Umstellung zu Windows Server 2025 und Windows 11 24H2 sollten Unternehmen prüfen, ob es sinnvoll sein kann diese Möglichkeiten zu nutzen. Vor allem in verteilten und hybriden Netzwerken sind dadurch sehr viel flexiblere Sicherheitseinstellungen möglich als bisher.

Microsoft Security Baseline für Windows 11 23H2

Security-Verbesserungen von Microsoft für Windows 11

(ID:50212077)