Firewall-Konfiguration für Windows 11-Updates
Die Windows 11-Updates sind entscheidend für Sicherheit, Leistung und Kompatibilität. Oft scheitern Updates jedoch nicht aufgrund des Betriebssystems, sondern wegen restriktiver Konfigurationen von Firewalls und Proxy-Servern. Microsoft hat kürzlich aktualisierte Empfehlungen zur Konfiguration von Firewalls und der gesamten Netzwerk-Infrastruktur veröffentlicht, um den ordnungsgemäßen Betrieb des Windows Update-Dienstes zu ermöglichen.
In diesem Artikel erfahren Sie, wie Sie die Firewall und den Proxy so konfigurieren, dass Windows 11 die Updates ohne Unterbrechungen erhält und Verbindungsfehler, Download-Blockaden und Compliance-Probleme vermieden werden.
Warum treten Probleme mit Windows Update auf?
In Unternehmensumgebungen wird der Datenverkehr zum Internet häufig durch moderne Firewalls, HTTPS-Proxys und TLS-Inspektionssysteme gefiltert. Obwohl diese Maßnahmen die Sicherheit erhöhen, können sie die in Windows Update integrierten Sicherheitsmechanismen beeinträchtigen. Microsoft empfiehlt, die Abfangung des Datenverkehrs zu den offiziellen Update-Endpunkten zu vermeiden, da der Dienst Zertifikate und verschlüsselte Verbindungen validiert, um Man-in-the-Middle-Angriffe zu verhindern.
Wenn eine Firewall bestimmte Microsoft-Subdomains blockiert oder ein Proxy die TLS-Zertifikate umschreibt, können Windows 11-Clients Symptome wie folgt anzeigen:
- Updates, die im Status „Downloading“ verbleiben;
- Windows Update-Fehlercodes;
- Unmöglichkeit, kumulative Updates herunterzuladen;
- Probleme mit Microsoft Defender und Definition-Updates;
- Fehlgeschlagene Updates für den Microsoft Store und Treiber.
Empfehlung von Microsoft
Microsoft empfiehlt, den direkten Zugriff auf die Windows Update-Endpunkte zu ermöglichen und diese von TLS- oder SSL-Inspektionsprozessen auszuschließen. Anstatt sich auf feste IP-Adressen zu verlassen, sollten Organisationen den Zugriff basierend auf den offiziellen Microsoft-Domains und -Subdomains erlauben, da sich die Cloud-Infrastruktur häufig ändert.
Dieses Modell bietet zwei wichtige Vorteile:
- Es erhält die Integrität der von Windows Update durchgeführten kryptografischen Überprüfungen;
- Es reduziert die Anzahl der Vorfälle, die durch Änderungen der Microsoft-Infrastruktur verursacht werden.
Firewall-Konfiguration für Windows 11
Für einen optimalen Betrieb muss die Firewall ausgehende HTTPS-Verbindungen zu den Windows Update-Diensten zulassen.
Wichtige Empfehlungen zur Firewall-Konfiguration
- Erlaube HTTPS-Datenverkehr (Port 443) zu den Windows Update-Endpunkten.
- Vermeide die Blockierung von Microsoft-Subdomains, die für die Verteilung von Updates verwendet werden.
- Führe keine SSL-Inspektion für den Windows Update-Datenverkehr durch.
- Überprüfe regelmäßig die offiziellen Microsoft-Endpunktlisten, da diese aktualisiert werden können.
In Organisationen, die Lösungen wie Palo Alto, Fortinet, Check Point oder Cisco Secure Firewall verwenden, wird empfohlen, spezielle Richtlinien für die Microsoft Update-Dienste zu erstellen, die von den allgemeinen Web-Browsing-Richtlinien getrennt sind.
Proxy-Konfiguration
Proxys sind eine der häufigsten Ursachen für Update-Probleme in Windows 11.
Windows verwendet mehrere Mechanismen zur Proxy-Konfiguration, einschließlich WinINET und WinHTTP. Eine falsche Konfiguration kann dazu führen, dass der Browser normal funktioniert, Windows Update jedoch nicht mit den Microsoft-Diensten kommunizieren kann.
Best Practices
- Verwende systemweite Proxy-Konfigurationen, nicht nur benutzerspezifische.
- Stelle sicher, dass die Windows-Dienste auch vor der Benutzeranmeldung auf den Proxy zugreifen können.
- Überprüfe die Synchronisation zwischen den Konfigurationen von WinINET und WinHTTP.
- Vermeide Proxys, die TLS-Zertifikate für den Windows Update-Datenverkehr ändern.
Microsoft betont, dass viele Windows-Dienste in anderen Kontexten als der angemeldete Benutzer ausgeführt werden, weshalb eine ausschließlich benutzerspezifische Konfiguration schwer zu diagnostizierende Fehler verursachen kann.
Delivery Optimization und Auswirkungen auf das Netzwerk
Windows 11 verwendet den Dienst Delivery Optimization, um die Verteilung von Updates zu beschleunigen und den Bandbreitenverbrauch zu reduzieren. Er ermöglicht das Herunterladen von Paketen sowohl von Microsoft als auch von anderen autorisierten Geräten im Netzwerk.
Für Organisationen wird empfohlen, die Delivery Optimization-Richtlinien zu bewerten, um:
- Updates effizient zwischen lokalen Stationen zu verteilen;
- den Internetverbrauch zu reduzieren;
- Updates schneller in Zweigstellen und Remote-Standorten bereitzustellen.
Wie überprüfst du, ob die Firewall Windows Update blockiert
Wenn du Probleme mit Updates hast, überprüfe Folgendes:
1. Teste die HTTPS-Konnektivität
Bestätige, dass die Geräte ohne Zertifikatfehler auf die Microsoft-Endpunkte zugreifen können.
2. Analysiere die Firewall-Protokolle
Suche nach verweigerten Verbindungen zu Microsoft-Domains, die von Windows Update verwendet werden.
3. Überprüfe die Proxy-Konfiguration
Vergleiche die Einstellungen von WinHTTP und WinINET und validiere den Zugriff auf die Systemdienste.
4. Untersuche das Windows Update-Protokoll
Die Protokolle können auf Probleme mit TLS-Authentifizierung, DNS-Auflösung oder Proxy-Zugriff hinweisen.
Die Grundlage für einen stabilen und sicheren Windows 11-Update-Prozess
Eine korrekte Konfiguration von Firewall und Proxy ist die Grundlage für einen stabilen und sicheren Windows 11-Update-Prozess. Die Hauptempfehlung von Microsoft ist klar: Erlaube den Zugriff auf die offiziellen Windows Update-Endpunkte, vermeide die TLS-Abfangung und verwende Proxy-Konfigurationen, die mit den Systemdiensten kompatibel sind.
Für Organisationen, die Compliance, Sicherheit und Reduzierung der Verwaltungskosten anstreben, kann die Implementierung dieser Best Practices die meisten Vorfälle im Zusammenhang mit Windows 11-Updates beseitigen und eine vorhersehbare Erfahrung für Benutzer und IT-Teams gewährleisten.
Quelle: microsoft.com
