Windows Hotpatching: Sicherheitsupdates ohne Neustart — was es dem Mittelstand spart

Inhalt in Kürze

• Hotpatching installiert die monatlichen Windows-11-Sicherheitsupdates im laufenden Betrieb — ohne Neustart. Der Schutz greift sofort, der Mitarbeiter merkt nichts.
• Die Rechnung für den Alltag: statt zwölf Pflicht-Neustarts pro Jahr nur noch vier, jeweils zur Quartals-Baseline im Januar, April, Juli und Oktober.
• Voraussetzung sind Windows 11 Version 24H2 oder höher, eine berechtigte Lizenz (u. a. Microsoft 365 Business Premium), aktivierte VBS und die Steuerung über Microsoft Intune.
• Seit Mai 2026 ist Hotpatch für berechtigte Geräte in Windows Autopatch (Intune) standardmäßig eingeschaltet. Wer es nicht will, muss es aktiv abschalten.
• Geräte, die nicht qualifiziert sind, bekommen automatisch das klassische Update mit Neustart — es entsteht keine Sicherheitslücke.

Jeder Patchday kostet im Mittelstand dieselbe Diskussion. Die Sicherheitsupdates müssen drauf, aber der Neustart reißt die Mitarbeiter aus der Arbeit, offene Dateien gehen verloren, und am nächsten Morgen meldet jemand, sein Rechner installiere immer noch. Genau hier setzt Hotpatching an: Microsoft spielt die monatlichen Sicherheitsupdates direkt in den laufenden Speicher ein, ganz ohne Neustart. Für Geschäftsführer ist das keine Spielerei, sondern weniger Ausfallzeit, schnellere Compliance und ein kleineres Zeitfenster, in dem eine bekannte Lücke offensteht.

Hotpatching für Windows 11: Updates ohne Neustart erklärt

Hotpatch-Updates sind die monatlichen B-Sicherheitsupdates für Windows 11, die im laufenden Betrieb wirksam werden, ohne dass ein Neustart erforderlich ist. Diese monatlichen Sicherheitsupdates bringen dieselben sicherheitsrelevanten Änderungen wie das klassische kumulative Update — nur dass die Aktualisierung direkt im Speicher passiert. Der Sicherheitsstand ist identisch mit dem des klassischen Patches — es fehlt nur die Unterbrechung. Genau das unterscheidet die Windows-Sicherheitsupdates per Hotpatch vom kumulativen Standardweg.

Technisch ist Hotpatch eine Update-Technologie, die als Erweiterung von Microsoft Update über Windows Autopatch läuft. Die Updatepakete sind dabei deutlich kleiner als das normale kumulative Update, installieren schneller und verbrauchen weniger Bandbreite — ein Detail, das in Netzen mit vielen Außenstandorten oder Homeoffice-Anbindungen spürbar wird. Der Patch verändert nur die sicherheitsrelevanten Systemkomponenten des Betriebssystems im Speicher, statt das gesamte kumulative Paket auf die Festplatte zu schreiben. Wichtig zur Einordnung: Hotpatching bringt keinen neuen Funktionsumfang. Es ist derselbe Schutz wie bisher, nur ohne den Wartungs-Neustart. Die offiziellen Details dazu hat Microsoft im Learn-Artikel zu Hotpatch-Updates dokumentiert.

Das Verfahren gibt es nicht nur auf dem Desktop. Der Hotpatch für Windows steht für Windows 11 und Windows Server 2025 bereit — auf dem Server über den Azure Update Manager und Azure Arc, auf dem Client über Intune. Für IT-Teams heißt das: Ein einheitliches Prinzip für sicherheitsrelevante Updates, vom Arbeitsplatz bis zum hochverfügbaren Server. Nur die vier Baseline-Updates pro Jahr erfordern weiterhin einen Neustart.

Die Rechnung: 12 Neustarts werden zu 4

Der Jahreszyklus ist einfach aufgebaut. Vier Baseline-Updates (Januar, April, Juli, Oktober) enthalten Sicherheits- und Funktionsupdates und erfordern einen Neustart. Die acht Monate dazwischen liefern reine Hotpatches ohne Neustart: Februar/März, Mai/Juni, August/September, November/Dezember. Macht in Summe acht Hotpatch-Monate und vier Baseline-Monate pro Jahr.

Konkret sinken die Pflicht-Neustarts von mindestens zwölfmal pro Jahr auf viermal — nur noch zur Quartals-Baseline. Das ist die zentrale Zahl für jeden, der über Wartungsfenster entscheidet, und sie wird auch im Fachbeitrag von Security-Insider zu Hotpatching in Windows 11 so beziffert.

Im Alltag bedeutet das: Statt jeden Monat alle Geräte neu zu starten, fällt der Neustart nur noch einmal pro Quartal an. Acht der zwölf monatlichen Sicherheitsupdates erfordern keinen Neustart mehr — das senkt die Ausfallzeiten und sorgt für spürbar weniger Unterbrechungen im Tagesgeschäft. Gleichzeitig schrumpft das Zeitfenster zwischen Veröffentlichung und Wirksamkeit eines Patches, weil niemand mehr auf einen Wartungs-Neustart warten muss. Und Ihr Helpdesk bekommt weniger Tickets vom Typ „mein Rechner installiert seit einer Stunde”.

Warum das mehr ist als Komfort, zeigt ein Blick auf das Tempo der Bedrohungslage: Laut BSI-Lagebericht 2025 wurden zwischen Juli 2024 und Juni 2025 im Schnitt 119 neue Schwachstellen pro Tag bekannt, rund 24 Prozent mehr als im Vorjahreszeitraum. Je schneller ein Sicherheitsupdate greift, desto kürzer steht eine bekannte Lücke offen — mehr dazu in unserem Beitrag, warum Softwareupdates so wichtig sind.

Voraussetzungen, die wirklich erfüllt sein müssen

Hotpatching ist an klare Bedingungen geknüpft. Die folgende Matrix fasst zusammen, was ein Gerät mitbringen muss — und worauf es bei der Verwaltung ankommt.

Der für den Mittelstand entscheidende Punkt steckt in der zweiten Zeile: Microsoft 365 Business Premium ist berechtigt. Das deckt viele KMU-Flotten bereits ab, ohne dass eine Zusatzlizenz nötig wird. Welche Lizenz für welchen Mitarbeiter sinnvoll ist, lässt sich dabei fein steuern:

Das Lizenzmodell von Microsoft 365 ist so vielseitig und umfangreich, dass es wirklich für jeden einzelnen Benutzer die entsprechende Lizenz gibt.

Dennis KreftMicrosoft 365 & Cloud-Experte, hagel IT-Services GmbH

Bei der virtualisierungsbasierten Sicherheit (VBS) — englisch Virtualization-based Security — lohnt der genaue Blick: Ist sie nicht aktiv, bietet Windows dem Gerät schlicht kein Hotpatch-Update an. Auf Arm64-Geräten muss zusätzlich CHPE deaktiviert werden — relevant aber nur, wenn noch 32-Bit-x86-Legacy-Software oder Win32-Apps im Einsatz sind. Die Steuerung selbst läuft komplett über Intune: Die bestehenden Update-Ringe für Qualitätsupdates bleiben unverändert, Hotpatch wird auf den Windows-Clients zusätzlich berücksichtigt. Auch die Lizenzierung lässt sich pro Benutzer feinsteuern. Neu seit Mai 2026: Microsoft hat Hotpatch in Windows Autopatch vom Angebot zum Standard gemacht. Seit dem Mai-Sicherheitsupdate bekommen Geräte, die über Intune und Autopatch verwaltet werden und alle Voraussetzungen erfüllen, Hotpatches automatisch. Wer das nicht möchte, schaltet es auf Mandantenebene ab. Angekündigt hat Microsoft das im März 2026, wie Petri zur Hotpatch-Umstellung berichtet.

Wer Geräte ohnehin schon zentral verwaltet — etwa über Microsoft Intune und Windows Autopilot — ist hier mit wenigen Klicks fertig.

Wo Hotpatching an Grenzen stößt

Hotpatching ist gut, aber kein Allheilmittel. Als Teil von Microsoft Windows hat das Verfahren klare Bedingungen. Vier Punkte sollten Geschäftsführer kennen, bevor sie es als gelöst abhaken.

• Nicht qualifizierte Geräte fallen nicht aus dem Schutz. Erfüllt ein Gerät eine Voraussetzung nicht, bekommt es automatisch das normale kumulative Update (LCU) — das klassische Windows Update, das einen Neustart erfordert. Der Sicherheitsstand bleibt also erhalten, das Gerät muss den Patch nur weiterhin mit Neustart installieren.
• Versionssprünge unterbrechen den Hotpatch-Modus. Ein Upgrade von 24H2 auf 25H2 während eines Hotpatch-Monats wechselt das Gerät kurzzeitig zurück auf Standardupdates mit Neustart.
• Kein automatisches Rollback. Ein Hotpatch lässt sich deinstallieren, das erfordert aber einen Neustart. Ein automatisches Zurückrollen gibt es nicht.
• Hotpatching ersetzt keine Update-Strategie. Es macht eine durchdachte Strategie nur weniger störend — die saubere Verwaltung muss trotzdem stehen.

Was der Mittelstand davon hat

Für ein Hamburger Unternehmen mit 30 oder 40 Arbeitsplätzen zahlt sich Hotpatching an drei Stellen aus. Erstens: weniger Ausfallzeiten und weniger Reibung mit den Mitarbeitern, weil der monatliche Wartungs-Neustart wegfällt und die Systemverfügbarkeit steigt. Zweitens: schnellere Compliance, weil ein Patch sofort greift, statt auf das nächste Wartungsfenster zu warten. Drittens: geringeres Risiko, weil bekannte Lücken nicht tagelang offenstehen. Besonders für Unternehmensumgebungen mit kleinen IT-Abteilungen ist das ein echter Entlastungshebel: weniger nächtliche Wartungsfenster, weniger Tickets, mehr Zeit für die eigentliche Arbeit.

Die Voraussetzung dafür ist allerdings eine sauber verwaltete Umgebung. Hier liegt bei Neukunden ungenutztes Potenzial:

Die meisten unserer Neukunden haben Microsoft 365 bereits — nutzen aber nur E-Mail und vielleicht Word. Da liegt so viel Potenzial brach: Teams, SharePoint, Intune, Autopilot. Wir helfen, das freizuschalten.

Jens HagelGründer, hagel IT-Services GmbH

Am Ende zählt nicht die Technik an sich, sondern die Ruhe, die sie bringt:

Wie ein Managed-IT-Partner Hotpatching einführt

Hotpatching aktiviert man nicht mit einem Schalter, sondern mit einer sauberen Vorarbeit. In der Praxis läuft das bei uns in drei Schritten.

Was IT-Teams und Administratoren beim Windows-11-Hotpatch beachten

Für IT-Teams und Administratoren ist der entscheidende Punkt, dass Hotpatch sich in das bestehende Patch-Management einfügt, statt es zu ersetzen. Der Windows-11-Hotpatch nutzt dieselben Update-Ringe und denselben Bericht wie die klassischen Qualitätsupdates — niemand muss einen zweiten Prozess pflegen. Damit lassen sich auch große Windows-Client-Flotten zentral auf Hotpatch umstellen, ohne dass die Administratoren den gewohnten Ablauf umbauen.

1. Lizenz- und Hardware-Check. Wir prüfen pro Standort, welche Geräte die Voraussetzungen erfüllen: passende Windows-11-Version, berechtigte Lizenz, aktive VBS. Dort, wo etwas fehlt, ziehen wir die Versionen nach oder klären die Lizenz.
2. Hotpatch-Richtlinie sauber andocken. Die Windows-Qualitätsupdate-Richtlinie wird in Intune so konfiguriert, dass Hotpatch zusätzlich zu den bestehenden Update-Ringen greift — ohne den laufenden Patch-Prozess zu stören. Seit Mai 2026 ist Hotpatch dort für berechtigte Geräte voreingestellt; wir prüfen, ob das zu Ihren Update-Ringen passt.
3. Monitoring über den Hotpatch-Bericht. Der Hotpatch-Qualitätsupdatebericht zeigt laufend, welche Geräte qualifiziert sind. So fallen nicht berechtigte Geräte sofort auf und werden nachgezogen.

Dieser Ablauf ist Teil unseres Intune Managed Service zum Festpreis und unseres Modern-Workplace-Angebots — beides mit dem Anspruch, dass IT planbar bleibt statt jedes Wartungsfenster aufs Neue zu überraschen. Wie tief eine solche Intune-Einführung in der Praxis geht, zeigt unsere Fallstudie zur Absicherung und Automatisierung von 40 Arbeitsplätzen. Den passenden Versionsstand schaffen Sie vorher mit einem sauberen Windows-11-Upgrade für Unternehmen; für Server gilt das Pendant aus unserem Überblick zu Windows Server und Microsoft-Partnerschaft.

Wer wissen will, was eine planbar verwaltete Microsoft-Umgebung im Monat kostet, findet eine erste Orientierung in unserem IT-Kosten-Kalkulator oder in unserem Überblick zu Microsoft-365-Kosten und Paketen. Managed IT beginnt bei uns transparent ab rund 50 Euro pro Arbeitsplatz und Monat — Details dazu auf der Seite Managed IT zum Festpreis.

Ihr nächster Schritt

Hotpatching ist ein kleiner Hebel mit großer Wirkung — aber nur, wenn Lizenzen, Windows-Version und Intune-Konfiguration zusammenpassen. Ob Ihre Geräte heute schon qualifiziert sind, lässt sich in einem kurzen Check klären.