Für diese Probleme gibt es verschiedene Ursachen und verschiedene Lösungen.

Eine, die uns immer wieder auch bei den härteren Fällen hilft, ist der

WSUS Offline Updater

Seine Funktion klingt auf den ersten Blick überflüssig: Das Tool lädt Updates von den offiziellen Microsoft-Update-Quellen herunter und installiert sie dann in einem zweiten Schritt. Das hat allerdings zwei Vorteile gegenüber dem in Windows eingebauten Windows-Update:

1. Sind die Updates einmal heruntergeladen, dann kann man sie gleich auf mehreren PCs installieren, ohne sie nochmals herunterzuladen
2. Stottert das normale Windows-Update, dann schafft es der WSUS Offline Updater meistens, die Updates doch noch zu installieren

Die Nutzung ist denkbar einfach:

• Laden Sie das Tool von der Webseite des WSUS Offline Updater herunter und packen Sie in aus
• Starten Sie das UpdateGenerator.exe, wählen Sie aus, für welche Betriebssystemversionen und (allenfalls) Office-Versionen Sie Updates bereitstellen möchten
• Mehrfachnennungen sind möglich
• Klicken Sie Start
• Nach einiger Zeit sind die Updates bereit zur Installation
• Starten Sie nun im client-Verzeichnis den UpdateInstaller
• Der Bequemlichkeit halber können Sie allenfalls die Option zum automatischen Reboot anwählen
• Starten Sie den Updater per Klick auf Start

Falls Sie mehrere Windows-Installationen aufdatieren möchten, können Sie nachdem der UpdateGenerator seine Arbeit getan hat, das komplette Verzeichnis auf mehreren PCs nutzen, ohne die Updates immer wieder herunterzuladen.

Nach Fertigstellung des Updates sollten Sie nicht vergessen, Windows Update noch einmal durchzuführen – der Offline Updater erwischt nicht immer alle Updates.

Windows hat allerdings von Haus aus eine Funktion, die dem Virenscanner tatkräftig unter die Arme greifen kann und ihn gut ergänzt: Die "Software Restriction Policies" (SRP). Kurz gesagt lässt sich damit Windows so konfigurieren, dass es nur bereits bekannte, explizit vom Anwender (oder Systemadministrator) zugelassene Software ausführt. Statt sich wie ein Virenscanner darum zu bemühen, eventuelle Schadsoftware rechtzeitig vor dem Ausführen zu erkennen, arbeitet SRP mit dem Ansatz, grundsätzlich nur zugelassene Software auszuführen. SRP bringt also genau dort ein Mehr an Sicherheit, wo die meisten Antivirenpakete versagen – sie verhindern nämlich auch die Ausführung brandneuer Schadsoftware.

Die Sache hat natürlich mehrere Haken, u.a.:

• SRP ist zwar in jeder aktuellen Windows-Version verfügbar, jedoch sind die Werkzeuge, um SRP zu konfigurieren nicht in jeder Windows-Variante dabei, und sie sind eher umständlich zu bedienen
• Wer auf seinem PC oft neue Software ausführt – z.B. an einem Test-PC – der wird keine Freude an den Einschränkungen durch SRP haben
• Der Aufwand, um SRP einzuführen, ist nicht zu unterschätzen – in der Einführungsphase muss alle Software identifiziert werden, die ausgeführt werden darf, und entsprechende Regeln erstellt werden

Für den typischen Büro-Arbeitsplatz ist SRP ein Weg, der eine Überlegung wert ist. Mit dem Werkzeug Restric'tor hat sich der Heise-Verlag des Problems angenommen, dass nicht alle Windows-Varianten mit passenden Konfigurationswerkzeugen daherkommen und diese falls vorhanden als eher kompliziert wahrgenommen werden.

Den Restric'tor finden Sie zum Download beim Heise-Verlag.

Auch mit dem Restric'tor ist die Einführung von SRP kein Spaziergang. Aber es kann sich lohnen!