Neustart nach Windows Update per Toast verzögern

Thema dieser Seite: Neustart nach Windows Update per Toast verzögern

Wer kennt nicht die Situation, wenn man aus dem Urlaub zurückkommt und der Computer nach einer Update-Installation neu starten möchte. Aus Sicherheitssicht ist es jedoch enorm wichtig, dass das System immer auf dem aktuellen Stand ist. Wie wäre es mit einer Lösung, bei der Updates immer direkt installiert werden, dem Benutzer aber etwas mehr Zeit gegeben wird, um E-Mails zu lesen und das Gerät erst dann neu zu starten, wenn es ihm passt.

Ein weiteres Beispiel ist, wenn auf dem Computer über mehrere Stunden oder Tage eine Messung oder ein anderer Prozess läuft. Auch hier wäre es wirklich ärgerlich, wenn ein Neustart diese Messung unterbricht. In diesem Blog zeige ich dir, wie du den Neustart nach einer Update-Installation verzögern kannst und den Benutzer trotzdem an den Neustart erinnerst und ihm die Möglichkeit gibst, ihn dann durchzuführen, wenn es ihm passt.

Den Update Ring anpassen

• Öffne das Intune admin center
• Navigiere zu Devices -> Update rings for Windows 10 and later
• Erstelle einen neuen oder öffne einen bestehenden Update Ring

• Klicke auf Properties
• Klicke auf Edit

• Grace period: Hier kannst du festlegen, wie lange du den Neustart nach einer Update-Installation hinauszögern möchtest. Es ist möglich, einen Zeitraum zwischen 0 und 7 Tagen auszuwählen. Wenn diese Einstellung gesetzt ist, ist es auch sinnvoll, die Einstellung Auto reboot before deadline auf No zu setzen.
• Klicke auf Review + save

Benachrichtigung für den nächsten Neustart erstellen

Ich habe ein Skript geschrieben, das prüft, ob ein Neustart aussteht, und falls dies der Fall ist, eine Toast-Benachrichtigung anzeigt. Dazu gehören ein Detection-Skript, das die Prüfung auf einen ausstehenden Neustart durchführt, und ein Remediation-Skript, das die Toast-Benachrichtigung anzeigt. Du findest diese beiden Skripte in meinem Git-Repository.

• Lade die Skripte herunter und öffne die Datei Get-PendingRebootNotificationRemediation.ps1, um sie anzupassen
• Zuerst benötigst du ein Bild für den Toast-Header. Um dieses Bild in das PowerShell-Skript einzufügen, musst du es in Base64 kodieren. Ich verwende für die Kodierung das folgende Tool:  https://www.base64-image.de/
  Wenn das Bild kodiert ist, kannst du den Base64-String in die Variable $tostImageBase64 im Skript einfügen

• Als Nächstes müssen wir die folgenden Variablen mit dem Inhalt anpassen, den du anzeigen möchtest:

Skript über Endpoint Analytics bereitstellen

•  Um dieses Toast-Menü auf den Clients bereitzustellen, öffnen wir das Intune admin center und navigieren zu Reports -> Endpoint analytics -> Proactive remediations
• Klicke auf Create script package

• Gib einen Namen ein
• Klicke auf Next

• Lade das Skript als Detection–Skript und das Remediation–Skript hoch
• Wähle Yes bei Run this script using the logged on credentials
• Klicke auf Next

• Klicke auf Next
• Weise das Skript einer Gruppe zu und klicke auf Daily
• Ändere den Zeitplan auf Hourly (du kannst auch einen anderen Zeitplan wie Daily auswählen) und klicke auf apply
• Klicke auf Next

• Klicke auf Create

Ein praktischer Tipp aus der Erfahrung: Teste die Detection- und Remediation-Skripte zuerst an einer kleinen Pilotgruppe, bevor du sie breit ausrollst. So stellst du sicher, dass die Toast-Benachrichtigung tatsächlich im Benutzerkontext erscheint und nicht im Systemkontext verloren geht. Achte auch darauf, dass die Skripte nur dann eine Meldung anzeigen, wenn wirklich ein Neustart aussteht. Andernfalls ärgern sich die Benutzer schnell über unnötige Benachrichtigungen, und die Akzeptanz der Lösung sinkt deutlich.

Warum das Ganze wichtig ist: Ein erzwungener Neustart mitten in der Arbeit ist einer der häufigsten Gründe für Frust bei den Endbenutzern und führt oft dazu, dass Updates komplett blockiert oder Geräte gar nicht erst aktualisiert werden. Mit der Grace Period und der zusätzlichen Erinnerung schaffst du einen klaren Kompromiss: Die Sicherheit bleibt gewährleistet, weil das Update ohnehin installiert wird, aber der Benutzer behält die Kontrolle über den Zeitpunkt des Neustarts. Genau diese Balance sorgt dafür, dass deine Patch-Compliance langfristig hoch bleibt.

Fazit

Mit dieser Implementierung gibst du dem Benutzer genügend Flexibilität, um seine Arbeit zu beenden, bis der ausstehende Neustart ausgeführt wird, erinnerst ihn aber trotzdem jede Stunde daran, dass er den Neustart so schnell wie möglich durchführen muss. Das bringt eine gute Mischung aus Flexibilität und Sicherheits-Compliance. Außerdem gibt es viele Möglichkeiten, diese Nachricht anzupassen, sodass sie entweder auffälliger ist oder dem Benutzer noch mehr Informationen liefert. Man könnte das Remediation-Skript auch weiterentwickeln und eine Prüfung einbauen, ob ein Programm auf dem Gerät geöffnet ist, und abhängig davon den Neustart automatisch auslösen.

Bleib gesund, Cheers
Jannik