Hotpatching

Mit Hotpatching lassen sich sicherheitsrelevante Windows-Updates für Windows 11 und Windows Server 2025 installieren, ohne dass ein Neustart erforderlich ist.

Das reduziert Ausfallzeiten, steigert die Sicherheit und bringt neue Optionen für das Patch-Management – nicht nur unter Windows 11 Enterprise, sondern auch für Windows Server 2025. Mehr dazu lesen Sie bei uns.

Was ist Hotpatching?

Hotpatching bezeichnet eine Update-Technologie, mit der sicherheitsrelevante Patches direkt im laufenden Betrieb installiert werden. Die betroffenen Komponenten im Arbeitsspeicher werden dabei ersetzt oder ergänzt – und zwar ohne dass das System neu gestartet werden muss. Dadurch bleiben Dienste und Anwendungen durchgängig verfügbar, während gleichzeitig Sicherheitslücken geschlossen werden.

Ursprünglich in hochverfügbaren Serverumgebungen eingesetzt, etwa in der Cloud oder in Rechenzentren, findet das Verfahren mit Windows 11 Enterprise Version 24H2 und Windows Server 2025 erstmals auch in Standard-Clientumgebungen breitere Anwendung. Microsoft verfolgt damit das Ziel, Ausfallzeiten zu minimieren und gleichzeitig den Schutz vor Angriffen zu verbessern. Dieser Ansatz gewinnt besonders in sicherheitskritischen oder durchgängig aktiven Infrastrukturen zunehmend an Bedeutung.

Hotpatching ist eine Form von Updates, die nicht zwangsläufig einen Neustart fordert. Bild: Unsplash/Clint Patterson

Hotpatching für Windows 11 und Windows Server

Beim Hotpatching werden Updates nicht wie üblich über einen Neustart aktiviert, sondern direkt in den laufenden Prozessspeicher eingebracht. Der entscheidende Vorteil: Die Systemverfügbarkeit bleibt erhalten, während die Änderungen unmittelbar greifen. Microsoft nutzt hierfür eine Kombination aus In-Memory-Patching und einem abgestimmten Zyklus aus Basis- und Zwischenupdates.

Der Ablauf ist klar strukturiert: In jedem Quartal erfolgt zunächst ein sogenanntes kumulatives Baseline-Update – dieses erfordert weiterhin einen Neustart. In den darauffolgenden zwei Monaten werden ausschließlich Hotpatches verteilt, die ohne Unterbrechung eingespielt werden. Die betroffenen Systemkomponenten werden dabei dynamisch ersetzt, ohne dass Prozesse neu geladen oder Dienste gestoppt werden müssen.

Windows 11 Enterprise 24H2 unterstützt diese Funktion offiziell auf AMD- und Intel-Systemen. Für Windows Server 2025 ist Hotpatching integraler Bestandteil der Update-Strategie, insbesondere in Verbindung mit Azure Arc oder Azure-basierten Bereitstellungen. Für ARM-basierte Geräte bleibt die Funktion vorerst im Preview-Status und erfordert zusätzliche Konfiguration.

Voraussetzungen für den Einsatz von Hotpatching

Damit Hotpatching unter Windows 11 oder Windows Server 2025 funktioniert, müssen bestimmte technische und lizenzielle Anforderungen erfüllt sein. Die Funktion steht nicht flächendeckend zur Verfügung, sondern richtet sich gezielt an professionelle Umgebungen mit Enterprise-Fokus.

Für Windows 11 Enterprise gilt:

• Betriebssystem-Version: mindestens Windows 11 Enterprise 24H2 (Build 26100.2033)
• Prozessorarchitektur: x64 (AMD oder Intel)
• Lizenzen: Microsoft 365 E3, E5, F3, Windows 365 Enterprise oder Education A3/A5
• Verwaltung: Konfiguration über Microsoft Intune mit aktiver Hotpatch-Policy
•  Sicherheit: Virtualization-based Security (VBS) muss aktiviert sein

Für ARM64-Systeme ist Hotpatching derzeit nur in der Vorschau nutzbar. Die Aktivierung erfolgt manuell über die Windows-Registrierung. Auch unter Windows Server 2025 ist die Funktion nur verfügbar, wenn die Server über Azure Arc eingebunden sind. Zudem ist UEFI mit Secure Boot Voraussetzung.

Diese Einschränkungen zeigen: Hotpatching richtet sich vorrangig an professionell verwaltete IT-Umgebungen mit passender Infrastruktur und zentraler Geräteverwaltung.

Im betrieblichen Umfeld eigenen sich Hotpatches, um Ausfallzeiten zu reduzieren. Bild: Pexels/MART PRODUCTION

Vorteile für Unternehmen

Hotpatching bietet mehrere konkrete Vorteile – vor allem für Unternehmen, in denen Verfügbarkeit und Sicherheit gleichermaßen wichtig sind. Der bedeutendste Pluspunkt: Sicherheitsupdates lassen sich ohne Unterbrechung des laufenden Betriebs anwenden. Das reduziert Ausfallzeiten erheblich und vereinfacht die Planung von Wartungsfenstern.

Ein weiterer Vorteil liegt in der unmittelbaren Wirksamkeit der Patches. Sicherheitslücken werden ohne Verzögerung geschlossen, was die Reaktionszeit bei kritischen Schwachstellen deutlich verkürzt. So bleibt das Sicherheitsniveau auf dem gleichen Stand wie bei klassischen Updates – allerdings ohne die damit verbundenen Reboots.

Für IT-Teams sinkt gleichzeitig der organisatorische Aufwand. Die Koordination nächtlicher Update-Zeitfenster oder manueller Neustarts entfällt weitgehend. Das erhöht die Effizienz und minimiert das Risiko von nicht eingespielten Updates aufgrund verpasster Wartungszyklen.

Besonders für Branchen mit 24/7-Betrieb – etwa im Gesundheitswesen, im Einzelhandel oder bei Cloud-Dienstleistern – schafft Hotpatching neue Handlungsspielräume für ein verlässliches und modernes Patch-Management.

Hotpatching: Grenzen und Risiken

So effizient Hotpatching auch ist – ganz ohne Einschränkungen kommt die Technologie nicht aus. Denn längst nicht jede Systemaktualisierung lässt sich ohne Neustart umsetzen. Besonders tiefgreifende Änderungen am Kernel, am Bootloader oder an Hardwaretreibern erfordern weiterhin einen vollständigen Reboot.

Ein zentrales Risiko liegt in der technischen Komplexität: Da Hotpatches direkt im laufenden Speicher greifen, müssen sie exakt zur aktiven Systemversion passen. Schon kleine Versionsunterschiede oder nicht getestete Kombinationen können zu Instabilitäten, Speicherlecks oder Abstürzen führen. Die Qualitätssicherung muss daher besonders sorgfältig erfolgen.

Zudem beschränkt sich Hotpatching derzeit auf sicherheitsrelevante Updates. Funktionsaktualisierungen, .NET-Updates oder Treiberpakete lassen sich auf diesem Weg nicht einspielen. Auch bleibt die Plattformunterstützung begrenzt – für viele Geräte und Umgebungen ist Hotpatching aktuell noch nicht verfügbar oder nur eingeschränkt nutzbar.

Damit wird deutlich: Hotpatching ist keine vollständige Alternative zur klassischen Update-Strategie, sondern ein ergänzendes Werkzeug – das in der richtigen Umgebung wertvolle Vorteile bietet, aber auch professionelles Know-how voraussetzt.

Nicht jedes Update eignet sich zum Hotpatching. Bild: Unsplash/Markus Winkler

Unterschiede: Windows 11 und Windows Server 2025

Obwohl Microsoft das Hotpatching sowohl in Windows 11 als auch in Windows Server 2025 integriert, unterscheidet sich die Umsetzung in mehreren Punkten. Der wichtigste Unterschied liegt in der Zielgruppe und dem Einsatzszenario.

• Windows 11 Enterprise 24H2 nutzt Hotpatching primär für Clients in Unternehmensnetzwerken. Die Funktion ist an Microsoft-365-Abonnements und den Einsatz von Microsoft Intune gebunden. Unterstützt werden derzeit x64-Systeme mit Intel- oder AMD-Prozessoren – ARM-Systeme sind nur eingeschränkt nutzbar. Hotpatches erscheinen monatlich, während ein vierteljährliches Basisupdate weiterhin einen Neustart erfordert.
• Windows Server 2025 hingegen integriert Hotpatching umfassender. Die Funktion steht in allen Editionen zur Verfügung, wenn die Server über Azure Arc verwaltet werden – auch in On-Premises-Umgebungen. Die Update-Verwaltung erfolgt über den Azure Update Manager, wobei dieselbe Struktur aus quartalsweisen Neustarts und monatlichen Hotpatches gilt.

Ein weiterer Unterschied betrifft die Lizenzierung: Während Hotpatching in Windows 11 über bestehende Microsoft-365-Pläne abgedeckt ist, wird es in Windows Server 2025 für nicht-Azure-Umgebungen ab dem 1. Juli 2025 kostenpflichtig – mit einem Preis von 1,50 US-Dollar pro CPU-Kern und Monat. Das entspricht zurzeit (Juli 2025) etwa 1,28 Euro pro CPU-Kern und Monat.

Für wen lohnt sich Hotpatching?

Hotpatching eignet sich besonders für Unternehmen, die auf durchgängige Systemverfügbarkeit angewiesen sind und gleichzeitig ein hohes Sicherheitsniveau halten müssen. Dazu zählen unter anderem Organisationen mit 24/7-Betrieb, wie medizinische Einrichtungen, Rechenzentren, Finanzdienstleister oder produzierende Unternehmen mit digitalisierter Infrastruktur.

Auch kleinere Unternehmen profitieren – sofern die technischen Voraussetzungen erfüllt sind. Entscheidend ist dabei eine zentral verwaltete IT-Umgebung mit Intune-Anbindung und passender Lizenzstruktur. Gerade in Zeiten steigender Bedrohungslagen durch Sicherheitslücken und Zero-Day-Exploits kann Hotpatching ein wirksamer Baustein in der IT-Sicherheitsstrategie sein.

Allerdings ersetzt die Technologie keine ganzheitliche Update-Strategie. Wer Hotpatching einsetzen will, benötigt Erfahrung, testet idealerweise im Vorfeld und kennt die Grenzen der Technik. Denn kritische Änderungen oder Funktionsupdates lassen sich weiterhin nur mit Neustart umsetzen. Insgesamt bietet dieses Update-Technologie ein hohes Maß an Flexibilität – aber nur dann, wenn Umgebung, Planung und IT-Know-how zusammenpassen.

Für Unternehmen bedeuten „heiße Updates“ eine Verminderung der Ausfallzeit, was vor allem update-geplagte Mitarbeiter Freude bereiten dürfte. Bild: Pexels/Andrea Piacquadio

IT-Infrastruktur fit machen für Hotpatching

Hotpatching bringt viele Vorteile, erfordert aber eine saubere technische Basis und die richtige Lizenzierung. PC-SPEZIALIST unterstützt Sie dabei, Ihre Systeme für diese moderne Update-Technologie vorzubereiten. Gemeinsam prüfen wir, ob Ihre IT-Infrastruktur die Voraussetzungen erfüllt, übernehmen die Planung für den Umstieg auf Windows 11 Enterprise oder Windows Server 2025 und kümmern uns um die sichere Konfiguration – etwa mit Microsoft Intune und aktivierter Virtualization-based Security (VBS).

Sie möchten Ihre IT zukunftssicher aufstellen und Ausfallzeiten vermeiden? Dann sprechen Sie mit Ihrem PC-SPEZIALIST vor Ort. Unsere Experten beraten Sie gern persönlich und entwickeln eine passende Strategie für Ihr Unternehmen.

_______________________________________________

Quellen: microsoft, cloudservus, heise, security-insider, winfuture, Pexels/Andrea Piacquadio (Headerbild)