Softwareverteilung unter Windows: WSUS, Intune, PDQ

Im Unternehmens-Alltag muss Software auf hunderten oder tausenden Windows-Geräten installiert, aktualisiert oder entfernt werden. Manuelles Herumlaufen mit USB-Sticks und Setup-Dateien? Undenkbar. Stattdessen gibt es spezialisierte Tools für die Softwareverteilung (englisch: Software Distribution oder „Endpoint Management"). Diese Tools sind das tägliche Brot vieler FISI-Stellen.

Diese Lektion zeigt die drei wichtigsten Werkzeuge im Windows-Umfeld: WSUS (Microsoft, kostenlos, klassisch), Intune (Microsoft, Cloud-basiert, modern) und PDQ Deploy (Drittanbieter, einfach, beliebt im Mittelstand). Dazu noch Group Policy als klassische Variante.

1) Was ist „Software-Verteilung"?

Softwareverteilung beantwortet die Frage: wie bekomme ich Software-Pakete (siehe L3) automatisiert auf viele Computer? Klassische Anforderungen:

• Massen-Installation: ein Klick → 500 Rechner haben die neue Software
• Updates: Sicherheitsupdates schnell und einheitlich ausrollen
• Updates rückgängig: bei Problemen alle Geräte wieder zurückrollen
• Gruppen: nur bestimmte Abteilungen oder Standorte bekommen Software X
• Reporting: wer hat was installiert? Wer fehlt noch?
• Inventarisierung: Übersicht aller installierten Programme
• Compliance: prüfen ob Geräte vorgeschriebene Software haben

Ohne diese Werkzeuge wäre IT-Operations in mittleren bis großen Unternehmen unmöglich. Du brauchst eine Plattform – und davon gibt's mehrere.

2) Die drei wichtigsten Tools im Vergleich

Hier eine Schnellübersicht – die drei großen werden im Folgenden vertieft:

3) WSUS – Windows Server Update Services

WSUS ist Microsofts klassisches Tool für Windows-Updates. Es ist kostenlos bei jedem Windows Server dabei. Funktionsweise:

1. WSUS-Server (im eigenen Netzwerk) holt Updates von Microsoft
2. Admin entscheidet welche Updates freigegeben werden
3. Client-Rechner (per Group Policy konfiguriert) holen Updates vom WSUS-Server statt von Microsoft
4. WSUS reportet welcher Rechner welche Updates installiert hat

Vorteile: Bandbreite sparen (Updates werden nur einmal heruntergeladen), Kontrolle (Admin entscheidet wann welcher Patch ausgerollt wird), Reporting. So sieht eine typische WSUS-Konsole aus:

4) Intune – die Cloud-Lösung

Intune (offiziell Microsoft Intune, Teil von „Microsoft Endpoint Manager") ist Microsofts modernes Cloud-Tool. Es ersetzt zunehmend WSUS und SCCM in modernen Unternehmen. Vorteile gegenüber WSUS:

• Cloud-basiert: kein eigener Server nötig
• Funktioniert ohne VPN: Geräte können von überall aus verwaltet werden (Home Office!)
• Multi-Platform: Windows, iOS, Android, macOS – alles in einer Konsole
• Mobile Device Management (MDM): für Smartphones und Tablets
• Compliance-Policies: Geräte müssen Sicherheitsanforderungen erfüllen
• Conditional Access: nur „gesunde" Geräte dürfen aufs Firmen-Netz
• Apps: MSI, MSIX, EXE, Win32 Apps, Store Apps – alles deploybar

5) PDQ Deploy

PDQ Deploy (von PDQ.com) ist ein populäres Tool im Windows-Mittelstand. Die Stärke: Einfachheit und vorgefertigte Pakete. PDQ hat über 250 Standard-Programme im „Package Library" – Adobe Reader, 7-Zip, Notepad++, Chrome, Firefox, etc. Mit einem Klick auf alle Rechner deployen.

Funktionsweise:

• PDQ Deploy installiert sich auf Admin-PC oder Server
• Liest Active Directory aus – kennt alle Computer im Netzwerk
• Admin wählt Software aus der Library oder eigene Pakete
• Zielcomputer werden gewählt (Einzel, Gruppe, AD-OU)
• Deploy startet – PDQ kontaktiert die Computer per SMB+RPC und führt Installation aus
• Realtime-Status in der Konsole

Vorteile: einfacher als WSUS/SCCM/Intune, schnelle Ergebnisse (man sieht sofort was passiert), Package Library spart viel Arbeit. Nachteile: nur Windows, nur on-prem (im LAN), kommerziell.

Oft kombiniert mit PDQ Inventory – das tracked welche Software auf welchem Rechner installiert ist. Zusammen ein starkes Duo für mittlere IT-Abteilungen.

6) Group Policy: der Klassiker

Eine ältere, aber immer noch genutzte Variante: Group Policy (Gruppenrichtlinien, GPO). Teil von Active Directory. Software kann über GPO ausgerollt werden:

GPO ist heute weniger im Einsatz für Software-Verteilung – meist nur noch für Konfiguration. Software kommt über WSUS, Intune oder PDQ. Aber als FISI musst du GPO trotzdem kennen, es ist in vielen klassischen Unternehmen noch im Einsatz.

7) Silent Installation per Skript

Eine weitere Option: PowerShell-Skripte die zentral ausgeführt werden. Über PowerShell kannst du auch ohne spezielles Tool Software ausrollen:

Dieses Skript läuft AD-Computer der OU „Marketing" durch und installiert das MSI auf jedem. Schnell und billig – aber kein Reporting, kein Retry bei Fehler, keine GUI für Nicht-Admins. Für ad-hoc-Aktionen okay, für regelmäßige Verteilung lieber WSUS/Intune/PDQ.

8) Detection Rules – „ist schon installiert?"

Ein wichtiges Konzept aller Tools: Detection Rules. Bevor eine Software ausgerollt wird, prüft das Tool: ist sie schon installiert? Wenn ja: nichts tun. Das ist die Idempotenz aus K55 L7 Ansible übersetzt auf Windows.

Typische Detection-Methoden:

• File existence: Datei C:\Program Files\MyApp\app.exe muss existieren
• File version: Datei vorhanden UND Version >= X
• Registry value: bestimmter Registry-Wert vorhanden
• MSI product code: GUID des Pakets in der Installierte-Programme-Liste
• Custom script: PowerShell-Skript prüft per beliebiger Logik

Intune und PDQ haben das eingebaut. Bei eigenen Skripten muss man's selbst programmieren. Ohne Detection würde bei jedem Sync-Lauf neu installiert – unnötiger Traffic, Server-Last, User-Störung.

9) Best Practices für Windows-Verteilung

Aus der Praxis – was du beachten solltest:

• Test-Gruppe: nie direkt auf 1000 Geräte deployen. Erst auf 10 Test-PCs, dann breit ausrollen.
• Wartungsfenster: kritische Updates nachts oder am Wochenende
• Silent Installation: nutzen wenn möglich – User nicht stören
• Reboot-Steuerung: /norestart Parameter, dann kontrolliert neustarten
• Reporting prüfen: nach Deploy schauen wie viele erfolgreich, wie viele failed
• Fallback-Plan: was wenn 30% der Installationen scheitern? Rollback-Skript bereit?
• Inventory: regelmäßig Bestandsaufnahme aller Geräte und Software
• Patch-Management-Zyklus: feste Termine, z.B. zweiter Dienstag im Monat (Patch Tuesday)
• Compliance-Reports: für Audits dokumentieren wer was hat
• License Management: nicht mehr Lizenzen verteilen als gekauft – sonst Audit-Problem

10) Welches Tool wann?

Konkrete Empfehlungen aus der Praxis:

11) Trends: Wohin geht die Reise?

Die Software-Verteilung im Windows-Umfeld ändert sich gerade stark. Wichtige Trends:

• Cloud-First: Intune verdrängt WSUS und SCCM zunehmend
• Modern Management: MDM-Protokolle statt Group Policy für viele Aufgaben
• Autopilot: neue Windows-PCs aus dem Karton, einschalten, in Cloud-Domain joinen – fertig konfiguriert
• Winget: Microsofts Paketmanager als CLI (ähnlich apt/dnf), erlaubt skript-basierte Installation
• Container-Apps (MSIX): isolierte Apps, sauberer Deinstall
• Self-Service: User installiert selbst aus dem Company Portal, ohne IT zu fragen

Wer heute in eine FISI-Stelle einsteigt, sollte sich besonders mit Intune und Autopilot beschäftigen – das ist die Zukunft.

Zusammenfassung

Software-Verteilung unter Windows umfasst Massen-Installation, Updates, Inventarisierung. WSUS = klassischer Microsoft-Server für Windows-Updates, kostenlos, on-prem, Admin entscheidet was approved wird. Intune = Cloud-basiert, modern, multi-platform (Win/iOS/Android/macOS), lizenzpflichtig, verdrängt WSUS/SCCM. PDQ Deploy = einfaches Drittanbieter-Tool mit Package Library, beliebt im Mittelstand. Group Policy = klassisch via AD, nur MSI, heute weniger für Software. PowerShell-Skripte für ad-hoc-Aktionen. Detection Rules verhindern doppelte Installation (Idempotenz). Best Practices: Test-Gruppe vor breitem Rollout, Wartungsfenster, Reporting prüfen, License Management. Trends: Cloud-First mit Intune, Autopilot für Zero-Touch-Setup, Winget als moderner CLI-Paketmanager.