Windows 10 Updates verhindern

[RealUnreal 11]

Hallo zusammen,

 

Ich habe ein virtuelles Windows 10 mit einer bestimmten Anwendung, die keine Updates mag.

Ich möchte Windows Updates auf der Maschine dauerhaft verhindern.

Ich habe per Fritzbox das Internet  auf der Maschine blockiert, was die letzten Jahre auch einwandfrei geklappt hat.

 

Jetzt hat sich Windows anscheinend über andere PCs im Netzwerk oder über einen Server (?) Updates gezogen und installiert obwohl die Internetverbindung blockiert ist.

Mit dem erwartbaren Ergebnis, dass die Anwendung zerschossen ist.

 

Wie kann ich das dauerhaft verhindern?

Bitte keine Sicherheitsdiskussionen :) Auf der Maschine läuft nur eine Anwendung die ich brauche und die läuft auch nur intern.

 

Vorab danke und viele Grüße

Unreal

 

 

[teletubbieland 170]

Moin.

Hast Du es schon mal über die lokale Grupenrichtlinie versucht?

[NorbertFe 2.061]

Wie wärs mit dem Deaktivieren des entsprechend benannten Services? ;)

[RealUnreal 11]

vor einer Stunde schrieb teletubbieland:

Moin.

Hast Du es schon mal über die lokale Grupenrichtlinie versucht?

 

vor einer Stunde schrieb NorbertFe:

Wie wärs mit dem Deaktivieren des entsprechend benannten Services? ;)

 

Ja, genau das war auch meine Idee. Per lokaler GPO den Dienst "Automatisches Updates" deaktivieren.

Ich wollte mich nur mal vergewissern ob Windows dann trotzdem noch was neues einfällt wie man das umgeht ;)

[Sunny61 807]

Du kannst auch einen unbekannten WSUS eintragen, dann funktioniert es auch nicht mehr. Und zu dem Holen von Updates von anderen Clients, das kann man auch in den Optionen von Updates einstellen, dass der Rechner das nicht macht.

[NilsK 2.957]

Moin,

 

vor 1 Stunde schrieb RealUnreal:

ob Windows dann trotzdem noch was neues einfällt wie man das umgeht ;)

*lol* ... wobei das leider nicht abwegig ist. Windows ist in manchen Fällen erfinderisch, wenn es im Code nur genügend Rückfallmechanismen gibt.*

 

Bekannt sind in diesem Fall keine solchen Dinge, aber in deiner Situation wäre es vermutlich schlau, alle Sperren einzubauen, derer du habhaft wirst. Drei sind dir hier ja genannt worden.

 

Gruß, Nils

* ein Netzwerkspezialist erzählte mal glaubhaft, dass irgendeine Windows-Version mal versucht hat, verschobene Dateien im Netzwerk wiederzufinden und dazu dann irgendwann auch die DNS-Namensauflösung beauftragt hat, die dann z.B. nach "budget.xls" bei den Rootservern fragte.

[Weingeist 159]

Am 19.1.2023 um 13:40 schrieb NorbertFe:

Wie wärs mit dem Deaktivieren des entsprechend benannten Services? ;)

Das hilft heute nicht mehr zuverlässig. ;)  Dieser Umstand kostete in einer meiner Umgebungen schon ein paar flotte tausender. Du musst auch die dazugehörigen Überprüfungsaufgaben/Services deaktivieren sonst ist der ganz schnell wieder aktiv wens den Kontrollmechanismen grad in den Kram passt. Meist stört aber weniger das Update selbst, sondern der Installationszeitpunkt.

 

 

Ansonsten: Mich würde interessieren welches Sicherheitsupdate (Jahr/Monat) bei welcher Windows 10 Version Ärger macht und welche Software die Updates nicht mag. Oft hiflt es LTSC/IoT zu verwenden. Da wird bei den Updates eigentlich ziemlich stark darauf geachtet, das die API's, Module, Syntax etc. identisch bleiben. Sprich läufts da einmal drauf, ist die Chance sehr gross, dass es auch mit Updates weiterläuft.

[Nobbyaushb 1.475]

Solche Systeme hätten bei mir gar keinen Internet-Zugang…

[RealUnreal 11]

vor 7 Stunden schrieb Weingeist:

 

Ansonsten: Mich würde interessieren welches Sicherheitsupdate (Jahr/Monat) bei welcher Windows 10 Version Ärger macht und welche Software die Updates nicht mag. 

 

Eine ältere Version von einem Scan Server, NSI Autostore, bzw. Nuance Autostore.

U.a. läuft da ein SQL Server und die Updates verändern da etwas, was zum Ausfall führt.

Da auf den "Server" niemand zugreift und er nur zum internen Verarbeiten von PDFs verwendet wird, ist das verhindern von Updates für mich ok.

[Sunny61 807]

vor 3 Stunden schrieb RealUnreal:

Da auf den "Server" niemand zugreift und er nur zum internen Verarbeiten von PDFs verwendet wird, ist das verhindern von Updates für mich ok.

Selbst das ist kein Grund Updates zu verhindern. Wenn das System PDFs verarbeitet, die bereits so manipuliert sind, dass sie vorhandene Sicherheitslöcher ausnutzen, hast Du verloren.

 

Wenn eine Anwendung bzw. der Hersteller der Anwendung, sich weigert seiner Anwendung oder dem System, auf dem die Anwendung läuft, Updates zuguten kommen zu lassen, würde ich persönlich die Anwendung nicht kaufen. Wir fragen das mittlerweile ab und lassen uns das schriftlich geben, dass Windows Updates zugelassen sind auf den beteiligten Systemen und dass trotzdem Support gegeben wird. Und wenn er es schriftlich nicht untersagt, ist es erlaubt > sein Problem.

 

Mal ehrlich, wenn ein Hersteller einer Anwendung es untersagt oder nicht zulässt Windows Updates zu installieren, ist IMHO seine Anwendung mit heißer Nadel gestrickt und er will sich nicht drum kümmern müssen, wenn seine Anwendung nicht mehr funktioniert. Ich weiß, bei vorhandenen Anwendungen hat man keine Chance mehr, aber bei zukünftigen anschaffungen kann man das einfließen lassen. Just my 2 Cents. ;)

[NilsK 2.957]

Moin,

 

in dem Fall werden, wenn ich die Software richtig einschätze, die PDFs von dem fraglichen System erzeugt. Es gibt dann also keine manipulierten PDFs, die eingeschleust werden.

 

In solchen Fällen Inseln zu bauen, ist nicht unüblich. Dass es zu bevorzugen wäre, mit aktueller Software zu arbeiten, scheint mir der TO verstanden zu haben, genau deshalb hat er ja die Insel gebaut. Man lese im Thread nach - Internet hat das System nicht, deshalb wendet er sich ja an uns.

 

Welchen Grund es gibt, nicht auf eine aktuelle Fassung umzusteigen, ist uns nicht bekannt. Die Unterstellung, der Hersteller sei unwillig oder unfähig, scheint mir einer Überprüfung nicht standzuhalten, das ist ja schnell recherchiert.

 

Ist ja nun nicht das erste Mal, dass wir mit so einem Szenario zu tun haben.

 

Gruß, Nils

 

[zahni 554]

Wie war gleich nochmal die Option, die Updates untereinander im lokalen System verteilt?

Die findet man in den Einstellungen von Windows-Updates. 

PS: "Übermittlungsoptimierung"

[RealUnreal 11]

vor 38 Minuten schrieb NilsK:

Moin,

 

in dem Fall werden, wenn ich die Software richtig einschätze, die PDFs von dem fraglichen System erzeugt. Es gibt dann also keine manipulierten PDFs, die eingeschleust werden.

 

Genau so ist es!

 

vor 38 Minuten schrieb NilsK:

Welchen Grund es gibt, nicht auf eine aktuelle Fassung umzusteigen, ist uns nicht bekannt. Die Unterstellung, der Hersteller sei unwillig oder unfähig, scheint mir einer Überprüfung nicht standzuhalten, das ist ja schnell recherchiert.

 

Hat mehrere Gründe.

 

Probleme mit Updates gab es leider regelmäßig.

Irgendwann hat das dann genervt, weil dann jedesmal der Scanserver nicht mehr zu gebrauchen war. (Ist natürlich meistens während meines Urlaubs passiert...).

Ich musste dann die VM mit Veeam restoren, dann ist sie wieder brav gelaufen bis zum nächsten Update.

Der Scanserver existiert zusammen mit einem Multifunktionsdrucker (Und Scanner).

Der Workflow auf dem Scanserver ist sehr umfangreich, komplex und vor allem individualisiert.

 

Neuere Version des Scanserver nutzen (Ebenso wie ganz neue Modelle des Multifunktionsystems) eine andere Schnittstelle.

Der Workflow wäre also nicht mehr zu gebrauchen und müsste neu erstellt werden.

 

Außerdem gibt es die Software nur noch im Abo Modell, was aktuell nicht gewünscht ist.

Solange ich die Updates effektiv verhindern kann, läuft das System absolut problemlos.

 

Das sind im Prinzip die Hintergründe.

 

vor 26 Minuten schrieb zahni:

Wie war gleich nochmal die Option, die Updates untereinander im lokalen System verteilt?

Die findet man in den Einstellungen von Windows-Updates. 

PS: "Übermittlungsoptimierung"

 

Danke :)

 

[Sunny61 807]

vor 55 Minuten schrieb NilsK:

Welchen Grund es gibt, nicht auf eine aktuelle Fassung umzusteigen, ist uns nicht bekannt. Die Unterstellung, der Hersteller sei unwillig oder unfähig, scheint mir einer Überprüfung nicht standzuhalten, das ist ja schnell recherchiert.

Hast Du es recherchiert ob der Hersteller Updates zulässt oder nicht? Aber das spielt hier keine Rolle, ich hatte nur meine Meinung dazu geschrieben, was der TO macht muss er wissen.

Und sorry, aber wenn die Rede ist von Verarbeiten, ist das für mich nicht automatisch ein Erstellen von PDFs. ;) Man möge nachlesen im Thread was ich zitiert habe. ;)

 

@RealUnreal

Wenn Du anstatt der Übermittlungsoptimierung einen falschen WSUS konfigurierst, bist Du IMHO auf der sicheren Seite.

[NilsK 2.957]

Moin,

 

vor 1 Minute schrieb Sunny61:

Hast Du es recherchiert ob der Hersteller Updates zulässt oder nicht?

der TO hat selbst angegeben, dass es eine ältere Version der Software ist. Und bei deren Hersteller ist leicht zu erkennen, dass es aktuellere Versionen gibt. Die ganze Vermutung, der Hersteller lasse das nicht zu, er weigere sich und was da noch so alles stand, war also gegenstandslos.

 

Und nun dürfte zur Sache ja auch alles gesagt sein.

 

Gruß, Nils