Diskussionsthread: Upgrade von Windows 10 Versionen im Unternehmensumfeld

[silenthill]

Hallo liebes Forum,

ich würde hier gerne eine kleine Diskussionsrunde starten.
Ich bin verantwortlicher IT-Leiter in einem großen, mittelständischen Unternehmen.
Aufgrund diverser Kontroversen bezüglich Kosten stellen wir noch bis mindestens 2022 von Windows 7 auf Windows 10 um.

Nun ist es so, dass ich seit 2016 bereits voll auf Windows 10 setze - alle seit Mitte 2016 ausgelieferten Endgeräte wurden mit Windows 10 installiert.
Da ich zu dem Zeitpunkt keine Anwendungen mehr hatte, die nicht kompatibel waren, gab es wenig Probleme.

Seit einigen Monaten läuft nun der Rollout von Anniversary Updates. Bis vor kurzem "alles" auf 1903, danach - Stand jetzt - auf 2004.
Ich kämpfe massiv mit Beschwerden der Nutzer, die gerade im CAD Umfeld massive Probleme feststellen. Programme starten nicht mehr, völlig diffuse Fehlermeldungen ...
Selbst mein AV Tool, Sophos Central Antivirus, macht massiv Probleme bei Inplace Upgrades.

Vielleicht sind ja hier einige in ähnlichen Sphären unterwegs - wie erledigt ihr denn diese Upgrades von Windows 10?
Nutzt vielleicht jemand WoL und macht die Upgrades in der Nacht, wenn niemand am Rechner arbeitet?
Nutzt ihr ein System zur Softwareverteilung oder erfolgt das Upgrade via WSUS?

Würde mich über eine kleine Diskussionsrunde freuen!

LG,
silenthill

 

[Mornsgrans]

CAD-Programme, Step7 und andere Programme von Siemens sind nur einige Programme, bei denen Hersteller bislang keine Freigaben und Anpassungen für Windows 10 2004/2010 erteilt haben.

Solche Softwarehersteller überspringen allenfalls ein bis zwei Jahre. Sophos dürfte wie z.B. Kaspersky schneller reagieren, nur muss man beim Upgrade darauf achten, dass die Antivirenhersteller manchmal erst ein paar Wochen nach dem Release der neuesten Windows Version ihren Programmcode angepasst haben und ausrollen können (Kaspersky Business brauchte ca. drei Wochen nach Release des April Upgrades, was offenbar den Ausroll-Unterbrechungen und Nachbesserungen durch MS geschuldet war, um die Version für Windows 2004 auszurollen).

Eine Beobachtung, die ich machen musste, war, dass in Einzelfällen Programme nur noch mit "Als Administrator ausführen" startbar sind, wenn sie auf einem Rechner "Für alle Benutzer" installiert wurden. Danach passen die Berechtigungen der Programmteile/Einstellungen in C:\ProgrammData nicht mehr. - Bei Installation "Nur für mich" liegen diese Daten in C:\Users\<username>\AppData

 

[mcb]

Wiso den nicht von 1903 auf 1909 ?!? Ernstgemeinte Frage.

 

[Mornsgrans]

Die Frühjahrs-Upgrades machen intern die größeren Sprünge, als die Herbst-Upgrades. Darun unterstützen die Softwarehersteller auch nur die Frühjahrs-Upgrades offiziell, WENN sie das Upgrade mitmachen. - i.d.R. unterstützen diese Softwarehäuser nur die "LTS"-Versionen von Windows 10.

 

[blafoo]

Mit Sophos hab ich das aktuell gleiche Problem .. bei einigen Kunden gibts nen schicken Bluescreen bei jedem 2ten Starten ... mal schauen wann Sophos da nachbessert

Aber tatsächlich habe ich auch von allen Clients im Regelfall Veeam backups, wenn sie per WSUS geupdatet werden, und es schief läuft, wird das Veeam-Backup eingespielt. Systeme die von vornerein kritisch betrachtet werden (Siemens Step7 Umgebung, PTC Creo etc pp) kriegen tatsächlich keine Upgrades .. bis die Versionen freigegeben sind.

Ich bin zusätzlich im Leitstellen-Umfeld unterwegs .. gerade in Feuerwehren wird da noch auf ein altes 1607 LTSC oder 1703 LTSC gesetzt und per WSUS penibel die Updates getaktet und eingeplant .. wobei man da fairerweise sagen muss, die PCs sind nicht online und haben nur diese eine Software an Board. Aber auch da geht nicht alles gut .. vorgestern 2 Leitstellen im Süddeutschen Raum gehabt, wo VMware Horizen zu ganz fürchterlich fiesen Macken in Verbinden mit den letzten beiden 1607 Updates gesorgt hat ...

Grüße

 

[der_ingo]

Selbst mein AV Tool, Sophos Central Antivirus, macht massiv Probleme bei Inplace Upgrades.

Wieso "selbst"? Das sind doch genau die Problembären, die immer am meisten Probleme verursachen.

Man muss halt abwarten, bis die Hersteller die neuen Windows-Versionen freigeben und dann hoffen. Und ansonsten sich von der entsprechenden Lösung verabschieden. Ich hoffe, dass ich hier nächstes Jahr das Thema beenden kann und dann mit den Bordmitteln eine Sorge weniger habe.
Wenn ich überlege, wie viele Support-Tickets ich alleine wegen unserer aktuellen "Sicherheitssoftware" in den letzten Jahren so hatte, kann es nur besser werden.

Vielleicht sind ja hier einige in ähnlichen Sphären unterwegs - wie erledigt ihr denn diese Upgrades von Windows 10?

Alles über WSUS. Neu installierte Systeme bekommen relativ schnell die jeweils aktuelle Windows 10 Version, bisher also 2004. Dann gibts eine Testgruppe, die Teile der IT und einige Key-User beinhaltet. Die bekommen Upgrades recht früh, da ist hier schon 20H2 in der Verteilung.
Da die Herbst-Updates ja längeren Support bekommen und weniger Feature-Änderungen haben, werden an die große Masse der Systeme hier dann nur diese verteilt. 2004 wurde also nie an alle verteilt, sondern ich warte, bis 20H2 sich in der Testgruppe bewährt hat und das geht dann an alle. Diejenigen, die aktuell 2004 durch Neuinstallation haben, bekommen ja nur das Aktivierungspaket. Wer noch auf 1909 ist, bekommt stattdessen das große Paket.

Also:
- Testgruppe immer aktuelle Builds
- Neuinstallationen immer aktuelle Builds
- alle User ausschließlich Herbst-Builds

Momentan läuft das insgesamt gut, aber natürlich gibt's irgendwo immer mal kleine Probleme. Lässt sich ab einer gewissen Anzahl von Systemen kaum vermeiden.
Bei manchen Dingen wird per Systemstartscript nachgearbeitet, teilweise muss man halt mal User dazu anhalten, nicht C: so voll zu müllen, dass nicht einmal mehr ein Upgrade klappt.

Aktuell hab ich ab und zu mal Probleme, dass Windows das Benutzerprofil nicht laden kann. Aus dem Bauch raus würde ich da unsere "Sicherheitssoftware" für verantwortlich machen. Die ist auf jeden Fall nachweislich verantwortlich für sporadische Bluescreens auf einigen Systemen, aber da spielen grad der Hersteller und Microsoft noch "Ping-Pong", wessen Problem es denn nun sei.

Da die Updates an sich mittlerweile viel mehr vorbereiten und weniger lange offline sind, geht der eigentliche Upgrade-Prozess an sich. Aber natürlich gibts User, für die das dann zur falschen Zeit kommt. Ein paar Meldungen kommen da immer mal beim Support an. Nächtlich Systeme aufzuwecken ist bisher nicht wirklich angedacht gewesen. An sich bekommen die User halt irgendwann die Meldung und starten dann den Rechner z.B. zum Feierabend oder in der Mittagspause neu.

 

[Mornsgrans]

Wieso "selbst"? Das sind doch genau die Problembären, die immer am meisten Probleme verursachen.

+1 :thumbup:

muss man beim Upgrade darauf achten, dass die Antivirenhersteller manchmal erst ein paar Wochen nach dem Release der neuesten Windows Version ihren Programmcode angepasst haben und ausrollen können

Erst Antivirensoftware auf die mit der neuen Windows-Version funktionierenden bringen (1-2 Wochen abwarten, ob es in den entsprechenden Foren Bug-Meldungen gibt) und anschließend das Windows Upgrade ausrollen. - Umgekehrt gibt es IMMER Probleme!

Es schadet übrigens nicht, die Antivirensoftware vor dem Upgrade zu deinstallieren und nach dem Upgrade neu zu installieren. Einstellungen lassen sich i.d.R. bei der Deinstallation sichern bzw. erhalten lassen oder man verteilt sie per Admin-Konsole.

 

[der_ingo]

Es schadet übrigens nicht, die Antivirensoftware vor dem Upgrade zu deinstallieren und nach dem Upgrade neu zu installieren.

Klingt nach etwas, was vielleicht Homeuser tun, die sich trotz diverser Probleme einfach nicht vom Glauben an ihre geliebte "Sicherheitssoftware" lösen können und sie deswegen immer stur wieder installieren.

Im Firmenumfeld sehe ich das als völlig sinnfrei an. Entweder kommt die Software mit entsprechenden OS-Upgrades klar, oder sie ist halt untauglich und muss halt verschwinden. Als Admin hat man doch keine Zeit und Lust, Upgrades so einzutakten, dass man vorher und hinterher noch manuelle Nacharbeiten leisten kann.

 

[Mornsgrans]

Kommt auf die Umgebung an.

 

[mectst]

Zumindest die Funktionsupdates fallen ja nicht urplötzlich vom Himmel. Da würde ich von einem kommerziellen Anbieter von Sicherheitssoftware schon erwarten, dass er die Dev-Channels entsprechend nutzt, um sein Produkt fit fürs große Update zu machen.

Grüße Thomas

 

[Mornsgrans]

Eben nicht!
Wenn MS sein Upgrade wie so oft in den letzten Jahren zurückzieht, da es zu viele Probleme verursacht, geraten die anderen Softwarehäuser ins Hintertreffen, wodurch sie nicht zum Release der gefixten Upgrades zeitgleich mit angepasster Software aufwarten können.

 

[der_ingo]

Kommt auf die Umgebung an.

Klar, wenn ich eine Unternehmensumgebung mit 10 PCs habe, mag das noch möglich sein. ;-)

Wenn MS sein Upgrade wie so oft in den letzten Jahren zurückzieht, da es zu viele Probleme verursacht, geraten die anderen Softwarehäuser ins Hintertreffen, wodurch sie nicht zum Release der gefixten Upgrades zeitgleich mit angepasster Software aufwarten können.

Ach Quark. Nur weil ein Update noch mal kurz verzögert wird, um ein Problem zu untersuchen, müssen nicht irgendwelche "Sicherheitssoftware-Produzenten" ihre kompletten Tests noch mal neu anfangen oder gar ihre Software umstricken. Welche relevanten Änderungen, die nachinstallierte "Sicherheitssoftware" betreffen können, in einer neuen Windows-Version stecken, ist lange vor dem Release klar. Und das ändert sich auch nicht, wenn es beim Release eine kurze Verzögerung gibt.

Dass tatsächlich ein Funktionsupdate zurückgezogen wurde, d.h. später in einer neuen Version neu veröffentlicht wurde, ist, wenn ich mich recht entsinne, in den letzten Jahren genau ein einziges Mal vorgekommen. Und das war bei 1809, wo bei der Bereinigung nach dem Update bei irgendeiner Zahl von Leuten im Promillebereich mit einer sehr krummen Ordner-Konfiguration Daten gelöscht wurden.
Alles sonst waren immer nur dokumentierte Probleme, bei der bestimmte Systeme bzw. Komponenten halt entsprechend zeitweise fürs Update blockiert wurden. Jede einzelne Blockade wegen irgendeines nicht funktionierenden Treibers wurde natürlich groß durch die Medien getragen und oft genug wurde da unsinnigerweise geschrieben, das Update wäre zurückgezogen worden.

Und die kleinen Aktivierungspakete für 20H2 und 1909 sind eh harmlos, da eben die Codebasis ja gar nicht verändert wurde. Was bei 1903 lief, muss auch bei 1909 laufen - es ist ja schlicht das gleiche System. Da kann man wohl erwarten, dass da entsprechende Freigaben rechtzeitig kommen.

 

[silenthill]

Liebes Forum,
herzlichen Dank für den Input!

Ich habe gerade in Sachen LTS einiges aufgefasst was ich bei uns mitnehmen werde.
Es sind genau die Eckpunkte wo bei uns Dinge quer laufen.

In meinen Augen sind AV Programme mehr Nutzen als Blockade:
Ist nix da und es passiert was - auf welchem Weg auch immer - ist das Geschrei groß.

 

[der_ingo]

Ich habe gerade in Sachen LTS einiges aufgefasst was ich bei uns mitnehmen werde.

Wobei man da aber auch einschränkend dran denken sollte, dass LTSC Versionen ausdrücklich für Systeme gedacht sind wie z.B. Maschinensteuerungen, bei denen es über Jahre möglichst keine Veränderungen geben darf.
Als Office-Workstation ist eine LTSC an sich nicht gedacht, offiziell wird zumindest MS Office darauf auch gar nicht unterstützt. Insbesondere läuft man da auch wieder in das Problem, dass man diverse verschiedene Versionen ansammelt, die alle gepatcht werden wollen. Da verliert man eher.

In meinen Augen sind AV Programme mehr Nutzen als Blockade:Ist nix da und es passiert was - auf welchem Weg auch immer - ist das Geschrei groß.

Es ist nie "nichts" da, da Windows ja von Haus aus schon entsprechende Lösungen mitbringt. Die muss man entsprechend verwalten und ggfs. mit der entsprechenden Intelligenz im Hintergrund (also bspw. ATP) anreichern.
Wichtiger als alle Antivirenlösungen ist zuerst mal eine sichere Grundkonfiguration, keine Adminrechte für User, Aktivierung und Nutzung von Applocker und halt regelmäßiges und zügiges Installieren von Updates. Wenn die User gar keine Chance haben, irgendeine Schadsoftware auszuführen, weil sie schlicht nicht die Möglichkeit zu haben, schläft man als Admin schon besser.