Quick Tip: Windows 11 auf 24H2 fixieren mit Intune

Wenn neue Windows Geräte in Intune eingebunden werden, besonders frisch bereitgestellte oder neu installierte, gibt es ein kurzes Zeitfenster, bevor Windows Update for Business oder Autopatch vollständig übernehmen.

In dieser Zeit entscheidet Windows Update selbst, welches Funktionsupdate installiert wird. Das kann zu einem unerwünschten Upgrade auf Windows 11 25H2 führen, auch wenn Deine Feature Update Richtlinie Geräte eigentlich auf 24H2 halten soll.

Warum das passiert

Wenn ein Gerät erstmals registriert wird, muss es sich beim Windows Update for Business Cloud Dienst anmelden.
Dieser Vorgang dauert meist einige Stunden, in seltenen Fällen bis zu 24 Stunden. Es hängt davon ab, wie aktiv das Gerät ist und wie es mit Microsoft Update kommuniziert.

Solange diese Registrierung nicht abgeschlossen ist, gilt die Feature Update Richtlinie noch nicht.
Wenn Windows Update in dieser Zeit nach Updates sucht, kann es bereits mit dem Download von Windows 11 25H2 beginnen, bevor Windows Update for Business den Versions Lock durchsetzt.

So verhinderst Du das ungewollte Upgrade

Um ein zu frühes Upgrade zu vermeiden, erstelle eine Settings Catalog Policy in Intune.
Damit legst Du die Zielversion lokal fest, bevor Windows Update for Business aktiv wird.

Option 1: Intune Settings Catalog (empfohlen)

1. Öffne Intune > Geräte > Konfiguration > Richtlinie erstellen
2. Plattform: Windows 10 und höher
3. Profiltyp: Settings Catalog
4. Suche nach “Windows Update for Business” und konfiguriere:
   • Product Version: Windows 11
   • Target Release Version: 24H2

So bleibt jedes neu registrierte Gerät lokal auf Windows 11 24H2 fixiert und verhindert, dass 25H2 zu früh geladen wird.

Option 2: Registrierung (.REG Datei)

Speichere die folgende Datei als FeatureUpdate-TargetReleaseVersion-W11_24H2.reg und verteile sie mit Deiner bevorzugten Methode, zum Beispiel per Skript, Autopilot Task oder Intune Win32 App.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"ProductVersion"="Windows 11"
"TargetReleaseVersion"=dword:00000001
"TargetReleaseVersionInfo"="24H2"

Option 3: PowerShell

Führe das Skript lokal, während der Bereitstellung oder über Intune aus, zum Beispiel als Plattformskript oder Proactive Remediation.

$path = "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate"

# Ensure the key exists
if (-not (Test-Path $path)) {
    New-Item -Path $path -Force 
}

# Set values
New-ItemProperty -Path $path -Name "ProductVersion" -Value "Windows 11" -PropertyType String -Force
New-ItemProperty -Path $path -Name "TargetReleaseVersion" -Value 1 -PropertyType DWord -Force
New-ItemProperty -Path $path -Name "TargetReleaseVersionInfo" -Value "24H2" -PropertyType String -Force

• Verwende immer 64 Bit PowerShell, um Probleme mit der Registry zu vermeiden.

Wichtige Hinweise

Sobald Deine Feature Update Richtlinie von Windows Update for Business oder Autopatch aktiv ist, hat sie Vorrang vor der lokalen Einstellung.
Wenn beide konfiguriert sind, gewinnt immer die Cloudrichtlinie.

Betrachte diese Settings Catalog Policy als temporäre Schutzschicht.
Sie sichert Geräte während des Onboardings ab, bis Windows Update for Business vollständig übernommen hat.
Wenn Du eine feinere Steuerung brauchst, kannst Du mit Filtern und/oder Gruppen in Deinen Feature Update Richtlinien gezielt Rollout Wellen für bestimmte Gerätegruppen planen.