RMMZit

Kostenloses Windows-Patch-Management mit einem selbst gehosteten RMM

So halten Sie Windows-Computer und ihre Programme mit RMMZit aktuell: sehen, was fehlt, Updates von Hand oder nach Zeitplan installieren, Neustarts und Wartungsfenster steuern und Software anderer Hersteller mit winget aktualisieren — alles aus einer Konsole auf Ihrem eigenen Server.

Veröffentlicht am 2. November 2026 · gilt für RMMZit 0.13

Worum es geht

RMMZit ist ein kostenloses Open-Source-Werkzeug (AGPLv3) zur Fernüberwachung und -verwaltung (RMM). Seine Agenten melden, welche Windows-Updates auf jedem Computer fehlen, und die Konsole installiert sie — von Hand, für ein Gerät oder viele, oder selbstständig nach dem Zeitplan einer Richtlinie. Dieselbe Konsole aktualisiert die installierten Programme über winget und auf Wunsch Chocolatey. Es gibt keinen Preis pro Gerät und keine Cloud eines Anbieters: Der Server steht in Ihrem Netzwerk.

Was Sie brauchen

  • Einen laufenden RMMZit-Server mit Agenten auf Ihren Computern. Falls Sie noch keinen haben, folgen Sie zuerst der Anleitung Selbst gehostetes RMM installieren und die ersten Computer anbinden.
  • Windows-Computer: Windows 10 / 11 oder Windows Server 2016 und neuer, 64 Bit. Für Programme anderer Hersteller winget (App Installer), das bei aktuellen Windows 10 und 11 dabei ist.
  • Linux-Computer (optional): Debian und Ubuntu mit apt oder die RHEL-Familie mit dnf.
  • Ein Konto als Techniker oder Administrator in der Konsole; den E-Mail-Server unter Einstellungen → Überwachung und Alarme, wenn Sie Alarme und Berichte per E-Mail möchten.

Die Update-Übersicht

Die Seite Updates zeigt die Geräte mit fehlenden Updates (Sicherheitsupdates getrennt gezählt), die Geräte, die auf einen Neustart warten, sowie die letzte Installation und die letzte Suche jedes Geräts. Filter zeigen zum Beispiel nur die Geräte mit Fehlende Sicherheitsupdates. Jetzt suchen startet sofort eine Suche, statt auf die nächste regelmäßige zu warten.

Updates von Hand installieren

  1. Öffnen Sie ein Gerät und seinen Reiter Updates. Er zeigt die fehlenden Updates mit Kategorie und Schweregrad sowie die zuletzt installierten. Sicherheitsupdates sind schon ausgewählt, Funktionsupdates nie.
  2. Wählen Sie die Updates aus und klicken Sie auf Auswahl installieren. Wenn Sie Bei Bedarf automatisch neu starten (in 5 Minuten, mit Hinweis) ankreuzen, startet der Computer nach der Installation neu, falls ein Update das braucht.
  3. Die Installation läuft als Aufgabe unter Aktivität, wo das Ergebnis erscheint, sobald sie fertig ist. Ist danach noch ein Neustart nötig, zeigt das Gerät das an, und Sie können es von seiner Seite aus neu starten.

Für viele Computer auf einmal öffnen Sie Geräte, filtern die Liste, wählen die Geräte mit den Kästchen davor und wählen unter Mit den gewählten Geräten die Aktion Nach Updates suchen oder Sicherheitsupdates installieren. Geräte, die offline sind, erhalten die Aktion, sobald sie sich verbinden.

Defender-Definitionen (Security Intelligence Update) erscheinen mehrmals täglich, jede mit einer neuen Update-ID. Wenn Sie eine installieren, sucht der Agent zuerst erneut und installiert die Definitionsversion, die Windows Update in diesem Moment anbietet.

Automatische Installation per Richtlinie

Die automatische Installation ist Teil einer Richtlinie. Jeder Kunde hat seine eigene Richtlinie Default; unter Richtlinien ändern Sie sie oder legen weitere an und geben sie mit Zuweisen an einem Kunden, einem Standort oder einem einzelnen Gerät. Für jeden Teil gilt die spezifischste Zuweisung: die Richtlinie des Geräts, dann die des Standorts, dann die des Kunden.

Der Teil Windows Update einer Richtlinie legt fest, was der Server selbst installiert:

  • Aus: Updates werden nur über die Konsole installiert — die eingebaute Voreinstellung.
  • Sicherheits- und kritische Updates, Defender-Definitionen.
  • Alle Updates außer Funktionsupdates — neue Windows-Versionen werden nie automatisch installiert.

Dann wählen Sie den Zeitpunkt: An diesen Tagen, zu dieser Stunde (Serverzeit) oder Im Wartungsfenster. Geräte, die dann online sind, installieren einmal an diesem Tag; Geräte, die offline sind, warten auf den nächsten geplanten Tag. Der Reiter Richtlinie eines Geräts zeigt, welche Richtlinie seinen Windows-Update-Teil festlegt und welche Einstellungen gelten.

Update-Ringe: Testgeräte zuerst

Das Feld Update-Ring: nach einem neuen Update warten (Tage) verzögert die automatische Installation (0–60 Tage). Mit 7 Tagen installiert ein Gerät ein Update erst 7 Tage, nachdem der Server es zum ersten Mal gesehen hat. Geben Sie einigen Testcomputern eine Richtlinie mit 0 Tagen und den übrigen eine mit 7 Tagen — dann zeigen sich Probleme zuerst auf den Testcomputern. Defender-Definitionen warten nie.

Neustarts

Neustart, wenn ein Update ihn braucht hat drei Möglichkeiten:

  • Nie automatisch — Sie starten den Computer selbst neu.
  • Automatisch 5 Minuten nach der Installation, mit Hinweis an den angemeldeten Benutzer.
  • Benutzer fragen; nach der Frist automatisch neu starten — das RMMZit-Symbol neben der Uhr bittet den angemeldeten Benutzer um einen Neustart, erneut alle 4 Stunden. Frist (Tage, die der Benutzer verschieben darf) legt fest, wie lange (0–30 Tage); danach startet der Server den Computer mit 10 Minuten Vorwarnung neu, im Wartungsfenster, falls das Gerät eines hat.

Der Reiter Richtlinie des Geräts zeigt einen ausstehenden Neustart und seine Frist. Die Neustart-Frage erscheint in der Anzeigesprache des Windows des Benutzers.

Wartungsfenster

Der Teil Wartungsfenster einer Richtlinie legt fest, wann die Geräte beschäftigt sein dürfen — eine wöchentliche Zeitspanne, etwa samstags ab 22:00 für 4 Stunden (Serverzeit); Fenster hinzufügen fügt weitere hinzu. Windows-Updates und Programm-Updates, die auf Im Wartungsfenster stehen, laufen dann, und ein Neustart nach Ablauf seiner Frist wartet auf das nächste Fenster. Mit Keine neuen Alarme während eines Wartungsfensters öffnen die Geräte keine neuen Alarme, solange ein Fenster offen ist; bereits offene Alarme bleiben, wie sie sind.

Software anderer Hersteller mit winget

Windows-Updates decken weder Browser noch PDF-Reader oder Packprogramme ab. Der Reiter Programme eines Windows-Geräts schon: Updates verfügbar zeigt die Programme, die winget aktualisieren kann, und Alle aktualisieren aktualisiert sie — oder Sie aktualisieren einzelne Programme. Programm installieren durchsucht das Community-Repository von winget (zum Beispiel nach 7-Zip oder Chrome) und installiert ein Programm still für alle Benutzer. In der Geräteliste macht Programme aktualisieren (winget) dasselbe für viele Geräte.

Damit Programme automatisch aktuell bleiben, schalten Sie den Teil Programm-Updates einer Richtlinie ein. Er aktualisiert die installierten Programme, für die es eine neuere Version gibt, einmal an jedem gewählten Tag zur gewählten Stunde oder im Wartungsfenster. Programme auf der Liste Nicht aktualisieren (Paket-IDs oder Teile von Namen, eins pro Zeile) bleiben unberührt, und auch hier gibt es den Update-Ring: Update-Ring: nach einer neuen Version warten (Tage). Jeder Lauf erscheint unter Aktivität des Geräts.

Chocolatey lässt sich unter Software → Öffentliche Quellen als zweite öffentliche Quelle hinzufügen; der Teil Programm-Updates kann dann auch die darüber installierten Programme aktualisieren. Mit Erforderliche Software in einer Richtlinie installiert der Server Programme, die jedes Windows-Gerät der Richtlinie haben muss.

Alarme, Berichte und Schwachstellen

  • Ausstehende Neustarts: Die Alarmregel Neustart ausstehend und Laufzeit länger als (Tage) in einer Richtlinie öffnet einen Alarm für Computer, die zu lange auf einen Neustart warten. Alarme gehen per E-Mail, an Slack oder Microsoft Teams oder an einen Webhook.
  • Berichte: Unter Berichte wählen Sie einen Kunden und einen Zeitraum und klicken auf Bericht anzeigen. Der Abschnitt zu Updates zeigt fehlende Updates und fehlende Sicherheitsupdates pro Gerät, Geräte, die auf einen Neustart warten, und die Update-Installationen im Zeitraum. Einstellungen → Berichte schickt ihn dem Kunden jede Woche oder jeden Monat.
  • Schwachstellen: Wenn ein Administrator die Prüfung unter Schwachstellen einschaltet, vergleicht der Server die installierten Programme alle 6 Stunden mit öffentlichen Schwachstellen-Datenbanken; gesendet werden nur Programmnamen und Versionen. Die Alarmregeln einer Richtlinie können für kritische (CVSS 9 oder mehr) einen Alarm öffnen. Ein Update des Programms behebt sie.

Grenzen

  • Funktionsupdates (neue Windows-Versionen) werden nie automatisch installiert.
  • Zeitpläne verwenden die Serverzeit. Ein Gerät muss zur geplanten Stunde online sein, sonst wartet es auf den nächsten geplanten Tag.
  • Programm-Updates umfassen die Programme, die winget kennt (und Chocolatey, falls hinzugefügt); Programme, die winget nicht aktualisieren kann, werden übersprungen und als solche gemeldet.
  • Die Schwachstellenprüfung umfasst installierte Programme; Windows selbst wird durch die Windows-Updates abgedeckt.
  • Das Stoppen einer laufenden Installation beendet die Aufgabe des Agenten, Windows kann das Update, das es gerade installiert, aber trotzdem fertigstellen.
  • Unterstützt werden Windows und Linux; einen macOS-Agenten gibt es noch nicht.

Wie es weitergeht

Beginnen Sie mit der Richtlinie Default des Kunden: Wählen Sie Sicherheits- und kritische Updates, Defender-Definitionen, ein Wartungsfenster und eine Neustart-Frist, und geben Sie einigen Testcomputern eine eigene Richtlinie mit kürzerem Update-Ring. Falls Sie noch keinen Server haben, dauert die Anleitung Selbst gehostetes RMM installieren und die ersten Computer anbinden etwa eine halbe Stunde, und die Download-Seite zeigt jeden Installationsweg.

Alles, was RMMZit kann, steht auf der Funktionsseite; die vollständige Referenz ist die Dokumentation. Fragen sind in den GitHub Discussions willkommen. Unternehmen erhalten kommerziellen Support von MaxZit (nur auf Englisch).