Windows Update Cleanup Manager: Wenn WinSxS das C:-Laufwerk auffrisst

Zentral, remote und protokolliert: Wie Sie den Komponentenspeicher Ihrer Windows-Server dauerhaft unter Kontrolle bekommen – ohne Bastel-Skripte.

Jeder Administrator kennt den Anruf: Ein Server meldet, dass das Systemlaufwerk vollläuft. Man räumt Log-Dateien weg, leert den Papierkorb, verschiebt Auslagerungsdateien – und ein paar Wochen später ist der Platz wieder weg. Der wahre Verursacher sitzt meist tiefer im System: der WinSxS-Ordner unter C:\Windows\WinSxS, der Komponentenspeicher von Windows. Er wächst mit jedem installierten Update, weil Windows aus Sicherheits- und Rollback-Gründen alte Komponentenversionen aufbewahrt. Auf Servern, die seit Jahren laufen und brav gepatcht werden, sammeln sich so schnell mehrere Gigabyte an Ballast an, den niemand mehr braucht.

Genau hier setzt der ISW Windows Update Cleanup Manager an: ein Werkzeug, das die Windows-Komponentenbereinigung nicht nur auf einem einzelnen Rechner, sondern zentral über Ihren gesamten Serverpark ausführt – zuverlässig, nachvollziehbar und ohne die typischen Stolpersteine, an denen selbstgebaute Lösungen scheitern.

Das Problem: aufräumen klingt einfach – ist es aber nicht

Windows bringt mit DISM /Online /Cleanup-Image /StartComponentCleanup ein Bordmittel zur Bereinigung mit. Auf einem einzelnen Server, an dem man lokal angemeldet ist, funktioniert das gut. Der Ärger beginnt, sobald man es skalieren und fernsteuern will:

DISM verweigert unter einer WinRM-Sitzung häufig den Dienst, weil es eine Netzwerk-Anmeldung (Network Logon) erkennt und aus Sicherheitsgründen blockiert. Wer die Bereinigung also einfach per Remote-PowerShell anstößt, läuft ins Leere. Dazu kommt: Ein solcher Lauf kann lange dauern, mehrere Server gleichzeitig wollen koordiniert werden, doppelte oder abgebrochene Läufe müssen verhindert werden, und am Ende möchte man nachweisen können, was auf welchem Server wann bereinigt wurde. Aus der vermeintlich simplen Aufgabe „einmal aufräumen“ wird schnell ein kleines Eigenentwicklungsprojekt – mit allem Wartungsaufwand, den das mit sich bringt.

Die Lösung: ein Tool statt vieler Skripte

Der ISW Windows Update Cleanup Manager kapselt genau diese Komplexität. Von einer zentralen Oberfläche aus bereinigen Sie beliebig viele Server über WinRM (HTTP oder HTTPS). Der entscheidende Kniff: Das Tool führt StartComponentCleanup auf dem Zielserver über einen lokal geplanten Task als SYSTEM aus. Damit umgeht es die WinRM-Network-Logon-Sperre von DISM – die Bereinigung läuft also zuverlässig aus der Ferne, so als säßen Sie direkt am Server.

Optional lassen sich zwei weitere Speicherfresser angehen: Mit /ResetBase werden auch die durch Updates ersetzten Komponenten endgültig entfernt (dieser Schritt ist bewusst als irreversibel gekennzeichnet), und der Ordner SoftwareDistribution\Download lässt sich leeren. Der freigewordene Platz wird nicht nur behauptet, sondern gemessen: Das Tool erfasst den freien Speicher vor und nach dem Lauf und zeigt Ihnen das tatsächlich freigegebene Volumen an.

Für wen ist das Tool gedacht?

Der Windows Update Cleanup Manager richtet sich an alle, die Windows-Server im Bestand halten und für deren Speicherplatz- und Patch-Hygiene verantwortlich sind:

Zielgruppe	Nutzen im Alltag
Systemadministratoren & IT-Dienstleister (MSP)	Bereinigen Windows-Update-Reste auf vielen Servern zentral und wiederkehrend – lokal wie remote per WinRM, ohne sich an jedem Server einzeln anmelden zu müssen.
Administratoren von Active-Directory-Umgebungen	Halten regelmäßig gewartete Server schlank, planen Bereinigungsläufe in den Wartungsfenstern und verhindern, dass sich Update-Ballast über die Domäne hinweg ansammelt.
Verantwortliche für Speicherplatz- & Patch-Hygiene	Gewinnen wertvollen Platz auf dem C:-Laufwerk zurück, bevor der WinSxS-Ordner es volllaufen lässt – und behalten den Komponentenspeicher dauerhaft unter Kontrolle.
Sicherheits- & Compliance-Verantwortliche	Erhalten nachvollziehbare, protokollierte Bereinigungsläufe als prüffähigen Nachweis – passend für NIS2, ISO 27001 und BSI IT-Grundschutz.

Die Hauptmerkmale im Überblick

Hinter der schlanken Oberfläche steckt eine ganze Reihe durchdachter Funktionen, die den Unterschied zwischen „einmal aufgeräumt“ und „dauerhaft im Griff“ ausmachen:

Hauptmerkmal	Beschreibung
Zentrale Remote-Bereinigung	Bereinigt beliebig viele Server über WinRM (HTTP/HTTPS) von einer zentralen Oberfläche aus.
DISM /StartComponentCleanup remote	Führt die Komponentenbereinigung zuverlässig aus der Ferne aus – über einen lokalen geplanten Task als SYSTEM, der die WinRM-Network-Logon-Sperre von DISM umgeht.
/ResetBase & SoftwareDistribution	Optionales /ResetBase (irreversibel) sowie Leeren von SoftwareDistribution\Download für maximale Platzersparnis.
Parallelbetrieb	Bearbeitet mehrere Server gleichzeitig mit konfigurierbarem Parallelitätsgrad und Wall-Clock-Wächter je Server.
Schutz vor Doppel- & Geisterläufen	Automatischer Schutz gegen doppelte bzw. verwaiste DISM-Läufe durch eindeutige Task- und Dateinamen pro Lauf.
Vorher/Nachher-Messung	Misst den freien Speicher vor und nach dem Lauf und zeigt das freigegebene Volumen an.
HTML-Berichte per E-Mail	Versendet Einzelberichte je Server und einen Gesamtbericht – inklusive Test-Mail-Funktion.
Flexible WinRM-Einstellungen	Global und pro Server überschreibbare WinRM-Optionen (Port, SSL, Authentifizierung, Timeout, Zugangsdaten).
Verschlüsselte Zugangsdaten	Speichert alle Zugangsdaten verschlüsselt (AES-256-GCM, niemals DPAPI).
Unbeaufsichtigter Betrieb	Läuft als geplanter Task – inklusive gMSA-Unterstützung.
Kommandozeilen-Modus	–cli-Modus für Automatisierung und Integration in bestehende Abläufe.
Persistente Protokolle	Persistentes Protokoll je Zielserver sowie ein zusammengeführtes Live-/Orchestrator-Protokoll.
Lizenzschutz	Lizenzgeschützt (RSA-2048) mit Lizenzinfo-Anzeige in der Oberfläche.

Warum nicht einfach GPO oder ein eigenes Skript?

Die naheliegende Frage: Windows kann das doch selbst, und ein PowerShell-Skript ist schnell geschrieben. Beides stimmt – bis man es über viele Server hinweg zuverlässig, sicher und prüffähig betreiben will. Der direkte Vergleich zeigt, wo die Grenzen von Gruppenrichtlinien und Eigenbau liegen:

Aspekt	GPO	Eigenes PS-Skript	ISW Windows Update Cleanup Manager
Komponentenspeicher (DISM /StartComponentCleanup) bereinigen	Nein	Ja, manuell	Ja, integriert
DISM zuverlässig unter WinRM (Network Logon)	—	Selbst lösen	Gelöst (Task als SYSTEM)
Zentrale Steuerung vieler Server	Teilw.	Selbst bauen	Ja, Dashboard
Parallelbetrieb mit Wächter/Timeout	Nein	Selbst bauen	Ja, konfigurierbar
Schutz gegen doppelte/verwaiste DISM-Läufe	Nein	Selbst bauen	Ja, automatisch
Verschlüsselte Zugangsdaten (AES-256-GCM)	Nein	Selten	Ja
HTML-Berichte (Einzel- & Gesamtbericht)	Nein	Selbst bauen	Ja, per E-Mail
Live-Status / Protokoll	Nein	Nein	Ja
Geplante Ausführung als gMSA	Teilw.	Selbst bauen	Ja, per Klick
CLI für Automatisierung	—	Ja	Ja (–cli)
Wartungsaufwand	Hoch	Hoch	Gering (ein Tool)

Sicherheit und Compliance von Anfang an mitgedacht

Gerade in regulierten Umgebungen zählt nicht nur, dass gewartet wird, sondern dass es nachweisbar geschieht. Der Windows Update Cleanup Manager speichert alle Zugangsdaten verschlüsselt mit AES-256-GCM – bewusst nicht über DPAPI, das an Benutzer- oder Maschinenkontext gebunden und damit weniger portabel ist. Jeder Zielserver erhält ein persistentes Protokoll, dazu kommt ein zusammengeführtes Live- bzw. Orchestrator-Protokoll über den gesamten Lauf. Die automatisch erzeugten HTML-Berichte – als Einzelbericht je Server und als Gesamtbericht – lassen sich per E-Mail verschicken und dienen zugleich als prüffähiger Nachweis für Audits nach NIS2, ISO 27001 oder BSI IT-Grundschutz.

Auch der unbeaufsichtigte Betrieb ist sauber gelöst: Das Tool läuft als geplanter Task, auf Wunsch mit einem gMSA (group Managed Service Account), sodass keine Klartext-Passwörter in Skripten oder Taskdefinitionen liegen. Wer lieber in bestehende Automatisierung integriert, nutzt den Kommandozeilen-Modus (--cli).

Fazit: Speicherplatz zurückgewinnen, ohne Bastelei

Der WinSxS-Ordner wird nicht kleiner, wenn man ihn ignoriert – im Gegenteil. Die Windows-Komponentenbereinigung ist der richtige Weg, aber im Serverbetrieb steckt der Teufel im Detail: Remote-Ausführung, Parallelität, Schutz vor Doppelläufen, Nachweisbarkeit. Der ISW Windows Update Cleanup Manager nimmt Ihnen genau diese Detailarbeit ab und macht aus einer wiederkehrenden Lästigkeit einen kontrollierten, dokumentierten Prozess – per Klick oder vollautomatisch im Hintergrund.

Das Ergebnis: mehr freier Platz auf dem C:-Laufwerk, weniger Notfälle wegen volllaufender Systemlaufwerke und ein sauberer Nachweis für jede Bereinigung. Ein Tool statt vieler Skripte – und deutlich weniger Wartungsaufwand.

© IT-Service Walter – ISW Windows Update Cleanup Manager