Windows 10/11 Kumulative Updates/Upgrades nicht möglich

Shinigami · 1. April 2025 um 14:39

Hallo liebes LMN Forum,

ich möchte euch nicht unnötig belasten…
aber ich sehe mich gezwungen, mich zeitnah mit einem Anliegen auseinanderzusetzen.
Das EOL von Windows 10 rückt näher, und viele Schulen fragen bereits nach einem Upgrade auf Windows 11.
Daher müssen ich und sicherlich auch viele von euch sich mit diesem Thema beschäftigen.

Normalerweise sollte das Upgrade kein großes Problem darstellen…
Windows 10 entsprechend anpassen und dann über die Funktion „Nach Updates suchen“ durchklicken.
Da der Client in der noProxy-Gruppe ist, sollte er die Updates finden.
Ich erhalte auch ich die Meldung, dass Windows „Up to Date“ sei.

Allerdings ist mir aufgefallen, dass an einer Schule noch die Version 22H2 im Einsatz ist, was mich etwas überrascht hat, da Windows ja „Up to Date“ sei…
Hat jemand eine Idee, warum die Upgrades auf 23H2, 24H2 usw. nicht auf meinem Image ankommen/angeboten werden?

Ich habe einen virtuellen Proxmox-Client vorbereitet, der sogar Windows 11-kompatibel ist.

Leider erhalte ich bei einem Inplace-Upgrade direkt auf Windows 11 per ISO nach einem Reboot und 100% Installation den folgenden Fehler:

Hat jemand ähnliche Probleme mit den kumulativen Updates innerhalb von Windows?
Oder beim Upgrade auf Windows 11?

Ich beginne langsam zu verzweifeln und frage mich, ob ich wirklich der Einzige mit diesem Problem bin.
Könnte es an der fehlenden EFI-Partition der VM liegen, da diese direkt über Linbo partitioniert und bereitgestellt wird? Oder gibt es einen anderen Grund?

Ich freue mich auf einen Austausch hier im Forum und hänge einige Bilder an, um die aktuelle Situation zu verdeutlichen und ein paar Infos bereitstellen.

Vielen Dank im Voraus für jede Hilfe und Resonanz!
Vielleicht hat jemand bereits ähnliche Probleme durchlebt.
P.S.: Auch an „echten“ Clients wird das Kumulative-Update nicht angeboten.

Start.Conf des Virtuellen Clients:

root@server:~# cat /srv/linbo/start.conf.testvm-win11 
[LINBO]
Server = 10.0.0.1
Group = testvm-win11
Cache = /dev/sda3
RootTimeout = 600
AutoPartition = no
AutoFormat = no
AutoInitCache = no
DownloadType = torrent
GuiDisabled = no
UseMinimalLayout = no
Locale = de-DE
SystemType = efi64
KernelOptions = quiet splash dhcpretry=9 forcegrub
clientDetailsVisibleByDefault = yes

[Partition]
Dev = /dev/sda1
Label = efi
Size = 200M
Id = ef
FSType = vfat
Bootable = yes

[Partition]
Dev = /dev/sda2
Label = msr
Size = 128M
Id = 0c01
FSType = 
Bootable = no

[Partition]
Dev = /dev/sda3
Label = cache
Size = 50G
Id = 83
FSType = ext4
Bootable = no

[Partition]
Dev = /dev/sda4
Label = windows
Size = 150G
Id = 7
FSType = ntfs
Bootable = no

[OS]
Name = Windows 11
Version = 
Description = Windows 10 1903
IconName = win10.svg
Image = 
BaseImage = win11.qcow2
Boot = /dev/sda4
Root = /dev/sda4
Kernel = auto
Initrd = 
Append = 
StartEnabled = yes
SyncEnabled = no
NewEnabled = yes
Autostart = no
AutostartTimeout = 5
DefaultAction = start
Hidden = yes

Proxmox Hardware dieser Maschine:
AFAIK reicht hier das TPM Modul + Kompatiblen CPU auf seiten des Proxmox?

baumhof · 1. April 2025 um 15:05

Hallo Shinigami

zuerst: … bitte schreib meinen Namen nicht in dein Notizbuch … (Insider für Leute die wissen, was ein Shinigami ist und die Anime Serie Deathnote kennen).

du solltest diesen Thread lesen, der erläutert ein wenig, was Win11 24H2 so alles auf der Platte veranstaltet.

Ich würde dir empfehlen statt des upgrades eine neuinstallation zu machen: jetzt im MOment würde ich dir raten dafür win11 24H1 zu nehmen oder 23H2 und nicht 24H2, wegen der umpartitionierungsproblematik.

LG
Holger

sucher · 2. April 2025 um 05:48

Das lässt sich leicht beantworten:
Damit dir Windows ein Upgrade auf W11 anbietet, muss der Rechner:

auf UEFI laufen
ein TPM 2.0 Modul haben
Secure Boot anhaben

Wenn das nicht gegeben ist, wird dir Windows auch kein aktuelles Upgrade angebieten. Wenn dein bisheriges Win nicht auf UEFI läuft wird es schwierig da ein Upgrade zu fahren.

Entscheidend ist aber, siehe Parallelthread, dass dein Cache auf ntfs mit ID 7 formatiert ist. Sonst wird das nichts.
Wie man mit der Recovery Partition umgeht, die Windows automatisch erstellt ist glaub ich noch nicht final geklärt…
Das Imaging von W11 war leider keine einfache Angelegenheit. Da hast du hoffentlich nen guten Dienstleister oder selber sehr gute Nerven.

Shinigami · 2. April 2025 um 06:46

Hallo ihr beiden,

vielen Dank für euren schnellen Input!
@baumhof ich schreibe nur Namen in mein Notizbuch die es verdient haben

Momentan arbeite ich daran, meine VM Windows-konform zu gestalten. Damit diese auch nachhaltig alle Updates und Upgrades bekommen… (oder ist das eher ein Phantasie Gedanke?)

Allerdings habe ich im Hinterkopf, dass Linbo nicht mehr startet, sobald ich Secure Boot aktiviere.
@thomas bestätigt hier das es nicht geht:

Gibt es einen alternativen Weg, um die Geräte mit aktiviertem Secure Boot zu betanken, der mir möglicherweise nicht bekannt ist? Ich wäre dankbar für Hinweise oder Lösungen, die mir hier weiterhelfen.

@sucher Könntest du mir bitte, wenn du Zeit hast, zeigen wie du deine virtuellen Windows-Clients eingerichtet hast? (mit secure boot?)
Ich wäre sehr dankbar für eine Anleitung oder eine Kurze Beschreibung über deine Vorgehensweise.

@baumhof Vielen Dank für den angehängten Beitrag, den ich gelesen habe.
Hier ist sucher ja auch sehr aktiv. Soweit ich das verstehe, herrscht derzeit noch Unsicherheit darüber, welcher der richtige Weg ist. Ich werde ebenfalls einige Dinge ausprobieren und den Thread nachverfolgen

Wäre es denkbar, die EFI-Disk an den VMs nicht über Linbo partitionieren zu lassen, sondern sie direkt von Proxmox einzuhängen und diese zu nutzen?
Hat hierzu jemand Erfahrungen? Ich wäre für jeden Hinweis dankbar!

Diese meine ich:

LG Shinigami | Dani

sucher · 2. April 2025 um 07:34

ja man muss in der Tat secureboot an und ausschalten, je nachdem ob man in linbo booten will oder nicht… windows11 überprüft die Kompatibilität ganz am Anfang des Installationsvorgangs… man muss also die Kompatibilität mit tpm secureboot usw nur bis zum ersten Neustart haben

Also meine bisherige Erfahrungen zusammen gefasst:

wenns ne vm ist, irgendwie erstmal einstellen dass du bei jedem boot sauber ins bootmenü kommst. vorher brauchst gar net anfangen, bevor das net klappt.
bei vmware wäre das der Eintrag bios.bootdelay="10000" in der vmx datei. das kann man aber nur machen bevor man die vm verschlüsselt Kann man bei proxox sicher auch irgendwie einstellen. weiss ich jetzt halt net wie es geht.

win11 24h2 iso runter laden
mit linbo rechner partitiioniren:
so grob die start.conf
EFI
MSR
Windows11 (ntfs) (mindestens 80GB)
cache (ext4) (Größe unklar, aber das sis image ist 7gb gross… also würde mal sagen mindestens 40 GB, ich hatte auch 80 GB)
data (ntfs) (1GB) (unklar ob die Partition wirklich nötig ist)
wichtig: es muss noch unpartitionierter Speicherplatz übrig sein, die Data partition darf nicht die platte ausfüllen
wichtig: kernel parameter: forcegrub

tpm2.0 und secureboot muss an der VM aktiv sein, bei der vmware Workstation muss dazu die vm noch encrypted sein.

dann windows 11 installieren bis zum ersten boot… es gibt keinerlei Warnung wann Neustarts auftreten. man muss da flink ins bootmenü und sobald der Neustart kommt. und man sich ins boot Menü rettet… erstmal die Maschine hart ausschalten und secureboot ausschalten.
aufjedenfall nun ein Snapshot der ausgeschalteten vm machen

ab da wie es in der Anleitung steht… immer über linbo booten und über grünen knöpf starten bis windows11 installiert ist und man zum ersten start Bildschirm…
naja… so hast leider bei mir dann doch nicht funktioniert, weil jedes mal ein Fehler kam bei der Wiederherstellung von efi… und ab da musste man dann anfangen mit manuellen tricks, ich hab efi manuell auf c:\efi kopiert und rumpartitioniert und die start.conf immer wieder angepasst… das müsste ich alles nochmal durchmachen und optimieren ob das alles so replizierter ist…
am Ende solltest du auf alle Fälle wie gesagt am windows11 Länderauswahlbildschirm landen mit einem funktionsfähigem grub. wenn das gewährleistet ist gehts weiter

damit in windows 11 ein lokaler account angelegt werden kann muss man auch wieder in die Trick Kiste greifen. beim ersten Länderbildschirm Shift +F10 drücken. Es geht ein Terminalfenster auf. dort reinschreiben OOBE\BYPASSNRO
Windows11 bootet dann neu… wieder über linbo booten…
dann nochmal im Länderbildschirm Shift+F10 und eingeben ipconfig /release
Dann gehts weiter nach der normalen Anleitung und man erstellt den lokalen account.
der Rest geht dann auch nach Anleitung.
wenn man dann an die stelle kommt, wo das erste image geschrieben werden soll müssen dann die partitionen stimmen. windows hat bei der Installation dann als partition 4 eine „unsichtbare“ recovery partition erstellt… da ist jetzt die frage wie man damit umgeht… ob man die einfach löscht oder ob man die auch über linbo abbilden kann, was aus meiner Sicht besser wäre… die recovery partition ist allerdings sehr speziell konfiguriert und da weiss ich nicht ob linbo das momentan kann… GPT Attribute müssten da gesetzt werden usw…
letztlich hat es bei mir dann getan, durch löschen der recovery partition, bzw. durch auslassen der recovery partition… ih denke aber dass dann das fast aufs gleiche rauskommt… wenn linbo die recovery partition nicht erfasst, dann gibts die auch nicht auf den geimagten Geräten…

Wie du sieht in der ganze Vorgang voller Tücken… Ich würde auf alle Fälle erstmal das an ner VM machen, bevor man da an echte Hardware geht, falls das überhaupt nötig ist
auch lässt sich das sicher auch noch optimieren, dass es einfacher geht

tjordan · 2. April 2025 um 07:49

Hallo Dani,

ein Weg könnte auch sein die Checks vor der Installation abzuschalten.

Windows Registry Editor Version 5.0

[HKEY_LOCAL_MACHINE\SYSTEM\Setup\LabConfig]
„BypassTPMCheck“=dword:00000001
„BypassSecureBootCheck“=dword:00000001
„BypassRAMCheck“=dword:00000001
„BypassStorageCheck“=dword:00000001
„BypassCPUCheck“=dword:00000001
„BypassDiskCheck“=dword:00000001

muss man setzen, bevor die Windows 11 -Installation startet.

VG
Thomas

baumhof · 2. April 2025 um 08:34

Hallo,

also: Secure Boot ist nicht zwingend.
Ich habe in den letzten Wochen 12 Rechner in der Direktion meiner Schule von Win10 auf Win11 upgegraded: keiner hatte SecureBoot an (weder davor, noch danach).
Ich habe das Upgrade aber per „upgradetool“ von MS gestartet und incht aus den „Windowsupdates“.

Und zu Thomas’anmerkung: auf dem Server unter /srv/linbo/examples/ liegt die Datei
win11.reg
die die bypassregeinträge enthält: die kann man einfach ausführen (ja, schon unter win10).
Ich würde es aber lieber erstmal ohne versuchen, weil einem sowas sonst später bei upgrades auf die Füße fallen kann.

Noch was allgemeines:
ja, ich weiß genau, was ein Jahrelang gepflegtes Windows 10 Image mit viel Software wert ist: wieviel Arbeit und „kleinfitzelzeug“ da drin steckt: trotzdem empfehle ich: installier win11 frisch und zieh das Image wieder hoch. Es ist sauberer und macht, dneke ich, auf lange Sicht, weniger Arbeit, als so ein upgegradetes Windows.

LG
Holger

wilfried · 2. April 2025 um 09:02

Hallo Shinigami,

Da fiel mir spontan der Artikel „Wege aus der Upgrade-Falle für Windows11“ (c’t 5/2025, S. 60 ff) ein. Darin wurde auch ein Registry-Hack angeboten, der laut Leserbriefen wohl funktioniert.

Viele Grüße

Wilfried

Shinigami · 2. April 2025 um 09:11

Hallo zusammen,

Thomas, vielen Dank für deinen Input bezüglich der Upgrade-Variante über RegByPass.
Leider war das Ganze an meiner Maschine ohne Erfolg, und ich habe wieder den SAFE_OS-Fehler erhalten, wie im ersten Post beschrieben.

Ich denke, ich werde, wie @baumhof anfangs empfohlen hat, ein neues Windows 11 aufsetzen und dann alles, was ins Image geflossen ist, erneut anlegen und konfigurieren. Hoffentlich ist im Changelog alles dokumentiert worden von mir.

@wilfried leider ist die Lösung hinter einer Paywall, daher nicht umsetzbar für mich.
Anhand der Kommentare gehe ich aber auch von RegByPässen ähnlich wie von Thomas aus.

Offtopic:…
Ich frage mich nur, wohin das führen soll. Ich gehe stark davon aus, dass ich dann auf der Windows 11-Version 24H2 wieder feststecken werde und sich kein internes Upgrade durchführen lässt.
Vielleicht überrascht uns Microsoft ja zur Abwechslung mal positiv in den kommenden Jahren und es geht aus Zauberhand doch?

Danke für euren Input!

Shinigami · 2. April 2025 um 09:15

Kleiner Nachtrag der vielleicht jemanden Hilft:

hier hat es geholfen Adobe Acrobat Reader 32 bit zu deeinstallieren:
https://www.heise.de/forum/c-t/Kommentare-zu-c-t-Artikeln/Wege-aus-der-Upgrade-Falle-fuer-Windows-11/Re-Geht-leider-nicht/posting-44973987/show/

hier hat es geholfen einen Easy Anti Cheat zu deeinstallieren:
https://www.heise.de/forum/c-t/Kommentare-zu-c-t-Artikeln/Wege-aus-der-Upgrade-Falle-fuer-Windows-11/Geloest-Geht-leider-nicht/posting-44981237/show/

Ich gehe mal meine Softwareliste durch und prüfe mal ob mir etwas komisch vorkommt was tief ins System eingreifen könnte…