gpupdate: Gruppenrichtlinien aktualisieren – so geht’s

Gruppenrichtlinien unter Windows 10, 11 und Windows Server mit gpupdate aktualisieren: Syntax, Optionen wie /force und /boot sowie Fehlerbehebung.

Mit dem Befehl gpupdate aktualisieren Sie Gruppenrichtlinien in Windows sofort, ohne auf den automatischen Zyklus zu warten. Der Befehl funktioniert unter Windows 10, Windows 11 sowie auf Windows Server (2016, 2019, 2022 und 2025) und lässt sich sowohl über die Eingabeaufforderung als auch über PowerShell ausführen.

Nachfolgend erfahren Sie alle Parameter, Anwendungsfälle und Lösungswege bei Problemen.

Was ist gpupdate und wofür wird es benötigt?

gpupdate ist ein integriertes Windows-Kommandozeilentool, das die Gruppenrichtlinien eines Computers oder Benutzers neu abruft und anwendet. Zudem existiert es bereits seit Windows XP und Windows Server 2003, weshalb es fester Bestandteil jeder aktuellen Windows-Version ist.

Normalerweise aktualisieren sich Gruppenrichtlinien automatisch. Allerdings geschieht dies nicht sofort, sondern nach einem festen Intervall. Auf Domänencontrollern beträgt dieses Intervall standardmäßig fünf Minuten, während Arbeitsstationen und Server alle 90 Minuten aktualisiert werden, zuzüglich eines zufälligen Versatzes von bis zu 30 Minuten. Dieser Zufallswert verhindert, dass alle Clients gleichzeitig auf den Domänencontroller zugreifen.

Deshalb ist gpupdate vor allem dann wichtig, wenn Änderungen sofort wirksam werden sollen. Administratoren nutzen den Befehl beispielsweise nach dem Anlegen eines neuen Gruppenrichtlinienobjekts (GPO), nach Sicherheitsanpassungen oder während der Fehlerbehebung.

Typische Anwendungsfälle für gpupdate sind:

• Sofortige Übernahme neuer Sicherheitsrichtlinien
• Testen einer frisch verknüpften GPO ohne Neustart
• Beheben von Konfigurationsabweichungen (sogenanntem „Policy Drift“)
• Erzwingen von Softwareverteilungsrichtlinien
• Fehlerdiagnose bei nicht angewendeten Richtlinien

Unterschied zwischen gpupdate und gpupdate /force

Der wichtigste Unterschied liegt in der Art der Verarbeitung. gpupdate ohne Zusatz führt lediglich ein inkrementelles Update durch. Das bedeutet: Es werden nur jene Richtlinien neu angewendet, die sich seit dem letzten Abgleich tatsächlich geändert haben.

gpupdate /force hingegen erzwingt die vollständige Neuanwendung sämtlicher Gruppenrichtlinien, unabhängig davon, ob sich etwas geändert hat. Wenn also 20 Richtlinien zugewiesen sind, werden bei /force alle 20 erneut verarbeitet.

Dieser Unterschied ist besonders relevant, wenn eine Richtlinie zwar als „unverändert“ markiert ist, ihr Wert lokal jedoch abweicht. Das passiert zum Beispiel, wenn ein Benutzer manuell eine Registrierungseinstellung verändert oder eine Windows-Funktion deaktiviert, die eigentlich durch eine GPO gesteuert wird. In diesem Fall erkennt das Standard-gpupdate die Abweichung nicht, da die Richtlinie aus Sicht des Systems unverändert ist. Nur gpupdate /force korrigiert diese Abweichung zuverlässig.

Allerdings ist der /force-Schalter nicht immer notwendig. Zudem verarbeiten manche Richtlinienbereiche, etwa Gruppenrichtlinieneinstellungen (Group Policy Preferences) und Softwareinstallationsrichtlinien, auch mit /force nicht erneut, sofern sie bereits erfolgreich angewendet wurden.

gpupdate über die Eingabeaufforderung ausführen

Die klassische und schnellste Methode ist die Ausführung über die Eingabeaufforderung (cmd). Dieser Weg funktioniert identisch unter Windows 10, Windows 11 und Windows Server.

So gehen Sie konkret vor:

1. Drücken Sie die Tastenkombination Windows-Taste + R, um das Ausführen-Fenster zu öffnen.
2. Geben Sie cmd ein und bestätigen Sie mit Enter.
3. Tippen Sie im geöffneten Fenster gpupdate ein und drücken Sie erneut Enter.
4. Warten Sie, bis der Vorgang abgeschlossen ist.

Nach erfolgreichem Abschluss meldet die Konsole, dass sowohl die Benutzer- als auch die Computerrichtlinie erfolgreich aktualisiert wurde. Möchten Sie stattdessen eine vollständige, erzwungene Aktualisierung, verwenden Sie gpupdate /force. Anschließend werden Sie unter Umständen aufgefordert, sich abzumelden, damit bestimmte Einstellungen greifen.

Alle gpupdate-Parameter und Schalter im Überblick

Neben /force bietet gpupdate weitere Schalter, mit denen Sie das Verhalten der Aktualisierung präzise steuern. Die vollständige Syntax lautet:

gpupdate [/force] [/logoff] [/boot] [/sync] [/target:{computer|user}] [/wait:wert]

Die wichtigsten Parameter im Detail:

• /force – Wendet sämtliche Richtlinien erneut an, nicht nur geänderte.
• /logoff – Meldet den Benutzer nach der Aktualisierung automatisch ab. Das ist notwendig, da bestimmte Erweiterungen (zum Beispiel Ordnerumleitung oder Softwareinstallation) nur bei der Anmeldung verarbeitet werden.
• /boot – Startet den Computer nach dem Update neu. Dies ist erforderlich für Richtlinien, die ausschließlich beim Systemstart greifen.
• /sync – Die nächste Richtlinienanwendung erfolgt synchron statt im Hintergrund, wodurch der Anmelde- beziehungsweise Startvorgang so lange wartet, bis alle Richtlinien vollständig verarbeitet wurden.
• /target:computer oder /target:user – Beschränkt die Aktualisierung auf einen der beiden Bereiche.
• /wait:wert – Legt in Sekunden fest, wie lange auf den Abschluss der Richtlinienverarbeitung gewartet wird, bevor die Eingabeaufforderung zurückkehrt. Der Standardwert beträgt 600 Sekunden.

Zusätzlich empfiehlt es sich, bei hartnäckigen Problemen mit langsamer Verbindung zum Domänencontroller den Wert zu erhöhen, etwa mit gpupdate /wait:1800.

Gruppenrichtlinien nur für Benutzer oder nur für Computer aktualisieren

In vielen Situationen ist es nicht nötig, sowohl Benutzer- als auch Computerrichtlinien zu aktualisieren. Wurde beispielsweise ausschließlich eine Richtlinie in der Computerkonfiguration geändert, etwa eine Sicherheitsbaseline oder ein Startskript, genügt eine gezielte Aktualisierung.

Für eine reine Benutzerrichtlinien-Aktualisierung:

gpupdate /target:user /force

Für eine reine Computerrichtlinien-Aktualisierung:

gpupdate /target:computer /force

Dieser gezielte Ansatz spart zudem Zeit, da nicht der gesamte Richtlinienbestand durchlaufen werden muss. Deshalb empfiehlt sich diese Methode besonders in größeren Umgebungen mit vielen verknüpften GPOs.

gpupdate über PowerShell ausführen

Alternativ lässt sich die Aktualisierung auch über PowerShell anstoßen, was insbesondere für Skripte und automatisierte Abläufe sinnvoll ist. Das entsprechende Cmdlet heißt Invoke-GPUpdate und ist Bestandteil des Moduls GroupPolicy.

So aktualisieren Sie Gruppenrichtlinien lokal per PowerShell:

1. Öffnen Sie PowerShell als Administrator.
2. Führen Sie den Befehl Invoke-GPUpdate -Force aus.
3. Bestätigen Sie eine eventuelle Sicherheitsabfrage.

Der Parameter -Force entspricht dabei dem /force-Schalter der klassischen Eingabeaufforderung. Zusätzlich unterstützt das Cmdlet weitere Optionen wie -Logoff für die automatische Abmeldung sowie -RandomDelayInMinutes, um den zufälligen Verzögerungsfaktor bei geplanten Aktualisierungen anzupassen.

gpupdate remote auf mehreren Computern ausführen

Besonders in Unternehmensnetzwerken ist es oft notwendig, Gruppenrichtlinien nicht nur lokal, sondern auf zahlreichen Computern gleichzeitig zu aktualisieren. Genau dafür eignet sich Invoke-GPUpdate in Kombination mit dem Parameter -Computer.

Voraussetzungen für die Remote-Ausführung:

• Windows-Remoteverwaltung (WinRM) muss auf den Zielcomputern aktiviert sein.
• Die Firewall muss geplante Remoteaufgaben über die TCP-Ports 135, 137, 138, 139 und 445 zulassen.
• Sie benötigen administrative Rechte auf dem Zielsystem.

Beispiel zur Aktualisierung aller Computer einer Organisationseinheit:

Get-ADComputer -Filter * -SearchBase "OU=Workstations,DC=corp,DC=local" | ForEach-Object { Invoke-GPUpdate -Computer $_.Name -Force -RandomDelayInMinutes 0 }

Dieses Skript ruft zunächst alle Computerobjekte der angegebenen Organisationseinheit über Get-ADComputer ab und führt anschließend für jeden gefundenen Computer ein erzwungenes gpupdate aus. Der Parameter -RandomDelayInMinutes 0 sorgt dafür, dass die Aktualisierung ohne Verzögerung sofort startet.

Gruppenrichtlinien-Update über die GPMC anstoßen

Neben der Kommandozeile bietet auch die grafische Gruppenrichtlinienverwaltungskonsole (GPMC) eine Möglichkeit zur entfernten Aktualisierung, allerdings nur für ganze Organisationseinheiten.

So gehen Sie in der GPMC vor:

1. Öffnen Sie die Gruppenrichtlinienverwaltung (gpmc.msc).
2. Navigieren Sie im linken Bereich zur gewünschten Organisationseinheit.
3. Klicken Sie mit der rechten Maustaste auf die Organisationseinheit.
4. Wählen Sie den Eintrag Gruppenrichtlinienupdate.
5. Bestätigen Sie den folgenden Sicherheitshinweis mit Ja.

Im Hintergrund nutzt die GPMC ebenfalls Invoke-GPUpdate, weshalb dieselben Voraussetzungen bezüglich WinRM und Firewall gelten. Der Vorteil dieser Methode liegt jedoch darin, dass keine PowerShell-Kenntnisse erforderlich sind.

Anwendung überprüfen: gpresult und Ereignisanzeige nutzen

Nachdem Sie gpupdate ausgeführt haben, sollten Sie kontrollieren, ob die Richtlinien tatsächlich korrekt angewendet wurden. Hierfür eignet sich das Tool gpresult.

So erstellen Sie einen vollständigen Bericht:

1. Öffnen Sie die Eingabeaufforderung als Administrator.
2. Geben Sie den Befehl gpresult /h bericht.html ein.
3. Öffnen Sie die erzeugte HTML-Datei im Browser.
4. Prüfen Sie insbesondere die Abschnitte Verweigerte GPOs und Nicht angewendete GPOs.

Diese beiden Abschnitte zeigen Filterungs- oder Verknüpfungsprobleme an, die ein erzwungenes Update allein nicht beheben kann. Zusätzlich lohnt sich ein Blick in die Ereignisanzeige, da Windows Änderungsereignisse zu Gruppenrichtlinien im Sicherheitsprotokoll erfasst. Allerdings speichert Windows dort keinen vorherigen Konfigurationswert, sondern lediglich das Ereignis selbst.

Häufige Fehler und Probleme bei gpupdate beheben

Trotz korrekter Ausführung kommt es gelegentlich vor, dass Einstellungen auch nach gpupdate /force unverändert bleiben. Dafür gibt es meist nachvollziehbare Ursachen.

Problem: Einstellungen ändern sich trotz /force nicht

Mögliche Ursachen sind eine fehlerhafte Verknüpfung der GPO mit der richtigen Organisationseinheit, ein ausschließender WMI-Filter, eine deaktivierte Richtlinie oder eine überschreibende Loopback-Verarbeitung. Erstellen Sie deshalb zunächst einen Bericht mit gpresult /h bericht.html, überprüfen Sie die Verknüpfung in der GPMC und kontrollieren Sie vorhandene WMI-Filter.

Problem: gpupdate hängt oder bricht nicht ab

Diese Situation entsteht meist durch eine langsame Verbindung zum Domänencontroller, eine hohe Anzahl an GPOs oder DNS-Probleme. Erhöhen Sie in diesem Fall den Wartewert, beispielsweise mit gpupdate /wait:1800, und prüfen Sie zusätzlich die Netzwerkverbindung sowie die DNS-Auflösung.

Problem: Verarbeitung der Gruppenrichtlinie schlägt fehl

Ursächlich hierfür kann ein beschädigter Richtlinien-Cache oder ein Problem mit dem SYSVOL-Ordner sein. In diesem Fall hilft häufig ein Neustart des Dienstes Gruppenrichtlinienclient oder, in hartnäckigen Fällen, das Löschen des lokalen Richtlinien-Cache unter dem Pfad %WinDir%\System32\GroupPolicy.

Zusammenfassend gilt: Wer systematisch vorgeht, also zunächst den Bericht prüft, danach die Verknüpfung kontrolliert und erst anschließend tiefer in die Fehlersuche einsteigt, spart erheblich Zeit.

Häufige Fragen, wenn Gruppenrichtlinien nicht wirken

Warum wirkt gpupdate /force nicht sofort?

Manche Richtlinienbereiche, etwa Softwareinstallation oder Ordnerumleitung, werden ausschließlich bei der Anmeldung oder beim Systemstart verarbeitet. Deshalb ist zusätzlich der Parameter /logoff oder /boot notwendig, damit die Änderung tatsächlich greift.

Muss ich mich nach gpupdate immer abmelden?

Nein, eine Abmeldung ist nur dann erforderlich, wenn die geänderte Richtlinie eine sogenannte Client-Side Extension betrifft, die ausschließlich beim Anmeldevorgang verarbeitet wird. Andernfalls reicht die reguläre Ausführung ohne /logoff vollkommen aus.

Wie lange dauert eine gpupdate-Ausführung normalerweise?

In der Regel dauert der Vorgang wenige Sekunden bis maximal zwei Minuten. Allerdings kann sich die Dauer bei langsamer Verbindung zum Domänencontroller oder bei sehr vielen verknüpften GPOs deutlich verlängern.

Funktioniert gpupdate auch ohne Domäne?

Ja, gpupdate funktioniert ebenso auf einem eigenständigen Computer, da auch die lokale Gruppenrichtlinie über denselben Mechanismus verarbeitet wird. In diesem Fall entfällt jedoch die Kommunikation mit einem Domänencontroller.

Was ist der Unterschied zwischen gpupdate und gpupdate /sync?

Während der Standardbefehl die Richtlinien im Hintergrund verarbeitet, sorgt /sync dafür, dass der Anmelde- beziehungsweise Startvorgang so lange wartet, bis alle Richtlinien vollständig angewendet wurden. Dies wirkt sich erst beim nächsten Neustart oder der nächsten Anmeldung aus.

Kann ich gpupdate auf mehreren Computern gleichzeitig ausführen?

Ja, hierfür eignet sich entweder das PowerShell-Cmdlet Invoke-GPUpdate mit dem Parameter -Computer oder die Funktion Gruppenrichtlinienupdate direkt in der GPMC, angewendet auf eine ganze Organisationseinheit.

Warum zeigt gpresult verweigerte GPOs an?

Verweigerte GPOs entstehen meist durch Sicherheitsfilterung, eine falsche Verknüpfung oder einen WMI-Filter, der den betreffenden Computer oder Benutzer ausschließt. Überprüfen Sie deshalb die Berechtigungen der GPO in der GPMC.

Benötige ich Administratorrechte für gpupdate?

Für die lokale Ausführung von gpupdate genügen in vielen Fällen normale Benutzerrechte. Für die Remote-Ausführung über Invoke-GPUpdate sowie für administrative Aufgaben wie das Löschen des Richtlinien-Cache sind hingegen erweiterte Rechte erforderlich.

Was bedeutet der Standardwert von 90 Minuten genau?

Windows aktualisiert Gruppenrichtlinien auf Arbeitsstationen und Servern standardmäßig alle 90 Minuten, ergänzt um einen zufälligen Versatz von bis zu 30 Minuten. Dieser Zufallswert verhindert, dass sämtliche Clients einer Domäne gleichzeitig auf den Domänencontroller zugreifen.

Warum reicht Neustarten manchmal nicht aus, ohne gpupdate auszuführen?

Ein Neustart verarbeitet zwar computerseitige Richtlinien, allerdings nur solche, die tatsächlich als geändert erkannt wurden. Bei einer lokal abweichenden Einstellung greift deshalb erst gpupdate /force, da nur dieser Befehl sämtliche Werte unabhängig vom erkannten Änderungsstatus neu setzt.

Fazit

gpupdate bleibt 2026 das zentrale Werkzeug, um Gruppenrichtlinien unter Windows sofort zu aktualisieren, statt auf den automatischen Zyklus zu warten. Ob per Eingabeaufforderung, PowerShell oder GPMC – entscheidend ist stets die richtige Wahl von /force, /target und /logoff.

Zusätzlich hilft gpresult /h dabei, die tatsächliche Wirkung einer Aktualisierung nachvollziehbar zu überprüfen und Fehlerquellen gezielt einzugrenzen.