UAC ist auf default (ein), lokale Firewall ist aus, RDP ist erlaubt. Ich bin via RDP auf dem Server direkt angemeldet mit einem Adminkonto.
Das Adminkonto ist nicht Internetberechtigt, der service account ist Internetberechtigt, hat dafür keine lokalen Adminrechte.

Ich habe mich jetzt mal mit meinem persönlichen Account angemeldet auf dem Server (lokale Admingruppe temporär) und auch mit dem (online) service account, dort den Proxy im IE eingetragen und wieder abgemeldet.

Ähem, mit netstat -ano sehe ich:

TCP    172.27.x.x:57877   92.123.68.88:80        SYN_GESENDET    1024 

Das ist das content network Akamai beauftragt von MS. Der nimmt den Proxy nicht.
Bin im Moment etwas ratlos...

Folgende Antwort habe ich nun vorliegen: "Unsere Proxy- und AV-Systeme können mit HTTP Byte Range Requests umgehen".

Kann es sein, daß WSUS3 die Updates nicht mit dem Account downloadet, der unter den Synchronisierungsoptionen angegeben ist?
Wie erklärt sich der Verbindungsversucht nach 92.123.68.88:80 (a92-123-68-88.deploy.akamaitechnologies.com  Port 80) trotz Proxyvorgabe in den Einstellungen?
Muss die Konsole mit dem Account (runas) aufgerufen werden, mit dem man Internetberechtigt ist und in dessen IE Optionen auch nochmal der Proxy angegeben ist?

Verwendet WSUS3 eine andere BITS Version oder einen anderen BITS Mechanismus als WSUS2.
Mit einem WSUS2 in derselben Umgebung, ziemlich identisch eingerichtet haben wir seit Jahren keine Probleme.

Danke, ich teste mal ein wenig und melde mich