Läuft denn ein Bereinigungsscript für den WSUS täglich? Für den von dir gen. Fall habe vor ein paar Jahren ein Script geschrieben, das mir mehrmals täglich die nicht mehr benötigten Defender Updates ablehnt und löscht.

Als DeclineDefender.sql abspeichern und erstmalig im SQL Server Management öffnen und ausführen. Anschließend die WSUS-Konsole aktualisieren. Sieht man einen Unterschied?

USE [SUSDB]
GO
--Lehnt und löscht abgelaufene Defender Updates ab. 18.12.2017

Declare @Anzahl int

Set @Anzahl = (SELECT 
	Count([UpdateId]) As Anz
FROM
	[SUSDB].[PUBLIC_VIEWS].[vUpdate]
where
	KnowledgebaseArticle = '2267602' and
	PublicationState = 'Expired' and
	IsDeclined = 0
)
print @anzahl

Declare @UpdateID1 uniqueidentifier

IF @Anzahl = 0
	Begin
		--Print '= 0!'
		RETURN
	End
IF ( @Anzahl > 0)
	START:
		Begin

		-- Hier kommt die Schleife.
		While ( @Anzahl > 0 ) BEGIN
			SET @UpdateID1 = ( SELECT TOP 1 [UpdateId]  FROM [SUSDB].[PUBLIC_VIEWS].[vUpdate]  where IsDeclined = 0 and PublicationState = 'Expired' and KnowledgebaseArticle = '2267602'
			)
				-- Update ablehnen.	Die Stored Procedure spDeclineUpdate ist natürlich im Original bei jedem WSUS in der SUSDB dabei.
				EXEC [SUSDB].[dbo].[spDeclineUpdate] @UpdateID1;
				-- Update löschen. Die Stored Procedure spDeleteUpdateByUpdateID ist natürlich im Original bei jedem WSUS in der SUSDB dabei.
				EXEC [SUSDB].[dbo].[spDeleteUpdateByUpdateID] @UpdateID1;
				-- Von der Gesamt Anzahl abziehen.
				SET @Anzahl-=1

		END

		IF( @Anzahl > 0 )
			GOTO Start
		ELSE
			--Wenn es keine Definitionsupdates zum Ablehnen gibt, wird die SP/das Script verlassen.
			RETURN
		END

 

So ein ähnliches Script hab ich für die Edge Builds auch schon erstellt, falls Du daran Interesse hast, im MCSEBoard findet sich ein Thread dazu und das Script.

EDIT: Das Script kann man auch mittels Taskplaner in einer Batch aufrufen. Lief in der Umgebung für die es gemacht war stündlich immer nach der Synchronisierung des WSUS und vor der Synchronisierung der Downstream WSUS.

EDIT2: Du kannst das Script kopieren und die KB-Nummer durch eine andere ersetzen, dann passiert das gleiche mit den anderen Defender Updates.