SBS 2011: Installation von KB4457144 schlägt beim Reboot fehl - Von Dienst gesperrte Schriftart ursächlich

Moinsen zusammen!

Das hat mich einige graue Haare gekostet:
Ein SBS 2011 weigerte sich schon im August, das monatl. Sicherheitsqualitätsrollup zu installieren. Das Juliupdate hatte ich "sicherheitshalber" (sic!) wegen zuvieler berichteter Probleme zurückgestellt... (Danke, Günther Born!)
Nachdem das bei dem Septemberupdate so blieb, musste ich ja was unternehmen...

Hinweise auf die Ursache des Fehlers 8007020 finden sich recht schnell, z.B. hier:
https://social.technet.microsoft.com/Forums/windows/en-US/b0e1aad8-008b- ...

Allerdings habe ich weder die dort erwähnte Backupsoftware im Einsatz, noch wurde mir im Windowsupdate.log ein Hinweis auf Tahoma gegeben.
Nur der Fehler, dass das Update mit Error 8007020 nicht installiert werden konnte.
Das Update liess sich auch händisch nicht installieren, die üblichen Lösungen brachten nichts. Oder doch am Ende etwas: Nachdem das SystemUpdateReadiness-Tool durchgelaufen war, wurde im Updatelog plötzlich die SegoeUI als gesperrt vermeldet. Händisches Installieren der Schrift aus dem extrahierten Updatepack brachte nix, also dachte ich an ein Rechteproblem des TrustedInstaller auf dem Ordner. War es aber auch nicht. Aber:

Der ProcessExplorer zeigte mir bei einer Suche ("Find Handle or DLL") nach SegoeUI allerdings meinen Mailfetcher Pullution.net 1.2 an, der die SegoeUI in Verwendung hatte.
Der ist als Dienst eingerichtet und steht auf "Automatisch". Hier wäre "verzögerter Start" wohl besser gewesen...
Also Pullution deaktiviert, Update installiert, gefreut. (Und jetzt verzögert starten gewählt)

Es ist am Ende immer so einfach, wenn man die Lösung dann hat... Und der Weg zieht sich endlos, da jeder Reboot nach jedem Versuch immer mehr als 30 min. gedauert hat mit dem Rollback.

Warum man aber heutzutage auf alle Sicherheitsupdates in dem Bündel verzichten muss, nur weil sich eine Schriftart nicht ersetzen lässt, weiss auch nur MS.
Genau diese Fälle hatte ich befürchtet, als die mit den kumulativen Updates angefangen haben.
Letzlich bleibt die Lehre, nicht fürs System erforderliche Dienste verzögert zu starten. Dann pfuschen die da auch nicht rein.

Vielleicht hilfts ja noch wem, den Lösungsweg abzukürzen...

Der Buc