Alles andere muss sich jedenfalls für den Proxy authentifizieren. Der WSUS (u.a) ist da die Ausnahme.
Kann jetzt ein kleines Statusupdate abgeben: Hab erstmal nur den WSUS an sich zurückgesetzt mit einer Anleitung unter https://social.technet.microsoft.com/Forums/office/en-US/0119f29b-729e-469d-85b4-7d1e547ebe2d/how-to-completely-remove-wsus-on-windows-2012-r2?forum=winserverwsus
Zwar läuft noch die Erstsynchronisierung und die Gruppen werden noch nicht korrekt angezeigt, aber die Clients geben wieder nach und nach Statusberichte ab. Mal schauen wie es aussieht, wenn er komplett fertig ist.