Intune / Endpoint Management

Was Intune macht Enrollment-Wege Compliance Konfigurationsprofile Autopilot-Ablauf

Was Intune macht

Geräte und Apps aus der Cloud verwalten — ohne lokalen Verwaltungsserver.

MDM und MAM

Microsoft Intune ist Microsofts cloudbasierte Lösung für Unified Endpoint Management (Teil von Microsoft 365 / „Intune Suite"). Es verwaltet Windows-, macOS-, iOS/iPadOS- und Android-Geräte zentral über das Portal intune.microsoft.com — kein WSUS-, SCCM- oder Verwaltungsserver vor Ort nötig.

MDM (Mobile Device Management): Verwaltung des gesamten Geräts — Richtlinien, Apps, Verschlüsselung, Wipe. Für firmeneigene Geräte.
MAM (Mobile Application Management): Verwaltung nur der Unternehmens-Apps und -Daten (App Protection Policies), ohne das ganze Gerät zu enrollen. Ideal für private Geräte (BYOD) — Firmendaten lassen sich selektiv löschen, Privates bleibt unberührt.

Zusammenspiel mit Entra ID

Intune baut vollständig auf Entra ID auf: Geräte werden per Entra Join (oder Hybrid Join) registriert, Zuweisungen erfolgen über Entra-Gruppen, und der Compliance-Status fließt direkt in Conditional Access ein („Nur konforme Geräte dürfen auf Firmendaten zugreifen").

Enrollment-Wege

Wie Geräte unter Verwaltung kommen — je nach Herkunft und Szenario.

Weg	Szenario	Ablauf	Nutzererlebnis
Windows Autopilot	Neue firmeneigene Windows-Geräte	Hardware-Hash beim OEM/Reseller hinterlegt; Gerät konfiguriert sich beim ersten Start selbst	Zero-Touch
Company Portal	BYOD / bestehende Geräte (Win, iOS, Android, macOS)	Nutzer installiert die App „Unternehmensportal" und meldet Gerät selbst an	Self-Service
Hybrid Entra Join	Geräte, die auch im lokalen AD Mitglied sind	Domain Join + automatische MDM-Registrierung via GPO/Autopilot	Übergangsszenario
Automatische MDM-Registrierung	Alle Entra-Join-Geräte im Tenant	MDM-Scope in Entra auf „Alle" — Gerät wird bei Entra-Join automatisch enrollt	Automatisch
Apple ADE / Android Enterprise	Firmeneigene mobile Geräte in Menge	Apple Business Manager bzw. Managed Google Play koppeln	Zero-Touch

Für neue Windows-Notebooks im KMU ist Autopilot der Standard: Der Mitarbeiter packt das Gerät aus, verbindet WLAN, meldet sich mit dem Firmenkonto an — der Rest passiert automatisch.

Compliance-Richtlinien

Definieren, wann ein Gerät als „konform" gilt — Grundlage für Conditional Access.

Typische Anforderungen (Windows)

BitLocker: Laufwerksverschlüsselung aktiv erforderlich.
Secure Boot & TPM: Systemintegrität / Trusted Platform Module aktiviert.
Firewall: Windows-Defender-Firewall eingeschaltet.
Antivirus / Defender: Echtzeitschutz aktiv, Signaturen aktuell.
Mindest-OS-Version: z. B. Windows 11 ab Build 22H2 — hält veraltete Systeme draußen.
Kennwort/PIN: Mindestlänge und Komplexität, automatische Sperre.

Nicht-Konformität behandeln

Zu jeder Richtlinie gehört eine Aktion bei Nichtkonformität mit Karenzzeit: z. B. „Nach 3 Tagen als nicht konform markieren" und eine Warn-E-Mail an den Nutzer. Kombiniert mit Conditional Access wird der Zugriff auf Firmendaten dann automatisch blockiert, bis das Gerät wieder konform ist.

💡

Die Compliance-Richtlinie bewertet nur. Erzwingen (Zugriff sperren) übernimmt Conditional Access über die Bedingung „Als konform markiertes Gerät erforderlich".

Konfigurationsprofile

Der Ersatz für Gruppenrichtlinien in der Cloud-Welt.

Typische Profil-Beispiele

WLAN-Profil: Firmen-SSID inkl. Zertifikat/PSK automatisch ausrollen.
VPN-Profil: vorkonfigurierte Verbindung (z. B. Always-On-VPN).
Zertifikate: SCEP-/PKCS-Zertifikate für WLAN, VPN, E-Mail verteilen.
Endpoint Security / Defender: Antivirus-, Firewall- und Angriffsflächenregeln (ASR).
BitLocker-Verschlüsselung: Erzwingen und Wiederherstellungsschlüssel in Entra sichern.
Settings Catalog: tausende einzelne Windows-Einstellungen wie früher per GPO (Startmenü, Edge, Update-Ringe).
Update Rings / Windows Update for Business: gestaffelte Verteilung von Feature- und Qualitätsupdates.

Der moderne Weg ist der Einstellungskatalog (Settings Catalog) — er bündelt fast alle CSP-Einstellungen an einer Stelle und löst die alten „Administrativen Vorlagen" nach und nach ab.

Windows Autopilot — Kurz-Ablauf

Vom OVP-Karton zum einsatzbereiten, verwalteten Gerät ohne Image.

Ablauf in Schritten

Hardware-Hash registrieren: Reseller/OEM lädt die Geräte-IDs in den Tenant hoch, oder Sie exportieren sie mit Get-WindowsAutopilotInfo.
Autopilot-Profil zuweisen: Deployment-Profil (User-Driven / Self-Deploying, OOBE-Einstellungen) an die Geräte-Gruppe binden.
Gerät auspacken & starten: Nutzer verbindet Netzwerk, die OOBE erkennt das Gerät als Autopilot-Gerät.
Anmeldung: Nutzer meldet sich mit dem Entra-Firmenkonto an → automatischer Entra Join + Intune-Enrollment.
Enrollment Status Page (ESP): Apps, Zertifikate und Richtlinien werden vor der ersten Desktop-Nutzung installiert; Fortschritt wird angezeigt.
Fertig: Der Nutzer landet auf einem vollständig konfigurierten, konformen Desktop.

Get-WindowsAutopilotInfo (Hash-Export)

Zum manuellen Erfassen der Hardware-ID eines vorhandenen Geräts (lokal in PowerShell als Admin):

# Skript aus der PowerShell Gallery installieren Install-Script -Name Get-WindowsAutopilotInfo -Force # Hardware-Hash in CSV exportieren (dann im Intune-Portal hochladen) Get-WindowsAutopilotInfo -OutputFile C:\HWID.csv

⚠️

Voraussetzungen: Intune-Lizenz (z. B. Microsoft 365 Business Premium, E3/E5 oder Intune-Plan), Entra ID P1 für automatische MDM-Registrierung, sowie ein aktivierter MDM-Scope in Entra. Autopilot setzt zudem Entra Join und einen Internetzugang während der OOBE voraus. Für automatische Registrierung muss die „Automatic Enrollment"-Einstellung in Entra auf die Zielgruppe gesetzt sein.