Microsoft Intune: Geräte zentral verwalten

Der Klassiker in vielen IT-Abteilungen: Du richtest Laptops von Hand ein, läufst durchs Büro, klickst dich durch Assistenten und hoffst, dass alle Einstellungen stimmen. Spätestens bei Remote- oder Hybrid-Teams ist dieses Modell tot. Microsoft Intune ist genau dafür da, diesen Turnschuh-Admin-Alltag abzulösen und Geräte zentral, reproduzierbar und sicher zu verwalten.

Was Intune eigentlich macht

Intune ist Microsofts Cloud-Dienst für Endpoint-Management. Du verwaltest damit:

• Windows-Clients (inklusive Autopilot)
• Mobile Geräte mit iOS/iPadOS und Android
• Teilweise auch macOS

Statt lokalem AD-Gruppenrichtlinien-Mix und manuellen Installationen arbeitest du mit:

• Enrollment: wie Geräte in die Verwaltung kommen
• Konfigurationsprofilen: welche Einstellungen gelten
• Compliance-Richtlinien: was „regelkonform“ bedeutet
• App-Verteilung: welche Software auf welches Gerät kommt
• Autopilot: wie neue Windows-Geräte out of the box fertig eingerichtet werden

Die Steuerzentrale ist die Microsoft Endpoint Manager Admin Center Oberfläche im Browser. Intune hängt dabei eng an Azure AD (Entra ID) und Microsoft 365.

Enrollment: Geräte sauber in Intune bringen

Ohne Enrollment keine Verwaltung. Entscheidend ist, dass du hier von Anfang an klare Prozesse definierst. Drei typische Szenarien:

1. Firmenlaptops mit Windows

Hier ist Windows Autopilot der Standardweg. Die grobe Idee:

1. Gerät wird beim Hersteller oder von dir selbst mit seiner Hardware-ID in deinem Tenant registriert.
2. Du weist das Gerät einem Autopilot-Profil zu, das z. B. festlegt:

• Benutzergetrieben oder Self-Deploy
• Sprache, Region, Datenschutzdialoge
• Ob der Benutzer lokaler Administrator sein darf

3. Der Benutzer packt das Gerät aus, verbindet es mit dem Internet, meldet sich mit seinem Firmenkonto an.
4. Autopilot sorgt dafür, dass das Gerät automatisch in Azure AD und Intune registriert und mit deinen Profilen, Richtlinien und Apps versorgt wird.

Wichtig ist, dass du vorher definierst, ob du „Azure AD joined“ oder „Hybrid Azure AD joined“ arbeiten willst. Voll Cloud-basiert ist meist einfacher und zukunftssicherer, gerade wenn du viele Homeoffice-Arbeitsplätze hast.

2. BYOD oder private Smartphones

Für private Geräte willst du in der Regel keine Vollkontrolle, sondern nur den geschäftlichen Teil absichern. Hier nutzt du:

• Mobile Application Management (MAM) mit App-Schutzrichtlinien
• Optional Enrollment als „persönliches Gerät“, bei dem du klar trennst:
• Unternehmensdaten (verwaltet, löschbar)
• Private Daten (bleiben unangetastet)

Gerade bei BYOD solltest du sauber kommunizieren, was du technisch sehen und steuern kannst und was nicht. Das schafft Akzeptanz und reduziert Diskussionen.

3. Bestehender Gerätepark

Du wirst selten bei Null anfangen. Für bestehende Windows-Clients kannst du:

• Ein Onboarding-Skript über z. B. Group Policy oder ein altes Management-Tool ausrollen
• Manuell testen mit einzelnen Pilotgeräten
• Schrittweise Abteilungen migrieren

Plane eine Übergangszeit, in der alte GPOs und neue Intune-Richtlinien parallel existieren. Achte darauf, dass sie sich nicht widersprechen.

Konfigurationsprofile: Standards festschreiben

Konfigurationsprofile definieren, wie ein Gerät aussehen und sich verhalten soll. Typische Beispiele:

• WLAN-Profile: Firmen-WLAN mit Zertifikat, SSID, Authentifizierung
• VPN-Profile: Ziel, Authentifizierung, Split-Tunneling
• E-Mail-Profile: Exchange- oder Outlook-Konfiguration
• Geräteeinstellungen: Sperrbildschirm, Passwortanforderungen, Windows-Update-Settings
• macOS/iOS/Android-spezifische Einstellungen

Du weist Profile über Zielgruppen zu, zum Beispiel:

• Alle Benutzer einer Abteilung
• Alle Geräte einer bestimmten Plattform
• Gerätegruppen nach Standort (z. B. „München“, „Remote“)

Best Practices:

• Lieber mehrere kleinere Profile als ein Monsterprofil. So kannst du gezielter testen und Probleme eingrenzen.
• Namenskonventionen etablieren, z. B. „CFG-WIN-Update-Standard“ oder „CFG-ANDROID-WLAN-MUC“.
• Testgruppen einführen, bevor du Profile breit ausrollst.

Gerade bei Windows lohnt sich ein Blick auf die Vorlagen mit ADMX-basierten Einstellungen. Viele klassische GPO-Optionen findest du hier wieder.

Compliance-Richtlinien: Was ist ein „gesundes“ Gerät?

Compliance-Richtlinien definieren, ob ein Gerät als „konform“ gilt. Das ist die Basis für Conditional Access, also für Regeln wie „Nur konforme Geräte dürfen auf Exchange Online zugreifen“.

Typische Compliance-Einstellungen:

• PIN- oder Passwortlänge, Komplexität
• Verschlüsselung (BitLocker, FileVault, Gerätespeicher)
• Jailbreak/Root-Erkennung bei mobilen Geräten
• Minimal erforderliche Betriebssystemversion
• Ob Antivirenschutz aktiv ist

Ein Beispiel: Du definierst, dass Windows-Geräte nur compliant sind, wenn:

• BitLocker aktiv ist
• Windows Defender aktiv ist
• Das Gerät nicht älter als eine bestimmte OS-Version ist

Dann erstellst du in Azure AD eine Conditional-Access-Regel:

• Wenn: Zugriff auf Exchange Online oder SharePoint Online
• Dann: Nur erlauben, wenn das Gerät compliant ist

Damit erreichst du, dass ein unsicherer oder veralteter Client zwar vielleicht noch ins Internet kommt, aber keine sensiblen Unternehmensdaten synchronisieren kann.

Wichtig: Compliance-Regeln sind keine reinen „Nice-to-have“-Reports. Sie sollten konkrete Konsequenzen haben, sonst bleiben sie zahnlos.

App-Verteilung: Software automatisiert bereitstellen

Intune ersetzt hier zu einem guten Teil das klassische Softwareverteilungssystem. Die Grundprinzipien:

App-Typen

• Store-Apps:
• Microsoft Store-Apps für Windows
• iOS- und Android-Apps aus den App-Stores
• Line-of-Business-Apps:
• Eigene oder Drittanbieter-Apps als MSI, EXE, APK, IPA usw.
• Web-Apps:
• Verknüpfungen auf Web-Anwendungen, die wie Apps aussehen

Zuweisung

Du kannst Apps:

• Erforderlich zuweisen: Die App wird automatisch installiert.
• Verfügbar machen: Benutzer können sie im Unternehmensportal selbst installieren.
• Deinstallieren: Für bestimmte Gruppen wieder entfernen.

Gerade die Option „verfügbar“ ist praktisch, um nicht jeden Spezialfall vorzugeben, sondern einen Self-Service-Katalog anzubieten.

Praxisbeispiel Windows

Du definierst etwa:

• „Erforderlich“:
• Office-Apps
• VPN-Client
• Endpoint-Security-Agent
• „Verfügbar“:
• Tools wie 7-Zip, Notepad++, diverse Browser
• „Spezial“ (nur für bestimmte Gruppen):
• Entwicklungswerkzeuge
• Grafiksoftware

Achte darauf, Installationsparameter und Silent-Setups sauber zu testen. Intune bietet Logs und Statusberichte, mit denen du siehst, auf welchen Geräten die App-Installation scheitert.

Autopilot: Moderne Gerätebereitstellung ohne Imaging

Mit Autopilot verabschiedest du dich von klassischen Images und Goldmaster-Ansätzen. Stattdessen:

• Du nutzt das vom Hersteller vorinstallierte Windows.
• Du steuerst per Autopilot-Profil, wie sich der Out-of-Box-Experience-Assistent verhält.
• Intune erledigt den Rest: Join, Konfiguration, Apps.

Typische Profileinstellungen:

• Benutzergetriebene Bereitstellung: Der Benutzer meldet sich an, das Gerät wird seinem Konto zugeordnet.
• Self-Deploy: Für Kiosks, Shared Devices, Meetingraum-PCs.
• Vorkonfiguration von Sprache, Region, Datenschutz und Telemetrie.
• Automatische Registrierung in Intune.

Mehrwert in der Praxis:

• Neue Kollegin in München: Laptop wird direkt zum Büro oder nach Hause geliefert, sie meldet sich mit ihrem Firmenkonto an. Nach kurzer Zeit sind alle Apps, Einstellungen und Sicherheitsrichtlinien drauf.
• Austauschgerät bei Defekt: Kein Neuaufsetzen, einfach neues Autopilot-Gerät, Anmeldung, Rest läuft automatisiert.

Wichtig ist, dass deine Netzwerk- und Proxy-Umgebung den Zugriff auf die Microsoft-Dienste während des Setups erlaubt, sonst bleibt der Autopilot-Prozess hängen.

Von Turnschuh-Admin zu modernem Management

Der Wechsel zu Intune ist nicht nur ein Toolwechsel, sondern ein Prozesswechsel. Einige Punkte, die du beachten solltest:

1. Rollen und Verantwortlichkeiten klären

Wer definiert:

• Standardkonfigurationen
• Sicherheitsvorgaben
• App-Katalog

Gerade in größeren Umgebungen ist es sinnvoll, Rollen zu trennen:

• Intune-Admin
• Security-Verantwortliche
• Helpdesk mit eingeschränkten Rechten

2. Pilotgruppen aufbauen

Starte mit:

• Einer kleinen, motivierten Pilotgruppe, die Feedback gibt
• Einem klaren Scope: z. B. nur Windows-Laptops einer Abteilung
• Dokumentierten Prozessen: Enrollment, Rückgabe, Gerätewechsel

Erst wenn das stabil läuft, erweiterst du auf weitere Geräteklassen und Standorte.

3. Kommunikation mit den Anwendern

Modernes Management bedeutet oft:

• Mehr Sicherheit (z. B. strengere Passwortregeln)
• Klarere Trennung privat/geschäftlich
• Neue Abläufe bei Gerätedefekt oder -verlust

Wenn du das nicht erklärst, erzeugst du Widerstand. Kurze Anleitungen, FAQ und ein klarer Ansprechpartner helfen enorm.

4. Altsysteme ablösen

Viele Unternehmen haben noch:

• Gruppenrichtlinien, die mit Intune-Richtlinien kollidieren
• SCCM oder andere Softwareverteilung
• Lokale Scriptsammlungen

Hier brauchst du einen Migrationsplan:

• Welche Richtlinien wandern zu Intune?
• Welche Softwarepakete werden durch Intune-Apps ersetzt?
• Welche Legacy-Systeme bleiben vorerst parallel, weil sie Spezialfälle abdecken?

Sicherheit und Datenschutz im Blick behalten

Intune ist eng mit Microsofts Security-Stack verzahnt, etwa mit Defender for Endpoint und Conditional Access. Ein paar Praxis-Tipps:

• Nutze Compliance und Conditional Access zusammen, um sensible Dienste wie Exchange Online, SharePoint und Teams zu schützen.
• Definiere klare Regeln für Geräteverlust: Remote Wipe, nur Unternehmensdaten löschen, Meldewege.
• Prüfe, welche Telemetriedaten für dein Unternehmen akzeptabel sind, besonders in stark regulierten Branchen.

Beim Thema Datenschutz ist Transparenz gegenüber den Mitarbeitenden wichtig. Dokumentiere:

• Welche Daten werden erfasst (z. B. Gerätestatus, Compliance, installierte Unternehmens-Apps).
• Was explizit nicht überwacht wird (z. B. private Fotos, private App-Nutzung bei BYOD, sofern technisch ausgeschlossen).

Fazit: Intune als Grundlage für eine moderne Arbeitsplatzstrategie

Mit Intune schaffst du eine Plattform, auf der du Geräte, Apps und Sicherheit zentral steuerst. Enrollment-Prozesse, Konfigurationsprofile, Compliance-Richtlinien, App-Verteilung und Autopilot greifen ineinander und ersetzen viele manuelle Tätigkeiten. Gerade mit verteilten Teams, Remote-Work und mehreren Standorten, etwa einem Hauptsitz in München plus internationale Niederlassungen, kommst du an einem sauberen Cloud-basierten Gerätemanagement kaum vorbei.

Wenn du das Thema vertiefen willst, lohnt sich praktische Erfahrung in einer Testumgebung und der Blick in offizielle Microsoft-Dokumentation, zum Beispiel auf Microsoft Learn. Für strukturierte Schulungen und Workshops zu Intune und moderner Gerätekonfiguration findest du passende Angebote und aktuelle Termine bei cmt.de.