Microsoft Intune: Grundlagen & Geräteverwaltung

Microsoft Intune ist die cloudbasierte Plattform für Endpoint Management aus der Microsoft-Welt. Damit verwaltest Du Windows-Clients, Smartphones und Tablets zentral über eine einzige Konsole – vom ersten Onboarding über Richtlinien und App-Verteilung bis hin zu Sicherheitsfunktionen wie BitLocker. Dieser Artikel führt Dich durch die Grundlagen: Was Intune ist, wie Du Windows-Clients anbindest, welche Grundkonfiguration sinnvoll ist, wie App-Paketierung funktioniert, und wie das iOS-Onboarding sowie Windows Autopilot ablaufen.

Was ist Microsoft Intune

Intune ist der MDM- und MAM-Dienst (Mobile Device Management / Mobile Application Management) von Microsoft und Teil von Microsoft Intune (früher Endpoint Manager). Statt Geräte lokal über Gruppenrichtlinien und einen On-Premises-Server zu betreuen, verwaltest Du sie über die Cloud. Das bringt zwei Vorteile mit sich: Die Geräte müssen nicht mehr im Firmennetz sein, um Richtlinien zu erhalten, und die Verwaltung ist an die Identität in Entra ID (Azure AD) gekoppelt.

Typische Aufgaben, die Du mit Intune erledigst:

• Onboarding neuer Geräte in die Verwaltung (Enrollment)
• Konfigurationsprofile für Sicherheits- und Systemeinstellungen ausrollen
• Apps paketieren und zuweisen (Win32, Store, Mobile)
• Compliance-Richtlinien durchsetzen und mit Conditional Access verknüpfen
• Sicherheitsfunktionen wie BitLocker, LAPS und Defender steuern

Im Folgenden gehen wir die zentralen Schritte in der Praxis durch.

Onboarding von Windows-Clients

Windows-Geräte lassen sich automatisch in Intune registrieren – etwa per Gruppenrichtlinie in einer hybriden Umgebung. Microsoft beschreibt das Vorgehen unter „Enroll a Windows device automatically using Group Policy".

Bei der Konfiguration der Enrollment-Einstellungen wählst Du als Credential-Typ User Credentials aus. Das Feld für die MDM-ID bleibt dabei leer.

In der Richtlinie „Enable automatic MDM enrollment using default Azure AD credentials" wird als Credential-Typ „User Credential" gewählt.

Sobald die Richtlinie greift, legt Windows im Hintergrund einen Scheduled Task an, der die Registrierung durchführt. Diesen findest Du so:

1. Öffne die Task-Scheduler-App: Klicke auf Start, tippe task scheduler ein und wähle unter den besten Treffern den Task Scheduler aus.
2. Navigiere in der Task Scheduler Library zu Microsoft > Windows und wähle dort EnterpriseMgmt.
3. Führe den Task bei Bedarf als Administrator aus.

Um das Ergebnis zu prüfen, schaust Du in der Spalte Last Run Result nach. Die Logs findest Du im Reiter History.

Der vom Enrollment-Client automatisch erzeugte Task „Schedule created by enrollment client…" unter EnterpriseMgmt führt die MDM-Registrierung durch.

Fehlerdiagnose: Die Meldung 0x80180026 steht für MENROLL_E_DEVICE_MANAGEMENT_BLOCKED – also eine fehlgeschlagene Registrierung. Ursache ist häufig die aktivierte Richtlinie Disable MDM Enrollment. Ist diese gesetzt, wird das Onboarding blockiert und muss zuerst deaktiviert werden.

Grundkonfiguration

Bevor Geräte produktiv verwaltet werden, solltest Du in Entra ID und Intune ein paar grundlegende Weichen stellen. Diese Einstellungen entscheiden über die Sicherheit der gesamten Umgebung.

Enrollment und Identität:

• MFA: An dieser Stelle lässt sich die Multi-Faktor-Authentifizierung für die Geräteregistrierung aktivieren. Das ist dringend zu empfehlen.
• Maximale Anzahl von Geräten pro Benutzer: Dieser Wert kann in Intune überschrieben werden – lege ihn passend zur Umgebung fest.

In den Entra-ID-Geräteeinstellungen legst Du fest, ob MFA für die Registrierung nötig ist und wie viele Geräte ein Benutzer maximal anbinden darf.

Den in Intune überschreibbaren Wert für die maximale Geräteanzahl findest Du unter den Registrierungseinschränkungen:

Über die Gerätelimiteinschränkungen in Intune steuerst Du, wie viele Geräte jeder Benutzer registrieren darf.

Lokale Administratorrechte:

• Globaler Admin als lokaler Admin: Nein. Der Global Admin gehört nicht in die lokale Administratorengruppe der Clients.
• Registrierter Benutzer als lokaler Admin: Nein (keine). Der Endnutzer sollte keine lokalen Adminrechte auf seinem verwalteten Gerät erhalten.
• LAPS (Local Administrator Password Solution): Aktivieren. LAPS verwaltet die lokalen Admin-Passwörter zentral und rotiert sie automatisch – das ist ein wichtiger Baustein gegen Lateral Movement.

Global Admin und registrierter Benutzer werden nicht als lokale Administratoren hinzugefügt, während LAPS aktiviert wird.

BitLocker-Keys:

• Das automatische Sichern der BitLocker-Keys über diese Enrollment-Option steht auf Nein – die BitLocker-Steuerung erfolgt gezielt über ein eigenes Profil (siehe Abschnitt BitLocker).

BYOD / Privatgeräte:

• Die Registrierung privater Geräte (Bring Your Own Device) sollte blockiert werden. Setze die Verwaltung von BYOD auf Block, damit nur firmeneigene Geräte in die Verwaltung aufgenommen werden.

Die BYOD-Steuerung erfolgt über die Registrierungseinschränkungen unter „Geräteplattformeinschränkung".

In der Spalte „Persönliches Eigentum" wird das persönliche (BYOD-)Eigentum je Plattform auf „Blockieren" gesetzt.

Branding:

• Über das Company Branding hinterlegst Du das Firmenlogo und die Anmeldeoberfläche, damit Nutzer beim Onboarding eine vertraute Umgebung sehen. Die restlichen Einstellungen können in der Regel auf den Standardwerten bleiben.

Unter „Mandantenadministrator > Anpassung" bearbeitest Du die Standard-Branding-Richtlinie oder legst zusätzliche Richtlinien an.

App-Paketierung

Windows-Anwendungen (Win32-Apps) müssen für die Verteilung über Intune in ein spezielles Format gebracht werden: die .intunewin-Datei. Dafür gibt es das offizielle Microsoft Win32 Content Prep Tool (IntuneWinAppUtil) von Microsoft auf GitHub. Es packt die Setup-Dateien komprimiert und verschlüsselt in ein .intunewin-Paket, das Du anschließend nach Intune hochladen kannst.

Vor der Nutzung: Lies die Microsoft-Lizenzbedingungen des Tools sowie die Hinweise zu Datenschutz und personenbezogenen Daten in Intune. Mit dem Download und der Nutzung akzeptierst Du die Lizenzbedingungen.

Grundlegende Befehle

# Tool-Version anzeigen (erst ab Version 1.8.2 verfügbar)
IntuneWinAppUtil -v

# Hilfe / Nutzungsinformationen anzeigen
IntuneWinAppUtil -h

# .intunewin-Datei erzeugen
IntuneWinAppUtil -c <setup_folder> -s <source_setup_file> -o <output_folder> <-q>

# Ohne Parameter: das Tool führt interaktiv durch die Eingabe
IntuneWinAppUtil

Ein paar Details zum Erzeugungsbefehl:

• Bei einer MSI-Setup-Datei liest das Tool die benötigten Informationen für Intune automatisch aus.
• Mit -a werden alle Catalog-Dateien aus dem angegebenen Ordner in die .intunewin-Datei gebündelt.
• Mit -q läuft das Tool im Quiet-Modus. Existiert die Ausgabedatei bereits, wird sie überschrieben.
• Existiert der Ausgabeordner nicht, wird er automatisch erstellt.

Verfügbare Kommandozeilen-Parameter

Wichtig: Die erzeugte .intunewin-Datei enthält alle komprimierten und verschlüsselten Quell-Setup-Dateien sowie die Verschlüsselungsinformationen zum Entschlüsseln. Bewahre sie – genau wie Deine Quell-Setup-Dateien – an einem sicheren Ort auf.

Das eigentliche Hinzufügen und Zuweisen der Win32-App erfolgt anschließend im Intune-Portal über das hochgeladene .intunewin-Paket. Dort legst Du Install-/Uninstall-Kommandos, Erkennungsregeln und die Zuweisung zu Gruppen fest.

Intune Master-Tool (Doku, Export, Import)

Für das Dokumentieren, Sichern und Übertragen von Intune-Konfigurationen gibt es ein sehr praktisches Community-Werkzeug: IntuneManagement von Micke-K (auf GitHub). Es ist ein PowerShell-Skript mit WPF-Oberfläche und kann Richtlinien und Profile in Intune und Azure kopieren, exportieren, importieren, löschen, dokumentieren und vergleichen. Zusätzlich lassen sich ADMX-Dateien und Registry-Einstellungen per ADMX-Ingestion importieren sowie PowerShell-Skripte ansehen und bearbeiten.

Das Tool eignet sich damit hervorragend für die Dokumentation einer bestehenden Umgebung, für Backups von Profilen und für das Übertragen von Konfigurationen zwischen Tenants.

Start:

1. Führe die Start.cmd aus.
2. Falls das Skript nicht startet, setze die Execution Policy gegebenenfalls auf Unrestricted:

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Unrestricted

Danach meldest Du Dich in der Oberfläche am gewünschten Tenant an und kannst die einzelnen Objekttypen exportieren oder importieren.

BitLocker

BitLocker verschlüsselt die Systemlaufwerke und wird ebenfalls über Intune-Profile gesteuert. Zwei Aspekte sind dabei aus Sicherheitssicht besonders wichtig.

Nutzer am Auslesen der Keys hindern: Standardmäßig könnten Endnutzer ihre BitLocker-Wiederherstellungsschlüssel über ihr eigenes Microsoft-Konto einsehen. Das ist in einer verwalteten Umgebung meist unerwünscht. Über die entsprechende Richtlinie unterbindest Du, dass Nutzer ihre BitLocker-Keys über das eigene MS-Konto auslesen.

Mit „Ja" wird Nicht-Administratoren das Self-Service-Wiederherstellen der BitLocker-Schlüssel für die eigenen Geräte untersagt.

Speichern der Recovery-Keys: Die Wiederherstellungsschlüssel sollten zentral gesichert werden – bei Entra-ID-verbundenen Geräten landen sie in Entra ID und sind dort für Administratoren abrufbar. So bleibt der Zugriff auf verschlüsselte Geräte auch dann möglich, wenn ein Nutzer den Schlüssel nicht mehr hat.

Onboarding von iOS-Geräten

Firmeneigene iPhones und iPads bindest Du über den Apple Business Manager (ABM) in Kombination mit dem Apple Configurator in Intune ein. Der Ablauf:

1. Melde Dich im Apple Configurator mit dem Geschäftsaccount an.
2. Konfiguriere das neue iPhone bis zum Punkt WLAN-Auswahl. Scanne dann mit dem Configurator über die Kamera das Gerät ein.
3. Anschließend erscheint das Gerät im Apple Business Manager.
4. Sobald das Gerät im ABM sichtbar ist und auf dem iPhone „iPhone löschen" angezeigt wird, starte in Intune unter Enrollment den Sync (andernfalls läuft dieser automatisch alle 12 Stunden). Falls das Gerät nicht automatisch zugewiesen wird, weise es der Geräteverwaltung in Intune manuell zu.
5. Nach erfolgreichem Intune-Sync klickst Du auf dem iPhone auf „iPhone löschen" und richtest das Gerät ein.

Nach dem Sync des Registrierungsprogramm-Tokens erscheint das Gerät (hier ein iPad Mini) mit Seriennummer im Intune Admin Center.

Nach der Synchronisierung erscheint das Gerät als verwaltet in Intune und erhält bei der Ersteinrichtung automatisch die zugewiesenen Profile und Apps.

Windows Autopilot

Windows Autopilot automatisiert die Erstinbetriebnahme neuer Windows-Geräte: Der Nutzer packt das Gerät aus, verbindet sich mit dem WLAN, und der Rest – Beitritt zu Entra ID, Registrierung in Intune, Ausrollen von Profilen und Apps – läuft automatisch ab. Damit das funktioniert, muss die Hardware des Geräts vorab bekannt gemacht und einer passenden Gruppe zugewiesen werden.

Der Windows-Autopilot-Bereich bündelt Bereitstellungsprofile (1) und die Seite „Registrierungsstatus" (2), über die die Out-of-Box-Erfahrung gesteuert wird.

Zuweisung über eine dynamische Gruppe

Autopilot-Geräte werden anhand ihrer Hardware-ID über eine dynamische Gruppe zusammengefasst. Die Mitgliedschaftsregel für eine solche Gruppe kann so aussehen:

(((device.deviceOSType -eq "Windows") and (device.deviceModel -notStartsWith "Surface Hub") and (device.displayName -notStartsWith "AVD")) or ((device.devicePhysicalIds -any _ -contains "[ZTDId]") and (device.deviceModel -notStartsWith "Surface Hub")))

Diese Regel nimmt Windows-Geräte auf, schließt Surface Hubs und AVD-Systeme aus und fasst alle Geräte mit einer Autopilot-Kennung (ZTDId) zusammen.

Über das Bereitstellungsprofil legst Du fest, wie die Windows-Willkommensseite (OOBE) für diese Geräte aussieht:

Im Deployment-Profil bestimmst Du unter anderem Bereitstellungsmodus, Sprache, ausgeblendete Zustimmungen und die Namensvorlage (hier %SERIAL%).

Ergänzend steuert die Seite „Registrierungsstatus" (Enrollment Status Page), welche Rückmeldung der Nutzer während der Einrichtung sieht:

Die Seite „Registrierungsstatus" wird bei der Ersteinrichtung und der ersten Benutzeranmeldung angezeigt und lässt sich pro Gruppe zuweisen.

Hardware-ID auslesen

Sind die Vorbereitungen getroffen, müssen die neu gekauften Geräte in Intune bekannt gemacht werden. Das geschieht über ein PowerShell-Skript, das die Hardware-ID des Geräts ausliest und sie entweder als CSV speichert oder direkt in den Tenant einträgt. Das Skript wird typischerweise über die Eingabeaufforderung des Wiederherstellungsfensters ausgeführt. Microsoft beschreibt den Ablauf unter „Manually register devices with Windows Autopilot".

Variante 1 – Hardware-ID als CSV speichern:

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

Die entstandene CSV lädst Du anschließend im Intune-Portal unter den Autopilot-Geräten hoch.

Variante 2 – Hardware-ID direkt online eintragen (erfordert Intune-Rechte):

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -Online

Bei der Online-Variante wird das Gerät direkt in den Tenant registriert, ohne den Umweg über eine CSV-Datei.

Über Get-WindowsAutopilotInfo -Online wird die Hardware-ID direkt in den Intune-Tenant importiert.

Wichtige Prüfpunkte

Damit das Onboarding sauber durchläuft, solltest Du im Vorfeld ein paar Punkte kontrollieren:

• MDM-User-Scope prüfen: Stelle sicher, dass die betroffenen Personen im MDM-User-Scope liegen, damit sie sich überhaupt onboarden können.
• App-Zuweisungen prüfen: Kontrolliere die Zuweisungen der Apps. Bei Store-Apps scopest Du am besten auf Device-Ebene statt auf Nutzerebene, damit die Apps unabhängig vom angemeldeten Benutzer installiert werden.
• Neustart nach WLAN-Auswahl: Nach der WLAN-Auswahl ist während des Autopilot-Vorgangs ein Neustart einzuplanen – erst danach läuft die Bereitstellung vollständig durch.

Damit hast Du den kompletten Grundstock für den Einstieg in Intune: von der ersten Anbindung über Konfiguration und App-Verteilung bis zum vollautomatisierten Autopilot-Rollout. In den kommenden Artikeln der Reihe gehen wir tiefer in Compliance-Richtlinien, Conditional Access und die Absicherung mobiler Geräte.