Microsoft Intune ermöglicht die zentrale Verwaltung aller Endgeräte aus der Cloud — von der automatisierten Bereitstellung über Richtliniendurchsetzung bis hin zur Echtzeit-Compliance-Überwachung.
Grundlagen & Funktionsweise
Microsoft Intune wurde 2011 unter dem Namen „Windows Intune“ eingeführt und hat sich seitdem von einem reinen PC-Verwaltungstool zur umfassendsten Cloud-UEM-Plattform am Markt entwickelt. Der zentrale Paradigmenwechsel gegenüber klassischen On-Premises-Lösungen wie SCCM (System Center Configuration Manager) oder Gruppenrichtlinien (GPO) besteht darin, dass Intune vollständig in der Microsoft-Cloud betrieben wird — es gibt keine lokalen Server, keine VPN-Abhängigkeiten und kein komplexes Infrastrukturmanagement. Geräte kommunizieren direkt über HTTPS mit dem Intune-Dienst und erhalten Konfigurationen, Richtlinien und Anwendungen unabhängig von ihrem Standort. Dieses Modell ist ideal für moderne Arbeitsumgebungen mit Remote-Work, BYOD und verteilten Standorten.
Die Registrierung (Enrollment) eines Geräts bei Intune kann auf verschiedenen Wegen erfolgen: Windows Autopilot für die automatische Ersteinrichtung neuer Windows-Geräte, das Company Portal für Mitarbeiter-initiierte Registrierung, Apple Business Manager (ABM) und Apple School Manager für iOS/macOS, Android Enterprise mit Work Profile oder Fully Managed Device sowie die manuelle Registrierung über Entra ID Join. Nach der Registrierung wird das Gerät automatisch einer oder mehreren Gerätegruppen zugewiesen, die wiederum bestimmte Konfigurationsprofile, Compliance-Richtlinien und App-Zuweisungen erhalten. Die gesamte Kommunikation zwischen Gerät und Intune-Dienst erfolgt verschlüsselt über HTTPS und nutzt plattformspezifische Protokolle: OMA-DM (Open Mobile Alliance Device Management) für Windows und Android sowie das Apple MDM-Protokoll für iOS und macOS.
Ein entscheidender Vorteil von Intune gegenüber reinem MDM ist die Unterstützung von Mobile Application Management (MAM) ohne Geräteregistrierung. Damit können Unternehmen Firmendaten in verwalteten Apps (z. B. Outlook, Teams, OneDrive) schützen, ohne das gesamte Gerät zu kontrollieren — ideal für BYOD-Szenarien. App-Protection-Policies verhindern beispielsweise das Kopieren von Firmendaten in private Apps, erzwingen eine PIN für den App-Zugriff oder löschen Unternehmensdaten selektiv beim Ausscheiden eines Mitarbeiters. Durch die Integration mit Entra ID und Conditional Access entsteht ein geschlossenes Zero-Trust-Modell: Nur registrierte und richtlinienkonforme Geräte erhalten Zugriff auf Unternehmensressourcen wie Exchange Online, SharePoint oder interne Webanwendungen.
- MDM (Mobile Device Management): Vollständige Verwaltung des Geräts einschließlich Betriebssystem-Konfiguration, WLAN- und VPN-Profile, Zertifikate, Gerätebeschränkungen und Remote-Aktionen wie Zurücksetzen, Sperren oder selektives Löschen. MDM erfordert die Registrierung des Geräts bei Intune und eignet sich für unternehmenseigene Hardware.
- MAM (Mobile Application Management): Schutz von Unternehmensdaten auf App-Ebene ohne vollständige Gerätekontrolle. App-Protection-Policies steuern den Datenfluss zwischen verwalteten und nicht verwalteten Apps, erzwingen Verschlüsselung und ermöglichen selektives Löschen von Firmendaten — das private Gerät des Mitarbeiters bleibt unangetastet.
- Entra ID Integration: Intune nutzt Entra ID (vormals Azure AD) als Identitätsanbieter. Jedes registrierte Gerät wird als Objekt in Entra ID angelegt, erhält eine Geräte-ID und kann in dynamischen Gruppen organisiert werden. Single Sign-On, Multi-Faktor-Authentifizierung und rollenbasierte Zugriffssteuerung (RBAC) werden zentral über Entra ID verwaltet.
- Conditional Access: Richtlinien, die den Zugriff auf Cloud-Ressourcen an Bedingungen knüpfen — Geräte-Compliance, Benutzerrisiko, Standort, Anwendung und Geräteplattform. Nur Geräte, die alle definierten Compliance-Anforderungen erfüllen, erhalten Zugang. Nicht konforme Geräte werden automatisch blockiert oder zur Problembehebung aufgefordert.
- Plattformübergreifende Verwaltung: Intune verwaltet Windows (10/11), macOS, iOS/iPadOS, Android (Enterprise, AOSP) und Linux (Ubuntu, RedHat) über eine einzige Konsole. Jede Plattform nutzt ihren nativen Verwaltungskanal, aber Richtlinien, Berichte und Compliance-Bewertungen werden einheitlich im Intune Admin Center zusammengeführt.
Geräteverwaltung & Compliance
Konfigurationsprofile bilden das Rückgrat der Geräteverwaltung in Intune. Sie ersetzen die klassischen Gruppenrichtlinien (GPO) und bieten dabei einen deutlich größeren Funktionsumfang. Über den Einstellungskatalog (Settings Catalog) stehen über 5.000 granulare Einstellungen für Windows allein zur Verfügung — von BitLocker-Verschlüsselung über Windows-Firewall-Regeln bis hin zu Microsoft-Edge-Konfigurationen. Für macOS, iOS und Android existieren plattformspezifische Konfigurationsprofile, die WLAN, VPN, E-Mail, Zertifikate und Gerätebeschränkungen abdecken. Profile werden Gerätegruppen oder Benutzergruppen zugewiesen und automatisch angewendet, sobald ein Gerät der entsprechenden Gruppe beitritt. Konflikte zwischen Profilen werden durch Intunes Konfliktlösungsmechanismus erkannt und im Admin Center angezeigt.
Compliance-Richtlinien definieren die Mindestanforderungen, die ein Gerät erfüllen muss, um als „konform“ zu gelten. Typische Compliance-Regeln umfassen: Mindestversion des Betriebssystems, aktivierte Festplattenverschlüsselung, aktiver Virenschutz, keine Jailbreak-/Root-Erkennung, maximales Alter des letzten Compliance-Checks und Kennwortkomplexität. Nicht konforme Geräte können automatisch markiert, der Benutzer per Push-Benachrichtigung oder E-Mail informiert und — in Kombination mit Conditional Access — vom Zugriff auf Unternehmensdaten ausgesperrt werden. Diese Verknüpfung von Compliance und Conditional Access ist das Kernstück des Zero-Trust-Ansatzes in der Microsoft-365-Welt und stellt sicher, dass nur vertrauenswürdige Geräte Zugang zu sensiblen Ressourcen erhalten.
Windows Autopilot revolutioniert die Gerätebereitstellung für Unternehmen. Anstatt jedes Gerät manuell einzurichten oder ein Master-Image per USB-Stick aufzuspielen, wird das Gerät direkt vom Hardwarehändler an den Mitarbeiter versendet. Beim ersten Einschalten verbindet sich das Gerät automatisch mit dem Intune-Dienst, lädt das zugewiesene Autopilot-Profil herunter und konfiguriert sich selbstständig: Entra ID Join, Konfigurationsprofile, Compliance-Richtlinien und Anwendungen werden im Hintergrund installiert. Der Mitarbeiter muss lediglich seine Firmen-Anmeldedaten eingeben. Dieses Zero-Touch-Deployment spart im Durchschnitt 2–4 Stunden pro Gerät gegenüber der klassischen Bereitstellung und macht einen IT-Vor-Ort-Einsatz überflüssig — ein entscheidender Vorteil für verteilte Unternehmen und Remote-Mitarbeiter.
- Einstellungskatalog (Settings Catalog): Über 5.000 granulare Einstellungen für Windows, macOS und weitere Plattformen. Jede Einstellung kann einzeln konfiguriert und Gerätegruppen zugewiesen werden. Der Settings Catalog ersetzt schrittweise die älteren „Administrative Templates“ und bietet eine konsistente, zukunftssichere Verwaltungsoberfläche.
- Compliance Policies: Regelwerke, die den Soll-Zustand eines Geräts definieren — Betriebssystem-Version, Verschlüsselung, Virenschutz, Kennwortrichtlinien und mehr. Verstöße lösen konfigurierbare Aktionen aus: Benachrichtigung, Markierung als nicht konform, Sperrung des Zugriffs oder Remote-Zurücksetzung nach definierter Frist.
- App-Bereitstellung: Intune unterstützt verschiedene App-Formate: Win32-Apps (MSI, EXE als .intunewin verpackt), LOB-Apps (Line of Business), Microsoft Store-Apps, Web-Apps und verwaltete Apps für iOS/Android. Apps können als erforderlich (automatische Installation), verfügbar (Mitarbeiter installiert bei Bedarf über Company Portal) oder zum Deinstallieren zugewiesen werden.
- Windows Autopilot: Zero-Touch-Bereitstellung neuer Windows-Geräte direkt ab Werk. Das Gerät wird beim Händler registriert (Hardware-Hash), einem Autopilot-Profil zugewiesen und an den Endbenutzer versendet. Beim ersten Start konfiguriert sich das Gerät automatisch — einschließlich Entra ID Join, Konfiguration und App-Installation.
- Endpoint Security: Zentralisierte Sicherheitsverwaltung mit Antivirus-Richtlinien (Microsoft Defender), Festplattenverschlüsselung (BitLocker/FileVault), Firewall-Regeln, Endpoint Detection & Response (EDR) und Attack Surface Reduction (ASR) Rules. Sicherheitsbaselines bieten vorkonfigurierte Best-Practice-Einstellungen für Windows und Microsoft Edge.
- Remote-Aktionen: Administratoren können aus dem Admin Center heraus Geräte zurücksetzen (Wipe), selektiv löschen (Retire), sperren (Remote Lock), den BitLocker-Schlüssel rotieren, eine Synchronisierung erzwingen oder Diagnosedaten sammeln. Für Windows-Geräte steht zusätzlich Remote Help für Bildschirmfreigabe und Fernunterstützung zur Verfügung.
Migration & Best Practices
Die Migration von Gruppenrichtlinien (GPO) und SCCM zu Intune ist für viele Unternehmen der logische nächste Schritt auf dem Weg zur Cloud-Verwaltung. Microsoft unterstützt diesen Übergang durch den Group Policy Analytics-Dienst in Intune: Bestehende GPOs können als XML exportiert und in Intune importiert werden. Der Dienst analysiert jede Einstellung und zeigt, ob sie in Intune verfügbar ist, ob ein MDM-Äquivalent existiert oder ob die Einstellung nicht unterstützt wird. Typischerweise lassen sich 70–85 % der GPO-Einstellungen direkt in Intune-Konfigurationsprofile übertragen. Für die verbleibenden Einstellungen bieten Remediation Scripts (PowerShell-basiert) oder Custom OMA-URI-Einstellungen eine flexible Lösung. Wichtig ist ein schrittweiser Ansatz: Pilotgruppe definieren, Konfigurationen testen, Rollout in Wellen und GPOs erst abschalten, wenn die Intune-Richtlinien validiert sind.
Für Unternehmen, die SCCM weiterhin benötigen — etwa für komplexe Softwareverteilung, Betriebssystem-Deployment oder Server-Verwaltung — bietet Microsoft die Co-Management-Funktionalität. Dabei wird ein Gerät gleichzeitig von SCCM und Intune verwaltet, wobei einzelne Workloads (Compliance, Gerätekonfiguration, Windows Update, Endpoint Protection, Apps) wahlweise an Intune oder SCCM übergeben werden können. Co-Management ermöglicht eine risikoarme, schrittweise Migration: Unternehmen übertragen zunächst Compliance und Windows Update an Intune, behalten aber App-Deployment vorerst in SCCM. Über Monate oder Jahre werden sukzessive weitere Workloads verschoben, bis SCCM vollständig abgelöst werden kann.
Für einen erfolgreichen Intune-Betrieb haben sich mehrere Best Practices bewährt: Nutzen Sie Security Baselines als Startpunkt für die Gerätekonfiguration — Microsoft liefert vorkonfigurierte Baseline-Profile für Windows, Microsoft Edge und Microsoft Defender, die regelmäßig aktualisiert werden. Konfigurieren Sie Windows Update for Business mit gestaffelten Update-Ringen (Preview → Pilotgruppe → breiter Rollout → kritische Systeme), um Updates kontrolliert auszurollen und Kompatibilitätsprobleme frühzeitig zu erkennen. Nutzen Sie Intune Reports und Log Analytics für umfassende Compliance-Berichte, Geräte-Inventarisierung und Trend-Analysen. Automatisieren Sie wiederkehrende Aufgaben über die Microsoft Graph API — von der Geräteregistrierung über Richtlinienzuweisungen bis hin zu Berichtsexporten lässt sich nahezu jede Intune-Funktion programmatisch steuern.
- Group Policy Analytics: Importieren Sie bestehende GPOs als XML in Intune und lassen Sie den Dienst jede Einstellung analysieren. Das Ergebnis zeigt den Migrationsbereitschaftsgrad: „Verfügbar“, „Nicht verfügbar“ oder „Veraltet“. Planen Sie die Migration in Phasen: zuerst Sicherheitsrichtlinien, dann Gerätekonfiguration, zuletzt anwendungsspezifische Einstellungen.
- Co-Management mit SCCM: Aktivieren Sie Co-Management über den Configuration Manager und verschieben Sie Workloads einzeln nach Intune. Beginnen Sie mit Compliance Policies und Device Configuration, da diese am wenigsten Abhängigkeiten zu SCCM haben. Überwachen Sie den Co-Management-Status im Intune Admin Center und nutzen Sie die Pilotgruppen-Funktion, um Workloads zunächst für eine Testgruppe zu verschieben.
- Security Baselines: Setzen Sie die von Microsoft bereitgestellten Sicherheitsbaselines als Ausgangspunkt ein. Diese Baselines enthalten empfohlene Einstellungen für Windows, Microsoft Edge und Microsoft Defender for Endpoint. Passen Sie die Baselines an Ihre Anforderungen an, dokumentieren Sie Abweichungen und aktualisieren Sie regelmäßig auf neue Baseline-Versionen.
- Windows Update for Business: Konfigurieren Sie gestaffelte Update-Ringe für Feature- und Qualitäts-Updates. Ein typisches Modell umfasst vier Ringe: IT-Pilotgruppe (0 Tage Verzögerung), Early Adopters (7 Tage), breiter Rollout (14 Tage) und kritische Systeme (21 Tage). Nutzen Sie Delivery Optimization für bandbreiteneffiziente Verteilung und Windows Autopatch für vollständig verwaltete Update-Prozesse.
- Reporting & Monitoring: Nutzen Sie die integrierten Intune-Berichte für Geräte-Compliance, App-Installationsstatus und Konfigurationsprofilzuweisungen. Für erweiterte Analysen verbinden Sie den Intune Data Warehouse mit Power BI oder exportieren Sie Daten über die Graph API. Die Integration mit Microsoft Sentinel ermöglicht die Korrelation von Intune-Ereignissen mit Sicherheitsvorfällen und automatisierte Reaktionen über SOAR-Playbooks.
Sie benötigen Unterstützung?
Die Einführung von Microsoft Intune erfordert fundiertes Know-how — von der Lizenzplanung über Autopilot-Konfiguration bis hin zur Migration bestehender Gruppenrichtlinien. Unsere Experten begleiten Sie durch den gesamten Prozess: Bedarfsanalyse, Pilotierung, Rollout und Betrieb — praxisnah und auf Ihre Infrastruktur zugeschnitten.
Arbeitsplatz-Einrichtung ansehen →
