Microsoft Intune: Endgeräte zentral verwalten und absichern

Microsoft Intune ist der Cloud-Dienst von Microsoft für die zentrale Verwaltung und Absicherung von Endgeräten. Unternehmen steuern damit Windows-PCs, Macs, iPhones, iPads, Android-Geräte und Linux-Systeme über eine Oberfläche - egal, ob die Geräte im Büro, im Homeoffice oder unterwegs sind. Intune ist Teil von Microsoft 365 und in Business Premium, E3 und E5 bereits enthalten.

Mit Microsoft Intune können Sie:

• Geräte registrieren und mit Sicher­heits­richt­linien versorgen, etwa BitLocker-Verschlüsselung, Firewall und Kennwortregeln
• Grup­penricht­linien durch Konfi­gura­tions­profile aus der Cloud ersetzen
• neue Geräte mit Windows Autopilot automatisch einrichten
• Apps und Updates zentral verteilen
• Unternehmensdaten auf privaten Smartphones schützen, ohne das ganze Gerät zu verwalten
• verlorene Geräte aus der Ferne sperren oder löschen

Zusammen mit Conditional Access entscheidet Intune außerdem, welches Gerät überhaupt auf Unternehmensdaten zugreifen darf. Nur verwaltete und sichere Geräte erhalten Zugriff auf E-Mails, Teams und SharePoint.

Sie möchten Intune zuerst ausprobieren? Wir richten Ihnen eine kostenlose Microsoft 365 Testversion ein.

In den meisten Unternehmen existieren heute Windows-Laptops neben MacBooks, iPhones neben Android-Smartphones und vereinzelt Linux-Systeme. Ohne eine zentrale Verwaltung weiß niemand, welche Geräte auf Unternehmensdaten zugreifen, ob die Festplatten verschlüsselt sind, welche Softwareversionen installiert sind oder ob das letzte Sicherheitsupdate eingespielt wurde. Microsoft Intune löst dieses Problem als cloudbasiertes Mobile Device Management (MDM): Jedes Gerät wird in Intune registriert und erhält automatisch die Sicher­heits­richt­linien Ihres Unternehmens - BitLocker-Verschlüsselung, Firewall-Aktivierung, Passwort-Komplexität, automatische Updates. Nicht konforme Geräte werden erkannt und können bis zur Behebung vom Zugriff auf Microsoft 365 ausgeschlossen werden.

Für private Geräte (BYOD - Bring Your Own Device) bietet Intune zusätzlich Mobile Application Management (MAM): Hier wird nicht das Gerät, sondern nur die Unternehmensdaten innerhalb der Microsoft 365 Apps geschützt. Unternehmensdaten in Outlook, Teams und OneDrive sind verschlüsselt und vom privaten Bereich getrennt. Beim Ausscheiden eines Mitarbeitenden werden nur die Firmendaten selektiv gelöscht - private Fotos und Apps bleiben unberührt. In der Praxis setzen die meisten Unternehmen MDM für firmeneigene Geräte und MAM für private Geräte ein.

Klassische Grup­penricht­linien (GPOs) haben einen entscheidenden Nachteil: Sie funktionieren nur, wenn das Gerät eine Verbindung zum Domänencontroller hat. Im Homeoffice, im Zug oder beim Kunden ist das ohne VPN nicht der Fall - Konfi­gura­tions­ände­rungen greifen erst, wenn der Mitarbeitende wieder im Firmennetz ist. Intune löst dieses Problem grundlegend: Konfi­gura­tions­profile werden über die Cloud verteilt und auf jedem Gerät angewendet, das eine Inter­netver­bindung hat. Neue Richtlinien - etwa eine verschärfte Passwort-Policy oder eine geänderte Firewall-Regel - greifen innerhalb von Minuten auf allen Geräten, egal wo sie sich befinden.

Microsoft bietet in Intune die Group Policy Analytics Funktion: Sie importieren Ihre bestehenden GPOs, und Intune zeigt Ihnen, welche Richtlinien direkt in Konfi­gura­tions­profile übernommen werden können, welche angepasst werden müssen und welche keine Entsprechung haben. Auch den Microsoft Configuration Manager (vormals SCCM) können Sie schrittweise ablösen oder im Co-Management-Modus parallel betreiben - bestimmte Workloads laufen weiterhin über SCCM, andere über Intune. Für Unternehmen, die den Umstieg schrittweise planen, ist Co-Management der ideale Einstieg. In Kombination mit Windows Autopatch übernimmt Microsoft anschließend die automatische Steuerung des gesamten Windows-Update-Prozesses.

Mit Windows Autopilot gehört das manuelle Einrichten neuer Geräte der Vergangenheit an. Statt jeden Laptop im IT-Raum auszupacken, ein Image aufzuspielen, Apps zu installieren und Richtlinien zu konfigurieren, lassen Sie das Gerät direkt vom Hersteller oder Händler an den Mitarbeitenden liefern - ob ins Büro, ins Homeoffice oder an einen internationalen Standort. Beim ersten Einschalten meldet sich der Mitarbeitende mit seinen Microsoft 365 Zugangsdaten an, und Autopilot übernimmt alles Weitere: Entra ID Join, Intune-Registrierung, Installation von Unternehmensapps, Konfi­gura­tions­profile, Sicher­heits­richt­linien, VPN-Einstellungen und Conditional Access Richtlinien werden automatisch angewendet.

Innerhalb weniger Minuten ist das Gerät produktionsbereit. Das spart erhebliche Logistikkosten - kein Staging, kein Versand über die IT-Abteilung, kein manuelles Einrichten. Besonders wertvoll für Unternehmen mit verteilten Standorten, hohem Homeoffice-Anteil oder internationalem Wachstum. Autopilot unterstützt auch das Zurücksetzen bestehender Geräte (Autopilot Reset) - ideal, wenn ein Laptop an einen neuen Mitarbeitenden übergeben wird. Der Self-Deploying-Modus ermöglicht die vollautomatische Einrichtung von Shared Devices wie Konferenzraum-PCs oder Kiosk-Systemen ganz ohne Benut­zerin­terak­tion.

Die Kombination aus Intune und Conditional Access ist eine der wirkungsvollsten Sicher­heits­maßnahmen in Microsoft 365. Das Prinzip: Intune definiert Compliance-Richtlinien - also Mindest­anfor­derungen, die ein Gerät erfüllen muss, um als vertrauenswürdig zu gelten. Dazu gehören: Fest­plat­tenver­schlüs­selung (BitLocker) ist aktiviert, das Betriebssystem ist aktuell, kein Jailbreak oder Root vorhanden, die Firewall ist aktiv und der Microsoft Defender Virenschutz läuft. Conditional Access in Entra ID prüft dann bei jeder Anmeldung: Ist das Gerät konform? Kommt die Anmeldung von einem erwarteten Standort? Ist eine Multi-Faktor-Authentifizierung erfolgt?

Ein Laptop mit deaktiviertem BitLocker, ein Smartphone mit veraltetem Betriebssystem oder ein unbekanntes Gerät aus einem ungewöhnlichen Land werden automatisch blockiert. Der Mitarbeitende erhält eine verständliche Anleitung, wie er sein Gerät wieder konform macht. Dieser Ansatz bildet die Grundlage eines Zero-Trust-Sicher­heits­modells: Kein Gerät wird automatisch vertraut, jeder Zugriff wird geprüft. Zusammen mit phishing-resistenter MFA, Microsoft Defender und dem Microsoft Secure Score Managed Service (SSMS) entsteht ein mehrschichtiges Sicher­heits­konzept, das den Großteil aller Angriffswege abdeckt.

Microsoft Intune und Microsoft Entra ID werden oft verwechselt, haben aber unterschiedliche Aufgaben:

• Microsoft Entra ID (früher Azure Active Directory) verwaltet Identitäten: Benutzerkonten, Gruppen, Anmeldung, Multi-Faktor-Authentifizierung und die Regeln für Conditional Access.
• Microsoft Intune verwaltet Geräte und Apps: Registrierung, Konfiguration, Sicher­heits­richt­linien, Soft­ware­vertei­lung und den Compliance-Status jedes Geräts.

Beide arbeiten Hand in Hand. Intune meldet an Entra ID, ob ein Gerät die Vorgaben erfüllt, und Conditional Access in Entra ID entscheidet daraufhin, ob die Anmeldung erlaubt wird. Wer Microsoft 365 absichern will, braucht deshalb beides: eine sichere Identität und ein verwaltetes Gerät.

Verwaltet wird Intune im Microsoft Intune Admin Center, der Weboberfläche für Administratoren. Mitarbeitende nutzen das Unter­nehmen­sportal (Company Portal): eine App für Windows, macOS, iOS und Android, mit der sie ihr Gerät registrieren und freigegebene Unternehmens-Apps selbst installieren.

Intune bietet mehrere Wege zur zentralen App-Verteilung: Microsoft 365 Apps (Word, Excel, Outlook, Teams) lassen sich direkt aus Intune mit individuellem Update-Kanal und Konfiguration verteilen. Win32-Apps wie Adobe Reader, 7-Zip, Chrome oder Branchensoftware werden als IntuneWin-Paket hochgeladen und mit Erkennungsregeln, Abhängigkeiten und Instal­lati­onss­kripten versehen. Microsoft Store Apps werden direkt aus dem integrierten Store zugewiesen. Mit Enterprise App Management - in Microsoft 365 E5 enthalten oder über die Intune Suite - greifen Sie zusätzlich auf einen Katalog fertig paketierter Stan­dardan­wendungen zurück, die automatisch aktualisiert werden. Über das Unter­nehmen­sportal installieren Mitarbeitende freigegebene Software selbst, ohne Admi­nistra­torrechte.

Für Windows-Updates steuert Intune sogenannte Update-Ringe: Sie legen fest, welche Gerätegruppen Updates zuerst erhalten (Pilotgruppe), wann der breite Rollout erfolgt und ob ein problematisches Update pausiert wird. Die Hard- und Soft­ware­inven­tari­sierung zeigt Ihnen jederzeit den Status aller Geräte: Welcher Client nutzt einen veralteten Browser? Hat das letzte Windows-Update auf allen PCs geklappt? Wer nutzt eine alte iOS-Version? In Kombination mit Windows Autopatch übernimmt Microsoft die Steuerung des Update-Prozesses - Pilotierung, Rollout, Problemerkennung und Rücknahme laufen automatisch.

Unsere Microsoft Intune Spezialisten in Bielefeld und Hamburg begleiten Sie durch den gesamten Einfüh­rungs­prozess - bundesweit, remote oder vor Ort. Am Anfang steht eine Bestandsaufnahme Ihrer aktuellen Geräteverwaltung: Welche Grup­penricht­linien sind aktiv? Wird SCCM eingesetzt? Welche Gerätetypen und Betriebssysteme sind im Einsatz? Gibt es private Geräte? Daraus entwickeln wir die Intune-Architektur: Gerätegruppen, Compliance-Richtlinien, Konfi­gura­tions­profile, App-Verteilung und den Regelkatalog für Conditional Access.

Im nächsten Schritt übertragen wir bestehende Grup­penricht­linien, richten Windows Autopilot für die automatische Gerä­tebe­reit­stel­lung ein und binden Microsoft Defender als Endpoint Security an. Als Microsoft Direct CSP beraten wir Sie zur passenden Lizenzierung - häufig ist Intune bereits in Ihrer vorhandenen Microsoft 365 Lizenz enthalten. Im Microsoft Secure Score Managed Service (SSMS) prüfen wir anschließend in monatlichen Terminen, ob Ihre Intune-Konfiguration aktuellen Empfehlungen entspricht. Schulungen für Ihre IT-Abteilung und Anwender runden das Angebot ab.

Wie schwer die Folgen fehlender Schutzmaßnahmen sein können, zeigt der Stryker-Angriff vom März 2026: Ein kompromittiertes Admin-Konto reichte aus, um über Intune zehntausende Geräte in 79 Ländern zu löschen. Multi-Admin Approval hätte es verhindert.

1. Multi-Faktor-Authentifizierung (MFA) ist für alle Benutzerkonten und Admi­nistra­torkonten aktiviert - idealerweise mit Passkeys, Windows Hello for Business oder FIDO2-Sicher­heits­schlüs­seln statt SMS.
2. Microsoft Intune ist als MDM-Lösung eingerichtet und alle unter­nehmens­eigenen Geräte sind registriert und werden zentral verwaltet.
3. Compliance-Richtlinien in Intune sind definiert: Mindestversion des Betriebssystems, BitLocker-Verschlüsselung aktiv, Firewall aktiviert, Microsoft Defender Virenschutz läuft.
4. Conditional Access Richtlinien sind konfiguriert: Nur konforme Geräte erhalten Zugriff auf Microsoft 365 - nicht konforme Geräte werden automatisch blockiert.
5. Private Geräte (BYOD) sind per MAM-Richtlinie geschützt: Unternehmensdaten in Outlook, Teams und OneDrive sind verschlüsselt und vom privaten Bereich getrennt.
6. Windows Autopilot ist eingerichtet: Neue Geräte werden automatisch konfiguriert - ohne manuelles Staging durch die IT-Abteilung.
7. Grup­penricht­linien (GPOs) sind auf Intune Konfi­gura­tions­profile migriert - Geräte erhalten Richtlinien über die Cloud, nicht über den Domänencontroller.
8. Eine zentrale Update-Strategie ist vorhanden: Windows-Updates werden über Intune Update-Ringe oder Windows Autopatch gesteuert, mit Pilotgruppe und automatischem Rollout.
9. App-Deployment läuft über Intune: Microsoft 365 Apps, Win32-Anwendungen und Store Apps werden zentral verteilt und aktuell gehalten.
10. Hard- und Soft­ware­inven­tari­sierung ist aktiv: Sie kennen jederzeit den Status aller Endgeräte - Betriebs­system­versi­onen, installierte Software, ausstehende Updates.
11. Es gibt definierte Anmeldestandorte (Geofencing): Zugriffe aus unerwarteten Ländern werden automatisch blockiert oder erfordern zusätzliche Verifizierung.
12. Microsoft Defender for Endpoint ist auf allen Endgeräten aktiviert und in das Microsoft Defender XDR Portal integriert.
13. Alle Unter­nehmens­stand­orte verfügen über aktuelle Firewallsysteme - idealerweise mit IDS/IPS und zentralem Management.
14. Ihr Microsoft Secure Score schöpft die mit Ihren Lizenzen erreichbare Punktzahl aus und wird regelmäßig überprüft - idealerweise im Microsoft Secure Score Managed Service.
15. Ein getestetes Backup- und Recovery-Konzept für Microsoft 365 Daten (Exchange, SharePoint, OneDrive, Teams) ist vorhanden und wird regelmäßig überprüft.

Sie können nicht alle Punkte abhaken? Unsere Microsoft Intune Spezialisten unterstützen Sie gerne - vom Microsoft 365 Tenant Check über die Intune-Einführung bis zum dauerhaften Betrieb im Microsoft Secure Score Managed Service (SSMS).