Gruppenrichtlinien oder Intune: Warum Unternehmen jetzt auf Konfigurationsrichtlinien umsteigen sollten

• Gruppenrichtlinien benötigen eine Verbindung zum Domänencontroller und werden bei mobilen Geräten ohne VPN nicht oder nur verspätet angewendet.
• Microsoft hat Gruppenrichtlinien nicht offiziell abgekündigt, empfiehlt für neue und zurückgesetzte Windows-Geräte aber Microsoft Entra Join mit Verwaltung durch Intune.
• Intune Konfigurationsrichtlinien aus dem Settings Catalog werden über das Internet verteilt und funktionieren ohne VPN und ohne lokalen Domänencontroller.
• Mit Group Policy Analytics importiert Intune bestehende GPOs, bewertet jede Einstellung und überträgt unterstützte Einstellungen automatisch in eine Settings-Catalog-Richtlinie.
• Die InSys AG^® empfiehlt, die Migration der Client-Richtlinien zu Intune jetzt zu planen und neue Geräte direkt cloudnativ bereitzustellen.

Gruppenrichtlinien (Group Policy Objects, kurz GPOs) sind seit Windows 2000 das Standardwerkzeug, um Windows-Clients im Active Directory zentral zu konfigurieren: Sicherheitseinstellungen, Kennwortregeln, Browser-Vorgaben, Laufwerkszuordnungen und vieles mehr. In vielen Unternehmen laufen über Jahre gewachsene GPO-Strukturen bis heute unverändert weiter.

Dabei hat sich das Umfeld grundlegend verändert. Notebooks arbeiten im Homeoffice, beim Kunden oder unterwegs und sehen das Firmennetz manchmal wochenlang nicht. Microsoft hat darauf reagiert und die Geräteverwaltung in die Cloud verlagert: Intune Konfigurationsrichtlinien übernehmen die Aufgabe, für die früher Gruppenrichtlinien zuständig waren. In unseren Projekten erleben wir häufig, dass diese Entwicklung in IT-Abteilungen noch nicht angekommen ist.

Gruppenrichtlinien funktionieren nur, wenn der Client einen Domänencontroller erreicht. Von dort liest er per LDAP, welche GPOs für ihn gelten, und lädt die Inhalte aus der SYSVOL-Freigabe. Ist kein Domänencontroller erreichbar, arbeitet das Gerät mit den zuletzt angewendeten Einstellungen weiter. Neue oder geänderte Richtlinien kommen nicht an.

Die Verarbeitung erfolgt zu festen Zeitpunkten:

• Computerrichtlinien beim Start des Geräts, Benutzerrichtlinien bei der Anmeldung.
• Danach als Hintergrundaktualisierung standardmäßig alle 90 Minuten mit einer zufälligen Verzögerung von bis zu 30 Minuten.

Genau hier liegt das Problem bei mobilen Geräten. Wird das VPN erst nach der Anmeldung aufgebaut, ist beim Start und bei der Anmeldung kein Domänencontroller erreichbar. Neue Richtlinien greifen frühestens bei der nächsten Hintergrundaktualisierung, und auch nur, solange das VPN gerade verbunden ist. Einige Bereiche wie Softwareinstallation per GPO, Ordnerumleitung sowie Start- und Anmeldeskripte werden grundsätzlich nur beim Start oder bei der Anmeldung verarbeitet. Sie greifen bei reinen VPN-Nutzern oft erst, wenn das Gerät wieder im Büro startet.

Was das für die Sicherheit bedeutet

Eine geänderte Sicherheitseinstellung, etwa als Reaktion auf eine aktuelle Schwachstelle, erreicht gerade die Geräte zuletzt, die am stärksten exponiert sind: Notebooks außerhalb des Firmennetzes. Hinzu kommt, dass Gruppenrichtlinien kein zentrales Reporting bieten. Ob eine Einstellung auf einem bestimmten Gerät tatsächlich angewendet wurde, lässt sich nur auf dem Gerät selbst prüfen, zum Beispiel mit gpresult.

Ein Always On VPN mit Gerätetunnel kann das Problem abmildern, erfordert aber zusätzliche Infrastruktur und hält die Abhängigkeit vom lokalen Active Directory aufrecht.

Nein. Stand Oktober 2026 gibt es keine offizielle Abkündigung von Gruppenrichtlinien. Sie stehen nicht auf der Liste der veralteten Windows-Funktionen, und Windows Server unterstützt sie weiterhin. Abgekündigt werden nur einzelne Richtlinien, wenn Microsoft sie durch neue ersetzt.

Die strategische Richtung ist trotzdem eindeutig: Microsoft empfiehlt, neue und zurückgesetzte Windows-Geräte per Microsoft Entra Join direkt in der Cloud zu registrieren und mit Intune zu verwalten. Solche cloudnativen Geräte sind nicht mehr Mitglied der lokalen Domäne und erhalten damit auch keine Gruppenrichtlinien. Neue Verwaltungsfunktionen wie Windows Autopatch entwickelt Microsoft für die Cloud-Verwaltung. Gruppenrichtlinien werden also nicht abgeschaltet, aber schrittweise abgelöst.

Mit Microsoft Intune werden Windows-Einstellungen als Konfigurationsrichtlinien verteilt. Zentraler Ort dafür ist der Settings Catalog. Er enthält die Windows-Einstellungen, die über die MDM-Schnittstelle von Windows steuerbar sind, sowie viele administrative Vorlagen, etwa für Microsoft Edge und Microsoft 365 Apps.

Der entscheidende Unterschied zu Gruppenrichtlinien:

• Kein VPN und kein Domänencontroller nötig. Das Gerät holt seine Richtlinien über das Internet direkt aus dem Intune-Dienst.
• Aktive Benachrichtigung. Ändert die IT eine Richtlinie, benachrichtigt Intune die betroffenen Geräte. Zusätzlich meldet sich jedes Windows-Gerät rund alle acht Stunden beim Dienst.
• Schutz vor Manipulation. Unter Windows 11 kann Config Refresh bereits zugewiesene Einstellungen in einem festen Intervall erneut anwenden, auch ohne Kontakt zum Dienst.
• Zentrales Reporting. Im Intune Admin Center ist pro Richtlinie und pro Gerät sichtbar, ob eine Einstellung erfolgreich angewendet wurde.

Was Microsoft damit bezweckt

Microsoft verfolgt mit Intune ein Zero-Trust-Modell. Der Standort des Geräts spielt keine Rolle mehr, entscheidend sind Identität und Gerätezustand. Intune meldet über Compliance-Richtlinien, ob ein Gerät die Vorgaben erfüllt. Diese Information nutzt Conditional Access, um den Zugriff auf Microsoft 365 nur von konformen Geräten zuzulassen. Gruppenrichtlinien können diese Rolle nicht übernehmen. Gleichzeitig entfällt Schritt für Schritt die Abhängigkeit von lokalen Servern, Domänencontrollern und VPN-Strukturen.

In Intune ist mit Group Policy Analytics ein Assistent enthalten, der bestehende Gruppenrichtlinien analysiert und automatisch in Konfigurationsrichtlinien überträgt. Der Ablauf:

1. Export: In der Gruppenrichtlinienverwaltung (GPMC) wird jedes GPO als XML-Bericht gespeichert.
2. Import: Im Intune Admin Center unter Geräte, Geräte verwalten, Group Policy analytics werden die XML-Dateien importiert.
3. Analyse: Intune zeigt für jedes GPO den Anteil der Einstellungen mit MDM-Unterstützung und für jede Einstellung einen Status: bereit zur Migration, nicht unterstützt oder veraltet.
4. Migration: Mit der Funktion Migrieren werden die ausgewählten, unterstützten Einstellungen automatisch in eine neue Settings-Catalog-Richtlinie übertragen.
5. Zuweisung: Die neue Richtlinie wird zunächst einer Pilotgruppe zugewiesen und nach dem Test ausgerollt.

Wichtig ist der dritte Schritt: Veraltete Einstellungen, etwa für den Internet Explorer oder alte Windows-Versionen, sollten Sie nicht migrieren, sondern bewusst entfernen. Jede Migration ist eine gute Gelegenheit, über Jahre gewachsene Richtlinien aufzuräumen.

Group Policy Analytics überträgt Einstellungen, für die es eine Entsprechung im Settings Catalog gibt. Einige Bereiche müssen neu umgesetzt werden:

• Gruppenrichtlinien-Einstellungen (Preferences) wie Laufwerkszuordnungen, Drucker, geplante Aufgaben und Verknüpfungen.
• Start- und Anmeldeskripte, die in Intune als Plattformskripte oder Korrekturen neu angelegt werden.
• WMI-Filter, Sicherheitsfilterung und Loopback, die durch Entra-Gruppen und Intune-Filter ersetzt werden.
• Server-Richtlinien: Intune verwaltet keine Windows Server. Gruppenrichtlinien für Server bleiben weiterhin im Active Directory.

Auch wenn es keine offizielle Abkündigung gibt, empfehlen wir Unternehmen, die Client-Richtlinien so schnell wie möglich zu Intune zu migrieren. Jeder Monat mit Gruppenrichtlinien bedeutet für mobile Geräte verspätete Sicherheitseinstellungen und fehlende Transparenz. So gehen Sie vor:

1. Bestand erfassen: Welche GPOs gelten für Clients, welche für Server?
2. Analysieren: Alle Client-GPOs in Group Policy Analytics importieren und bewerten.
3. Aufräumen: Veraltete und doppelte Einstellungen entfernen statt migrieren.
4. Pilot: Eine Pilotgruppe aus dem GPO ausschließen und die neue Intune-Richtlinie zuweisen. Bei Hybrid-Geräten sorgt die Einstellung MDMWinsOverGP dafür, dass bei Konflikten die Intune-Einstellung Vorrang hat.
5. Ausrollen: Nach erfolgreichem Test schrittweise auf alle Clients ausweiten und die alten GPOs danach deaktivieren.
6. Neue Geräte cloudnativ bereitstellen: Neue oder zurückgesetzte Geräte direkt per Microsoft Entra Join und Windows Autopilot einrichten.

Wer zusätzlich das klassische VPN ablösen möchte, findet mit Microsoft Global Secure Access eine passende Ergänzung für den Zugriff auf lokale Ressourcen.

Als Microsoft Solutions Partner für Security begleitet die InSys AG^® Unternehmen bei der Migration von Gruppenrichtlinien zu Intune: von der Analyse über die Bereinigung bis zum schrittweisen Rollout. Kunden lizenzieren über die InSys AG^® mehr als 80.000 Microsoft 365 Lizenzen. Einen schnellen Überblick über den Stand Ihrer Geräteverwaltung liefert unser Microsoft Tenant Sicherheitscheck zum Festpreis. Weitere Leistungen finden Sie auf unserer Übersicht zu Microsoft 365 Security und Lizenzen.

Sie erreichen uns telefonisch unter +49 (521) 260105-0 oder über das Kontaktformular am Ende dieser Seite.