Intune lohnt sich, sobald mehr als eine Handvoll Firmennotebooks im Umlauf sind und niemand mehr sagen kann, ob Festplatten verschlüsselt sind oder welches Gerät den letzten Windows-Stand hat. Es lohnt sich nicht, am ersten Tag alle Rechner, alle Handys und alle Anwendungen in ein Profil zu pressen. Ein überschaubarer Pilot zeigt, ob Anmeldung, Verschlüsselung und Updates den Arbeitsalltag tragen.

Warum eine Vollverwaltung am Montag scheitert

Gewachsene Arbeitsplätze haben lokale Profile, Sondertreiber für Messgeräte oder Plotter und manchmal noch Software, die einen lokalen Administrator erwartet. Eine Richtlinie, die lokale Admins sofort entfernt und den Store sperrt, legt genau diese Plätze still. Die Personen umgehen die Verwaltung dann mit Privatgeräten, und der gewünschte Überblick ist weg, bevor er entstand.

Auch der Lizenzplan muss die Verwaltung enthalten. Business-Pakete bündeln Intune nicht in jeder Stufe, und ein einzelnes Gerät „einfach anmelden“ erzeugt noch keine zentrale Richtlinie. Wir prüfen die zugewiesenen Dienste, bevor Notebooks zurückgesetzt werden. Ein Reset ohne klares Profil ist nur eine Neuinstallation mit Extra-Schritt.

Pilot, Basisrichtlinie, dann Anwendungen

  1. Zielbild. Firmengeräte und etwaige Privatgeräte werden getrennt beschrieben. Für den Start reicht Windows, weitere Plattformen nur wenn sie wirklich verwaltet werden sollen.
  2. Pilotgeräte. Eine kleine, gleichartige Gruppe wird eingeschrieben. Schlüssel für die Laufwerkverschlüsselung landen in Entra, nicht auf einem Zettel im Schreibtisch.
  3. Basis. Bildschirmsperre, Verschlüsselung und eine Update-Quelle sind die erste Richtlinie. Lokale Administratoren bleiben, bis die Anwendungen ohne sie starten.
  4. Anwendungen. Nur die Programme, die alle Pilotgeräte brauchen, werden zugewiesen. Spezialsoftware bleibt in dieser Phase manuell und wird notiert.
  5. Ringe. Updates erreichen zuerst die Pilotgruppe, Tage später die nächste. Ein Gerät, das eine Steuerung treibt, steht in einem eigenen Ring mit freigegebenem Stand.

Bedingter Zugriff, der ein verwaltetes Gerät verlangt, kommt erst, wenn der Pilot sich einschreiben, anmelden und arbeiten konnte. Vorher erzeugt die Kombination aus Intune und Conditional Access eine Schleife: Das Gerät darf sich nicht registrieren, weil es noch nicht konform ist. Die Reihenfolge ist deshalb Verwaltung zuerst, Erzwingung danach.

Woran Projekte in der Praxis scheitern

  • Alle BestandspCs an einem Tag zurücksetzen und auf ein ungetestetes Profil hoffen.
  • Lokale Administrationsrechte entfernen, bevor Plotter, Signatur oder Branchensoftware geprüft sind.
  • Private Smartphones ohne Absprache vollständig einschreiben.
  • Feature-Updates und Anwendungsinstallation am selben Tag auf die Lohnverrechnung loslassen.

Beispiel aus dem Betriebsalltag

Ein Maschinenbaubetrieb in Schwechat wollte alle 40 PCs in einer Woche auf Intune heben, inklusive der Arbeitsstationen an den Maschinen. Wir haben stattdessen acht neue Innendienst-Notebooks per Autopilot eingeschrieben, BitLocker-Schlüssel nach Entra geschrieben und einen Update-Ring mit einer Woche Abstand zur Pilotgruppe gesetzt. Die Maschinenrechner blieben vorerst außerhalb, weil ein Treiber für die Steuerung kein Feature-Update vertrug. Nach einem Monat war klar, welche Richtlinie taugt; erst dann kam die nächste Gerätegruppe dazu.

Kurze Entscheidungshilfe

  • Liegen Wiederherstellungsschlüssel der Pilotgeräte in Entra und wurden sie einmal abgerufen?
  • Gibt es einen Update-Ring, der nicht alle Geräte gleichzeitig erreicht?
  • Ist die nächste Gerätegruppe benannt, statt „irgendwann alle“?
  • Verlangt bedingter Zugriff noch kein konformes Gerät, solange die Einschreibung nicht steht?

Wenn die ersten Schritte mit Intune bei Ihnen ansteht, klären wir den Umfang unverbindlich: Microsoft 365 und Cloud. Bedingter Zugriff ohne Aussperrung Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.