Hauptfunktionen von Microsoft Intune

Microsoft Intune ist die cloudbasierte Endpoint-Management-Plattform von Microsoft, die Mobile Device Management (MDM) und Mobile Application Management (MAM) kombiniert, um Telefone, Tablets und PCs über eine einzige Verwaltungskonsole zu sichern.

Zu den Kernfunktionen von Microsoft Intune gehören die Geräteverwaltung für die Registrierung und Konfiguration von Hardware, App-Schutzrichtlinien zum Schutz von Unternehmensdaten ohne vollständige Geräteregistrierung, bedingter Zugriff in Verbindung mit Microsoft Entra ID, Microsoft Defender-basierte Endpunktsicherheit, tiefe Microsoft 365-Integration, Compliance-Berichte und Windows Autopilot für die automatische Bereitstellung. Diese Funktionen ermöglichen es IT-Teams, eine heterogene Flotte aus firmeneigenen und privaten Geräten zentral zu verwalten.

Wichtige Erkenntnisse

• Intune kombiniert MDM (Verwaltung des gesamten Geräts) und MAM (Schutz von Daten innerhalb bestimmter Apps), sodass die IT sowohl Unternehmens- als auch Privatgeräte sichern kann.
• Richtlinien für bedingten Zugriff verwenden Microsoft Entra ID-Anmeldedaten, um den Zugriff basierend auf Gerätekonformität, Standort und Risiko zu blockieren oder zu erlauben.
• Intune integriert sich nativ mit Microsoft Defender for Endpoint für die Echtzeit-Erkennung und -Reaktion auf Bedrohungen.
• Die Windows Autopilot-Gerätevorbereitung, die seit Juni 2024 allgemein verfügbar ist, ersetzt die manuelle Imageerstellung durch einen richtliniengesteuerten, berührungslosen Einrichtungsprozess für Windows 11-Geräte.
• Jede Intune-Funktion ist von den Zertifikaten und Identitäten abhängig, die von der PKI der Organisation ausgestellt werden; mangelhafte Zertifikatspraktiken untergraben selbst eine gut konfigurierte Intune-Implementierung.

Mobile Geräteverwaltung (MDM)

Mit der Mobilgeräteverwaltung von Intune können Smartphones, Tablets und PCs mit iOS, iPadOS, Android, Windows und macOS registriert, konfiguriert und überwacht werden. Unternehmen können sowohl firmeneigene Hardware als auch private, im Rahmen einer BYOD-Richtlinie (Bring Your Own Device) genutzte Geräte für die Arbeit registrieren.

Sobald ein Gerät registriert ist, können Administratoren Folgendes tun:

1. Erstellen und erzwingen Sie Konfigurationsprofile, die Geräteeinstellungen, Verschlüsselung und Passwortanforderungen steuern.
2. Apps auf verwalteten Geräten bereitstellen, aktualisieren und entfernen, wobei die App-Versionen auf der gesamten Geräteflotte einheitlich bleiben.
3. Wenden Sie Compliance-Richtlinien an, die Geräte als nicht konform kennzeichnen, wenn sie gegen die Richtlinien verstoßen, z. B. wenn eine PIN fehlt oder die Verschlüsselungseinstellung deaktiviert ist.
4. Führen Sie Fernaktionen durch, einschließlich vollständiger Löschung, selektiver Löschung nur der Unternehmensdaten und Fernsperrung, wenn ein Gerät verloren geht oder ein Mitarbeiter das Unternehmen verlässt.
5. Betriebssystem-Updates und Sicherheitspatches werden nach einem festgelegten Zeitplan bereitgestellt, anstatt dass die Benutzer sie manuell installieren müssen.

Mobiles Anwendungsmanagement (MAM)

Die Verwaltung mobiler Anwendungen schützt Unternehmensdaten innerhalb bestimmter Apps, ohne dass eine vollständige Geräteregistrierung erforderlich ist. Dies ist insbesondere für externe Mitarbeiter und BYOD-Nutzer relevant, die ihr privates Smartphone nicht registrieren. App-Schutzrichtlinien können eine separate PIN zum Öffnen einer verwalteten App vorschreiben, ruhende App-Daten verschlüsseln und das Kopieren und Einfügen oder Speichern unter verhindern, wodurch Unternehmensdaten in eine nicht verwaltete App übertragen würden. Verlässt ein Mitarbeiter das Unternehmen, kann die IT die Unternehmensdaten in der verwalteten App löschen, während private Fotos, Nachrichten und Apps erhalten bleiben.

Einen vollständigen Vergleich darüber, wann MDM und wann MAM eingesetzt werden sollten und wie die Intune-Lizenzierung jeweils zugeordnet ist, finden Sie in der Einführung von EC zu Microsoft Intune.

	MDM (Geräteverwaltung)	MAM (App-Schutz)
Was es steuert	Das gesamte Gerät: Betriebssystemeinstellungen, Verschlüsselung, Updates	Nur Unternehmensdaten innerhalb verwalteter Apps
Anmeldung erforderlich	Ja, das Gerät ist bei Intune registriert.	Keine Geräteregistrierung erforderlich
Typische Verwendung	Firmeneigene Hardware	BYOD-Telefone, Auftragnehmer
Wischverhalten	Vollständiges oder selektives Löschen des Geräts	Löscht Daten von Unternehmens-Apps, lässt persönliche Daten unberührt

Bedingter Zugriff

Bedingter Zugriff verknüpft den Ressourcenzugriff mit Echtzeitsignalen über Benutzer und Gerät, die über Microsoft Entra ID (ehemals Azure Active Directory) ausgewertet werden. Administratoren erstellen Richtlinien im Microsoft Intune Admin Center oder im Microsoft Entra Admin Center, die den Zugriff basierend auf Bedingungen und nicht auf einer einmaligen Anmeldeprüfung gewähren, blockieren oder einschränken.

Zu den gängigen bedingten Zugriffskontrollen gehören:

• Die Einführung einer Multi-Faktor-Authentifizierung (MFA) vor der Gewährung des Zugriffs auf sensible Anwendungen ist erforderlich.
• Der Zugriff wird nur von Geräten gestattet, die von Intune als konform gekennzeichnet sind, wie z. B. Geräte mit aktivierter Festplattenverschlüsselung und einem aktuellen Betriebssystem-Build.
• Der Zugriff von nicht verwalteten Geräten oder aus bestimmten geografischen Regionen wird vollständig gesperrt.
• Dies erfordert eine Intune-App-Schutzrichtlinie, sodass Daten nur über Apps geöffnet werden können, die einer aktiven App-Schutzrichtlinie unterliegen. Diese Berechtigung ersetzte die ältere Steuerung „Genehmigte Client-App erforderlich“, die Microsoft am 30. Juni 2026 eingestellt hat.

Da diese Richtlinien bei jeder Anmeldung die Gerätekonformität überprüfen, ist der bedingte Zugriff eine der Unterfragen, die im Artikel von EC über Windows Hello for Business behandelt werden , da die zertifikatsbasierte Anmeldung von WHfB direkt in die Art und Weise einfließt, wie Entra ID das Gerätevertrauen bewertet.

Endpoint Security

Intune geht über mobile Geräte hinaus und ermöglicht die Verwaltung und Sicherung von Windows-PCs und Macs als vollwertige Endgeräte. Es integriert Microsoft Defender Antivirus für Echtzeit-Malwareschutz und erlaubt Administratoren die zentrale Konfiguration und Überwachung der Antivireneinstellungen über das Intune Admin Center.

Sicherheitsbaselines ermöglichen es Unternehmen, vorkonfigurierte, von Microsoft empfohlene Einstellungen für die Windows Defender Firewall, Virenschutz und andere Sicherheitskontrollen mit wenigen Klicks anzuwenden, anstatt Richtlinien von Grund auf neu zu erstellen. Intune integriert sich außerdem in Microsoft Defender for Endpoint, einem Bestandteil der Microsoft 365-Sicherheitsarchitektur, um Endpoint Detection and Response (EDR)-Signale in dieselbe Konsole zu integrieren, die auch für die Geräteverwaltung verwendet wird. So können Compliance-Verstöße und Sicherheitswarnungen parallel untersucht werden.

Microsoft 365-Integration

Intune ist so konzipiert, dass es mit Microsoft 365 zusammenarbeitet und nicht daneben existiert. Geräte, die in Intune registriert sind, ermöglichen Single Sign-On für alle Microsoft 365-Dienste, sobald sich ein Benutzer über seine Microsoft Entra ID authentifiziert hat. Dadurch werden Mitarbeiter nicht wiederholt zur Eingabe ihrer Anmeldeinformationen in Outlook, Teams und SharePoint aufgefordert.

Intune und Microsoft 365 betreiben außerdem gemeinsam Windows Autopilot (siehe unten) und verwenden dasselbe Microsoft Entra ID-Verzeichnis für die Identitäts- und Gruppenverwaltung. Dadurch bleibt die Benutzer- und Geräteidentität über die beiden Dienste hinweg konsistent, anstatt separate Verzeichnisse zu führen.

Überwachung und Berichterstattung zur Einhaltung der Vorschriften

Intune erstellt Compliance-Berichte, die aufzeigen, welche Geräte die Unternehmensrichtlinien erfüllen und welche nicht. Administratoren erhalten so eine direkte Liste der Geräte, die Aufmerksamkeit erfordern, anstatt einer allgemeinen Risikobewertung. Gerätekonfigurationsberichte protokollieren, welche Einstellungen tatsächlich auf die einzelnen Geräte angewendet wurden. Dies ist hilfreich, um zu bestätigen, dass die Richtlinieneinführung wie vorgesehen funktioniert hat, anstatt dies nur anzunehmen. Diese Berichte werden kontinuierlich im Hintergrund ausgeführt. Ein Gerät, das nach einem Update oder einer deaktivierten Einstellung nicht mehr den Richtlinien entspricht, wird daher erst im nächsten Berichtszyklus angezeigt und nicht erst Wochen später bei einem Audit.

Windows Autopilot

Windows Autopilot vereinfacht den Lebenszyklus von Windows-Geräten von der Erstbereitstellung bis zur Außerbetriebnahme, indem es die manuelle Image-Erstellung durch eine richtlinienbasierte Self-Service-Einrichtung ersetzt. Ein Benutzer kann ein neues Gerät auspacken, es mit dem Internet verbinden und Intune wendet die Apps, Einstellungen und Sicherheitsrichtlinien der Organisation automatisch während der Ersteinrichtung an.

Die Windows Autopilot-Gerätevorbereitung, Microsofts neuerer Bereitstellungsprozess, ist seit Juni 2024 allgemein verfügbar und laut Microsofts Dokumentation zur Gerätevorbereitung nur unter Windows 11 (Version 22H2 oder 23H2 mit dem Update KB5035942 vom April 2024 oder Version 24H2 und höher) nutzbar . Sie unterstützt ausschließlich Microsoft Entra Join (nicht Hybrid Join), fügt jedes Gerät bei der Registrierung einer vordefinierten Gerätesicherheitsgruppe hinzu, sodass die Konfiguration sofort bereitgestellt wird, und bietet Administratoren nahezu in Echtzeit einen Bereitstellungsstatus, anstatt erst im Nachhinein von einem fehlgeschlagenen Bereitstellungsvorgang zu erfahren.

Der Autopilot-Profil-Flow, der den hybriden Entra-Join- und Self-Deployment-Modus unterstützt, läuft weiterhin parallel zur Gerätevorbereitung; Microsoft hat noch keinen Migrationstermin zwischen den beiden bekannt gegeben.

Wie Verschlüsselungsberatung hilft

Intune setzt die Richtlinie durch, aber das Zertifikat dient als Gerätenachweis. Jede Entscheidung für bedingten Zugriff, jedes WLAN-Profil und jede Windows Hello-Anmeldung hinter einer Intune-Bereitstellung lässt sich auf Zertifikate zurückführen, die von der PKI der Organisation ausgestellt wurden.

Die PKI-Services von Encryption Consulting unterstützen Unternehmen bei der Konzeption und dem Betrieb der Zertifikatsinfrastruktur, auf der die WLAN-, VPN- und S/MIME-E-Mail-Profile von Intune basieren. Dies umfasst die Entwicklung von CP/CPS-Systemen sowie den täglichen Betrieb der Zertifizierungsstelle. Für Unternehmen, die Intune-verwaltete Geräte auf zertifikatbasierte Anmeldung umstellen, übernimmt der Implementierungsservice „Windows Hello for Business“ von EC die Verwaltung des Zertifikatvertrauensmodells bzw. des Cloud-Kerberos-Vertrauensmodells, das Intune als Gerätekonfigurationsprofil bereitstellt.

Encryption Consulting bietet außerdem Microsoft PKI mit Intune- Integration an. Dabei wird eine Zertifizierungsstelle direkt mit den von Intune verwalteten Geräterichtlinien verbunden, sodass Zertifikate bei der Geräteregistrierung automatisch erneuert werden. Darüber hinaus bietet Encryption Consulting PKI-as-a-Service für Unternehmen an, die eine verwaltete, Cloud-basierte PKI benötigen, ohne eine eigene CA-Infrastruktur zu betreiben. Alle Projekte basieren auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Worin besteht der Unterschied zwischen MDM und MAM in Microsoft Intune?

MDM verwaltet das gesamte Gerät, einschließlich Betriebssystemeinstellungen, Registrierung und Fernlöschung, und wird typischerweise für firmeneigene Hardware eingesetzt. MAM schützt Unternehmensdaten innerhalb bestimmter Anwendungen, ohne das gesamte Gerät zu registrieren. Dies eignet sich für BYOD- und Auftragnehmer-Szenarien, in denen die Hardware nicht im Besitz des Unternehmens ist.

Benötigt Microsoft Intune eine Microsoft Entra ID?

Ja. Intune verwendet Microsoft Entra ID (ehemals Azure Active Directory) für die Benutzerauthentifizierung, Gruppenzugehörigkeit und Identitätsdaten. Richtlinien für bedingten Zugriff, Single Sign-On für Microsoft 365 und der Entra-Beitrittsschritt von Windows Autopilot basieren alle auf demselben Entra-ID-Verzeichnis.

Was ist die Gerätevorbereitung für Windows Autopilot?

Die Windows Autopilot-Gerätevorbereitung ist ein richtlinienbasierter Bereitstellungsprozess, der im Juni 2024 allgemein verfügbar wurde. Er wendet Apps, Skripts und Konfigurationen automatisch während der Ersteinrichtung eines Windows 11-Geräts an, indem er Microsoft Entra Join und eine vorab erstellte Gerätesicherheitsgruppe verwendet, der das Gerät bei der Registrierung beitritt.

Kann Intune sowohl private als auch firmeneigene Geräte verwalten?

Ja. Intune unterstützt die BYOD-Registrierung (Bring Your Own Device) für die vollständige MDM-Verwaltung sowie App-Schutzrichtlinien (MAM) für Organisationen, die Unternehmensdaten auf einem persönlichen Gerät schützen möchten, ohne das Gerät selbst zu registrieren.

Ersetzt Intune Antivirensoftware?

Intune ersetzt keine Antivirensoftware, sondern verwaltet und überwacht sie. Intune ist in Microsoft Defender Antivirus und Microsoft Defender for Endpoint integriert, sodass Administratoren Schutzeinstellungen konfigurieren und Bedrohungswarnungen über dieselbe Konsole anzeigen können, die auch für die Geräteverwaltung verwendet wird.

Sichern Sie die Identitäten hinter Ihrer Intune-Bereitstellung

Die Geräte- und App-Richtlinien von Intune sind nur so sicher wie die zugrunde liegenden Zertifikate und Identitäten. Erfahren Sie mehr über PKI-Services und wie Encryption Consulting die Zertifikatsinfrastruktur entwirft und betreibt, auf der Ihre Intune-Richtlinien basieren. Oder sprechen Sie mit einem PKI-Experten über Ihre spezifischen Fragen zur Intune- und Zertifikatsintegration.