Microsoft Intune-Architektur und ihre Komponenten

Die Microsoft Intune-Architektur umfasst Cloud-Dienste, Identitätskomponenten und Integrationspunkte, die zusammenarbeiten, um die Geräte und Anwendungen einer Organisation zu verwalten und zu schützen. Der Intune-Dienst, Microsoft Entra ID, Registrierungsdienste und Konnektoren zu Sicherheits-, Update- und Zertifikatsdiensten bilden eine einheitliche, cloudbasierte Plattform für das Endpunktmanagement.

Die Microsoft Intune-Architektur besteht aus dem cloudbasierten Intune-Dienst, Microsoft Entra ID für Identitätsmanagement und bedingten Zugriff, Registrierungsdiensten wie Windows Autopilot, zwei Verwaltungskanälen (MDM für Geräte und MAM für Anwendungen) sowie Integrationen mit Microsoft Defender for Endpoint, Configuration Manager, Windows Autopatch und Microsoft Graph. Administratoren steuern alle Komponenten über das Microsoft Intune Admin Center.

Wichtige Erkenntnisse

• Microsoft Intune läuft vollständig in der Microsoft-Cloud. Es gibt keine lokalen Intune-Server, und jede Aktion im Admin Center wird durch einen Microsoft Graph-API-Aufruf unterstützt.
• Microsoft Entra ID bietet Authentifizierung, Gruppenzuordnung und bedingten Zugriff. Intune meldet die Gerätekonformität an Entra ID, woraufhin der Zugriff auf Unternehmensressourcen gewährt oder blockiert wird.
• Intune verwaltet Windows 10 und 11, macOS, iOS/iPadOS, Android, Linux (Ubuntu Desktop 24.04 und 26.04 LTS), tvOS, visionOS und ChromeOS-Geräte von einer einzigen Konsole aus.
• Die Intune Suite umfasst Remotehilfe, Endpunktberechtigungsverwaltung, erweiterte Analysen, Unternehmensanwendungsverwaltung und Microsoft Cloud PKI. Seit dem 1. Juli 2026 beinhaltet Microsoft 365 E5 die vollständige Suite, während Microsoft 365 E3 eine Teilmenge enthält.
• Zertifikatsbasierte Funktionen wie Wi-Fi, VPN und Windows Hello for Business sind auf eine PKI angewiesen, die Intune über SCEP, PKCS oder Microsoft Cloud PKI erreicht.

So funktioniert die Intune-Architektur

Microsoft Intune ist ein reiner Cloud-Dienst: Richtlinienauswertung, Berichterstellung und App-Bereitstellung laufen vollständig auf der Microsoft-Infrastruktur, und verwaltete Geräte melden sich über das Internet an. Administratoren arbeiten im Microsoft Intune Admin Center unter intune.microsoft.com. Jede Aktion in dieser Konsole wird als Microsoft Graph API-Aufruf ausgeführt, sodass alles, was ein Administrator anklicken kann, auch per Code automatisiert werden kann. Laut Microsoft Learn (Mai 2026) unterstützt Intune Windows, macOS, iOS/iPadOS, Android, Linux, tvOS und visionOS und verwaltet ChromeOS-Geräte über eine Verbindung zur Google Admin-Konsole.

Die Architektur basiert auf drei Elementen: den Identitäten, die sich anmelden (Microsoft Entra ID), den Geräten, von denen aus die Anmeldung erfolgt (verwaltet über MDM), und den Anwendungen, in denen sie verwendet werden (verwaltet über MAM). Jede andere Komponente speist entweder Signale in diesen Regelkreis ein oder reagiert auf dessen Ausgabe. In der Intune-Architektur bildet die Identität die Steuerungsebene: Jede Verwaltungsentscheidung beginnt und endet mit der Microsoft Entra ID.

Microsoft Intune-Dienst

Der Intune-Dienst ist die zentrale Richtlinien-Engine der Architektur. Er übernimmt drei Aufgaben: Gerätekonfiguration (Definition von Einstellungen und Einschränkungen pro Plattform), Datenschutz (Kontrolle des Zugriffs auf, der Freigabe und der Löschung von Unternehmensdaten) und Anwendungsverwaltung (Bereitstellung von Anwendungen und deren Konfigurationen). Unter Windows stellt der Einstellungskatalog Tausende von CSP-Einstellungen (Configuration Service Provider) nativ bereit, sodass die meisten Richtlinien keine benutzerdefinierten OMA-URI-Einträge mehr benötigen.

Microsoft Entra-ID

Microsoft Entra ID, 2023 von Azure Active Directory umbenannt, bildet die Identitätsebene der Architektur. Bei der Registrierung eines Geräts in Intune wird es in Entra ID erfasst, und Intune meldet den Konformitätsstatus des Geräts an Entra ID zurück. Richtlinien für bedingten Zugriff nutzen dieses Signal: Ist für eine Richtlinie die Konformität des Geräts erforderlich, wird ein nicht konformes Gerät von E-Mails, Microsoft 365 und anderen verbundenen Ressourcen ausgeschlossen. Intune verwendet zudem Entra-Sicherheitsgruppen, um jede Richtlinie, jedes Profil und jede App-Zuweisung gezielt zu steuern.

Geräteregistrierung und Windows Autopilot

Windows Autopilot stellt neue Windows-Geräte ohne Imageerstellung für den Unternehmenseinsatz bereit und ist in zwei Versionen verfügbar. Classic Autopilot registriert ein Gerät vor der Bereitstellung anhand seines Hardware-Hashs und unterstützt benutzergesteuerte, selbstbereitstellende und vorab bereitgestellte Modi, Microsoft Entra Hybrid Join und HoloLens 2. Die Windows Autopilot-Gerätevorbereitung, allgemein verfügbar seit Juni 2024, macht den Hardware-Hash überflüssig: Der Benutzer meldet sich bei der Ersteinrichtung mit seinen Entra-ID-Anmeldeinformationen an, und Intune stellt Richtlinien und Apps bei der Registrierung bereit. Die Gerätevorbereitung unterstützt nur Microsoft Entra Join. Apple-Geräte werden über Apple Business Manager mit automatisierter Geräteregistrierung registriert, Android-Geräte über Android Enterprise.

Mobile Device Management (MDM) und Mobile Application Management (MAM)

Intune verwaltet Endpunkte über zwei Kanäle: MDM steuert das gesamte Gerät, während MAM Unternehmensdaten innerhalb bestimmter Anwendungen schützt, ohne das Gerät zu registrieren. Beide Kanäle können auf demselben Gerät parallel ausgeführt werden.

Attribut	MDM	MAM
Geltungsbereich	Das vollständige Gerät: Einstellungen, Sicherheitsrichtlinien, Apps, Updates	Unternehmens-Apps und die darin enthaltenen Daten
Anmeldung zur Pilotenausbildung	Gerät registriert sich bei Intune	Keine Geräteregistrierung erforderlich
Typische Verwendung	Firmeneigene Hardware	BYOD- und Auftragnehmergeräte
Tastensteuerung	Compliance-Richtlinien, Konfigurationsprofile, Remote-Aktionen	App-Schutzrichtlinien, App-Konfiguration
Datenentfernung	Vollständiges oder selektives Löschen des Geräts	Selektives Löschen von Daten der Unternehmens-App

Intune Suite und Microsoft Cloud PKI

Die Microsoft Intune Suite ist die erweiterte Funktionsebene, die auf dem Basisdienst (Intune Plan 1) aufbaut. Sie umfasst Remotehilfe für sichere Helpdesk-Sitzungen, Endpoint Privilege Management zur Ausweitung genehmigter Aufgaben ohne dauerhafte lokale Administratorrechte, Advanced Analytics, Enterprise App Management mit einem Katalog von über 1,000 vorkonfigurierten Anwendungen, Microsoft Cloud PKI, Microsoft Tunnel für MAM, Firmware-Updates drahtlos für unterstützte Zebra Android-Geräte sowie die Verwaltung spezieller Geräte für AR/VR-Headsets und Konferenzraumgeräte.

Seit dem 1. Juli 2026 ist die vollständige Suite in Microsoft 365 E5 enthalten. Zusätzlich bietet Microsoft 365 E3 die Funktionen Remotehilfe, Erweiterte Analysen und Intune Plan 2 an. Die Einführung bei berechtigten Mandanten wird bis zum 1. August 2026 abgeschlossen sein.

Microsoft Cloud PKI verdient besondere Beachtung. Es handelt sich um einen verwalteten Zertifizierungsstellendienst, der Zertifikate für Intune-verwaltete Geräte ohne lokale CA-Infrastruktur ausstellt, erneuert und widerruft. Organisationen, die eine lokale Microsoft-CA betreiben, verbinden diese über den Zertifikatsconnector mit Intune. Dieser stellt Zertifikate über SCEP- oder PKCS-Profile bereit. In jedem Fall bilden Zertifikate die Grundlage für die WLAN- und VPN-Authentifizierung sowie für die kennwortlose Anmeldung mit Windows Hello for Business.

Reporting und Analytik

Drei Komponenten sind für die Berichterstellung zuständig. Endpoint Analytics bewertet die Startleistung, die Anwendungszuverlässigkeit und die Eignung für ortsunabhängiges Arbeiten, sodass die IT Geräteprobleme beheben kann, bevor Benutzer Support-Tickets erstellen. Das Intune Data Warehouse stellt historische Intune-Daten über eine OData-API für Tools wie Power BI bereit. Microsoft überarbeitet die Architektur Mitte 2026. Dadurch wird der gespeicherte Verlauf auf etwa 30 Tage zurückgesetzt und der Power BI-Beta-Connector zugunsten des OData-Feeds eingestellt. Die Log Analytics-Integration leitet Intune-Audit- und Betriebsprotokolle zur Langzeitarchivierung und für benutzerdefinierte Abfragen an einen Azure Monitor Log Analytics-Arbeitsbereich weiter.

Sicherheitsintegrationen: Defender für Endpoint, MTD und NAC

Intune integriert Risikosignale von Sicherheitstools in seine Entscheidungen zu Compliance und bedingtem Zugriff. Microsoft Defender for Endpoint fungiert als nativer Partner für Mobile Threat Defense (MTD): Es meldet einen Risikowert für Maschinen, der von Compliance-Richtlinien ausgewertet wird, und Intune kann die Sicherheitseinstellungen von Defender auf verwalteten und nicht verwalteten Geräten bereitstellen und verwalten. Drittanbieter von MTD-Lösungen verbinden sich über den Mobile Threat Defense Connector und liefern Bedrohungsdaten für dieselbe Compliance-Bewertung. Lösungen von Partnern für Network Access Control (NAC) prüfen den Registrierungs- und Compliance-Status eines Geräts mit Intune, bevor es dem Netzwerk zugänglich gemacht wird, und leiten nicht registrierte oder nicht konforme Geräte zur Behebung von Problemen weiter.

Microsoft-Tunnel

Microsoft Tunnel ist das VPN-Gateway von Intune. Es läuft in einem Linux-basierten Container, der lokal oder in der Cloud gehostet wird, und ermöglicht iOS-/iPadOS- und Android Enterprise-Geräten den Zugriff auf lokale Ressourcen mithilfe moderner Authentifizierung und bedingtem Zugriff. Nicht kompatible Geräte werden sowohl vom VPN-Server als auch vom internen Netzwerk gesperrt. Microsoft Tunnel für MAM, eine der Funktionen von Intune Plan 2, erweitert das gleiche app-basierte VPN auf iOS- und Android-Geräte, die nicht bei Intune registriert sind.

Microsoft Configuration Manager und Co-Management

Microsoft Configuration Manager bleibt Microsofts lokale Verwaltungsplattform für Windows, und die gemeinsame Verwaltung verbindet sie mit Intune. Ein Gerät mit Windows 10 oder höher kann von beiden Tools gleichzeitig verwaltet werden, wobei einzelne Workloads wie Compliance-Richtlinien, Update-Richtlinien und die App-Bereitstellung nacheinander in Intune übertragen werden können. So kann ein Unternehmen schrittweise auf Cloud-Management umsteigen und gleichzeitig seine Investition in Configuration Manager beibehalten.

Anwendungen und App-Stores

Intune stellt Anwendungen auf allen unterstützten Plattformen bereit und verwaltet sie: Win32- und MSIX-Pakete sowie Microsoft Store-Apps unter Windows, PKG- und DMG-Installationsprogramme unter macOS und Store- oder Branchen-Apps unter iOS/iPadOS und Android. Benutzer authentifizieren sich mit ihrer Entra-ID bei diesen Apps. App-Konfiguration und Schutzrichtlinien sind an die jeweilige App und nicht an das Gerät gebunden. Enterprise App Management, ein Bestandteil der Intune Suite, bietet zusätzlich einen kuratierten Katalog vorkonfigurierter Drittanbieteranwendungen mit verwalteten Updates.

Windows Updates

Intune verwaltet Windows-Updates über Windows Update-Clientrichtlinien und den Windows Autopatch-Dienst. Microsoft benannte Windows Update for Business im April 2025 in Windows Update-Clientrichtlinien um und integrierte den zugehörigen Bereitstellungsdienst in Windows Autopatch. Dieser automatisiert Updates für Windows, Microsoft 365 Apps for Enterprise, Microsoft Edge und Microsoft Teams. Seit Juni 2026 ist Intune der erforderliche Verwaltungspfad für diese Updaterichtlinien. Hotpatch-Updates, die ab dem Sicherheitsupdate vom Mai 2026 standardmäßig aktiviert sind, installieren Sicherheitskorrekturen auf berechtigten Windows 11 24H2 x64-Geräten ohne Neustart – und das acht Monate im Jahr.

Wie Verschlüsselungsberatung hilft

Die PKI-Services von Encryption Consulting entwerfen und betreiben die Zertifikatsinfrastruktur, auf der die zertifikatsbasierten Funktionen von Intune beruhen. Dazu gehören die Microsoft PKI-Integration mit Intune für die Bereitstellung von SCEP- und PKCS-Zertifikaten sowie die Implementierung von Windows Hello for Business für die passwortlose Anmeldung. Unternehmen, die eine verwaltete PKI dem Betrieb einer eigenen Zertifizierungsstelle vorziehen, können PKI-as-a-Service nutzen . Der CertSecure Manager automatisiert die Zertifikatserkennung, -erneuerung und -sperrung im gesamten Netzwerk. Die Services basieren auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Was sind die Hauptkomponenten der Microsoft Intune-Architektur?

Die Hauptkomponenten sind der cloudbasierte Intune-Dienst, Microsoft Entra ID für Identitätsmanagement und bedingten Zugriff, Registrierungsdienste wie Windows Autopilot und Apple Business Manager, die MDM- und MAM-Verwaltungskanäle, die Funktionen der Intune Suite sowie Integrationen mit Microsoft Defender for Endpoint, Configuration Manager, Windows Autopatch, Microsoft Tunnel und der Microsoft Graph API. Administratoren steuern all diese Komponenten über das Microsoft Intune Admin Center.

Benötigt Microsoft Intune eine lokale Infrastruktur?

Nein. Intune läuft vollständig in der Microsoft-Cloud. Für bestimmte Szenarien gibt es optionale lokale Komponenten: Der Zertifikatsconnector für Microsoft Intune stellt SCEP- und PKCS-Zertifikate von einer lokalen Zertifizierungsstelle bereit, der Intune Connector für Active Directory unterstützt den Microsoft Entra Hybrid Join während des Autopiloten, und das Microsoft Tunnel-Gateway läuft auf einem Linux-Server, der vom Unternehmen gehostet wird.

Worin besteht der Unterschied zwischen MDM und MAM in Microsoft Intune?

Mobile Device Management (MDM) erfasst und verwaltet das gesamte Gerät, einschließlich Einstellungen, Compliance, Updates und Fernlöschung, und eignet sich für firmeneigene Hardware. Mobile Application Management (MAM) schützt Unternehmensdaten in bestimmten Apps, ohne das Gerät zu erfassen, und ist daher ideal für BYOD-Szenarien. MAM unterstützt selektives Löschen, sodass Arbeitsdaten entfernt werden können, während private Inhalte erhalten bleiben. Beide Kanäle können auf demselben Gerät parallel genutzt werden.

Was ist in der Microsoft Intune Suite enthalten?

Die Intune Suite umfasst Remotehilfe, Endpunktberechtigungsverwaltung, erweiterte Analysen, Enterprise App Management, Microsoft Cloud PKI, Microsoft Tunnel für MAM, Firmware-Updates (Over-the-Air) für unterstützte Zebra Android-Geräte sowie die Verwaltung spezieller Geräte. Seit dem 1. Juli 2026 ist die vollständige Suite in Microsoft 365 E5 enthalten, während Microsoft 365 E3 Remotehilfe, erweiterte Analysen und die Funktionen von Intune Plan 2 umfasst.

Wie stellt Microsoft Intune Zertifikate für Geräte aus?

Intune stellt Zertifikate über Zertifikatsprofile bereit. SCEP- und PKCS-Profile werden über den Zertifikatsconnector für Microsoft Intune von einer lokalen Zertifizierungsstelle ausgestellt, während Microsoft Cloud PKI sie von einer verwalteten Cloud-Zertifizierungsstelle ausstellt. Geräte verwenden diese Zertifikate dann für die WLAN- und VPN-Authentifizierung sowie für die kennwortlose Anmeldung mit Windows Hello for Business.

Erstellen Sie die PKI, von der Ihre Intune-Bereitstellung abhängt.

Intune kann Zertifikate an jedes von Ihnen verwaltete Gerät ausliefern, jedoch nicht die zugrunde liegende Zertifizierungsstellenhierarchie abbilden. Weitere Informationen zur Darstellung dieser Komponenten im täglichen Verwaltungsalltag finden Sie unter PKI-Dienste oder im zugehörigen Artikel zu den wichtigsten Funktionen von Microsoft Intune .