In diesem Kurs wird die Microsoft Mobile Device Management (MDM) Lösung Intune behandelt. Über Intune können Geräte mit Windows, iOS/iPadOS, MacOS oder auch Android zentral verwaltet werden, ganz gleich wo sie sich auf der Welt befinden. Damit Intune genutzt werden kann, muss das Unternehmen einen Tenant besitzen und Lizenzen für die Benutzer erwerben. Für Enterprise Kunden, die Intune und Micorsoft 365 Apps sowie diverse Security Features nutzen wollen, bietet sich die Microsoft 365 E3 oder noch besser Microsoft 365 E5 an. In der Microsoft 365 E5 wie auch in der E3 ist Intune Plan 1 enthalten. Zusätzlich kann Plan 2 oder die Intune Suite erworben werden für weitere Funktionen.
Ab dem 01.07.2026 integriert Microsoft die Funktionen der Intune Suite voll in Microsoft 365 E5 und E7 und teilweise in E3. Daher werden jetzt folgende Funktionen auch im Intune Kurs behandelt:

• Intune Remote Help
• Endpoint Privilege Management
• Intune Advanced Analytics
• Intune Enterprise App Management

Die Funktionen Intune Remote Help und Intune Advanced Analytics sind auch in Microsoft 365 E3 vorhanden.

Kursumgebung Hybrid + Intune:
Im Kurs nutzen wir eine hybride Umgebung. Das On-Premises Active Directory ist mit Entra ID über Entra-Connect verbunden, um Benutzer-, Gruppen- und Geräteobjekte von On-Premises AD zu Entra zu synchronisieren. Die Authentifizierung zwischen dem auf Kerberos basierenden On-Premises AD und dem auf Token basierenden Entra kann durch mehrere Möglichkeiten realisiert werden. Zur Verfügung stehen hier unter anderem die Federation durch ADFS (Active Directory Federation Services) und die in diesem Kurs angewandte  PHS (Password Hash Synchronisation) oder PTA (Pass-Through Authentication).

Device Registration:
Bevor Geräte über Intune voll verwaltet werden können, sollten diese in Entra ID registriert (Entra Registration) werden. Dabei gibt es folgende drei Methoden: Device Registration, Entra Join und Hybrid Entra Join. Damit können BYOD (Bring Your Own Device) und CYOD (Choose Your Own Device) Szenarien umgesetzt werden. Nur bei Windows Geräte können alle drei Registrierungsmethoden verwendet werden. Die Plattformen iOS/iPadOS, Android und MacOS können nur Registriert werden.
In den meisten Umgebungen werden Geräte Identitäten vom Typ Hybrid in Entra verwendet. Die Hybridgeräte waren einer der ersten Schritte in Richtung Cloud. Um auch zukünftig sicher aufgestellt zu sein, sollte aber auf Entra Only Geräte gesetzt werden, da Microsoft eine Cloud First Strategie verfolgt und neue Funktionen immer öfter nur noch für Entra Only Geräte veröffentlicht werden. Daher wird im Intune Kurs jetzt behandelt, wie Hybrid Entra Geräte zu Entra Only Geräten migriert werden können.

Device Enrollment:
Nach der Registration in Entra müssen die Geräte in Intune aufgenommen (enrolled) werden. Es gibt die manuelle und automatische Enrollment Methode. Das manuelle Windows Enrollment erfolgt über die Settings App von Windows. Für das Massenenrollment von Windows Geräten wird Windows Autopilot genutzt.
Bevor iOS/iPadOS Devices von Intune verwaltet, werden können, muss ein Apple MDM Push Zertifikat angefordert werden. Erst durch das Zertifikat werden Intune Konfiguration auf Apple Geräten vertrauenswürdig.
Auf dem iOS/iPadOS Gerät kann das manuelle Enrollment über die Unternehmensportal App aus dem App Store durchgeführt werden. Automatisiert kann dies über den Apple Business durchgeführt werden. Beim Automatic Device Enrollment (ADE) kann der „Supervised“ Status gesetzt werden. Dieser Status wird für die vollumfängliche Verwaltung von iOS/iPadOS benötigt. Weitere Enrollment Methoden sind „User- & Device Enrollment“.
Um Android Geräte verwalten zu können, muss ein Google Business Account mit Intune verbunden werden. Anschließend können zwischen verschiedenen Enrollment Methoden gewählt werden, z.B. Corporate-owned fully managed User Devices.

Device Configuration:
Von Intune verwaltete Geräte können über verschiedene Profil-Typen konfiguriert werden. Je nach vorgefertigtem Profil-Typ gibt es unterschiedliche Einstellungen, die durch die Configuration Service Provider (CSP) auf dem Windows Gerät umgesetzt werden. Ein CSP funktioniert vergleichsweise wie eine CSE (Client Side Extension) bei den Active Directory Gruppenrichtlinien. Die CSP sind nach dem Open Mobile Alliance (OMA) Standard definiert und können von anderen MDM Lösungen ebenfalls verwendet werden. Eine Migration von bestehenden Gruppenrichtlinien ist bedingt möglich. Bevorzug sollte bei Windows der Settings Catalog für die Konfiguration verwendet werden. Firmeneigene iOS/iPadOS Geräte können vollumfänglich verwaltet werden. Es kann z. B. die Kamera, der App Store blockiert und weitere Einschränkungen, sowie Sicherheitskonfigurationen angewandt werden. Basierend auf der Enrollment Variante sind verschiedene Konfigurationsmöglichkeiten verfügbar.

Device Security:
Die Einstellungen für die Gerätesicherheit wurde von Microsoft in den Bereich Endpoint Security ausgelagert, um alle Sicherheitseinstellungen zusammenzufassen. Unter Endpoint Security kann unter anderem die Windows Defender Firewall, BitLocker, Credential Guard konfiguriert werden. Über den Profiltyp „Endpoint Detection and Response“ (EDR) kann das Geräte in den „Microsoft Defender for Endpoint“ aufgenommen werden (onboarden), welches eine erweiterte Sicherheitsüberwachung von Geräten bietet. Das Ergebnis der Sicherheitsüberwachung vom Defender for Endpoint kann wiederum bei den Compliance Policy verwendet werden.

Endpoint Privilege Management (EPM):
EPM erlaubt es, dass Standardbenutzer einzelne Anwendungen oder Aktionen mit erhöhten Rechten ausführen können, wenn dies erforderlich ist. Dafür müssen die Benutzer zu keiner Zeit zu lokalen Administratoren ernannt werden. Es wird lediglich der Installationsprozess mit erhöhten Rechten gestartet. Hierbei können automatische Rechteerweiterungsregeln definiert werden, die den Benutzern ermöglichen, diverse Aufgaben, ohne den Eingriff eines Admins, zu erfüllen. Alternativ können Administratoren auch eine Authentifizierungsanfrage oder eine schriftliche Begründung vom Benutzer verlangen, die dann erst vom Admin genehmigt werden, muss.
EPM unterstützt das Erhöhen der Rechte bei diesen Dateitypen:

• Ausführbare Dateien mit einer .exe Erweiterung
• Windows Installer-Dateien mit einer .msi Erweiterung
• PowerShell-Skripte mit der .ps1 Erweiterung

Um die Steuerung der Dateien möglichst präzise gestalten zu können, werden die folgenden Attribute unterstützt:

• Publisher
• File Hash
• File Path
• Arguments

App Deployment:
Über Intune lassen sich verschieden Applikationstypen für Windows, iOS/iPadOS, MacOS & Android bereitstellen. Allgemein verfügbare Applikationstypen sind Store Apps, Line-of-Business und Web Links (Web Application). Verfügbare Bereitstellungsoptionen sind „Available“, „Required“ und „Uninstall“.
Für Windows Geräte steht zusätzlich der Win32 App Typ zur Verfügung. Mit diesem Typ lassen sich Abhängigkeiten (Dependency) und ersetzende (Supersedence) Bereitstellungen zu anderen Win32 Apps abbilden. Store Apps bei Windows werden über Microsoft Store und WinGet (Windows Package Manager) abgebildet. Bei iOS/iPadOS lassen sich Applikationen über den Apple Business Manager (VPP) erwerben und mit Intune synchronisieren. Über Intune können die Applikationen anschließend bereitgestellt werden.
Wenn die Applikationen für iOS/iPadOS und Andorid bereitgestellt wurden, sollten diese auch konfiguriert (App Configuration) und Unternehmensdaten geschützt (App Protection) werden.
Auf jeden Fall müssen App Protection Policies verwendet werden, wenn auf Privaten Geräten Unternehmens Applikation verwendet werden dürfen (MAM). Nur so lassen sich Unternehmens Daten auf privaten Geräten schützen.

Intune Enterprise App Management:
Wenn eine Anwendung als Win32 app (Win32) über Intune bereitgestellt wird, muss diese vorab paketiert werden. Dies bedeutet, dass alle installationsrelevanten Dateien in eine Intunewin-Datei gepackt werden müssen. Über das Enterprise App Management von Intune stellt Microsoft die Intunewin-Dateien bereit und die Installationsdetails sind vordefiniert. Somit kann die Anwendung im besten Fall direkt den Benutzern oder den Geräten zugewiesen werden.
Microsoft stellt diese Anwendungen über den Enterprise App Catalog bereit. Beim Inhalt des App Catalogs sind wir komplett davon abhängig, was Microsoft hinzufügt.
Wenn eine Anwendung über den Enterprise App Catalog bereitgestellt und installiert wurde, kann der Monitoring Bereich verwendet werden, um Aktualisierungen vorzunehmen. Die Aktualisierungen erfolgen anschließend über die „Ersetzen“ (Superseding) Funktion der Win32 App. 

OS Updates/Upgrades:
Genauso wichtig wie die Konfiguration eines Geräts ist das Update Management. Es ist möglich, Zeitpläne für die Installationen von Funktionsupdates oder Kumulativ Updates auf den Windows Geräte zu erstellen. Mit dem neuen Windows Feature Update kann die Version eines Windows Geräte bestimmt werden. Auch die Hotpatch Funktionalität kann für Intune verwaltet Windows 11 Clients verwendet werden.
Mit Windows Autopacht lässt sich die Update Verwaltung an Microsoft abgebenden.
Wenn die iOS/iPadOS Geräte über das ADE enrolled wurden, können Updaterichtlinien verwendet werden.

Device Compliance:
Mit Device Compliance kann der Zustand eines Devices überwacht werden. Dafür werden Device Compliance Policies konfiguriert, die bspw. Firewall, Virenscanner, BitLocker, Versionsstand, etc. überprüfen. Bei Windows wird der Zustand des Devices überprüft und so entschieden, ob es „Compliant“ ist. Wenn die zur Verfügung stehenden Policies nicht ausreichend sind, kann eine Custom Compliance Policy erstellt werden.
Bei iOS/iPadOS wird der Zustand überprüft und, falls dieser abweichend ist, korrigiert. Das Ergebnis von Device Compliance kann als Bedingung für Entra Conditional Access verwendet werden, um den Zugriff auf Unternehmens Ressourcen einzuschränken.

Windows Autopilot Enrollment:
Die empfohlene Variante Geräte in Intune aufzunehmen ist Windows Autopilot. Dies kann im User-Driven oder Self-Deploying Modus durchgeführt werden. Nach dem Enrollment von Windows Geräten werden auch alle adressierten Applikationen und Konfigurationen auf dem Gerät bereitgestellt, sodass die Windows Geräte für den Endbenutzer einsatzbereit und konfiguriert sind.
Es ist auch möglich über Windows Autopilot den Hybrid Entra ID Join durchzuführen. Die Voraussetzung hierfür ist ein Intune Connector für Active Directory, der im On-Premises AD eingerichtet werden muss. Im Home-Office kann dies mithilfe eines VPN Device Tunnel realisiert werden.
Es kann Windows Autopilot for pre-provisioned (früher White Glove) verwendet werden, um Windows Geräte für den Windows Autopilot vorzubereiten.
Mit Windows Autopilot device preparation hat Microsoft eine neue Methode eingeführt Windows Geräte auszurollen. Diese Methode erleichtert und beschleunigt die Bereitstellung von Windows 11 Clients. Es können aber nur Entra Only Geräte bereitgestellt werden.  

Intune Remote Help
Mit Intune Remote Help hat Microsoft eine cloudbasierte Supportlösung integriert, die es dem Help Desk Team ermöglicht, sich direkt über das Portal auf die Geräte der Endbenutzer zu verbinden, um Echtzeitunterstützung leisten zu können. Diese Funktionalität erfordert sowohl vom Helfer als auch vom Endbenutzer eine Anmeldung bei Microsoft Entra. Somit kann Remote Help nur innerhalb eines Tenants genutzt werden. Zusätzlich können RBAC-Regeln definiert werden, um den Umfang des Zugriffs der IT-Supportmitarbeiter festzulegen.

Intune Analytics:
Um Audit Informationen von Intune zentral zu sammeln, um diese auszuwerten, kann ein Log Analytic Workspace (LAW) verwendet werden.
Es ist auch möglich die Intune Geräte durch die Verbindung mit Azure Monitor zu überwachen. Die gelieferten Events werden im Log Analytics Workspace (LAW) gesammelt und ausgewertet, z. B. um einen Work Flow zu triggern. Für Azure Monitor bzw. Log Analytics wird eine Azure Subscription benötigt. Durch den LAW kann auch die Windows Update for Business report Funktionalität verwendet werden.
Durch Intune Advanced Analytics können Probleme von Endgeräten rechtzeitig erkannt werden. Es werden Daten vom Arbeitsspeicher, der CPU, dem Akkuzustand und von Anwendungen analysiert. Wenn Probleme aufgetreten sind, können diese über eine Zeitachse nachvollzogen werden.
Mit der Funktion Intune Advanced Analytics wurde auch Device Query integriert. Dadurch können selbständig Informationen von einem oder mehreren Geräten mit Hilfe der Kusto Query Language (KQL) abgefragt werden.  Es handelt sich hierbei um eine Hardwareinventarisierung der Intune Geräte.