Microsoft Intune: einheitliche Geräte statt Konfigurationschaos

Ohne zentrale Geräteverwaltung entsteht in jedem wachsenden Betrieb und in jeder Schule dieselbe Lage: Jeder Rechner wird von Hand installiert, die Betriebssystemstände laufen auseinander, Festplattenverschlüsselung wird vergessen und Wiederherstellungsschlüssel liegen nirgendwo dokumentiert. Geht ein Dienst-Smartphone verloren, gibt es keine Möglichkeit, die Daten darauf aus der Ferne zu löschen. Microsoft Intune ist der Teil von Microsoft 365, der genau das löst: Geräterichtlinien, Verschlüsselung, Updates und Softwareverteilung laufen zentral, unabhängig davon, ob das Gerät im Büro, im Homeoffice oder im Klassenzimmer steht.

Zwei Säulen: einheitliche Bereitstellung und Endpoint-Security

Die erste Säule ist die Gestaltung des Arbeitsplatzes. Desktophintergründe, Sperrbildschirme, Browsereinstellungen und Standardsoftware wie die Microsoft-365-Apps, Teams und Ihre Fachanwendungen werden automatisch ausgespielt. Über Windows Autopilot ist ein neues Gerät nach dem Auspacken in der Regel in weniger als einer halben Stunde arbeitsbereit, abhängig von Netzanbindung und Umfang der Softwarepakete. Die zweite Säule ist die Absicherung. BitLocker auf Windows und FileVault auf macOS werden per Richtlinie erzwungen, die Wiederherstellungsschlüssel landen nachvollziehbar in Entra ID. Update-Ringe steuern, wann welche Gerätegruppe Patches bekommt. Und über Mobile Application Management lassen sich Firmendaten auf privaten Smartphones vom Rest des Geräts trennen.

Was sich gegenüber der manuellen Verwaltung ändert

Bereitstellung: statt zwei bis vier Stunden Installation am Gerät ein Zero-Touch-Rollout über Autopilot. Standort: statt Zwang zum Firmennetz oder zur Domäne eine Verwaltung über das Internet, also auch im Homeoffice und an Außenstandorten. Verschlüsselung: statt manuell und oft undokumentiert eine erzwungene Richtlinie mit Schlüsselhinterlegung in Entra ID. Softwarestand: statt unregelmäßig und nutzerabhängig gesteuerte Update-Ringe mit Konformitätsberichten. Und der Punkt, der sicherheitstechnisch am meisten bringt: Der Gerätezustand wird zur Zugangsbedingung. Über bedingten Zugriff erhält nur ein Gerät Zugriff auf Ihre Microsoft-365-Daten, das als konform gemeldet ist. Ein unverschlüsseltes, veraltetes oder fremdes Privatgerät bleibt draußen.

Besonderheiten in Schulen und Bildungseinrichtungen

Im Bildungsbereich kommen eigene Anforderungen dazu. Geteilte Geräte im Klassensatz brauchen den Shared-Device-Modus, damit sich mehrere Schülerinnen und Schüler nacheinander an demselben Tablet anmelden können, ohne Daten des Vorgängers zu sehen. Für Prüfungen lassen sich Geräte temporär in einen eingeschränkten Modus versetzen, in dem nur freigegebene Anwendungen laufen. Lehrenden- und Lernendengeräte bekommen unterschiedliche Profile, oft mit unterschiedlichen Regeln für App-Installation und Browserzugriff. Die Lizenzierung läuft im Bildungsbereich über die Microsoft-365-Education-Pläne, die Intune je nach Stufe bereits enthalten.

Wie Intune mit dem Rest zusammenhängt

Intune ist das Bindeglied zwischen Hardware, Cloud-Sicherheit und Notfallvorsorge. Die Business-Geräte von Microsoft, Lenovo und HP mit Secured-Core und TPM 2.0 entfalten ihre Schutzfunktionen erst, wenn Firmware und Richtlinien zentral gesteuert werden. Microsoft 365 Fortress AI setzt für die strengeren Härtungsstufen voraus, dass die Endgeräte als konform gemeldet werden können. Und die Verwaltungsoberflächen eines eigenen Backup-Systems, etwa einer Synology, lassen sich per Richtlinie auf geprüfte Administrationsgeräte einschränken. Welche dieser Bausteine bei Ihnen sinnvoll sind, hängt von Ihrer Ausgangslage ab.

1. 1

   Bestandsanalyse und Profile

   Wir erfassen die vorhandenen Endgeräte und definieren einheitliche Konfigurationsprofile, getrennt nach Rollen, Abteilungen oder Schulklassen.

2. 2

   Sicherheitsbaselines einrichten

   BitLocker beziehungsweise FileVault, Update-Ringe, Kennwortvorgaben und die Anbindung an Microsoft Defender werden als Richtlinie hinterlegt.

3. 3

   Autopilot und bedingter Zugriff

   Die Hardware-Hashes werden in Ihrem Tenant registriert und mit den Regeln für bedingten Zugriff verknüpft, damit nur konforme Geräte hineinkommen.

4. 4

   Pilot und Rollout

   Erst eine kleine Gruppe, dann die Flotte. Die Umstellung läuft in Wellen, damit im Team oder im Lehrkörper niemand vor einem unbrauchbaren Gerät sitzt.