Intune beginnt nicht mit dem ersten Gerät, sondern mit vier Klärungen: Ist das Szenario richtig lizenziert, ist die MDM-Autorität gesetzt, wer hat welche Rolle, und welche Gruppen gibt es? Danach bestimmen drei Fragen das Aufnahmeverfahren: Welches Betriebssystem, wem gehört das Gerät, und ist es neu oder schon in Benutzung? Microsoft rät, klein und gestaffelt zu beginnen.
Was vor dem ersten Gerät feststehen muss
| Bereich | Anforderung laut Microsoft |
|---|---|
| Konten | Benutzer liegen in Microsoft Entra ID – Pflicht, außer bei Geräten ohne Nutzerbindung |
| Lizenz, Benutzerszenario | Wer Geräte aufnimmt, braucht vorher eine zugewiesene Intune-Lizenz; auch im Paket enthaltene Lizenzen müssen zugewiesen sein. Auch Nutzer, die nur App-Schutzrichtlinien erhalten, brauchen eine Lizenz |
| Pakete | Plan 1 ist die Basis, Plan 2 und Intune Suite ergänzen; meist kommt Intune über Microsoft-365-Pakete wie E3 oder E5. Business Premium enthält Plan 1 |
| Entra ID P1 oder P2 | Für die automatische Aufnahme unter Windows – und damit für Windows Autopilot |
| Administratoren | In Mandanten ab Juli 2021 brauchen Administratoren für das Intune Admin Center keine eigene Intune-Lizenz; ältere Mandanten können das einmalig und nicht umkehrbar freischalten. Funktionen von Entra ID P1/P2 bleiben lizenzpflichtig |
| MDM-Autorität | Muss vor der ersten Aufnahme gesetzt sein |
| Bisherige Geräteverwaltung | Geräte aus einem anderen MDM vorher dort abmelden |
| Mehrfaktor bei der Aufnahme | Für die automatische Windows-Aufnahme standardmäßig nicht aktiv; Microsoft empfiehlt sie |
Die Lizenzfrage richtig stellen
„Keine Nutzerlizenz, keine Verwaltung“ gilt nicht pauschal, und Nutzer- und Gerätelizenz sind keine doppelte Pflicht. Die richtige Frage lautet: Ist das konkrete Benutzer- oder Geräteszenario korrekt lizenziert, einschließlich der Zusatzfunktionen?
| Szenario | Passende Lizenz | Grenze |
|---|---|---|
| Gerät mit festem Nutzer | Nutzerlizenz; sie deckt bis zu 15 Geräte dieses Nutzers | Automatische Windows-Aufnahme und bedingter Zugriff verlangen zusätzlich Entra ID P1 oder P2 |
| Gerät, das mehrere Nutzer verwenden | Je Gerät eine Gerätelizenz oder alle Nutzer mit Nutzerlizenz | Eine der beiden Varianten genügt |
| Gerät ohne Nutzerbindung auf geeignetem Weg | Gerätelizenz (Device-only), etwa bei Autopilot Self-Deploying, Apple ADE ohne Nutzeraffinität oder Android Enterprise Dedicated | Kein App-Schutz, kein bedingter Zugriff, keine nutzerbezogene Verwaltung wie E-Mail und Kalender |
| Privates Gerät nur mit App-Schutz | Nutzerlizenz | Keine Geräteaufnahme |
Wird einem Nutzer mit verwalteten Geräten die Lizenz entzogen, kann das laut Microsoft Compliance und Verwaltung dieser Geräte beeinträchtigen.
Einführung in zehn Schritten
- Ziele und Bestand aufnehmen: Plattformen, Versionen, Eigentum. Welche Geräte werden verwaltet, welche nur über App-Schutz?
- Vorhandene Richtlinien prüfen; Gruppenrichtlinien lassen sich mit Group Policy Analytics auswerten. Was wird übernommen, was entfällt?
- Lizenzen prüfen und zuweisen – Paket je Gruppe.
- MDM-Autorität prüfen: Intune, Co-Management oder Koexistenz.
- Rollen nach geringsten Rechten vergeben; für löschende Aktionen eine Zweitfreigabe (Multi Admin Approval) vorsehen.
- Gruppen anlegen: Benutzer- und Gerätegruppen nach einem Plan.
- Firmenportal mit Kontaktangaben für die Nutzer versehen.
- Einschränkungen für die Aufnahme setzen: welche Plattformen, private Geräte ja oder nein, Gerätelimit je Nutzer.
- Eine Mindestgrundlinie an die Pilotgruppe zuweisen.
- Pilot, dann Wellen nach Abteilung, Standort oder Plattform.
Geräte aufnehmen: das Verfahren je Plattform
| Plattform | Ausgangslage | Eigentum | Verfahren | Besonderheit |
|---|---|---|---|---|
| Windows | Neu | Firma | Windows Autopilot | Verlangt die automatische Aufnahme, also Entra ID P1/P2 |
| Windows | Neu, einfacher Zuschnitt | Firma | Autopilot Device Preparation | Nur Entra-Beitritt, keine Vorregistrierung, kein Windows 10 |
| Windows | Vorhanden, Entra-joined oder beitrittsfähig | Firma | Automatische Aufnahme | Von Microsoft für vorhandene Firmengeräte empfohlen |
| Windows | Vorhanden, in der Domäne | Firma | Gruppenrichtlinie (Hybrid) | Hybrid-Beitritt nötig; nur Firmengeräte |
| Windows | Mehrere gleiche Geräte | Firma | Bereitstellungspaket | Nur Firmengeräte |
| Windows | Privat | Privat | Registrieren oder Beitreten | Registrieren: nicht von Intune verwaltet. Beitreten: voll verwaltet – Nutzer vorher informieren |
| iOS/iPadOS | Neu | Firma | Automated Device Enrollment | Apple Business, Token, Push-Zertifikat; Gerät wird überwacht |
| iOS/iPadOS | Vorhanden | Firma | Apple Configurator | Mac mit USB, jedes Gerät anschließen |
| iOS/iPadOS | Beliebig | Privat | Firmenportal oder Benutzerregistrierung | Kein Zurücksetzen; die Benutzerregistrierung trennt den Arbeitsbereich |
| macOS | Neu | Firma | Automated Device Enrollment | Apple Business, Token, Push-Zertifikat |
| macOS | Beliebig | Privat | Firmenportal | Vom Nutzer bestätigt |
| Android | Beliebig | Privat | Arbeitsprofil | Managed Google Play; trennt Arbeits- und Privatbereich |
| Android | Beliebig | Firma, mit Privatnutzung | Corporate-owned work profile | Zurücksetzen Pflicht |
| Android | Beliebig | Firma, ein Nutzer | Fully managed | Zurücksetzen Pflicht |
| Android | Beliebig | Firma, ohne Nutzer | Dedicated | Zurücksetzen Pflicht |
Android Device Administrator gilt als Altverfahren und ist für Geräte mit Google-Diensten eingestellt; Microsoft rät, es per Einschränkung zu blockieren. Private Geräte lassen sich auch ganz ohne Aufnahme über App-Schutzrichtlinien schützen – dann sollte die Aufnahme für sie gesperrt sein.
Woran Sie erkennen, dass die Aufnahme geklappt hat
| Prüfung | Soll | Wenn nicht |
|---|---|---|
| Lizenzszenario | Passt zum Gerät: Nutzerlizenz oder Gerätelizenz auf geeignetem Weg | Szenario klären |
| Verwaltet | MDM oder EAS/MDM | Gerät ist nicht aufgenommen |
| Entra-Beitrittstyp | Gesetzt, nicht „Not Registered“ | Abmelden und neu aufnehmen |
| Eigentum | Wie geplant | Eigentum prüfen |
| Letzte Synchronisierung | Aktuell; älter als 24 Stunden ist auffällig | Gerät und Netz prüfen |
Das belegt die Aufnahme, noch nicht, dass jede Richtlinie angewandt ist. Neu aufgenommene Windows-Geräte synchronisieren laut Microsoft anfangs häufiger, später rund alle acht Stunden.
Häufige Fehler
| Fehlerbild | Ursache laut Microsoft |
|---|---|
| Aufnahme scheitert, Bericht nennt nicht erfüllte Einschränkung | Plattform- oder Privatgeräte-Sperre greift |
| Gerät zählt als privat, obwohl es ein Firmengerät ist | Apple-Geräte gelten ohne Seriennummer oder ADE standardmäßig als privat |
| Doppelte Einträge | Automatische Aufnahme aus, Geräte trotzdem Entra-joined |
| Gerätelimit greift nicht | Das Limit gilt nicht für Autopilot, Entra-Beitritt, Gruppenrichtlinie und Co-Management |
| Richtlinien kommen verzögert | Dynamische Gerätegruppe noch nicht berechnet |
| Aufnahme scheitert bei geklonten Images | Klone bereits aufgenommener Geräte werden nicht unterstützt |
Grenzen
- Einschränkungen bei der Aufnahme sind laut Microsoft keine Sicherheitsfunktion: Ein manipuliertes Gerät kann falsche Angaben machen.
- Ohne Zurücksetzen bleiben frühere Einstellungen bestehen, soweit Intune sie nicht setzt.
- Windows 10 ist nach dem Ende des Supports in Intune nur noch erlaubt – aufnehmbar, aber ohne Funktionszusage.
- Wie lange eine Einführung dauert, hängt an Bestand, Plattformen und Fachanwendungen. Eine pauschale Dauer gibt es nicht.
Wer die Einführung nicht allein stemmen will: Wir führen Intune mit Bestandsaufnahme, Zielkonzept, Pilot und Wellen ein und betreiben es danach – allein oder gemeinsam mit Ihrer IT.
Häufige Fragen
Was brauche ich mindestens, um Intune zu starten?
Einen Mandanten, eine gesetzte MDM-Autorität, Rollen, Gruppen und eine Lizenz, die zum Szenario passt: Nutzerlizenzen für Geräte mit Nutzer, für geeignete Geräte ohne Nutzerbindung auch Gerätelizenzen.
Brauche ich Entra ID P1?
Für die automatische Aufnahme unter Windows und damit für Autopilot ja, P1 oder P2 – ebenso für den bedingten Zugriff.
Muss der Administrator selbst lizenziert sein?
Für den Zugang zum Intune Admin Center in Mandanten ab Juli 2021 nicht; ältere Mandanten können das freischalten. Das ersetzt keine Lizenz für Funktionen von Entra ID.
Was ist der Unterschied zwischen Aufnehmen und Registrieren?
Registrieren macht das Gerät in Entra ID bekannt; Aufnehmen unterstellt es der Verwaltung durch Intune.
Muss ich vorhandene Geräte zurücksetzen?
Beim Wechsel aus einer anderen Geräteverwaltung muss Windows laut Microsoft nicht zurückgesetzt werden, ebenso wenig Android mit privatem Arbeitsprofil; iOS, iPadOS, macOS und die Android-Firmenmodi schon.
Kann ich private Smartphones ohne Aufnahme schützen?
Ja, über App-Schutzrichtlinien; das Gerät wird dann nicht aufgenommen.
Wie lange dauert die Einführung?
Das hängt von Bestand, Plattformen und Fachanwendungen ab. Eine pauschale Dauer nennen wir nicht.
Verwandte Themen: Wer hier weiterdenkt, liest bei Intune-Einführung, BYOD und Single Sign-on weiter.
Im Text erwähnt
Quellen
- Device enrollment guide for Microsoft Intune · Microsoft
- Windows device enrollment guide · Microsoft
- Android device enrollment guide · Microsoft
- iOS/iPadOS device enrollment guide · Microsoft
- macOS device enrollment guide · Microsoft
- Microsoft Intune Licensing Plans and Options · Microsoft
- Assign Microsoft Intune licenses · Microsoft
- Set up Intune · Microsoft
- Planning guide to move to Microsoft Intune · Microsoft
- Enable MDM automatic enrollment for Windows · Microsoft
- Overview of enrollment restrictions · Microsoft
- Operating systems and browsers supported by Intune · Microsoft
