In Intune setzt ein Konfigurationsprofil eine Einstellung, eine Compliance-Richtlinie bewertet das Gerät. Über den Zugriff entscheidet eine Richtlinie für den bedingten Zugriff in Microsoft Entra ID – sofern sie eingerichtet ist. Ohne eine solche Richtlinie sperrt der Compliance-Status keinen Zugriff. Wer diese drei Ebenen trennt, findet Fehler schneller.
Drei Bausteine, drei Aufgaben
| Baustein | Aufgabe | Wirkt | Zuständig |
|---|---|---|---|
| Konfigurationsprofil | Setzt Einstellungen | Beim Check-in, auf Gerät oder Nutzer | Intune |
| Compliance-Richtlinie | Prüft Regeln, meldet den Status, kann Aktionen auslösen | Beim Check-in, auf das Gerät | Intune |
| App-Schutzrichtlinie | Schützt Daten in Apps | In der App, auch ohne Geräteaufnahme | Intune |
| Bedingter Zugriff | Entscheidet bei der Anmeldung über den Zugriff | Bei der Anmeldung | Microsoft Entra ID |
Die Oberfläche für den bedingten Zugriff erscheint auch im Intune Admin Center. Der Dienst gehört trotzdem zu Entra ID und setzt Entra ID P1 oder P2 voraus, etwa über Business Premium. Auf Geräten mit reiner Gerätelizenz wird er nicht unterstützt.
Richtig zuweisen
| Frage | Antwort laut Microsoft |
|---|---|
| Gerätegruppe oder Benutzergruppe? | Gerätegruppe: gilt unabhängig davon, wer angemeldet ist – sinnvoll für Geräte ohne festen Nutzer. Benutzergruppe: folgt der Person über ihre Geräte – sinnvoll für Mail und Nutzerzertifikate |
| Dynamische Gerätegruppe? | Möglich, aber die Mitgliedschaft braucht Rechenzeit; für zeitkritische Fälle Filter oder Benutzergruppen |
| Wann ein Filter statt einer Gruppe? | Bei Geräteeigenschaften wie Betriebssystem, Modell oder Eigentum; der Filter wird beim Check-in ausgewertet |
Ausschlüsse: was geht und was nicht
| Einschluss | Ausschluss | Unterstützt? |
|---|---|---|
| Benutzergruppe | Benutzergruppe | Ja |
| Statische Gerätegruppe | Statische Gerätegruppe | Ja |
| Dynamische Gerätegruppe | Statische Gerätegruppe | Ja |
| Beliebige Gerätegruppe | Dynamische Gerätegruppe | Teilweise, für zeitkritische Fälle nicht empfohlen |
| Gerätegruppe | Benutzergruppe | Nein – die Geräte dieser Nutzer werden nicht ausgeschlossen |
| Benutzergruppe | Gerätegruppe | Nein |
Statt Gruppenarten zu mischen, empfiehlt Microsoft: an die Benutzergruppe zuweisen und Geräte per Filter ein- oder ausschließen. Und nicht verwechseln: Ein Ausschluss in Intune stoppt die Auslieferung einer Richtlinie, ein Ausschluss im bedingten Zugriff nimmt ein Konto von der Zugriffsregel aus.
Compliance einrichten
- Mandantenweite Einstellung prüfen: Geräte ohne zugewiesene Compliance-Richtlinie gelten standardmäßig als konform. Das ist nur ein Status, keine Zugriffsfreigabe. Verlangt eine Richtlinie für den bedingten Zugriff ein konformes Gerät, empfiehlt Microsoft, diese Einstellung auf „Not compliant“ zu stellen.
- Die Gültigkeitsdauer des Status beträgt standardmäßig 30 Tage; wer sich nicht rechtzeitig meldet, gilt als nicht konform.
- Je Plattform eine Richtlinie mit Mindestanforderungen anlegen.
- Aktionen bei Nichteinhaltung: „Als nicht konform markieren“ läuft standardmäßig sofort. Wer eine Frist setzt, schafft eine Karenzzeit. Die Aufnahme in die Retire-Liste entfernt nichts, solange kein Administrator handelt.
- Prüfen, was die Regel bewirkt: Manche Regeln setzt das Betriebssystem selbst durch, etwa die PIN unter Windows, iOS und macOS. Viele andere werden nur bewertet, etwa die Verschlüsselung unter Windows – dann muss ein Profil die Einstellung herstellen.
Bedingten Zugriff anbinden
Microsoft nennt die Reihenfolge: zuerst eine Compliance-Richtlinie und mindestens ein konformes Gerät, dann die Zugriffsregel. Notfall- und Dienstkonten werden ausgenommen. Die Regel läuft zunächst nur im Berichtsmodus, danach aktiv. Im Berichtsmodus mit Compliance-Prüfung können macOS, iOS und Android wiederholt nach einem Gerätezertifikat fragen; Microsoft rät, diese Plattformen aus solchen Regeln auszunehmen.
Wenn zwei Richtlinien dasselbe regeln
| Lage | Was gilt laut Microsoft |
|---|---|
| Compliance-Richtlinie und Konfigurationsprofil setzen dieselbe Einstellung | Die Compliance-Einstellung hat Vorrang |
| Zwei Compliance-Richtlinien | Die restriktivste Einstellung |
| Zwei Konfigurationsprofile mit verschiedenen Werten | Konflikt – von Hand lösen; auch Sicherheits-Baselines und Endpoint-Security-Richtlinien prüfen |
| Zwei App-Schutzrichtlinien | Der restriktivste Wert |
Bleibt eine Einstellung, wenn die Richtlinie entfernt wird?
| Art | Wirkung |
|---|---|
| WLAN, VPN, Zertifikat, Mail | Wird auf allen unterstützten Geräten entfernt |
| Android, andere Profile | Die Einstellung bleibt |
| iOS/iPadOS | Wird entfernt, bis auf drei Roaming-Einstellungen |
| Windows | Hängt von der jeweiligen Einstellung ab; manche Werte bleiben stehen |
Eine Einstellung zu lockern heißt unter Windows deshalb oft: eine neue Richtlinie mit „Not configured“ zuweisen, statt die alte nur zu entfernen.
Fehlersuche in dieser Reihenfolge
- Passt die Lizenz zum Szenario? Im Benutzerszenario zeigt die Fehlerbehebungsansicht die Intune-Lizenz des Nutzers.
- Ist das Gerät verwaltet? Ohne Aufnahme keine Profile.
- Hat es zuletzt eingecheckt? Älter als 24 Stunden ist auffällig.
- Ist die Richtlinie dem Gerät oder Nutzer zugewiesen?
- Greift ein Filter? Die Filterauswertung kann bis zu 30 Minuten verzögert sein.
- Welcher Status? Pending, Conflict, Not applicable oder Error.
- Ist der Zugriff gesperrt? Dann geben die Anmeldeprotokolle von Entra ID Auskunft, welche Regel gegriffen hat – nicht die Intune-Berichte.
| Status | Bedeutung | Tun |
|---|---|---|
| Pending | Das Gerät hat noch nicht eingecheckt oder nicht zurückgemeldet | Check-in abwarten oder anstoßen |
| Conflict | Zwei Werte für dieselbe Einstellung | Die Gerätedetails nennen die beteiligten Richtlinien |
| Not applicable | Plattform, Version oder Edition passt nicht | Unterstützung der Einstellung prüfen |
| Error | Anwendung fehlgeschlagen | Fehlercode nachschlagen |
Zur Zeit laut Microsoft: Online-Geräte erhalten eine Benachrichtigung, das kann sofort bis wenige Stunden dauern. Ausgeschaltete Geräte erhalten Änderungen beim nächsten Check-in, der rund alle acht Stunden läuft. Berichte können bis zu 24 bis 48 Stunden nachziehen.
In unserer Betreuung erarbeiten wir Grundlinie und Ausnahmen, richten den bedingten Zugriff getestet und dokumentiert ein und betreiben die Richtlinien laufend – allein oder gemeinsam mit Ihrer IT.
Häufige Fragen
Was ist der Unterschied zwischen Konfigurationsprofil und Compliance-Richtlinie?
Das Profil setzt eine Einstellung, die Compliance-Richtlinie prüft sie und meldet den Status. Einzelne Regeln wie die PIN unter Windows, iOS und macOS setzt das Betriebssystem bei Compliance selbst durch; viele andere, etwa die Verschlüsselung unter Windows, werden nur bewertet.
Ist der bedingte Zugriff Teil von Intune?
Nein. Er ist eine Funktion von Microsoft Entra ID und verlangt Entra ID P1 oder P2, etwa über Business Premium. Intune liefert den Compliance-Status als Signal.
Sollte ich Benutzer- oder Gerätegruppen zuweisen?
Gerätegruppen, wenn es um das Gerät geht, Benutzergruppen, wenn die Regel der Person folgen soll.
Warum greift mein Ausschluss nicht?
Häufig, weil Geräte- und Benutzergruppen gemischt wurden: Gerätegruppe einschließen und Nutzer ausschließen oder umgekehrt ist nicht unterstützt. Dynamische Gerätegruppen im Ausschluss können verzögert greifen.
Warum gilt ein Gerät ohne Compliance-Richtlinie als konform?
Das ist die Standardeinstellung des Intune-Mandanten; sie legt nur den Status fest. Verlangt eine Regel für den bedingten Zugriff ein konformes Gerät, empfiehlt Microsoft, die Einstellung auf „Not compliant“ zu stellen.
Wie schnell wirkt eine neue Richtlinie?
Online-Geräte erhalten eine Benachrichtigung, das kann laut Microsoft sofort bis wenige Stunden dauern. Ausgeschaltete Geräte erhalten sie beim nächsten Check-in, der rund alle acht Stunden läuft.
Bleibt eine Einstellung, wenn ich die Richtlinie entferne?
Das hängt von Profilart, Plattform und Einstellung ab. WLAN-, VPN-, Zertifikats- und Mailprofile werden entfernt. Andere Einstellungen bleiben unter Android bestehen, unter iOS und iPadOS werden sie bis auf drei Roaming-Werte entfernt, unter Windows hängt es von der Einstellung ab.
Verwandte Themen: Wer hier weiterdenkt, liest bei Intune-Einführung, Microsoft 365 und Lizenzmanagement weiter.
Im Text erwähnt
Quellen
- Configure device configuration profiles · Microsoft
- Assign device profiles in Microsoft Intune · Microsoft
- Questions with policies and profiles in Microsoft Intune · Microsoft
- Troubleshoot policies and configuration profiles in Microsoft Intune · Microsoft
- Create assignment filters in Microsoft Intune · Microsoft
- Device compliance policies in Microsoft Intune · Microsoft
- Configure compliance policies with actions for noncompliance · Microsoft
- Use Conditional Access with Intune compliance policies · Microsoft
- How to require device compliance with Conditional Access · Microsoft
- Conditional Access report-only mode · Microsoft
