Windows Autopilot einrichten: Rechner ohne Image ausrollen

Ein neuer Mitarbeiter fängt am Montag an, und mit Windows Autopilot geht sein Rechner originalverpackt vom Händler direkt an den Arbeitsplatz oder ins Homeoffice. Früher hieß das: Laptop bestellen, in der IT auspacken, Image aufspielen, Software installieren, Benutzer einrichten, wieder einpacken. Jetzt schaltet der Mitarbeiter das Gerät ein, meldet sich mit seinem Firmenkonto an, und es richtet sich selbst ein. Dieser Beitrag erklärt für IT-Verantwortliche und Geschäftsführer, was dafür nötig ist, wie der Ablauf aussieht und wo Autopilot an Grenzen stößt.

Was Windows Autopilot macht

Autopilot ist eine Sammlung von Cloud-Funktionen von Microsoft, mit denen neue Windows-Rechner vorkonfiguriert werden. Statt ein eigenes Image mit Treibern für jedes Modell zu pflegen, nutzt Autopilot die Windows-Installation, die der Hersteller bereits mitliefert, und macht daraus einen einsatzbereiten Firmenrechner.

Im Einzelnen übernimmt Autopilot laut Microsoft:

den automatischen Beitritt zu Microsoft Entra ID, dem Verzeichnisdienst von Microsoft 365, oder per Hybrid-Beitritt zum lokalen Active Directory,
die automatische Aufnahme in die Geräteverwaltung Microsoft Intune,
die Zuordnung zu Gerätegruppen, über die Richtlinien und Anwendungen verteilt werden,
eine angepasste Ersteinrichtung mit Firmenlogo und ohne unnötige Abfragen,
bei Bedarf das Zurücksetzen eines Geräts für einen neuen Benutzer.

Autopilot ist also kein Ersatz für eine Geräteverwaltung, sondern der Einstieg in sie. Die eigentlichen Einstellungen, Sicherheitsrichtlinien und Anwendungen kommen aus Intune. Wie eine Geräteverwaltung grundsätzlich aufgebaut ist, beschreibt der Beitrag zum Gerätemanagement mit MDM.

Voraussetzungen: Intune, Microsoft Entra ID und Hardware-Hash

Lizenzen und Dienste

Sie brauchen Microsoft Entra ID mit automatischer Intune-Registrierung. Dafür ist laut Microsoft mindestens Entra ID P1 oder P2 nötig, dazu eine Intune-Lizenz. Beides ist in einigen Microsoft-365-Paketen für Unternehmen enthalten. Welches Paket bei Ihnen passt, klären Sie am besten anhand Ihres aktuellen Lizenzbestands.

Windows-Edition

Autopilot unterstützt Windows 11 und Windows 10 in den unterstützten Versionen, und zwar unter anderem die Editionen Pro, Enterprise und Education. Home-Editionen sind nicht vorgesehen. Achten Sie also schon bei der Bestellung darauf, dass die Geräte mit Windows Pro ausgeliefert werden.

Registrierung der Geräte über den Hardware-Hash

Damit ein Rechner beim ersten Start weiß, zu welchem Unternehmen er gehört, muss er vorher registriert werden. Dafür wird der sogenannte Hardware-Hash, eine Art eindeutiger Fingerabdruck des Geräts, erfasst und Ihrem Microsoft-365-Mandanten zugeordnet. Es gibt mehrere Wege:

Durch Hersteller oder Händler: Der Lieferant registriert die Geräte bei der Bestellung direkt für Ihren Mandanten. Dafür muss er vorher von Ihnen berechtigt werden, etwa über eine Partnerbeziehung in Ihrem Microsoft-365-Mandanten. Das ist der bequemste Weg und der eigentliche Sinn von Autopilot.
Manuell: Ihre IT liest den Hardware-Hash von einem laufenden Windows aus und lädt ihn als CSV-Datei in Intune hoch. Das eignet sich für vorhandene Geräte oder kleine Mengen.

Netzwerk

Die Rechner brauchen bei der Ersteinrichtung Internetzugang zu den Microsoft-Diensten. In stark abgeschotteten Netzen oder hinter Proxys mit Anmeldung müssen die nötigen Adressen freigegeben sein.

Windows Autopilot einrichten: der Ablauf in der Praxis

Vorbereitung in Intune: Die IT legt ein Autopilot-Bereitstellungsprofil an, definiert die Gerätegruppen, ordnet Richtlinien und Anwendungen zu und konfiguriert die Statusseite, die während der Einrichtung den Fortschritt anzeigt.
Bestellung: Die Geräte werden mit Windows Pro beim autorisierten Händler bestellt, der sie für Ihren Mandanten registriert.
Lieferung: Der Rechner geht direkt an den Mitarbeiter, an den Standort oder ins Homeoffice.
Erster Start: Der Mitarbeiter wählt Sprache und Netzwerk, sieht dann bereits Ihren Firmennamen und meldet sich mit seinem Firmenkonto und der Mehrfaktor-Anmeldung an.
Selbstständige Einrichtung: Das Gerät tritt Entra ID bei, wird in Intune aufgenommen und lädt Richtlinien, Sicherheitseinstellungen und Anwendungen. Je nach Umfang dauert das von einigen Minuten bis deutlich länger.
Arbeitsbeginn: Danach steht ein vollständig eingerichteter Arbeitsplatz zur Verfügung.

Daneben kennt der klassische Autopilot weitere Modi: die Vorbereitung durch IT oder Händler („Pre-Provisioning“), bei der die zeitaufwendigen Teile vorab erledigt werden, und einen selbstbereitstellenden Modus für Geräte ohne festen Benutzer, etwa Kiosk- oder Schulungsrechner.

Damit Autopilot gut funktioniert, sollten die Arbeitsplätze möglichst einheitlich sein. Hinweise dazu liefert der Beitrag Arbeitsplätze standardisieren.

Autopilot Device Preparation: die neuere Variante

Microsoft bietet inzwischen eine zweite Variante an: Windows Autopilot Device Preparation, in Fachbeiträgen oft „Autopilot v2“ genannt. Sie verfolgt dasselbe Ziel, arbeitet aber anders. Laut Microsoft sind die wichtigsten Unterschiede:

	Device Preparation	Klassischer Autopilot
Registrierung vorab	nicht erforderlich, Geräte werden dem Mandanten zugeordnet	erforderlich
Beitrittsarten	nur Entra-Beitritt	Entra-Beitritt und Hybrid-Beitritt
Pre-Provisioning und Selbstbereitstellung	nicht unterstützt	unterstützt
Anwendungen während der Einrichtung	bis zu 25 wichtige Anwendungen	bis zu 100 Anwendungen
Windows-Versionen	Windows 11 ab 24H2, 22H2/23H2 mit Update	alle unterstützten Windows-10- und Windows-11-Versionen

Device Preparation ist einfacher einzurichten und liefert genauere Berichte, bietet aber weniger Anpassungsmöglichkeiten. Beide Varianten können in einem Unternehmen parallel genutzt werden, ein einzelnes Gerät läuft aber immer nur über eine von beiden. Für kleinere Umgebungen mit reinem Entra-Beitritt und aktuellen Windows-11-Rechnern ist Device Preparation einen Blick wert. Wer Pre-Provisioning, Kiosk-Geräte oder Hybrid-Beitritt braucht, bleibt beim klassischen Verfahren.

Grenzen

Fachanwendungen

Autopilot kann nur Software verteilen, die sich unbeaufsichtigt installieren lässt. Moderne Programme mit Installationspaketen sind kein Problem. Schwierig wird es bei älterer Branchensoftware, die eine Installation mit vielen Klicks, Lizenzdateien oder Datenbankverbindungen erwartet. Solche Anwendungen müssen vorher paketiert werden, was einmaligen Aufwand bedeutet. In manchen Fällen ist ein Terminalserver für diese Anwendungen die einfachere Lösung.

Hybrid-Beitritt

Viele Unternehmen betreiben noch ein lokales Active Directory. Autopilot kann Geräte zwar hybrid beitreten lassen, Microsoft rät davon für neue Geräte aber ausdrücklich ab und empfiehlt den reinen Entra-Beitritt. Der Hybrid-Weg erfordert zusätzlich einen Intune-Connector auf einem Server im lokalen Netz und eine Verbindung zum Domänencontroller während der Einrichtung, im Homeoffice also per VPN. Das macht ihn anfälliger. Prüfen Sie vorher, ob Ihre Anwendungen, Dateifreigaben und Drucker auch mit reinem Entra-Beitritt funktionieren.

Erste Anmeldung braucht Bandbreite

Werden viele Anwendungen und Updates während der Einrichtung geladen, kann das bei schwachen Internetanschlüssen lange dauern. Halten Sie die Pflichtanwendungen bei der Ersteinrichtung schlank und lassen Sie den Rest danach nachinstallieren.

Rückgabe und Neuausrollen

Verlässt ein Mitarbeiter das Unternehmen oder wechselt ein Gerät die Abteilung, setzt die IT es per Fernzugriff zurück. Nach dem Zurücksetzen durchläuft das Gerät beim nächsten Start wieder den Autopilot-Ablauf. Der neue Benutzer meldet sich an, und der Rechner richtet sich erneut ein. Für Geräte im Homeoffice spart das Versand und Vor-Ort-Termin.

Soll ein Gerät das Unternehmen dauerhaft verlassen, etwa bei Verkauf, Leasingrückgabe oder Entsorgung, müssen Sie es laut Microsoft aus Intune löschen und die Autopilot-Registrierung entfernen. Sonst meldet es sich beim nächsten Besitzer mit Ihrem Firmenlogo. Nehmen Sie diesen Schritt fest in Ihren Prozess zur Geräterückgabe auf.

Checkliste / Erste Schritte

Lizenzbestand prüfen: Entra ID P1 oder höher und Intune vorhanden?
Entscheiden: reiner Entra-Beitritt oder Hybrid-Beitritt.
Klassischen Autopilot oder Device Preparation wählen.
Fachanwendungen auf unbeaufsichtigte Installation prüfen und paketieren.
Händler für die Registrierung in Ihrem Mandanten autorisieren.
Bereitstellungsprofil, Gerätegruppen und Statusseite in Intune einrichten.
Mit zwei bis drei Testgeräten den gesamten Ablauf durchspielen.
Rückgabe- und Abmeldeprozess für ausscheidende Geräte festlegen.

Wie DAVINCI unterstützt

Wir richten Windows Autopilot und Intune für Ihr Unternehmen ein, paketieren Fachanwendungen und begleiten größere Ausrollungen mit Technikern vor Ort. Informationen zu unseren Leistungen rund um Rollout und Gerätetausch und zu Microsoft 365 finden Sie auf unserer Website. Für ein Gespräch nutzen Sie gern das Kontaktformular.

Häufige Fragen

Was ist der Unterschied zwischen Intune und Autopilot?

Autopilot kümmert sich um den ersten Start: Es ordnet das Gerät Ihrem Unternehmen zu, nimmt es in Entra ID und Intune auf und führt durch die Ersteinrichtung. Intune ist die Geräteverwaltung dahinter, aus der dauerhaft Richtlinien, Sicherheitseinstellungen und Anwendungen kommen. Autopilot ohne Intune ergibt deshalb wenig Sinn; in der Praxis gehören beide zusammen, die nötigen Lizenzen sind oben beschrieben.

Funktioniert Autopilot auch mit vorhandenen Rechnern?

Ja. Vorhandene Rechner können registriert werden, indem die IT den Hardware-Hash ausliest und hochlädt. Nach dem Zurücksetzen durchlaufen sie dann den Autopilot-Ablauf wie neue Geräte.

Wie lange dauert die Einrichtung mit Windows Autopilot?

Das hängt von der Zahl der Pflichtanwendungen, den ausstehenden Updates und der Internetanbindung ab: von einigen Minuten bis deutlich länger. Wer die Ersteinrichtung schlank hält und den Rest nachinstallieren lässt, verkürzt die Wartezeit für den Mitarbeiter spürbar.

Brauchen wir dann überhaupt noch eine IT vor Ort?

Für die Einrichtung einzelner Rechner deutlich weniger. Vorbereitung, Paketierung von Anwendungen, Fehleranalyse und größere Rollouts mit Peripherie, Dockingstationen und Druckern erfordern aber weiterhin Fachleute.

Was passiert, wenn die Einrichtung abbricht?

Die Statusseite zeigt, an welcher Stelle es hängt, und Intune protokolliert den Ablauf. Häufige Ursachen sind fehlerhafte Anwendungspakete oder Netzwerkprobleme. Ein Neustart des Ablaufs ist meist ohne Datenverlust möglich, da das Gerät noch leer ist.

Verwandte Themen: Wer hier weiterdenkt, liest bei Arbeitsplatz-Standardisierung, SharePoint und Netzwerk und Gerätemanagement weiter.

Im Text erwähnt

Quellen

TeilenLinkedIn Xing X Facebook WhatsApp E-Mail