Ein neues Notebook kommt bei einem Mitarbeiter an, ein Smartphone geht verloren oder ein Windows-Update verursacht Probleme: Genau in solchen Alltagssituationen zeigt sich, ob die IT strukturiert betreut wird. Wie funktioniert Gerätemanagement mit Intune? Microsoft Intune ermöglicht es Unternehmen, Computer, Smartphones und Tablets zentral einzurichten, mit Sicherheitsvorgaben zu versehen und im laufenden Betrieb zu verwalten – unabhängig davon, wo die Mitarbeitenden arbeiten.
Für kleine und mittelständische Unternehmen ist das vor allem eine Frage von Verantwortung und Übersicht. Statt jedes Gerät einzeln anzufassen, entstehen einheitliche Prozesse: Welche Software ist installiert? Ist die Festplatte verschlüsselt? Sind Updates aktuell? Darf ein Gerät auf Unternehmensdaten zugreifen? Intune beantwortet diese Fragen zentral und nachvollziehbar.
Was Intune im Unternehmensalltag übernimmt
Microsoft Intune ist eine cloudbasierte Lösung für Mobile Device Management, kurz MDM, und Mobile Application Management, kurz MAM. MDM betrifft das gesamte Gerät. MAM schützt gezielt Unternehmensdaten innerhalb von Anwendungen, etwa in Outlook, Teams oder OneDrive.
Über Intune lassen sich Windows-PCs, Macs, iPhones, iPads und Android-Geräte verwalten. Der Funktionsumfang ist je nach Betriebssystem unterschiedlich. Bei Windows ist die Verwaltung besonders tief integriert, weil Intune mit Microsoft 365, Entra ID und Windows-Sicherheitsfunktionen zusammenspielt. Apple- und Android-Geräte lassen sich ebenfalls zuverlässig absichern, benötigen aber teilweise zusätzliche Voraussetzungen oder herstellerspezifische Freigaben.
Im Kern arbeitet Intune mit Regeln, die nicht für einzelne Geräte improvisiert werden, sondern für Gruppen gelten. Ein neues Gerät wird einer passenden Benutzer- oder Gerätegruppe zugeordnet. Anschließend erhält es automatisch die vorgesehenen Einstellungen, Anwendungen und Sicherheitsvorgaben. Das reduziert manuelle Fehler und sorgt dafür, dass der Standard auch bei Wachstum eingehalten wird.
Wie funktioniert Gerätemanagement mit Intune in der Praxis?
Der Ablauf beginnt mit einer sauberen Grundlage. Benutzerkonten werden in Microsoft Entra ID angelegt, Lizenzen zugewiesen und Geräte in Intune registriert. Bei einem Firmen-Notebook kann das bereits bei der ersten Inbetriebnahme geschehen. Der Mitarbeiter meldet sich mit seinem Geschäftskonto an, das Gerät erkennt die Unternehmenszugehörigkeit und lädt die festgelegte Konfiguration.
Bei Windows lässt sich dieser Prozess mit Windows Autopilot weiter automatisieren. Das Gerät wird vom Hersteller oder IT-Partner registriert und direkt an den Mitarbeiter geliefert. Nach dem Einschalten und der Anmeldung installiert es sich weitgehend selbst: Sicherheitsvorgaben, Office-Anwendungen, Unternehmenssoftware, WLAN-Profile und gegebenenfalls Drucker werden nach einem definierten Standard eingerichtet. Gerade bei mehreren Standorten, Homeoffice oder neuen Mitarbeitenden spart das Zeit.
Auf Smartphones ist die Trennung zwischen Firmen- und Privatgerät besonders relevant. Ein vollständig verwaltetes Firmenhandy kann deutlich umfassender geregelt werden als ein privates Gerät, auf dem nur Outlook und Teams genutzt werden. Für private Geräte ist häufig App-Schutz sinnvoller: Unternehmensdaten dürfen dann beispielsweise nicht in private Apps kopiert oder auf ungeschützten Speicher übertragen werden. Das schützt Daten, ohne unnötig in die Privatsphäre der Beschäftigten einzugreifen.
Sicherheitsrichtlinien: Der entscheidende Teil der Einrichtung
Ein Gerät in Intune zu sehen, ist noch kein Sicherheitskonzept. Der Nutzen entsteht durch passende Richtlinien und deren konsequente Überwachung. Typische Vorgaben betreffen sichere Anmeldeverfahren, Bildschirmsperren, Festplattenverschlüsselung, Betriebssystemupdates und den Schutz vor Schadsoftware.
Bei Windows sollte etwa BitLocker zur Laufwerksverschlüsselung aktiviert sein. Geht ein Notebook verloren, bleiben die gespeicherten Daten ohne Wiederherstellungsschlüssel nicht lesbar. Ergänzend kann Intune Mindestanforderungen an Kennwörter, PINs oder Windows Hello definieren. Bei Mobilgeräten sind ein Sperrcode, eine aktuelle Betriebssystemversion und die Verschlüsselung des Gerätes übliche Mindeststandards.
Besonders wirkungsvoll wird Intune zusammen mit bedingtem Zugriff in Entra ID. Dabei wird nicht nur geprüft, ob ein Benutzer das richtige Passwort kennt, sondern auch, von welchem Gerät er zugreift und ob dieses den Sicherheitsvorgaben entspricht. Ein PC ohne aktuelle Sicherheitsupdates oder ohne Verschlüsselung kann dann beispielsweise keinen Zugriff auf Microsoft 365 erhalten, bis das Problem behoben ist.
Diese Regeln müssen allerdings zum Unternehmen passen. Eine Kanzlei mit sensiblen Mandantendaten braucht meist strengere Vorgaben als ein Betrieb mit wenigen gemeinsam genutzten Geräten. Zu harte Richtlinien können Arbeitsabläufe ausbremsen, zu lockere lassen Sicherheitslücken offen. Deshalb gehört vor die technische Einrichtung immer eine Bestandsaufnahme: Welche Daten werden verarbeitet, wer arbeitet mobil, welche Geräte gibt es bereits und welche Risiken sind realistisch?
Anwendungen und Updates zentral steuern
Neben Sicherheit ist die Softwareverteilung einer der größten praktischen Vorteile. Standardanwendungen wie Microsoft 365 Apps, Teams, Browser oder PDF-Software können automatisiert installiert werden. Auch branchenspezifische Programme, VPN-Clients, Passwortmanager oder Sicherheitssoftware lassen sich zentral bereitstellen, sofern sie für die Verteilung geeignet sind.
Das schafft einen festen Arbeitsplatzstandard. Neue Mitarbeitende starten nicht mit einem leeren Notebook und einer Liste manueller Installationen. Gleichzeitig kann die IT nachvollziehen, welche Anwendungen auf welchen Geräten vorhanden sind. Wenn eine kritische Sicherheitslücke bekannt wird, ist diese Transparenz entscheidend.
Updates brauchen dennoch Steuerung. Betriebssystem- und Qualitätsupdates sollten zeitnah installiert werden, aber nicht unkontrolliert auf allen Geräten gleichzeitig. Bewährt hat sich eine gestaffelte Vorgehensweise: Zunächst erhalten ausgewählte Testgeräte ein Update. Wenn keine Probleme auftreten, folgen weitere Gruppen. So lassen sich Störungen bei speziellen Fachanwendungen erkennen, bevor sie den gesamten Betrieb betreffen.
Was passiert bei Verlust, Austritt oder einem Sicherheitsvorfall?
Gerätemanagement zeigt seinen Wert oft dann, wenn etwas schiefläuft. Wird ein Firmen-Smartphone verloren, kann es über Intune gesperrt oder zurückgesetzt werden. Bei einem privaten Gerät, das nur per App-Schutz eingebunden ist, lässt sich gezielt der geschäftliche Bereich entfernen. Private Fotos, Kontakte und Apps bleiben dabei unangetastet.
Auch beim Austritt eines Mitarbeiters ist ein klarer Prozess wichtig. Der Zugriff auf Microsoft 365 wird entzogen, Sitzungstokens werden beendet und das Firmengerät kann zurückgesetzt und für die nächste Person vorbereitet werden. Voraussetzung ist, dass Zuständigkeiten, Gerätezuordnung und Übergabe dokumentiert sind. Intune unterstützt diesen Prozess, ersetzt aber keine saubere Personal- und IT-Organisation.
Bei einem Sicherheitsvorfall liefert der Verwaltungsbereich zudem Hinweise darauf, ob ein Gerät konform ist, wann es zuletzt Kontakt hatte und welche Richtlinien greifen. Das beschleunigt die Bewertung. Für eine vollständige Angriffserkennung und Reaktion reicht Intune allein jedoch nicht aus. Je nach Schutzbedarf gehören etwa Microsoft Defender for Business oder weitergehende Sicherheitsdienste dazu.
Welche Voraussetzungen Unternehmen realistisch einplanen sollten
Intune ist kein Werkzeug, das man nur lizenziert und dann sich selbst überlässt. Es braucht eine sinnvolle Zielarchitektur, passende Microsoft-365-Lizenzen und eine fortlaufende Betreuung. Häufig ist Intune in Paketen wie Microsoft 365 Business Premium enthalten, während einzelne Funktionen oder erweiterte Sicherheitsanforderungen zusätzliche Lizenzen erfordern können. Die Lizenzierung sollte deshalb vorab geprüft werden, statt Funktionen auf Verdacht einzuplanen.
Ebenso wichtig ist eine klare Gerätepolitik. Unternehmen sollten festlegen, welche Geräte zugelassen sind, wie mit privaten Geräten umgegangen wird, wer lokale Administratorrechte erhält und wie lange alte Geräte betrieben werden dürfen. Ohne diese Entscheidungen wird aus zentraler Verwaltung schnell eine Sammlung von Ausnahmen.
Die Einführung muss auch nicht von heute auf morgen erfolgen. Oft ist es sinnvoll, zunächst neue Windows-Geräte nach einem definierten Standard auszurollen. Danach werden vorhandene Rechner schrittweise aufgenommen, mobile Geräte geregelt und besondere Fachanwendungen getestet. Das hält die Belastung im Tagesgeschäft gering und macht Probleme früh sichtbar.
Für viele Unternehmen ist ein externer IT-Partner sinnvoll, der Einrichtung, Dokumentation und laufende Optimierung übernimmt. PERFUSIONS begleitet solche Umgebungen nicht nur bei der Ersteinrichtung, sondern auch bei Richtlinienanpassungen, Gerätewechseln und Sicherheitsmeldungen. Ihre IT-Abteilung sind wir, wenn interne Ressourcen fehlen oder die bestehende IT entlastet werden soll.
Der beste Startpunkt ist selten die Frage, welche Intune-Funktion zuerst aktiviert werden soll. Sinnvoller ist die Frage, welcher Mindeststandard für jedes Unternehmensgerät gelten muss. Wenn dieser Standard klar ist, kann Intune ihn verlässlich in den Arbeitsalltag übersetzen.
