Intune Windows Device Management Deep DiveIntune Windows Device Management Deep Dive

Referenz für Windows Autopilot, Enrollment, Konfigurationsprofile, Compliance, Endpoint Security, Skripte, Win32 Apps, Updates und Remote Actions.Reference for Windows Autopilot, enrollment, configuration profiles, compliance, endpoint security, scripts, Win32 apps, updates, and remote actions.

Windows Autopilot Deep DiveWindows Autopilot Deep Dive

Windows Autopilot automatisiert die Erstbereitstellung über registrierte Geräteidentitäten und Deployment Profiles.Windows Autopilot automates first-time provisioning through registered device identities and deployment profiles.

Registrierung erfolgt über OEM, Partner, manuelle Hardware Hashes oder CSV-Import. User-driven, self-deploying und pre-provisioned Szenarien decken unterschiedliche Betriebsmodelle ab.Registration occurs via OEM, partner, manual hardware hashes, or CSV import. User-driven, self-deploying, and pre-provisioned scenarios address different operating models.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Windows Autopilot Deep Dive dokumentieren.Document prerequisites, roles, and dependencies for Windows Autopilot Deep Dive.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Pflegen Sie Autopilot-Geräteinventar und Seriennummern zentral.Maintain central Autopilot device inventory and serial numbers.
• Pilotieren Sie Profile je Gerätetyp und Join-Modell.Pilot profiles per device type and join model.
• Halten Sie ESP nicht künstlich zu streng, wenn dies Produktivität blockiert.Do not make ESP unnecessarily strict if it blocks productivity.
• Dokumentieren Sie Reset-, Reuse- und Return-Prozesse für Geräte.Document reset, reuse, and return processes for devices.

PowerShellPowerShell

Get-AutopilotDevice -Top 10
Get-MgDeviceManagementWindowsAutopilotDeploymentProfile

Windows Enrollment MethodsWindows Enrollment Methods

Windows kann per automatischem MDM Enrollment, Co-Management, Bulk Enrollment oder Spezialpfaden wie Provisioning Packages eingebunden werden.Windows can be onboarded through automatic MDM enrollment, co-management, bulk enrollment, or specialized paths such as provisioning packages.

MDM User Scope, Configuration Manager Co-Management, Enrollment Restrictions und BYOD-/Corporate-Szenarien bestimmen den Einschreibepfad.MDM user scope, Configuration Manager co-management, enrollment restrictions, and BYOD or corporate scenarios determine the enrollment path.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Windows Enrollment Methods dokumentieren.Document prerequisites, roles, and dependencies for Windows Enrollment Methods.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Dokumentieren Sie, welche Enrollment-Pfade offiziell unterstützt werden.Document which enrollment paths are officially supported.
• Stimmen Sie Co-Management-Workload-Splits mit dem MECM-Team ab.Align co-management workload splits with the MECM team.
• Testen Sie Enrollment Restrictions mit Pilotgruppen und Gastkonten.Test enrollment restrictions with pilot groups and guest accounts.
• Berücksichtigen Sie Gerätebesitz und Licensing im Enrollment-Design.Consider device ownership and licensing in the enrollment design.

PowerShellPowerShell

Get-MgDeviceManagementDeviceEnrollmentConfiguration
Get-MgDeviceManagementManagedDeviceEnrollmentStatus

Configuration Profiles Deep DiveConfiguration Profiles Deep Dive

Intune-Konfigurationsprofile decken Settings Catalog, Vorlagen, ADMX-Import und Custom OMA-URI ab.Intune configuration profiles cover the settings catalog, templates, ADMX import, and custom OMA-URI.

Der Settings Catalog bietet tausende Windows-Einstellungen. Templates wie Device Restrictions, Wi-Fi, VPN, Email, PKCS, SCEP oder Edition Upgrade ergänzen das Modell um geführte Profile.The settings catalog offers thousands of Windows settings. Templates such as device restrictions, Wi-Fi, VPN, email, PKCS, SCEP, or edition upgrade complement the model with guided profiles.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Configuration Profiles Deep Dive dokumentieren.Document prerequisites, roles, and dependencies for Configuration Profiles Deep Dive.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Bauen Sie Basisprofile, Sicherheitsprofile und Sonderprofile getrennt auf.Build baseline, security, and special-purpose profiles separately.
• Dokumentieren Sie Profile mit Zielgruppe, Owner und Änderungsverlauf.Document profiles with target audience, owner, and change history.
• Testen Sie OMA-URI-Profiles immer auf kleinen Piloten.Always test OMA-URI profiles on small pilots.
• Vermeiden Sie parallele GPO- und Intune-Steuerung derselben Einstellung ohne Plan.Avoid parallel GPO and Intune control of the same setting without a plan.

PowerShellPowerShell

Get-MgDeviceManagementDeviceConfiguration
Get-MgDeviceManagementConfigurationPolicy

Compliance Policies Deep DiveCompliance Policies Deep Dive

Windows-Compliance bewertet Betriebssystem, Kennwort, BitLocker, Secure Boot, TPM, Defender, Firewall und weitere Sicherheitszustände.Windows compliance evaluates operating system, password, BitLocker, Secure Boot, TPM, Defender, firewall, and further security states.

Nichtkonformitätsaktionen können sofort oder zeitversetzt markieren, E-Mail senden, Remote Lock oder Retire auslösen. Compliance ist die zentrale Brücke zu Conditional Access.Noncompliance actions can mark instantly or after a delay, send email, remote lock, or retire. Compliance is the central bridge to conditional access.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Compliance Policies Deep Dive dokumentieren.Document prerequisites, roles, and dependencies for Compliance Policies Deep Dive.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Halten Sie Compliance-Regeln mit CA-Policies synchron.Keep compliance rules aligned with CA policies.
• Kommunizieren Sie Nichtkonformitätsgründe für Endanwender verständlich.Communicate noncompliance reasons to end users in understandable language.
• Pilotieren Sie strengere Regeln zuerst in Audit-/Testgruppen.Pilot stricter rules in audit or test groups first.
• Dokumentieren Sie Ausnahmen für Spezialhardware nachvollziehbar.Document exceptions for special hardware clearly.

PowerShellPowerShell

Get-MgDeviceManagementDeviceCompliancePolicy
Get-MgDeviceManagementManagedDevice -Top 10

Endpoint SecurityEndpoint Security

Endpoint Security bündelt Antivirus, Disk Encryption, Firewall, EDR und Attack Surface Reduction in spezialisierten Intune-Profilen.Endpoint security bundles antivirus, disk encryption, firewall, EDR, and attack surface reduction in specialized Intune profiles.

Microsoft Learn empfiehlt für ASR zunächst Audit Mode und danach Block Mode. Die folgende Tabelle fasst 16 zentrale ASR-Regeln mit GUID und Einsatzhinweis zusammen.Microsoft Learn recommends starting ASR in audit mode before moving to block mode. The following table summarizes 16 core ASR rules with GUID and usage guidance.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Endpoint Security dokumentieren.Document prerequisites, roles, and dependencies for Endpoint Security.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Trennen Sie Antivirus-, Firewall-, BitLocker- und ASR-Rollout zeitlich, um Fehlerquellen zu isolieren.Separate antivirus, firewall, BitLocker, and ASR rollout waves to isolate problems.
• Bewerten Sie EDR-Onboarding und Defender for Endpoint Lizenzen vor dem Produktivstart.Review EDR onboarding and Defender for Endpoint licensing before go-live.
• Dokumentieren Sie Ausschlüsse und Begründungen für ASR-Ausnahmen.Document exclusions and business justifications for ASR exceptions.
• Nutzen Sie Audit-Daten, bevor Sie Block global erzwingen.Use audit data before enforcing block globally.

PowerShellPowerShell

Get-MgDeviceManagementIntent
Get-MgDeviceManagementConfigurationPolicy
Set-MpPreference -AttackSurfaceReductionRules_Ids 56a863a9-875e-4185-98a7-b882c64b5ce5 -AttackSurfaceReductionRules_Actions AuditMode

PowerShell ScriptsPowerShell Scripts

PowerShell Scripts, detection scripts und Remediations automatisieren Windows-Konfiguration und Fehlerkorrektur in Intune.PowerShell scripts, detection scripts, and remediations automate Windows configuration and corrective actions in Intune.

Wichtig sind Kontext (User/System), Häufigkeit, Idempotenz und Protokollierung. Remediations kombinieren Detection und Fixing.Context (user or system), frequency, idempotence, and logging are important. Remediations combine detection and fixing.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für PowerShell Scripts dokumentieren.Document prerequisites, roles, and dependencies for PowerShell Scripts.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Vermeiden Sie destruktive Skripte ohne Pilot- und Rollbackplan.Avoid destructive scripts without a pilot and rollback plan.
• Schreiben Sie Detection-Skripte so, dass sie deterministische Exit Codes liefern.Write detection scripts so they return deterministic exit codes.
• Protokollieren Sie Änderungen lokal und zentral, wenn möglich.Log changes locally and centrally where possible.
• Dokumentieren Sie Abhängigkeiten zu Anwendungen und Reboots.Document dependencies on apps and reboots.

PowerShellPowerShell

Get-MgDeviceManagementDeviceManagementScript
Get-MgDeviceManagementDeviceHealthScript

Win32 App DeploymentWin32 App Deployment

Win32 Apps werden mit IntuneWinAppUtil paketiert und über Detection, Requirements, Dependencies und Return Codes gesteuert.Win32 apps are packaged with IntuneWinAppUtil and controlled through detection, requirements, dependencies, and return codes.

MSI-, Datei-, Registry- und Script-Detektion, Supersedence und install/uninstall commands bestimmen das Verhalten auf dem Gerät.MSI, file, registry, and script detection plus supersedence and install or uninstall commands define the device behavior.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Win32 App Deployment dokumentieren.Document prerequisites, roles, and dependencies for Win32 App Deployment.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Testen Sie Install, Repair, Upgrade und Uninstall getrennt.Test install, repair, upgrade, and uninstall separately.
• Dokumentieren Sie alle Detection- und Requirement-Regeln pro Paket.Document all detection and requirement rules per package.
• Verknüpfen Sie Supersedence mit einem klaren App-Lifecycle.Tie supersedence to a clear app lifecycle.
• Berücksichtigen Sie User Experience und Rebootfenster im Rollout.Consider user experience and reboot windows during rollout.

PowerShellPowerShell

IntuneWinAppUtil.exe -c C:\Packages\App01 -s setup.exe -o C:\Packages\Out
Get-MgDeviceAppManagementMobileApp

Windows Update for BusinessWindows Update for Business

Update Rings, Feature Update Policies, Quality Update Policies, Driver Updates und Expedite Updates steuern den Windows-Updatelebenszyklus.Update rings, feature update policies, quality update policies, driver updates, and expedite updates control the Windows update lifecycle.

Windows Update for Business Reports liefern Compliance- und Bereitstellungsdaten. Rings steuern Deferrals, Deadlines und Restart-Verhalten.Windows Update for Business reports provide compliance and deployment data. Rings control deferrals, deadlines, and restart behavior.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Windows Update for Business dokumentieren.Document prerequisites, roles, and dependencies for Windows Update for Business.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Bauen Sie definierte Ring-Strategien statt Einzelzuweisungen auf.Build defined ring strategies instead of one-off assignments.
• Bewerten Sie Expedite Updates nur für echte Zero-Day- oder Hochrisikofälle.Use expedite updates only for genuine zero-day or high-risk cases.
• Prüfen Sie Driver Updates zunächst in kleinen Hardware-Piloten.Review driver updates first in small hardware pilots.
• Verknüpfen Sie Update Telemetry mit Service Desk und Problem Management.Connect update telemetry with the service desk and problem management.

PowerShellPowerShell

Get-MgDeviceManagementWindowsUpdatePolicy
Get-MgDeviceManagementWindowsFeatureUpdateProfile

Remote ActionsRemote Actions

Remote Actions wie Wipe, Fresh Start, Autopilot Reset, Sync, Restart oder BitLocker Key Rotation helfen im operativen Incident- und Lifecycle-Management.Remote actions such as wipe, fresh start, Autopilot reset, sync, restart, or BitLocker key rotation help in operational incident and lifecycle management.

Jede Aktion hat andere Auswirkungen auf Daten, Join-Zustand, Benutzerkontext und Rückkehrpfad. Service Desk und Sicherheitsprozesse müssen diese Unterschiede kennen.Each action has different effects on data, join state, user context, and recovery path. Service desk and security processes must understand these differences.

ImplementierungImplementation

1. Voraussetzungen, Rollen und Abhängigkeiten für Remote Actions dokumentieren.Document prerequisites, roles, and dependencies for Remote Actions.
2. Die Zielkonfiguration zuerst im Portal und parallel per PowerShell definieren.Define the target configuration in the portal first and mirror it with PowerShell.
3. Mit Pilotbenutzern, Pilotwebsites oder Pilotgeräten testen, bevor die Produktion erweitert wird.Test with pilot users, pilot sites, or pilot devices before expanding to production.
4. Logs, Benutzererfahrung und Rückfallplan validieren und die Betriebsdokumentation aktualisieren.Validate logs, user experience, and rollback options, then update the operational runbook.

Betrieb & HinweiseOperations & Notes

• Definieren Sie Genehmigungsstufen pro Remote Action.Define approval levels per remote action.
• Trainieren Sie den Service Desk auf Datenwirkung und Nutzerkommunikation.Train the service desk on data impact and user communication.
• Dokumentieren Sie Break-Glass-Pfade für verlorene oder kompromittierte Geräte.Document break-glass paths for lost or compromised devices.
• Protokollieren Sie jede destruktive Aktion revisionssicher.Log every destructive action in an auditable way.

PowerShellPowerShell

Get-MgDeviceManagementManagedDevice -ManagedDeviceId 00000000-0000-0000-0000-000000000000
Invoke-MgDeviceManagementManagedDeviceSyncDevice -ManagedDeviceId 00000000-0000-0000-0000-000000000000