Nachweis über Windows-Registrierung

Das Ziel des Windows-Registrierungsnachweises besteht darin, Geräte innerhalb des Netzwerks, in das sie eingebunden sind, sicherer und vertrauenswürdiger zu machen. Mit diesem Feature können Sie überprüfen, ob Geräte, auf denen Windows ausgeführt wird, während der Registrierung strenge Sicherheitsstandards erfüllen, indem Sie TPM-Technologie (Trusted Platform Module) verwenden, um den Schutz vor Bedrohungen zu verbessern. Das Feature für den Windows-Registrierungsnachweis bestätigt auch und meldet die Geräte, die sich sicher registrieren, um sicherzustellen, dass der Prozess zuverlässig ist.

Zu den organisatorischen Vorteilen gehören:

  • Verbesserte Sicherheit: Der TPM-Nachweis hilft bei der Erkennung und Behebung von Sicherheitslücken oder kompromittierten Geräten und verringert die Wahrscheinlichkeit von nicht autorisiertem Zugriff oder Sicherheitsvorfällen.

  • Einhaltung gesetzlicher Standards: Mit dem Windows-Nachweis können Organisationen nachweisen, dass sie bei der Geräteregistrierung strenge Sicherheitsmaßnahmen befolgen, was wichtig ist, um Branchenvorschriften und Complianceanforderungen zu erfüllen.

Das Hauptziel besteht darin, eine sicherere und vertrauenswürdigere Umgebung für Geräte innerhalb der Organisationsinfrastruktur zu schaffen, indem während des Registrierungsprozesses Windows-Bescheinigung verwendet wird.

Anforderungen für den Nachweis der Windows-Registrierung

Es wird empfohlen, die neuesten Updates zu verwenden, um die Nachweisrate zu steigern.

Anforderungen an die Geräteplattform

  • Windows 10 (10.0.19045.3996 oder höher)
  • Windows 11 (10.0.22000.2713 oder höher; 10.0.22621.2792 oder höher; 10.0.22631.2792 oder höher)

TPM 2.0 oder höher ist erforderlich. Nur physische Geräte.

Hinweis

Virtuelle Maschinen können dies nicht bestätigen, auch wenn sie vTPMs verwenden:

  • Hyper-V- und virtuelle Azure-Computer
  • Azure Virtual Desktop-Sitzungshosts
  • Windows 365 Cloud-PCs
  • Microsoft Dev Box

Wichtig

Am 14. Oktober 2025 hat Windows 10 das Ende des Supports erreicht und erhält keine Qualitäts- und Funktionsupdates. Windows 10 ist eine zulässige Version in Intune. Geräte, auf denen diese Version ausgeführt wird, können sich weiterhin bei Intune registrieren und berechtigte Features verwenden, aber die Funktionalität wird nicht garantiert und kann variieren.

Der Nachweis mit TPM in diesem Feature erfolgt während der Registrierung der Intune-Geräteverwaltung, nach dem TPM-Nachweis, der in Windows Autopilot Pre-Provisioning und Shared Device Mode (SDM) auftritt.

Anwendbare Konfigurationsdienstanbieter (Configuration Service Providers, CSPs) für Windows-Nachweis:

Funktionsweise des Windows-Registrierungsnachweises

Diagramm der allgemeinen Architektur zur Absicherung des Windows-Geräts mithilfe von TPM bei der Registrierung

Bericht zum Status des Gerätenachweises

Der Bericht zeigt Informationen über das Gerät, sein TPM und ob das Gerät bei der Registrierung erfolgreich bescheinigt wurde. Wenn ein Gerät dies nicht beglaubigt, wird im Abschnitt "Statusdetails " im Bericht die Gründe erläutert. Verwenden Sie diesen Bericht, um die vollständige Liste der Geräte anzuzeigen und zu überprüfen, welche bei der Registrierung erfolgreich bestätigt wurden.

So greifen Sie auf diesen Bericht zu:

  1. Melden Sie sich beim Microsoft Intune Admin Center an.

  2. Wählen Sie im Abschnitt "Geräteverwaltung" die Option "Berichte>"-Status des Gerätenachweises (Vorschau).

  3. Filtern Sie nach dem Status des Nachweises oder dem Besitztyp und wählen Sie Bericht erstellen aus.

    Screenshot des Berichts zum Gerätenachweis

Nachdem der Bericht generiert wurde, Zu den Details der obersten Ebene, die angezeigt werden, gehören:

  • Gerätename

  • Geräte-ID

  • UPN

  • Status der Gerätebescheinigung

  • Statusdetail

  • Betriebssystem

  • BS-Version

  • Besitz

  • Letzter Check-in

  • Anmeldedatum

  • TPM-Version

  • TPM-Hersteller

  • Modell

Durch Auswahl eines Eintrags finden Sie detailliertere Informationen zum Gerät. Sie können auch einen Eintrag über die Spalte "Auswählen " auf der linken Seite auswählen und ihn mit der Aktion "Gerät bestätigen " oben im Bericht erneut bestätigen.

Die folgende Tabelle enthält die Details zum Status und die entsprechenden Beschreibungen.

Statusdetail Beschreibung
Entra-Schlüssel kann nicht beglaubigt werden Das Enttra-Team hat den Schlüssel des ENTRA-Zertifikats nicht in TPM gespeichert. Dies wirkt sich auf bei AP ODJ registrierte Geräte aus.
Nachweis in Bearbeitung Das Gerät arbeitet noch am Nachweis, wenn Intune den neuesten Status abfragt.
TPM ist nicht vertrauenswürdig Das Gerät enthält ein TPM, das nicht vertrauenswürdig ist und daher nicht bestätigt werden kann.
TPM ist nicht verfügbar Das Gerät verfügt nicht über TPM 2.0, oder TPM kann nicht nachgewiesen werden, da die Firmware aktualisiert werden muss. Weitere Informationen zum Aktualisieren der Firmware finden Sie unter Ressourcen
TPM ist nicht bereit Das TPM kann von diesem Gerät nicht verwendet werden. Der Benutzer muss den TPM-Besitz zurücksetzen. Weitere Informationen zum Zurücksetzen des TPM-Besitzes finden Sie unter Ressourcen
Clientanforderung wird abgelehnt Die Nachweisanforderung des Clients hat den MDM-Server nicht erreicht, oder der Server hat die Anforderung abgelehnt. Der Gerätebesitzer sollte überprüfen, ob sich das Gerät weiterhin bei Entra authentifizieren kann. Weitere Informationen finden Sie unter Ressourcen.
AIK-Zertifikat wurde nicht bereitgestellt AIK-Zertifikat fehlt auf dem Gerät. Könnte an einem Netzwerkproblem liegen. Bei einer temporären Prüfung würde der Nachweis erfolgreich wiederholt, sobald das Gerät das AIK-Zertifikat erhält.
Client hat nicht alle erforderlichen Parameter bereitgestellt Sowohl das AIK-Zertifikat als auch der öffentliche AIK-Schlüssel fehlen.
MDM-Schlüssel befindet sich bereits im TPM Das Gerät gibt an, dass der MDM-Schlüssel bereits in TPM gespeichert ist. Intune kann dies aber nicht bestätigen, weil AIK-Zertifikat oder öffentlicher AIK-Schlüssel fehlt oder der ENTRA-Schlüssel nicht beglaubigt werden kann.
Feature wird nicht unterstützt Dieser Status wird für Geräte angezeigt, die noch nicht attestierbar sind. Beispiele hierfür sind Hyper-V- und Azure-VMs, Azure Virtual Desktop-Sitzungshosts, Windows 365 Cloud-PCs und Microsoft Dev Box.
Entra-Token stimmt nicht mit Geräteidentität überein Das ENTRA-Token für die Registrierung stimmt nicht mit dem in der Registrierungsanforderung angegebenen ENTRA-Schlüssel überein. Sie können dieses Problem beheben, indem Sie ein Upgrade auf den neuesten Windows-Build durchführen und den Nachweis erneut versuchen.
Fehlende Geräteidentität im Entra-Token ENTRA-Token für die Registrierung fehlt ENTRA-Geräteidentität.

Weitere Informationen finden Sie im Abschnitt Ressourcen .

Hinweis

AP ODJ-Geräte schlagen beim Nachweis bei der Registrierung immer fehl. Zum Nachweis von Geräten, die über eine AP ODJ-Methode registriert wurden, muss der Nachweis nach der Registrierung über den Bericht erfolgen. Weitere Informationen finden Sie unter Geräteaktion bestätigen.

Aktion zum Nachweis des Geräts

Wenn im Bericht Geräte angezeigt werden, bei denen der TPM-Nachweis nicht gestartet wurde, können Sie einige dieser Geräte gleichzeitig auswählen und TPM attestiert sie mithilfe der Aktion "Neues Gerät" Gerät am Anfang des Berichts bestätigen. Diese Geräteaktion sollte weniger als ein paar Minuten in Anspruch nehmen, um das Gerät zu bestätigen, und wird beim Aktualisieren im Bericht angezeigt.

So bestätigen Sie einige nicht gestartete Geräte:

  1. Verwenden Sie die Dropdownfilter oben im Bericht, um nach dem Status "Nicht gestartet" zu filtern.

  2. Wählen Sie erneut "Generieren" aus. Wählen Sie dort einige Geräte und dann oben im Bericht die Aktion "Gerät bestätigen " aus.

  3. Der Nachweis kann je nach Geräteaktivität und Anzahl der ausgewählten Geräte bis zu 15 Minuten dauern. Aktualisieren Sie nach einiger Zeit, um den aktualisierten Status der ausgewählten Geräte anzuzeigen.

Hinweis

Sie können nur bis zu 100 Geräte gleichzeitig für die Geräteaktion auswählen und mindestens 1 Minute zwischen dem Auslösen einer Aktion zum Bestätigen des Geräts warten.

Wenn bei Geräten der Nachweis fehlschlägt, können Sie den Nachweis je nach dem Wert in der Spalte "Statusdetails " mit der Aktion "Gerät nachweisen " wiederholen. Wenn eine der folgenden Statusdetails angezeigt wird, wird empfohlen, die Aktion "Gerät nachweisen " erneut zu verwenden.

  • Entra-Schlüssel kann nicht beglaubigt werden

  • TPM ist nicht verfügbar

  • Das AIK-Zertifikat wurde nicht vom Client bereitgestellt

  • Nachweis in Bearbeitung

  • MDM-Schlüssel befindet sich bereits im TPM

  • TPM ist nicht bereit

  • Authentifizierung fehlgeschlagen

  • Der Client hat nicht alle für den Nachweis erforderlichen Parameter bereitgestellt

  • Entra-Token stimmt nicht mit Geräteidentität überein

Berechtigungen für Geräteaktion

Um die Aktion "Gerät bestätigen " verwenden zu können, benötigen Sie eine rollenbasierte Berechtigung, die als Remoteaufgaben bezeichnet wird: Gibt den Nachweis der Verwaltung mobiler Geräte (Mobile Device Management, MDM) an, wenn das Gerät dafür geeignet ist. Legen Sie die Berechtigung auf "Ja" fest, um die Aktion zu aktivieren. Wenn die Berechtigung auf Ja festgelegt ist, können IT-Administratoren die Aktion "Gerät nachweisen " initiieren.

Ressourcen

Wichtig

Die Problembehandlung bei TPM erfordert in der Regel eine Lösch- und Zurücksetzungsaktion, die zu Datenverlust führen kann. Stellen Sie sicher, dass Sie Sicherungen erstellt haben, bevor Sie Schritte zur TPM-Problembehandlung ausführen.

Weiterführende Links:

  • Last updated on