Planungsleitfaden zu Microsoft Intune

Eine erfolgreiche Microsoft Intune-Bereitstellung oder -Migration beginnt mit der Planung. Dieser Leitfaden hilft Ihnen bei der Planung der Umstellung oder Einführung von Intune als Ihre einheitliche Endpunktverwaltungslösung.

Diagramm, das die Schritte zur Planung Ihrer Migration oder zum Wechsel zu Microsoft Intune zeigt, einschließlich der Lizenzierungsanforderungen.

Intune bietet Organisationen Optionen für das Beste für sie und die vielen verschiedenen Benutzergeräte. Sie können Geräte in Intune für die mobile Geräteverwaltung (Mobile Device Management, MDM) registrieren. Sie können App-Schutzrichtlinien auch für die mobile Anwendungsverwaltung (Mobile Application Management, MAM) verwenden, die sich auf den Schutz von App-Daten konzentrieren.

Diese Anleitung:

  • Listet einige gängige Ziele für die Geräteverwaltung auf und beschreibt sie
  • Listet potenzielle Lizenzierungsanforderungen auf
  • Enthält Anleitungen zum Umgang mit persönlichen Geräten
  • Empfiehlt, die aktuellen Richtlinien und die aktuelle Infrastruktur zu überprüfen
  • Enthält Beispiele für die Erstellung eines Rolloutplans
  • Und mehr

Verwenden Sie dieses Handbuch, um Ihren Wechsel oder die Migration zu Intune zu planen.

Schritt 1 – Bestimmen Sie Ihre Ziele

Organisationen verwenden die Verwaltung mobiler Geräte (MDM) und die Verwaltung mobiler Anwendungen (MAM), um Organisationsdaten sicher kontrollieren zu können und dabei möglichst geringe Beeinträchtigungen für Benutzer hinnehmen zu müssen. Wenn Sie eine MDM/MAM-Lösung wie Microsoft Intune evaluieren, sollten Sie sich ansehen, was das Ziel ist und was Sie erreichen möchten.

In diesem Abschnitt werden allgemeine Ziele oder Szenarien bei der Verwendung von Intune besprochen.

Ziel: Zugriff auf Apps und E-Mails der Organisation

Benutzer möchten auf Geräten mit Organisations-Apps arbeiten, z. B. E-Mails lesen und beantworten oder Daten aktualisieren und freigeben. In Intune können Sie verschiedene App-Typen bereitstellen, darunter die folgenden:

  • Microsoft 365-Apps
  • Win32-Apps
  • Branchenspezifische Apps
  • Benutzerdefinierte Apps
  • Integrierte Apps
  • Store-Apps

Aufgabe: Erstellen Sie eine Liste der Apps, die Ihre Benutzer regelmäßig verwenden

Diese Apps sollten sich auf ihren Geräten befinden. Folgendes sollten Sie berücksichtigen:

  • Viele Organisationen stellen alle Microsoft 365-Apps wie Word, Excel, OneNote, PowerPoint und Teams bereit. Auf kleineren Geräten, wie z. B. Mobiltelefonen, können Sie je nach Benutzeranforderungen einzelne Apps installieren.

    Beispielsweise benötigt das Vertriebsteam möglicherweise Teams, Excel und SharePoint. Auf mobilen Geräten können Sie nur diese Apps bereitstellen, anstatt die gesamte Microsoft 365-Produktfamilie bereitzustellen.

  • Benutzer bevorzugen es, auf allen Geräten, einschließlich persönlicher Geräte, E-Mails zu lesen & zu beantworten und an Besprechungen teilzunehmen. Auf Geräten, die der organization gehören, können Sie Outlook und Teams bereitstellen und diese Apps mit den Einstellungen Ihrer organization vorkonfigurieren.

    Auf persönlichen Geräten haben Sie diese Kontrolle möglicherweise nicht. Legen Sie also fest, ob Sie Benutzern Zugriff auf organization-Apps wie E-Mail und Besprechungen gewähren möchten.

    Weitere Informationen und Überlegungen finden Sie unter Persönliche Geräte im Vergleich zu unternehmenseigenen Geräten (in diesem Artikel).

  • Wenn Sie beabsichtigen, Microsoft Outlook auf Ihren Android- und iOS/iPadOS-Geräten zu verwenden, können Sie Outlook mithilfe von Intune-App-Konfigurationsrichtlinien vorkonfigurieren.

  • Überprüfen Sie die geschützten Apps, die für die Verwendung mit Intune entwickelt wurden. Bei diesen Apps handelt es sich um unterstützte Partner-Apps und Microsoft-Apps, die häufig mit Microsoft Intune verwendet werden.

Ziel: Sicherer Zugriff auf allen Geräten

Wenn Daten auf mobilen Geräten gespeichert werden, müssen sie vor böswilligen Aktivitäten geschützt werden.

Aufgabe: Festlegen, wie Sie Ihre Geräte schützen möchten

Virenschutz, Schadsoftwareüberprüfung, Reaktion auf Bedrohungen und Geräte auf dem neuesten Stand zu halten sind wichtige Überlegungen. Außerdem möchten Sie die Auswirkungen böswilliger Aktivitäten minimieren.

Folgendes sollten Sie berücksichtigen:

  • Antivirus (AV) und Malware-Schutz sind ein Muss. Intune ist in Microsoft Defender for Endpoint und verschiedene Mobile Threat Defense(MTD)-Partner integriert, um Ihre verwalteten Geräte, persönlichen Geräte und Apps zu schützen.

    Microsoft Defender für Endpunkt umfasst Sicherheitsfeatures und ein Portal, das Sie bei der Überwachung und Reaktion auf Bedrohungen unterstützt.

  • Wenn ein Gerät kompromittiert ist, möchten Sie die schädlichen Auswirkungen mithilfe von bedingtem Zugriff begrenzen.

    Beispielsweise überprüft Microsoft Defender für Endpunkt ein Gerät und kann feststellen, ob das Gerät kompromittiert ist. Der bedingte Zugriff kann den Zugriff der organization auf diesem Gerät, einschließlich E-Mails, automatisch blockieren.

    Der bedingte Zugriff trägt zum Schutz Ihres Netzwerks und Ihrer Ressourcen vor Geräten bei, auch vor Geräten, die nicht in Intune registriert sind.

  • Aktualisieren Sie das Gerät, das Betriebssystem und die Apps, um Ihre Daten zu schützen. Erstellen Sie einen Plan, wie und wann Updates installiert werden sollen. In Intune stehen Richtlinien zur Verfügung, die Sie beim Verwalten von Updates einschließlich Updates für Store-Apps unterstützen.

    Die folgenden Planungshandbücher für Softwareupdates können Ihnen bei der Festlegung Ihrer Updatestrategie helfen:

  • Legen Sie fest, wie sich Benutzer auf ihren vielen Geräten bei organization resources authentifizieren. Sie haben beispielsweise folgende Möglichkeiten:

    • Verwenden Sie Zertifikate auf Geräten, um Funktionen und Apps zu authentifizieren, z. B. eine Verbindung mit einem virtuellen privaten Netzwerk (VPN), das Öffnen von Outlook und vieles mehr. Diese Zertifikate sorgen dafür, dass Ihre Benutzer weniger Kennwörter verwenden müssen. Die Option ohne Kennwörter gilt als sicherer, als Benutzer zur Eingabe des Benutzernamens und des Kennworts für ihre Organisation aufzufordern.

      Wenn Sie beabsichtigen, Zertifikate zu verwenden, verwenden Sie eine unterstützte PKI-Infrastruktur (Public Key Infrastructure), um Zertifikatprofile zu erstellen und bereitzustellen.

    • Verwenden Sie die mehrstufige Authentifizierung (MFA) für eine zusätzliche Authentifizierungsebene auf Geräten im Besitz der Organisation. Sie können die MFA auch verwenden, um Apps auf persönlichen Geräten zu authentifizieren. Biometrische Daten wie Gesichtserkennung und Fingerabdrücke können ebenfalls verwendet werden.

      Wenn Sie beabsichtigen, Biometrie zur Authentifizierung zu verwenden, stellen Sie sicher, dass Ihre Geräte Biometrie unterstützen. Bei den meisten modernen Geräten ist das der Fall.

    • Implementieren Sie eine Zero Trust-Bereitstellung. Mit Zero Trust nutzen Sie die Features in Microsoft Entra ID und Microsoft Intune, um alle Endpunkte zu sichern, verwenden kennwortlose Authentifizierung und vieles mehr.

  • Konfigurieren Sie die Datenbeschränkungsrichtlinien , die mit den Microsoft 365-Apps geliefert werden. Diese Richtlinien verhindern die Freigabe von Organization-Daten für andere Apps und Speicherorte, die nicht von Ihrer IT-Abteilung verwaltet werden.

    Wenn einige Benutzer nur Zugriff auf Unternehmens-E-Mails und -Dokumente benötigen, was bei privaten Geräten üblich ist, können Sie die Verwendung von Microsoft 365-Apps mit App-Schutzrichtlinien erfordern. Die Geräte müssen nicht in Intune registriert sein.

    Weitere Informationen und Überlegungen finden Sie unter Persönliche Geräte im Vergleich zu unternehmenseigenen Geräten (in diesem Artikel).

Ziel: Verteilen der IT

Viele Organisationen möchten unterschiedlichen Administratoren die Kontrolle über Standorte, Abteilungen usw. übertragen. Die Gruppe Charlotte IT Admins steuert und überwacht beispielsweise die Richtlinien des Campus in Charlotte. Die IT-Administratoren in Charlotte können nur die Richtlinien für den Standort in Charlotte anzeigen und verwalten. Sie können nicht die Richtlinien für den Standort in Redmond anzeigen und verwalten. Dieser Ansatz wird als verteilte IT bezeichnet.

In Intune profitiert die verteilte IT von folgenden Features:

  • Bereichstags verwenden die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC). So haben nur Benutzer in einer bestimmten Gruppe die Berechtigung, Richtlinien und Profile für Benutzer und Geräte in ihrem Bereich zu verwalten.

  • Wenn Sie Geräteregistrierungskategorien verwenden, werden Geräte basierend auf den von Ihnen erstellten Kategorien automatisch Gruppen hinzugefügt. Dieses Feature verwendet dynamische Microsoft Entra-Gruppen und vereinfacht die Verwaltung von Geräten.

    Tipp

    Wenn Ihr Ziel darin besteht, Intune-Richtlinien basierend auf der Gerätekategorie auszurichten, können Sie auch Zuweisungsfilter mit der deviceCategory Eigenschaft verwenden. Filter werden beim Einchecken ausgewertet, ohne von der Verarbeitung der Gruppenmitgliedschaft abhängig zu sein.

    Wenn Benutzer ihr Gerät registrieren, wählen sie eine Kategorie aus, z. B. Vertrieb, IT-Administrator, Point-of-Sale-Gerät usw. Wenn die Geräte einer Kategorie hinzugefügt werden, sind diese Gerätegruppen bereit für den Empfang Ihrer Richtlinien.

  • Wenn Administratoren Richtlinien erstellen, können Sie die Genehmigung mehrerer Administratoren für bestimmte Richtlinien verlangen, einschließlich Richtlinien, die Skripts ausführen oder Apps bereitstellen.

  • Endpoint Privilege Management ermöglicht es Standardbenutzern ohne Administratorrechte, Aufgaben auszuführen, die erhöhte Berechtigungen erfordern, wie das Installieren von Apps und das Aktualisieren von Gerätetreibern. Endpoint Privilege Management ist Teil der Intune Suite.

Aufgabe: Bestimmen, wie Sie Ihre Regeln und Einstellungen verteilen möchten

Regeln und Einstellungen werden mit unterschiedlichen Richtlinien bereitgestellt. Folgendes sollten Sie berücksichtigen:

  • Bestimmen Sie Ihre Administratorenstruktur. Sie können z. B. nach Standort trennen, z. B. nach Charlotte IT Admins oder Cambridge IT Admins. Möglicherweise möchten Sie nach Rollen separieren, z. B. Netzwerkadministratoren , die den gesamten Netzwerkzugriff, einschließlich VPN, steuern.

    Diese Kategorien werden zu Ihren Bereichstags.

    Weitere Informationen zum Erstellen von Administratorgruppen finden Sie unter:

  • Manchmal müssen Organisationen verteilte IT in Systemen verwenden, in denen eine große Anzahl lokaler Administratoren eine Verbindung mit einem einzelnen Intune-Mandanten herstellt. Beispielsweise verfügt eine große organization über einen einzelnen Intune-Mandanten. Die organization verfügt über eine große Anzahl lokaler Administratoren, und jeder Administrator verwaltet ein bestimmtes System, eine bestimmte Region oder einen bestimmten Standort. Jeder Administrator muss nur seinen Standort und nicht die gesamte organization verwalten.

    Weitere Informationen finden Sie unter Verteilte IT-Umgebung mit vielen Administratoren im selben Intune-Mandanten.

  • Viele Organisationen unterteilen Gruppen nach Gerätetyp, z. B. iOS/iPadOS-, Android- oder Windows-Geräte. Beispiele:

    • Sie verteilen bestimmte Apps auf bestimmten Geräten. Stellen Sie beispielsweise die Microsoft Shuttle-App auf mobilen Geräten im Redmond-Netzwerk bereit.
    • Sie stellen Richtlinien für bestimmte Standorte bereit. Stellen Sie beispielsweise ein Wi-Fi Profil auf Geräten im Charlotte-Netzwerk bereit, damit diese automatisch eine Verbindung herstellen, wenn sie sich in Reichweite befinden.
    • Sie steuern die Einstellungen auf bestimmten Geräten. Deaktivieren Sie beispielsweise die Kamera auf Android Enterprise-Geräten, die in einer Fertigung verwendet werden, erstellen Sie ein Windows Defender-Antivirusprofil für alle Windows-Geräte, oder fügen Sie E-Mail-Einstellungen für alle iOS-/iPadOS-Geräte hinzu.

    Diese Kategorien werden zu Ihren Geräteregistrierungskategorien.

Ziel: Sicherstellen, dass Organisationsdaten in der Organisation verbleiben

Wenn Daten auf einem mobilen Gerät gespeichert sind, müssen sie geschützt werden, um den versehentlichen Datenverlust oder die versehentliche Freigabe zu verhindern. Dieses Ziel umfasst auch das Löschen von Organization-Daten von persönlichen Geräten und Geräten im Besitz der organization.

Aufgabe: Erstellen Sie einen Plan, um verschiedene Szenarien abzudecken, die sich auf Ihre Organization auswirken

Einige Beispielszenarien:

  • Ein Gerät wird verloren oder gestohlen oder wird nicht mehr verwendet. Ein Benutzer verlässt die Organisation.

  • Auf persönlichen Geräten möchten Sie möglicherweise verhindern, dass Benutzer Screenshots erstellen oder E-Mails weiterleiten. App-Schutzrichtlinien können diese Features auf Geräten verhindern, die Sie nicht verwalten.

    Auf verwalteten Geräten (in Intune registrierte Geräte) können Sie diese Features auch über Gerätekonfigurationsprofile steuern. Gerätekonfigurationsprofile steuern Einstellungen auf einem Gerät, nicht für Apps selbst. Auf Geräten, auf denen auf streng vertrauliche oder personenbezogene Daten zugegriffen wird, können Gerätekonfigurationsprofile Benutzer z. B. daran hindern, Kopier- und Einfügevorgänge durchzuführen oder Screenshots zu erstellen.

Weitere Informationen und Überlegungen finden Sie unter Persönliche Geräte im Vergleich zu unternehmenseigenen Geräten (in diesem Artikel).

Schritt 2 – Inventarisieren Ihrer Geräte

Organisationen verfügen über eine Reihe von Geräten, darunter Desktopcomputer, Laptops, Tablets, Handscanner und Mobiltelefone. Diese Geräte befinden sich im Besitz der organization oder im Besitz Ihrer Benutzer. Berücksichtigen Sie bei der Planung Ihrer Geräteverwaltungsstrategie alles, was auf Ressourcen Ihrer organization zugreift, einschließlich persönlicher Geräte.

Dieser Abschnitt enthält Geräteinformationen, die Sie berücksichtigen sollten.

Unterstützte Plattformen

Intune unterstützt die gängigen und beliebten Geräteplattformen. Die spezifischen Versionen finden Sie unter Unterstützte Plattformen.

Aufgabe: Upgrade oder Austausch älterer Geräte

Wenn Ihre Geräte nicht unterstützte Versionen verwenden, bei denen es sich in erster Linie um ältere Betriebssysteme handelt, ist es an der Zeit, das Betriebssystem zu aktualisieren oder die Geräte zu ersetzen. Für diese älteren Betriebssysteme und Geräte steht möglicherweise nur eingeschränkte Unterstützung zur Verfügung, und sie sind ein mögliches Sicherheitsrisiko. Bei dieser Aufgabe sollten z. B. Geräte wie Desktopcomputer, auf denen Windows 7 ausgeführt wird oder iPhone 7-Geräte, auf denen das ursprüngliche Betriebssystem (Version 10.0) ausgeführt wird, berücksichtigt werden.

Vergleich von persönlichen Geräten und organisationseigenen Geräten

Auf persönlichen Geräten ist es normal und wird erwartet, dass Benutzer E-Mails abrufen, an Besprechungen teilnehmen, Dateien aktualisieren und vieles mehr. Viele Organisationen ermöglichen persönlichen Geräten den Zugriff auf Ressourcen der organization.

BYOD/persönliche Geräte sind Teil einer Mobile Application Management (MAM)-Strategie, die:

  • Weiterhin wachsende Beliebtheit bei vielen Organisationen
  • Ist eine gute Option für Organisationen, die Organization-Daten schützen, aber nicht das gesamte Gerät verwalten möchten
  • Reduziert die Hardwarekosten.
  • Kann die mobilen Produktivitätsmöglichkeiten für Mitarbeiter erhöhen, einschließlich Remote- & Hybridmitarbeiter
  • Entfernt nur organization data aus Apps, anstatt alle Daten vom Gerät zu entfernen

Organisationseigene Geräte sind Teil einer Strategie zur Verwaltung mobiler Geräte (Mobile Device Management, MDM), die:

  • Ermöglicht IT-Administratoren in Ihrer Organization die vollständige Kontrolle
  • Verfügt über eine Vielzahl von Funktionen zur Verwaltung von Apps, Geräten und Benutzern
  • Ist eine gute Option für Organisationen, die das gesamte Gerät verwalten möchten, einschließlich Hardware und Software
  • Kann die Hardwarekosten erhöhen, insbesondere wenn vorhandene Geräte veraltet sind oder nicht mehr unterstützt werden
  • Kann alle Daten vom Gerät entfernen, einschließlich persönlicher Daten

Screenshot, der die mobile Geräteverwaltung und die App-Verwaltung auf Geräten in Microsoft Intune vergleicht.

Als organization und als Administrator entscheiden Sie, ob private Geräte zugelassen sind. Wenn Sie persönliche Geräte zulassen, müssen Sie wichtige Entscheidungen treffen, einschließlich der Frage, wie Sie Ihre Organization-Daten schützen.

Aufgabe: Festlegen, wie mit persönlichen Geräten umgegangen werden soll

Wenn es für Ihre organization wichtig ist, mobil zu sein oder Remotemitarbeiter zu unterstützen, sollten Sie die folgenden Ansätze in Betracht ziehen:

  • Option 1: Erlauben Sie persönlichen Geräten den Zugriff auf Ressourcen der organization. Benutzer haben die Wahl, sich zu registrieren oder nicht zu registrieren.

    • Für Benutzer, die ihre persönlichen Geräte registrieren, verwalten Administratoren diese Geräte vollständig, einschließlich des Pushens von Richtlinien, der Kontrolle von Gerätefeatures & -einstellungen und sogar des Löschens von Geräten. Als Administrator möchten Sie dieses Steuerelement möglicherweise, oder Sie denken möglicherweise, dass Sie dieses Steuerelement haben möchten.

      Wenn Benutzer ihre persönlichen Geräte registrieren, erkennen oder verstehen sie möglicherweise nicht, dass Administratoren auf dem Gerät irgendwelche Aktionen ausführen können, einschließlich versehentlichem Löschen oder Zurücksetzen des Geräts. Als Administrator möchten Sie diese Haftung oder potenzielle Auswirkung möglicherweise nicht auf Geräte haben, die Ihrer organization nicht gehören.

      Außerdem verweigern viele Benutzer die Registrierung und finden andere Wege, um auf die Ressourcen der organization zuzugreifen. Sie könnten beispielsweise erzwingen, dass Geräte registriert sein müssen, um die Outlook-App zum Überprüfen auf Organisations-E-Mails verwenden zu können. Um diese Anforderung zu umgehen, öffnen Benutzer einen beliebigen Webbrowser auf dem Gerät und melden sich bei Outlook Web Access an, was möglicherweise nicht Ihren Vorstellungen entspricht. Benutzer könnten auch Screenshots erstellen und die Bilder auf dem Gerät speichern, was Sie ebenfalls nicht möchten.

      Wenn Sie diese Option auswählen, sollten Sie die Benutzer über die Risiken und Vorteile der Registrierung ihrer persönlichen Geräte aufklären.

    • Für Benutzer, die ihre persönlichen Geräte nicht registrieren, verwalten Sie den App-Zugriff und sichern App-Daten mithilfe von App-Schutzrichtlinien.

      Verwenden Sie eine Geschäftsbedingungenerklärung mit einer Richtlinie für bedingten Zugriff. Wenn Benutzer diesen Bedingungen nicht zustimmen, erhalten sie keinen Zugriff auf Apps. Wenn Benutzer der Anweisung zustimmen, wird Microsoft Entra ID ein Gerätedatensatz hinzugefügt, und das Gerät wird zu einer bekannten Entität. Wenn das Gerät bekannt ist, können Sie nachverfolgen, auf was über das Gerät zugegriffen wird.

      Steuern Sie Zugriff und Sicherheit immer mithilfe von App-Richtlinien.

      Sehen Sie sich die Aufgaben an, die Ihre Organization am häufigsten verwendet, z. B. E-Mails und die Teilnahme an Besprechungen. Verwenden Sie App-Konfigurationsrichtlinien , um App-spezifische Einstellungen zu konfigurieren, z. B. Outlook. Mithilfe von App-Schutzrichtlinien können Sie die Sicherheit und den Zugriff auf diese Apps steuern.

      Benutzer können beispielsweise die Outlook-App auf ihrem persönlichen Gerät verwenden, um arbeitsrelevante E-Mails anzusehen. In Intune erstellen Administratoren eine Outlook-App-Schutzrichtlinie. Diese Richtlinie verwendet bei jedem Öffnen der Outlook-App die mehrstufige Authentifizierung (MFA), verhindert das Kopieren und Einfügen und schränkt andere Features ein.

  • Option 2: Sie möchten , dass jedes Gerät vollständig verwaltet wird. In diesem Szenario sind alle Geräte in Intune registriert und werden von der organization verwaltet, einschließlich persönlicher Geräte.

    Um die Registrierung zu erzwingen, können Sie eine Richtlinie für bedingten Zugriff (Conditional Access, CA) bereitstellen, die erfordert, dass Geräte in Intune registriert sind. Auf diesen Geräten können Sie auch:

    • Konfigurieren Sie eine WLAN/VPN-Verbindung für die Konnektivität mit der Organisation, und stellen Sie diese Verbindungsrichtlinien auf Geräten bereit. Benutzer müssen keine Einstellungen eingeben.
    • Wenn Benutzer bestimmte Apps auf ihrem Gerät benötigen, stellen Sie die Apps bereit. Sie können auch Apps bereitstellen, die Ihre Organization für Sicherheitszwecke benötigt, z. B. eine Mobile Threat Defense-App.
    • Verwenden Sie Konformitätsrichtlinien, um Regeln festzulegen, die Ihre Organization befolgen muss, z. B. gesetzliche Vorschriften oder Richtlinien, die bestimmte MDM-Steuerelemente aufrufen. Beispielsweise benötigen Sie Intune, um das gesamte Gerät zu verschlüsseln oder um einen Bericht aller Apps auf dem Gerät zu erstellen.

    Wenn Sie auch die Hardware kontrollieren wollen, dann geben Sie den Benutzern alle Geräte, die sie brauchen, einschließlich Mobiltelefone. Investieren Sie in einen Hardwareaktualisierungsplan, damit die Benutzer weiterhin produktiv sind, und erhalten Sie die neuesten integrierten Sicherheitsfunktionen. Registrieren Sie diese organisationseigenen Geräte in Intune, und verwalten Sie sie mithilfe von Richtlinien.

Als Best Practice gilt, als Grundprämisse anzunehmen, dass Daten das Gerät verlassen. Sorgen Sie deshalb dafür, dass Nachverfolgungs- und Überwachungsmethoden implementiert sind. Weitere Informationen finden Sie unter Zero Trust mit Microsoft Intune.

Verwalten von Desktopcomputern

Intune kann Desktopcomputer unter Windows verwalten. Das Windows-Clientbetriebssystem enthält integrierte moderne Geräteverwaltungsfunktionen und entfernt Abhängigkeiten von lokalen Active Directory (AD)-Gruppenrichtlinien. Sie profitieren von den Vorteilen der Cloud, wenn Sie Regeln und Einstellungen in Intune erstellen und diese Richtlinien auf allen Ihren Windows-Clientgeräten bereitstellen, einschließlich Desktopcomputern und PCs.

Weitere Informationen finden Sie unter Lernprogramm: Einrichten cloudnativer Windows-Endpunkte mit Microsoft Intune.

Wenn Ihre Windows-Geräte derzeit mit Konfigurations-Manager verwaltet werden, können Sie diese Geräte weiterhin bei Intune registrieren. Dieser Ansatz wird als Co-Management bezeichnet. Die gemeinsame Verwaltung bietet viele Vorteile, darunter das Ausführen von Remoteaktionen auf dem Gerät (Neustart, Remotesteuerung, Zurücksetzen auf die Werkseinstellungen), bedingten Zugriff mit Gerätekonformität und mehr. Sie können Ihre Geräte auch in der Cloud an Intune anfügen.

Weitere Informationen finden Sie unter:

Aufgabe: Sehen Sie sich an, was Sie derzeit für die Verwaltung mobiler Geräte verwenden

Ob Sie eine mobile Geräteverwaltung einführen, kann davon abhängen, was Ihre organization derzeit verwendet, einschließlich ob diese Lösung lokale Features oder Programme verwendet.

Im Bereitstellungsleitfaden: Einrichten von oder Migrieren zu Microsoft Intune finden Sie hilfreiche Informationen.

Folgendes sollten Sie berücksichtigen:

  • Wenn Sie derzeit keinen MDM-Dienst oder keine MDM-Lösung verwenden, ist es möglicherweise am besten, direkt zu Intune zu wechseln.

  • Wenn Sie derzeit lokale Gruppenrichtlinienobjekte (Group Policy Objects, GPO) verwenden, ist der Wechsel zu Intune und die Verwendung des Intune-Einstellungskatalogs ähnlich und kann ein einfacherer Übergang zu cloudbasierten Geräterichtlinien sein. Der Einstellungskatalog enthält auch Einstellungen für Apple-Geräte und Google Chrome.

  • Für neue Geräte, die nicht im Konfigurations-Manager oder einer MDM-Lösung registriert sind, ist es möglicherweise am besten, direkt zu Intune zu wechseln.

  • Wenn Sie aktuell Konfigurations-Manager nutzen, haben Sie die folgenden Optionen:

    • Wenn Sie Ihre vorhandene Infrastruktur weiter nutzen möchten und einige Workloads in die Cloud migrieren möchten, eignet sich die Co-Verwaltung für Sie. Sie erhalten dabei die Vorteile beider Dienste. Vorhandene Geräte können Richtlinien von Konfigurations-Manager erhalten (lokal) und andere Richtlinien von Intune (Cloud).
    • Wenn Sie Ihre vorhandene Infrastruktur weiter verwenden möchten und mithilfe von Intune lokale Geräte überwachen möchten, können Sie die Mandantenanfügung nutzen. Sie profitieren von der Verwendung des Intune Admin Centers und gleichzeitig des Konfigurations-Manager zum Verwalten von Geräten.
    • Wenn Sie für die Geräteverwaltung eine reine Cloudlösung verwenden möchten, migrieren Sie zu Intune. Einige Konfigurations-Manager-Benutzer ziehen es vor, den Konfigurations-Manager weiterhin mit Mandantenanfügung oder Co-Verwaltung zu verwenden.

    Weitere Informationen finden Sie unter Co-Management-Workloads.

Geräte für Frontline-Mitarbeiter (Frontline Worker, FLW)

Freigegebene Tablets und Geräte sind für Mitarbeiter in Service und Produktion üblich. Sie werden in vielen Branchen eingesetzt, darunter Einzelhandel, Gesundheitswesen, Fertigung und vieles mehr.

Es sind Optionen für die verschiedenen Plattformen verfügbar, einschließlich Android (AOSP) Virtual Reality-Geräte, iPad-Geräte und Windows 365 Cloud-PCs.

Aufgabe: Ermitteln Ihrer FLW-Szenarien

FLW-Geräte sind im Besitz der organization, bei der Geräteverwaltung registriert und werden von einem Benutzer (vom Benutzer zugewiesen) oder von vielen Benutzern (freigegebene Geräte) verwendet. Diese Geräte sind für Mitarbeiter in Service und Produktion wichtig, um ihre Arbeit zu erledigen, und werden häufig in einem eingeschränkten Nutzungsmodus verwendet. Es kann sich beispielsweise um ein Gerät handeln, das Elemente scannt, einen Kiosk, der Informationen anzeigt, oder ein Tablet, das Patienten in einem Krankenhaus oder einer medizinischen Einrichtung eincheckt.

Weitere Informationen finden Sie unter Geräteverwaltung für Mitarbeiter in Service und Produktion in Microsoft Intune.

Schritt 3 – Ermitteln Sie Kosten und Lizenzierung

Beim Verwalten von Geräten kommen verschiedene Dienste zum Einsatz. In Intune sind die Einstellungen und Features enthalten, die Sie auf verschiedenen Geräten steuern können. Weitere Dienste spielen ebenfalls eine wichtige Rolle:

  • Microsoft Entra ID P1 oder P2 (in der Microsoft 365 E5-Lizenz enthalten) umfasst mehrere Features, die für die Verwaltung von Geräten von entscheidender Bedeutung sind, darunter:

    • Windows Autopilot: Windows-Clientgeräte können sich automatisch bei Intune registrieren und automatisch Ihre Richtlinien erhalten.
    • Multi-Factor Authentication (MFA): Benutzer müssen zwei oder mehr Überprüfungsmethoden eingeben, z. B. eine PIN, eine Authentifikator-App, einen Fingerabdruck und mehr. MFA ist eine hervorragende Option bei der Verwendung von App-Schutzrichtlinien für persönliche Geräte und Geräte der Organisation, die zusätzliche Sicherheit erfordern.
    • Bedingter Zugriff: Wenn Benutzer und Geräte Ihren Regeln folgen, z. B. einen 6-stelligen Passcode, erhalten sie Zugriff auf Ressourcen der organization. Wenn Benutzer oder Geräte Ihre Regeln nicht befolgen, erhalten sie auch keinen Zugriff.
    • Dynamische Benutzergruppen und dynamische Gerätegruppen: Fügen Sie Benutzer oder Geräte automatisch zu Gruppen hinzu, wenn sie Kriterien wie Stadt, Berufsbezeichnung, Betriebssystemtyp, Betriebssystemversion und mehr erfüllen.

  • Microsoft 365-Apps (in der Microsoft 365 E5-Lizenz enthalten) enthalten die Apps, auf die sich Benutzer verlassen, einschließlich Outlook, Word, SharePoint, Teams, OneDrive und mehr. Sie können diese Apps mithilfe von Intune auf Geräten bereitstellen.

  • Microsoft Defender für Endpunkt (in der Microsoft 365 E5-Lizenz enthalten) hilft bei der Überwachung und Überprüfung Ihrer Windows-Clientgeräte auf schädliche Aktivitäten. Sie können auch eine akzeptable Bedrohungsstufe festlegen. In Kombination mit dem bedingten Zugriff können Sie den Zugriff auf Ressourcen der organization blockieren, wenn die Bedrohungsstufe überschritten wird.

  • Microsoft Purview (in der Microsoft 365 E5-Lizenz enthalten) klassifiziert und schützt Dokumente und E-Mails durch das Anwenden von Bezeichnungen. In Microsoft 365-Apps können Sie diesen Dienst verwenden, um den nicht autorisierten Zugriff auf Daten der Organization zu verhindern, einschließlich Apps auf persönlichen Geräten.

  • Microsoft Copilot in Intune ist ein generatives KI-Sicherheitsanalysetool. Es greift auf Ihre Intune-Daten zu und kann Ihnen helfen, Ihre Richtlinien und Einstellungen zu verwalten, Ihren Sicherheitsstatus zu verstehen und Geräteprobleme zu beheben.

    Copilot in Intune wird durch Microsoft Security Copilot lizenziert. Weitere Informationen finden Sie unter Erste Schritte mit Microsoft Security Copilot.

  • Intune Suite bietet erweiterte Endpunktverwaltungs- und Sicherheitsfeatures wie Remotehilfe, Microsoft Cloud PKI, Endpoint Privilege Management und mehr.

Ab Juli 2026 sind die Suite-Funktionen auf die Microsoft 365-Lizenzstufen verteilt:

  • Microsoft 365 E3 umfasst Plan 2, Remotehilfe und Advanced Analytics.
  • Microsoft 365 E5 und E7 enthalten alles, was in E3 enthalten ist, plus Endpoint Privilege Management, Microsoft Cloud PKI und Enterprise Application Management.
  • Für Kunden mit anderen Plänen ist Suite als separates Abonnement erhältlich.

Weitere Informationen finden Sie unter:

Aufgabe: Ermitteln der lizenzierten Dienste, die Ihre Organization benötigt

Folgendes sollten Sie berücksichtigen:

  • Wenn es Ihr Ziel ist, Richtlinien (Regeln) und Profile (Einstellungen) ohne Erzwingung bereitzustellen, benötigen Sie mindestens:

    • Intune

    Intune ist in verschiedenen Abonnements enthalten, ist aber auch als eigenständiger Dienst verfügbar. Weitere Informationen finden Sie unter Microsoft Intune-Lizenzierung.

    Sie verwenden aktuell Konfigurations-Manager und möchten die Co-Verwaltung für Ihre Geräte einrichten. Intune ist in der Konfigurations-Manager-Lizenz bereits enthalten. Wenn Sie möchten, dass Intune neue Geräte oder vorhandene gemeinsam verwaltete Geräte vollständig verwaltet, benötigen Sie eine separate Intune-Lizenz.

  • Sie möchten Compliance- oder Kennwortregeln erzwingen, die Sie in Intune erstellen. Sie benötigen mindestens:

    • Intune
    • Microsoft Entra-ID P1 oder P2

    Intune und Microsoft Entra ID P1 oder P2 sind mit Enterprise Mobility + Security verfügbar. Weitere Informationen finden Sie unter Enterprise Mobility + Security Preisoptionen.

  • Sie möchten Microsoft 365 Apps nur auf Geräten verwalten. Sie benötigen mindestens:

    • Microsoft 365 Basic Mobility und Security

    Weitere Informationen finden Sie unter:

  • Sie möchten Microsoft 365-Apps auf Ihren Geräten bereitstellen und Richtlinien erstellen, um Geräte, auf denen diese Apps ausgeführt werden, zu schützen. Sie benötigen mindestens:

    • Intune
    • Microsoft 365-Apps

  • Sie möchten Richtlinien in Intune erstellen, Microsoft 365-Apps bereitstellen und Ihre Regeln und Einstellungen erzwingen. Sie benötigen mindestens:

    • Intune
    • Microsoft 365-Apps
    • Microsoft Entra-ID P1 oder P2

    Da alle diese Dienste in einigen Microsoft 365-Plänen enthalten sind, kann es kostengünstig sein, die Microsoft 365-Lizenz zu verwenden. Weitere Informationen finden Sie unter Microsoft 365-Lizenzierungspläne.

Schritt 4 – Überprüfen der vorhandenen Richtlinien und Infrastruktur

Viele Organisationen verfügen bereits über Richtlinien und eine Infrastruktur für die Geräteverwaltung, die lediglich noch „gewartet“ wird. Sie könnten beispielsweise über 20 Jahre alte Gruppenrichtlinien verfügen, wissen aber nicht wirklich, welche Aufgaben diese erfüllen. Wenn Sie eine Migration in die Cloud in Erwägung ziehen, anstatt sich nur auf Altbewährtes zu verlassen, müssen Sie ein neues Ziel bestimmen.

Diese Ziele stellen dann die Ausgangsbasis für Ihre Richtlinien dar. Wenn Sie über mehrere Geräteverwaltungslösungen verfügen, ist es jetzt möglicherweise an der Zeit, einen einzelnen Verwaltungsdienst für mobile Geräte zu verwenden.

Aufgabe: Sehen Sie sich Aufgaben an, die Sie lokal ausführen

Diese Aufgabe umfasst die Prüfung von Diensten, die in die Cloud verlagert werden könnten. Denken Sie daran, nicht altbewährte Lösungen zu untersuchen, sondern bestimmen Sie ein neues Ziel.

Tipp

Weitere Informationen zu cloudnativen Endpunkten ist eine gute Ressource.

Folgendes sollten Sie berücksichtigen:

  • Überprüfen Sie vorhandene Richtlinien und deren Struktur. Einige Richtlinien können global gelten, einige gelten auf Site-Ebene und einige sind spezifisch für ein bestimmtes Gerät. Das Ziel besteht darin, die Absichten z. B. hinter globalen Richtlinien oder hinter lokalen Richtlinien zu kennen und zu verstehen.

    Lokale Active Directory-Gruppenrichtlinien werden in der LSDOU-Reihenfolge angewendet – lokal, Standort, Domäne und Organisationseinheit (OU). In dieser Hierarchie überschreiben z. B. Richtlinien für Organisationseinheiten lokale Richtlinien, und Domänenrichtlinien überschreiben Standortrichtlinien.

    In Intune werden Richtlinien auf Benutzer und von Ihnen erstellte Gruppen angewendet. Es gibt keine Hierarchie. Wenn in zwei Richtlinien dieselbe Einstellung aktualisiert wird, wird diese Einstellung als Konflikt angezeigt. Weitere Informationen zum Konfliktverhalten finden Sie unter Allgemeine Fragen, Probleme und Lösungen für Geräterichtlinien und -profile.

    Nachdem Sie Ihre Richtlinien überprüft haben, gelten Ihre globalen AD-Richtlinien logischerweise für Gruppen, die Sie haben, oder für Gruppen, die Sie benötigen. Zu diesen Gruppen gehören Benutzer und Geräte, die Sie auf globaler Ebene, auf Standortebene usw. adressieren möchten. Diese Aufgabe gibt Ihnen eine Vorstellung von der Gruppenstruktur, die Sie in Intune benötigen. Leistungsempfehlungen für Gruppierung, Zielgruppenadressierung und Filterung in großen Microsoft Intune-Umgebungen können eine gute Ressource sein.

  • Bereiten Sie sich darauf vor, neue Richtlinien in Intune zu erstellen. Intune enthält mehrere Features, die Szenarien abdecken, die Sie interessieren könnten. Beispiele:

    • Sicherheitsbaselines: Auf Windows-Clientgeräten sind Sicherheitsbaselines Sicherheitseinstellungen, die auf empfohlene Werte vorkonfiguriert sind. Wenn Sie mit der Sicherung von Geräten noch nicht vertraut sind oder eine umfassende Baseline wünschen, dann sehen Sie sich die Sicherheitsbaselines an.

      Die Einblicke in die Einstellungen schaffen Vertrauen in Konfigurationen, indem Erkenntnisse hinzugefügt werden, die ähnliche Organisationen erfolgreich übernommen haben. Einblicke sind für einige Einstellungen verfügbar, aber nicht für alle Einstellungen. Weitere Informationen finden Sie unter Einblicke in die Einstellungen.

    • Einstellungskatalog: Der Einstellungskatalog listet alle Einstellungen auf, die Sie konfigurieren können, und ähnelt lokalen GPOs und ADMX-Vorlagen. Wenn Sie die Richtlinie erstellen, beginnen Sie von Grund auf neu und konfigurieren Einstellungen auf granularer Ebene.

    • Gruppenrichtlinien (GPO): Verwenden Sie die Gruppenrichtlinienanalyse, um Ihre GPOs zu importieren und zu analysieren. Dieses Feature unterstützt Sie dabei, zu bestimmen, wie GPOs in die Cloud übersetzt werden. Die Ausgabe zeigt, welche Einstellungen von MDM-Anbietern unterstützt werden, einschließlich Microsoft Intune. Sie enthält außerdem veraltete Einstellungen bzw. Einstellungen, die für MDM-Anbieter nicht verfügbar sind.

      Sie können auch eine Intune-Richtlinie basierend auf Ihren importierten Einstellungen erstellen. Weitere Informationen finden Sie unter Erstellen einer Einstellungskatalogrichtlinie mit Ihren importierten Gruppenrichtlinienobjekten.

  • Erstellen Sie eine Richtlinienbaseline , die das Minimum Ihrer Ziele enthält. Beispiel:

    • Sichere E-Mail: Sie sollten mindestens folgende Aktionen ausführen:

      • Erstellen Sie Outlook-App-Schutzrichtlinien.
      • Aktivieren des bedingten Zugriffs für Exchange Online oder Herstellen einer Verbindung mit einer anderen lokalen E-Mail-Lösung.

    • Geräteeinstellungen: Sie sollten mindestens folgende Aktionen ausführen:

      • Fordern Sie eine sechsstellige PIN an, um Geräte entsperren zu können.
      • Verhindern Sie Sicherungen in persönlichen Clouddiensten wie iCloud oder OneDrive.

    • Geräteprofile: Sie sollten mindestens folgende Aktionen ausführen:

      • Erstellen Sie ein WLAN-Profil mit den vorkonfigurierten Einstellungen zum Herstellen der Verbindung mit dem Drahtlosnetzwerk „Contoso-WLAN“.
      • Erstellen Sie ein VPN-Profil mit einem Zertifikat für die automatische Authentifizierung, und stellen Sie eine Verbindung zu einem Organisations-VPN her.
      • Erstellen Sie ein E-Mail-Profil mit den vorkonfigurierten Einstellungen, die eine Verbindung mit Outlook herstellen.

    • Apps: Sie sollten mindestens folgende Aktionen ausführen:

      • Bereitstellen von Microsoft 365-Apps mit App-Schutzrichtlinien.
      • Stellen Sie eine branchenspezifische App mit App-Schutzrichtlinien bereit.

    Weitere Informationen zu den empfohlenen Mindesteinstellungen finden Sie unter:

  • Überprüfen Sie die aktuelle Struktur Ihrer Gruppen. In Intune können Sie Richtlinien erstellen und Benutzergruppen, Gerätegruppen und dynamischen Benutzer- und Gerätegruppen zuweisen (erfordert Microsoft Entra ID P1 oder P2).

    Wenn Sie Gruppen in der Cloud erstellen, z. B. in Intune oder Microsoft 365, werden die Gruppen in Microsoft Entra ID erstellt. Möglicherweise wird das Microsoft Entra ID-Branding nicht angezeigt, aber Sie verwenden es.

  • Wenn Sie über mehrere Geräteverwaltungslösungen verfügen, wechseln Sie zu einer einzigen Lösung für die Verwaltung mobiler Geräte. Die Verwendung von Intune wird empfohlen, um Organisationsdaten in Apps und auf Geräten zu schützen.

    Weitere Informationen finden Sie unter Microsoft Intune verwaltet Identitäten, Apps und Geräte sicher.

Schritt 5 – Erstellen eines Rolloutplans

Die nächste Aufgabe besteht darin, zu planen, wie und wann Ihre Benutzer und Geräte Ihre Richtlinien erhalten. Bei dieser Aufgabe sollten Sie außerdem Folgendes beachten:

  • Definieren Sie Ihre Ziele und Erfolgsmetriken. Verwenden Sie diese Datenpunkte, um weitere Rolloutphasen zu erstellen. Stellen Sie sicher, dass Ihre Ziele spezifisch, messbar, erreichbar, realistisch und zeitgerecht sind. Planen Sie in allen Phasen Vergleichsmessungen mit Ihren Zielen ein, um sicherzustellen, dass Ihr Rolloutprojekt auf Kurs bleibt.
  • Sorgen Sie für klar definierte Ziele. Beziehen Sie diese in alle Sensibilisierungs- und Trainingsaktivitäten ein, um sicherzustellen, dass den Benutzern klar ist, warum das Unternehmen sich für Intune entschieden hat.

Aufgabe: Erstellen eines Plans zum Rollout Ihrer Richtlinien

Außerdem können Sie auswählen, wie Benutzer ihre Geräte in Intune registrieren. Folgendes sollten Sie berücksichtigen:

  • Führen Sie Ihre Richtlinien in Phasen ein. Beispiel:

    • Starten Sie mit einer Pilot- oder Testgruppe. Die Benutzer in diesen Gruppen sollten sich darüber im Klaren sein, dass sie die ersten Benutzer sind, und sie sollten bereit dazu sein, Feedback zu geben. Verbessern Sie auf Grundlage dieses Feedbacks die Konfiguration, Dokumentation und Benachrichtigungen, und erleichtern Sie zukünftige Rollouts für Benutzer. Bei diesen Benutzern darf es sich nicht um Führungskräfte handeln.

      Nach ersten Tests können Sie der Pilotgruppe weitere Benutzer hinzufügen. Alternativ können Sie weitere Pilotgruppen erstellen, deren Fokus auf anderen Rollouts liegt:

      • Abteilungen: Jede Abteilung kann an einer Rolloutphase teilnehmen. Sie können eine gesamte Abteilung gleichzeitig als Zielgruppe festlegen. Bei dieser Art von Rollout nutzen Benutzer in den einzelnen Abteilungen meist das Gerät auf dieselbe Weise und greifen auf dieselben Anwendungen zu. Für Benutzer gelten womöglich auch dieselben Arten von Richtlinien.

      • Geografie: Stellen Sie Ihre Richtlinien für alle Benutzer in einer bestimmten Geografie, ob auf demselben Kontinent, in demselben Land, derselben Region oder demselben Unternehmensgebäude, bereit. Diese Art des Rollouts ermöglicht, sich auf einen bestimmten Benutzerstandort zu konzentrieren. Wenn Sie einen Bereitstellungsansatz mit Vorabbereitstellung wünschen, könnten Sie eine Windows Autopilot-Instanz bereitstellen, da die Anzahl an Standorten, die Intune zur selben Zeit bereitstellen, geringer ist. Es besteht die Möglichkeit verschiedener Abteilungen oder unterschiedlicher Anwendungsfälle am selben Standort. Sie könnten verschiedene Anwendungsfälle also gleichzeitig testen.

      • Plattform: Bei diesem Rollout erhalten ähnliche Plattformen zur selben Zeit Bereitstellungen. Sie könnten beispielsweise Richtlinien für alle iOS-/iPadOS-Geräte im Februar bereitstellen, für alle Android-Geräte im März und für alle Windows-Geräte im April. Dieser Ansatz kann den Helpdesksupport unterstützen, da nur Support für eine Plattform zur selben Zeit gegeben sein muss.

      Bei einem gestaffelten Ansatz erhalten Sie Feedback von einer großen Bandbreite an Benutzertypen.

    • Nach einer erfolgreichen Pilotphase können Sie ein vollständiges Produktionsrollout durchführen. Das folgende Beispiel zeigt einen Intune-Rolloutplan, der Zielgruppen und Zeitskalen umfasst:

    Rolloutphase Juli August September Oktober
    Begrenztes Pilotprojekt IT (50 Benutzer)
    Erweitertes Pilotprojekt IT (200 Benutzer), IT-Führungskräfte (10 Benutzer)
    Produktionsrolloutphase 1 Vertrieb und Marketing (2.000 Benutzer)
    Produktionsrolloutphase 2 Einzelhandel (1.000 Benutzer)
    Produktionsrolloutphase 3 Personalabteilung (50 Benutzer), Finanzabteilung (40 Benutzer), Führungskräfte (30 Benutzer)

    Diese Vorlage kann hier heruntergeladen werden.

  • Wählen Sie aus, wie Benutzer ihre persönlichen und von der Organization stammenden Geräte registrieren. Es gibt verschiedene Registrierungsmethoden:

    • Benutzer-Self-Service: Benutzer registrieren ihre eigenen Geräte, indem sie Schritte befolgen, die von ihrer IT-Organisation bereitgestellt wurden. Dieser Ansatz wird am häufigsten verwendet und ist skalierbarer als die Registrierung mit Benutzerunterstützung.
    • Benutzergestützte Registrierung: Bei diesem vorab bereitgestellten Bereitstellungsansatz hilft ein IT-Mitglied den Benutzern während des Registrierungsprozesses, entweder persönlich oder mithilfe von Teams. Dieser Ansatz wird häufig bei Führungskräften und anderen Gruppen verfolgt, die ggf. mehr Unterstützung benötigen.
    • IT-Tech-Messe: Bei dieser Veranstaltung richtet die IT-Gruppe einen Stand ein, der Unterstützung bei der Intune-Registrierung bietet. Benutzer erhalten Informationen zur Intune-Registrierung, können Fragen stellen und erhalten Unterstützung bei der Registrierung ihrer Geräte. Diese Option kann sowohl für die IT-Abteilung als auch für den Benutzer von Vorteil sein, insbesondere in den frühen Phasen des Rollouts von Intune.

    Im folgenden Beispiel sind die verschiedenen Registrierungsansätze dargestellt:

    Rolloutphase Juli August September Oktober
    Begrenztes Pilotprojekt
    Self-Service IT
    Erweitertes Pilotprojekt
    Self-Service IT
    Vorabbereitstellung IT-Führungskräfte
    Produktionsrolloutphase 1 Vertrieb, Marketing
    Self-Service Vertrieb und Marketing
    Produktionsrolloutphase 2 Einzelhandel
    Self-Service Einzelhandel
    Produktionsrolloutphase 3 Führungskräfte, Personalwesen, Finanzen
    Self-Service Personalabteilung, Finanzabteilung
    Vorabbereitstellung Executives

    Weitere Informationen zu den verschiedenen Registrierungsmethoden für jede Plattform finden Sie unter Bereitstellungsleitfaden: Registrieren von Geräten bei Microsoft Intune.

Schritt 6 – Änderungen kommunizieren

Gutes Change Management ist abhängig von einer klaren und nützlichen Kommunikation bezüglich kommender Änderungen. Die Idee ist, eine reibungslose Bereitstellung der Intune zu ermöglichen und Benutzer über Änderungen & Unterbrechungen zu informieren.

Aufgabe: Ihr Rollout-Kommunikationsplan sollte wichtige Informationen enthalten

Diese Informationen sollten beinhalten, wie und wann Benutzer benachrichtigt werden. Folgendes sollten Sie berücksichtigen:

  • Bestimmen Sie, welche Informationen kommuniziert werden sollen. Kommunizieren Sie in Phasen mit Gruppen und Benutzern. Beginnen Sie dabei mit dem eigentlichen Start des Intune-Rollouts, der Phase vor der Registrierung und einer Phase nach der Registrierung:

    • Startphase: Hierbei ist allgemeine Kommunikation erforderlich, die das Intune-Projekt an sich vorstellt. Es sollte wichtige Fragen beantworten, wie:

      • Was ist Intune?
      • Warum führt die Organisation Intune ein, welche Vorteile entstehen für die Organisation und die Benutzer?
      • Stellen Sie einen möglichst allgemeinen Plan der Bereitstellung und des Rollouts vor.
      • Wenn persönliche Geräte nur zulässig sind , wenn die Geräte registriert sind, dann erklären Sie, warum Sie diese Entscheidung getroffen haben.

    • Vorregistrierungsphase: Umfassende Kommunikation, die Informationen zu Intune und anderen Diensten (wie Office, Outlook und OneDrive), Benutzerressourcen und bestimmten Zeitplänen enthält, wann Benutzer und Gruppen bei Intune registriert werden.

    • Registrierungsphase: Die Kommunikation richtet sich an Benutzer und Gruppen von Organisationen, die für die Registrierung in Intune geplant sind. Er sollte die Benutzer darüber informieren, dass sie bereit sind, sich zu registrieren, einschließlich der Schritte zur Registrierung und darüber, an wen sie sich wenden können, um Hilfe und Fragen zu erhalten.

    • Phase nach der Registrierung: Die Kommunikation richtet sich an Benutzer und Gruppen von Organisationen, die bei Intune registriert sind. Sie sollte mehr Ressourcen bereitstellen, die für Benutzer hilfreich sein könnten, und Feedback zu ihren Erfahrungen während und nach der Registrierung sammeln.

  • Wählen Sie aus, wie Informationen zum Intune-Rollout an Ihre Zielgruppen und Benutzer kommuniziert werden sollen. Beispiel:

    • Setzen Sie eine persönliche Besprechung mit der gesamten Organisation an, oder verwenden Sie Microsoft Teams.

    • Entwerfen Sie eine E-Mail für die Phase vor der Registrierung, eine für die Registrierung selbst und eine für die Phase nach der Registrierung. Beispiel:

      • E-Mail 1: Erläutern Sie die Vorteile, Erwartungen und den Zeitplan. Nutzen Sie die Gelegenheit, um andere neue Dienste vorzustellen, deren Zugriff auf durch Intune verwalteten Geräten gewährt wird.
      • E-Mail 2: Geben Sie bekannt, dass Dienste nun für den Zugriff über Intune bereit sind. Fordern Sie die Benutzer auf, sich nun zu registrieren. Stellen Sie Benutzern einen Zeitplan bereit, bevor deren Zugriff beeinträchtigt wird. Erinnern Sie die Benutzer an die Vorteile und strategischen Gründe für die Migration.

    • Über eine Organisationswebsite können Sie die Rolloutphasen erläutern und darüber informieren, was Benutzer erwartet und wer bei benötigter Hilfe kontaktiert werden kann.

    • Erstellen Sie Poster, verwenden Sie Social-Media-Plattformen der Organisation (wie Microsoft Viva Engage) oder verteilen Sie Flyer, um die Phase vor der Registrierung anzukündigen.

  • Erstellen Sie eine Zeitleiste, die beinhaltet, wann und wer. Die anfängliche Kommunikation zum Intune-Start kann an die gesamte Organisation gerichtet sein, jedoch auch nur an Teile davon. Sie kann bereits mehrere Wochen vor dem eigentlichen Intune-Rollout beginnen. Danach könnten die Informationen dem Intune-Rolloutzeitplan entsprechend in Phasen an Gruppen und Benutzer kommuniziert werden.

    Es folgt ein Beispiel eines allgemeinen Kommunikationsplans für den Intune-Rollout:

    Kommunikationsplan Juli August September Oktober
    Phase 1 Alle
    Besprechung zu Projektbeginn Erste Woche
    Phase 2 IT Vertrieb und Marketing Einzelhandel Personalabteilung, Finanzabteilung und Führungskräfte
    E-Mail 1 vor dem Rollout Erste Woche Erste Woche Erste Woche Erste Woche
    Phase 3 IT Vertrieb und Marketing Einzelhandel Personalabteilung, Finanzabteilung und Führungskräfte
    E-Mail 2 vor dem Rollout Zweite Woche Zweite Woche Zweite Woche Zweite Woche
    Phase 4 IT Vertrieb und Marketing Einzelhandel Personalabteilung, Finanzabteilung und Führungskräfte
    E-Mail zur Registrierung Dritte Woche Dritte Woche Dritte Woche Dritte Woche
    Phase 5 IT Vertrieb und Marketing Einzelhandel Personalabteilung, Finanzabteilung und Führungskräfte
    E-Mail nach der Registrierung Vierte Woche Vierte Woche Vierte Woche Vierte Woche

Schritt 7: Support-Helpdesk und Endbenutzer

Der IT-Support und der Helpdesk sollten an den frühen Planungsphasen der Intune-Bereitstellung und während der ersten Pilotversuche beteiligt werden. Bei einer frühen Beteiligung beschäftigen sich die Supportmitarbeiter mit Intune und können Wissen und Erfahrung dafür ansammeln, Probleme effektiver zu erkennen und zu lösen. Außerdem werden sie so dafür vorbereitet, den vollständigen Produktionsrollout in der Organisation zu unterstützen. Ein fachkundiger Helpdesk und kompetente Supportteams helfen Benutzern auch dabei, sich diesen Änderungen anzupassen.

Aufgabe: Schulung Ihrer Supportteams

Überprüfen Sie die Endbenutzererfahrung anhand der Erfolgsmetriken in Ihrem Bereitstellungsplan. Folgendes sollten Sie berücksichtigen:

  • Bestimmen Sie, wer die Endbenutzer unterstützen soll. Organisationen können verschiedene Ebenen oder Stufen (1-3) haben. So können beispielsweise die Ebenen 1 und 2 zum Supportteam gehören. Zu Ebene 3 gehören Mitglieder des MDM-Teams, das für die Intune-Bereitstellung verantwortlich zeichnet.

    Bei Ebene 1 handelt es sich in der Regel um die erste Supportebene und die erste Ebene, die kontaktiert wird. Wenn Ebene 1 ein Problem nicht lösen kann, wird an Ebene 2 eskaliert. Ebene 2 eskaliert Probleme bei Bedarf an Ebene 3. Microsoft-Support kann als Stufe 4 betrachtet werden.

    • Sorgen Sie während der ursprünglichen Rolloutphasen dafür, dass alle Ebenen Ihres Supportteams Probleme und Lösungen dokumentieren. Suchen Sie nach Mustern, und nehmen Sie Anpassungen an der Kommunikation für die jeweils anschließende Rolloutphase vor. Beispiel:
      • Wenn verschiedene Benutzer oder Gruppen ihre persönlichen Geräte nur zögerlich registrieren, könnten Sie einen Anruf in Teams erwägen, um häufig auftretende Fragen zu klären.
      • Wenn Benutzer bei der Registrierung von organisationseigenen Geräten dieselben Probleme haben, können Sie Benutzer in einer persönlichen Veranstaltung dabei unterstützen, ihre Geräte zu registrieren.

  • Erstellen Sie einen Helpdeskworkflow, und kommunizieren Sie Supportprobleme, Trends und andere wichtige Informationen ständig an alle Ebenen Ihres Supportteams. Halten Sie beispielsweise tägliche oder wöchentliche Besprechungen in Teams ab, damit alle Ebenen über Trends und Muster informiert sind und die erforderliche Unterstützung suchen können.

    Im folgenden Beispiel sehen Sie, wie Contoso Workflows für den IT-Support oder den Helpdesk implementiert:

    1. Der Endbenutzer kontaktiert den IT-Support bzw. den Helpdesk der Ebene 1 mit einem Registrierungsproblem.
    2. Ebene 1 des IT-Supports bzw. Helpdesks kann die Grundursache nicht ermitteln und eskaliert an Ebene 2.
    3. Der IT-Support oder Helpdesk der Ebene 2 untersucht das Problem. Ebene 2 kann das Problem nicht lösen und eskaliert an Ebene 3. Außerdem werden weitere Informationen zum Problem übermittelt.
    4. Ebene 3 des IT-Supports bzw. Helpdesks führt weitere Untersuchungen durch, ermittelt die Grundursache und kommuniziert die Lösung an Ebene 2 und 1.
    5. Ebene 1 des IT-Supports/Helpdesks wendet sich dann an die Benutzer und löst das Problem.

    Diese Vorgehensweise bringt vor allem in den frühen Phasen des Intune-Rollouts viele Vorteile mit sich:

    • Helfen Sie beim Erlernen der Technologie
    • Schnelles Erkennen von Problemen und Behebung
    • Verbessern der allgemeinen Benutzerfreundlichkeit

  • Schulen Sie Ihre Helpdesk- und Supportteams. Bitten Sie sie, Geräte zu registrieren, auf denen die verschiedenen Plattformen ausgeführt werden, die in Ihrer Organization verwendet werden, damit sie mit dem Prozess vertraut sind. Erwägen Sie es, den Helpdesk und die Supportteams als Pilotgruppe für Ihre Szenarios zu nutzen.

    Es stehen Schulungsressourcen zur Verfügung, darunter YouTube-Videos, Microsoft-Tutorials zu Windows Autopilot-Szenarien, Compliance, Konfiguration und Kurse über Schulungspartner.

    Beim folgenden Beispiel handelt es sich um einen Trainingsplan für den Intune-Support:

    • Überprüfung des Intune-Supportplans
    • Übersicht über Intune
    • Behandlung häufig auftretender Probleme
    • Tools und Ressourcen
    • Q & A

Das communitybasierte Intune-Forum und die Endbenutzerdokumentation sind ebenfalls hervorragende Ressourcen.

  • Last updated on