Bereitstellungshandbuch: Verwalten von Geräten unter Windows

Dieses Handbuch beschreibt, wie Sie Windows-Apps und Endpunkte mit Microsoft Intune schützen und verwalten können, und enthält unsere Setupempfehlungen und Ressourcen von den Voraussetzungen bis zur Registrierung.

Sehen Sie sich für jeden Abschnitt in diesem Handbuch die zugehörigen Aufgaben an. Einige Aufgaben sind erforderlich, andere, wie das Einrichten des Microsoft Entra bedingten Zugriffs, sind optional. Wählen Sie die bereitgestellten Links in jedem Abschnitt aus, um zu unseren empfohlenen Hilfedokumenten auf Microsoft Learn zu gelangen, in denen Sie detailliertere Informationen und Anleitungen finden.

Schritt 1: Voraussetzungen

Erfüllen Sie die folgenden Voraussetzungen, um die Endpunktverwaltungsfunktionen Ihres Mandanten zu aktivieren:

Benutzer und Gruppen hinzufügen
Benutzern Lizenzen zuweisen
Autorität für die Verwaltung mobiler Geräte festlegen

Es wird empfohlen, die Rolle mit den geringsten Berechtigungen zu verwenden, die zum Ausführen von Aufgaben erforderlich ist. Die Rolle mit den geringsten Berechtigungen, die Geräteregistrierungsaufgaben ausführen kann, ist beispielsweise die integrierte Richtlinien- und Profilmanager Intune-Rolle.

Weitere Informationen zu den integrierten Rollen und deren Möglichkeiten finden Sie unter Rollenbasierte Zugriffssteuerung (RBAC) mit Intune und integrierte Rollenberechtigungen für Intune.

Weitere Details und Empfehlungen zum Vorbereiten Ihrer organization, zum Onboarding oder zur Einführung von Intune für die Verwaltung mobiler Geräte finden Sie im Migrationshandbuch: Einrichten von oder Wechsel zu Microsoft Intune.

Schritt 2: Planen der Bereitstellung

Verwenden Sie den Planungsleitfaden zu Microsoft Intune zum Definieren Ihrer Geräteverwaltungsziele, Anwendungsfallszenarien und Anforderungen. Verwenden Sie das Handbuch, um Rollout, Kommunikation, Support, Tests und Validierung zu planen. In einigen Fällen müssen Sie beispielsweise nicht anwesend sein, wenn Mitarbeiter und Schüler/Studenten ihre Geräte registrieren. Es wird empfohlen, einen Kommunikationsplan zu erstellen, damit die Benutzer wissen, wo sie Informationen zum Installieren und Verwenden des Intune-Unternehmensportals finden.

Weitere Informationen finden Sie im Microsoft Microsoft Intune-Planungshandbuch.

Schritt 3: Erstellen von Konformitätsrichtlinien

Verwenden Sie Konformitätsrichtlinien, um sicherzustellen, dass Geräte, die auf Ihre Daten zugreifen, sicher sind und den Standards Ihrer Organization entsprechen. Die letzte Phase des Registrierungsprozesses ist die Konformitätsbewertung, bei der überprüft wird, ob die Einstellungen auf dem Gerät Ihren Richtlinien entsprechen. Gerätebenutzer müssen alle Konformitätsprobleme beheben, um Zugriff auf geschützte Ressourcen zu erhalten. Intune kennzeichnet Geräte, die die Konformitätsanforderungen nicht erfüllen, als nicht konform und führt zusätzliche Aktionen (z. B. Senden einer Benachrichtigung an den Benutzer, Einschränken des Zugriffs oder Löschen des Geräts) entsprechend Ihrer Aktion für Nichtkompatibilitätskonfigurationen aus.

Sie können Microsoft Entra-Richtlinien für bedingten Zugriff in Verbindung mit Gerätekonformitätsrichtlinien verwenden, um den Zugriff auf Windows-PCs, Unternehmens-E-Mails und Microsoft 365-Dienste zu steuern. Sie können beispielsweise eine Richtlinie erstellen, die verhindert, dass Mitarbeiter auf Microsoft Teams in Edge zugreifen können, ohne ihr Gerät vorher zu registrieren oder zu sichern.

Tipp

Eine Übersicht über Gerätekonformitätsrichtlinien finden Sie unter Complianceübersicht.

Aufgabe	Detail
Erstellen einer Konformitätsrichtlinie	Hier erhalten Sie eine Schritt-für-Schritt-Anleitung zum Erstellen und Zuweisen einer Konformitätsrichtlinie zu Benutzer- und Gerätegruppen.
Hinzufügen von Aktionen für die Nichtkonformität	Wählen Sie aus, was geschieht, wenn Geräte die Bedingungen Ihrer Konformitätsrichtlinie nicht mehr erfüllen. Beispiele für Aktionen sind das Senden von Warnungen, das Remotesperren von Geräten oder das Zurückziehen von Geräten. Sie können Aktionen für die Nichtkonformität hinzufügen, wenn Sie eine Richtlinie für die Gerätekonformität konfigurieren, oder Sie fügen sie später durch Bearbeiten der Richtlinie hinzu.
Erstellen einer gerätebasierten oder App-basierten Richtlinie für bedingten Zugriff	Wählen Sie die Apps oder Dienste aus, die Sie schützen möchten, und definieren Sie die Bedingungen für den Zugriff.
Blockieren des Zugriffs auf Apps, die keine moderne Authentifizierung verwenden	Erstellen Sie eine App-basierte Richtlinie für bedingten Zugriff, um Apps zu blockieren, die andere Authentifizierungsmethoden als OAuth2 verwenden. z. B. Apps, welche die einfache und formularbasierte Authentifizierung verwenden. Bevor Sie jedoch den Zugriff blockieren, melden Sie sich bei Microsoft Entra ID an, und überprüfen Sie den Aktivitätsbericht für Authentifizierungsmethoden, um festzustellen, ob Benutzer die Standardauthentifizierung verwenden, um auf wichtige Dinge zuzugreifen, die Sie vergessen haben oder die Ihnen nicht bewusst sind. Beispielsweise verwenden Kioske für Besprechungsraumkalender die Standardauthentifizierung.
Hinzufügen benutzerdefinierter Konformitätseinstellungen	Mit benutzerdefinierten Complianceeinstellungen können Sie Ihre eigenen Bash-Skripts schreiben, um Konformitätsszenarien zu adressieren, die noch nicht in den in Microsoft Intune integrierten Gerätekompatibilitätsoptionen enthalten sind. In diesem Artikel wird beschrieben, wie Sie benutzerdefinierte Konformitätsrichtlinien für Windows-Geräte erstellen, überwachen und Problembehandlung durchführen. Benutzerdefinierte Konformitätseinstellungen erfordern, dass Sie ein benutzerdefiniertes Skript erstellen , das die Einstellungen und Wertpaare identifiziert.

Schritt 4: Konfigurieren der Endpunktsicherheit

Verwenden Sie die Endpunktsicherheitsfeatures von Intune, um die Gerätesicherheit zu konfigurieren und Sicherheitsaufgaben für gefährdete Geräte zu verwalten.

Aufgabe	Detail
Verwalten von Geräten mit Endpunktsicherheitsfunktionen	Verwenden Sie die Endpunktsicherheitseinstellungen in Intune, um die Gerätesicherheit effektiv zu verwalten und Probleme für Geräte zu beheben.
Hinzufügen von Endpoint Protection-Einstellungen	Konfigurieren Sie allgemeine Endpunktschutz-Sicherheitsfeatures wie Firewall, BitLocker und Microsoft Defender. Eine Beschreibung der Einstellungen in diesem Bereich finden Sie in der Referenz zu Endpoint Protection-Einstellungen.
Konfigurieren von Microsoft Defender für Endpunkt in Intune	Wenn Sie Intune in Microsoft Defender for Endpoint integrieren, verhindern Sie nicht nur Sicherheitsverletzungen, sondern können auch die Vorteile von Microsoft Defender for Endpoints Threat & Vulnerability Management (TVM) nutzen und Intune verwenden, um von TVM identifizierte Endpunktschwachstellen zu beheben.
BitLocker-Richtlinie verwalten	Stellen Sie sicher, dass Geräte bei der Registrierung verschlüsselt werden, indem Sie eine Richtlinie erstellen, die BitLocker auf verwalteten Geräten konfiguriert.
Verwalten von Sicherheitsbaselineprofilen	Verwenden Sie die Sicherheits-Baselines in Intune, um Ihre Benutzer und Geräte zu schützen und zu schützen. Eine Sicherheits-Baseline enthält die bewährten Methoden und Empfehlungen für Einstellungen, die sich auf die Sicherheit auswirken.
Verwenden von Windows Update Client-Richtlinien für Softwareupdates	Konfigurieren einer Windows Update-Rolloutstrategie mit Windows Update-Clientrichtlinien. Dieser Artikel führt Sie in die Richtlinientypen ein, die Sie zum Verwalten von Windows-Softwareupdates verwenden können, und in den Übergang von Updateringverzögerungen zu einer Featureupdaterichtlinie.

Schritt 5: Konfigurieren der Geräteeinstellungen

Verwenden Sie Microsoft Intune, um Windows-Einstellungen und -Features auf Geräten zu aktivieren oder zu deaktivieren. Um diese Einstellungen zu konfigurieren und zu erzwingen, erstellen Sie ein Gerätekonfigurationsprofil und weisen Sie das Profil dann Gruppen in Ihrer Organisation zu. Geräte erhalten das Profil nach der Registrierung.

Aufgabe	Detail
Erstellen eines Geräteprofils	Erstellen Sie ein Geräteprofil in Microsoft Intune und finden Sie Ressourcen zu allen Geräteprofiltypen.
Konfigurieren von Geräteeinstellungen	Verwenden Sie den Einstellungskatalog, um Einstellungen in Microsoft Intune zu konfigurieren. Der Einstellungskatalog enthält Hunderte von Einstellungen, die Sie für Microsoft Edge, OneDrive, Remotedesktop, Office-Apps und mehr konfigurieren können. Diese Einstellungen fühlen sich ähnlich wie Gruppenrichtlinienobjekte (GPO) an und basieren zu 100 % auf der Cloud.
Konfigurieren des WLAN-Profils	Dieses Profil ermöglicht es Personen, das WLAN-Netzwerk Ihrer Organisation zu finden und eine Verbindung dazu herzustellen. Eine Beschreibung der Einstellungen in diesem Bereich finden Sie in der Referenz zu den Wi-Fi-Einstellungen für Windows.
Konfigurieren eines VPN-Profils	Richten Sie eine sichere VPN-Option, z. B. Microsoft Tunnel, für Personen ein, die eine Verbindung mit dem Netzwerk Ihrer Organisation herstellen. Eine Beschreibung der Einstellungen in diesem Bereich finden Sie in der Referenz zu VPN-Einstellungen.
E-Mail-Profil konfigurieren	Konfigurieren Sie E-Mail-Einstellungen, damit Benutzer eine Verbindung mit einem E-Mail-Server herstellen und auf ihre E-Mails des Unternehmens oder der Bildungseinrichtung zugreifen können. Eine Beschreibung der Einstellungen in diesem Bereich finden Sie in der Referenz zu E-Mail-Einstellungen.
Einschränken von Gerätefunktionen	Schützen Sie Benutzer vor nicht autorisiertem Zugriff und Ablenkungen, indem Sie die Gerätefunktionen einschränken, die sie im Unternehmen in der Bildungseinrichtung verwenden können. Eine Beschreibung der Einstellungen in diesem Bereich finden Sie in der Referenz zu Geräteeinschränkungen für Windows.
Benutzerdefiniertes Profil konfigurieren	Hinzufügen und Zuweisen von Geräteeinstellungen und -funktionen, die nicht in Intune integriert sind. Eine Beschreibung der Einstellungen in diesem Bereich finden Sie in der Referenz zu benutzerdefinierten Einstellungen.
Konfigurieren der BIOS-Einstellungen	Richten Sie Intune so ein, dass Sie die UEFI-Einstellungen (BIOS) auf registrierten Geräten über die Device Firmware Configuration Interface (DFCI) steuern können
Domänenbeitritt konfigurieren	Wenn Sie Geräte mit Microsoft Entra registrieren möchten, erstellen Sie unbedingt ein Domänenbeitrittsprofil, damit Intune weiß, welcher lokalen Domäne sie beitreten soll.
Konfigurieren von Einstellungen für die Übermittlungsoptimierung	Verwenden Sie diese Einstellungen, um den Bandbreitenverbrauch auf Geräten zu reduzieren, die Apps und Updates herunterladen.
Anpassen des Brandings und der Registrierungsumgebung	Passen Sie die Intune-Unternehmensportal und Microsoft Intune App-Erfahrung an die eigenen Wörter, das Branding, die Bildschirmeinstellungen und die Kontaktinformationen Ihrer Organisation an.
Konfigurieren von Kiosken und dedizierten Geräten	Erstellen Sie ein Kioskprofil, um Geräte zu verwalten, die im Kioskmodus ausgeführt werden.
Freigegebene Geräte anpassen	Steuern Sie den Zugriff, die Konten und die Stromversorgungsfeatures auf gemeinsam genutzten Geräten oder Mehrbenutzergeräten.
Netzwerkgrenze konfigurieren	Erstellen Sie ein Netzwerkbegrenzungsprofil, um Ihre Umgebung vor Websites zu schützen, denen Sie nicht vertrauen.
Konfigurieren der Windows-Integritätsüberwachung	Erstellen Sie ein Windows-Integritätsüberwachungsprofil, damit Microsoft Daten zur Leistung sammeln und Empfehlungen für Verbesserungen geben kann. Das Erstellen eines Profils aktiviert das Endpunktanalysefeature in Microsoft Intune, das gesammelte Daten analysiert, Software empfiehlt, die Startleistung verbessert und allgemeine Supportprobleme behebt.
Konfigurieren der Prüfungs-App für Schüler/Studenten	Konfigurieren Sie die App "Prüfungen" für Schüler, die Tests oder Prüfungen auf registrierten Geräten ablegen.
Konfigurieren des eSim-Mobilfunkprofils	Sie können eSIM für ESIM-fähige Geräte wie Surface LTE Pro so konfigurieren, dass sie über eine Datenverbindung eine Verbindung mit dem Internet herstellen. Diese Konfiguration ist ideal für Reisende weltweit, die auf Reisen in Verbindung und flexibel bleiben müssen, und macht eine SIM-Karte überflüssig.

Schritt 6: Einrichten sicherer Authentifizierungsmethoden

Richten Sie Authentifizierungsmethoden in Intune ein, um sicherzustellen, dass nur autorisierte Personen auf Ihre internen Ressourcen zugreifen. Intune unterstützt die mehrstufige Authentifizierung, Zertifikate und abgeleitete Anmeldeinformationen. Zertifikate werden auch zum Signieren und Verschlüsseln von E-Mails mithilfe von S/MIME verwendet.

Aufgabe	Detail
Mehrstufige Authentifizierung (MFA) erforderlich	Erfordernis, dass Personen zum Zeitpunkt der Geräteregistrierung zwei Arten von Anmeldeinformationen angeben. Diese Richtlinie funktioniert in Verbindung mit Microsoft Entra Richtlinien für bedingten Zugriff.
Erstellen eines vertrauenswürdigen Zertifikatprofils	Sie müssen ein vertrauenswürdiges Zertifikatprofil erstellen und bereitstellen, bevor Sie ein importiertes SCEP- oder PKCS-Zertifikatprofil erstellen können. Das vertrauenswürdige Zertifikatprofil stellt das vertrauenswürdige Stammzertifikat für Geräte und Benutzer mit importierten SCEP-, PKCS- und PKCS-Zertifikaten bereit.
Verwenden von SCEP-Zertifikaten mit Intune	Erfahren Sie, was erforderlich ist, um SCEP-Zertifikate mit Intune zu verwenden und die erforderliche Infrastruktur zu konfigurieren. Anschließend können Sie ein SCEP-Zertifikatprofil erstellen oder mit SCEP eine Fremdanbieter-Zertifizierungsstelle einrichten.
Verwenden von PKCS-Zertifikaten mit Intune	Konfigurieren Sie erforderliche Infrastrukturelemente (wie lokale Zertifikat-Connectors), exportieren Sie ein PKCS-Zertifikat und fügen Sie dieses anschließend zu einem Intune-Gerätekonfigurationsprofil hinzu.
Verwenden importierter PKCS-Zertifikate mit Intune	Richten Sie importierte PKCS-Zertifikate ein, mit denen Sie S/MIME zum Verschlüsseln von E-Mails einrichten und verwenden.
Einrichten eines Ausstellers für abgeleitete Anmeldeinformationen	Bereitstellen von Zertifikaten für Windows-Geräte, die von Benutzer-Smartcards abgeleitet sind.
Integrieren von Windows Hello for Business in Microsoft Intune	Erstellen Sie eine Windows Hello for Business-Richtlinie, um Windows Hello for Business während der Geräteregistrierung zu aktivieren oder zu deaktivieren. Hello for Business ist eine alternative Anmeldemethode, bei der Active Directory oder ein Microsoft Entra-Konto als Ersatz für ein Kennwort, ein intelligentes Karte oder ein virtuelles intelligentes Karte verwendet wird.

Schritt 7: Bereitstellen von Apps

Denken Sie beim Einrichten von Apps und App-Richtlinien an die Anforderungen Ihrer Organisation, z. B. die Plattformen, die Sie unterstützen, die Aufgaben, die Personen ausführen, die Art der Apps, die sie zum Ausführen dieser Aufgaben benötigen, und deren Anforderungen. Sie können Intune verwenden, um das gesamte Gerät (einschließlich Apps) zu verwalten, oder Intune nur zum Verwalten von Apps verwenden.

Aufgabe	Detail
Hinzufügen von branchenspezifischen Apps	Hinzufügen von branchenspezifischen Windows-Apps zu Intune und Gruppen zuweisen.
Hinzufügen von Microsoft Edge	Fügen Sie Microsoft Edge für Windows hinzu, und weisen Sie ihn zu.
Hinzufügen der Intune-Unternehmensportal-App aus dem Microsoft Store	Fügen Sie die Intune-Unternehmensportal-App manuell hinzu und weisen Sie sie als erforderliche App zu.
Fügen Sie die Intune-Unternehmensportal-App für Windows Autopilot hinzu	Fügen Sie die Unternehmensportal-App zu Geräten hinzu, die von Windows Autopilot bereitgestellt werden.
Hinzufügen von Microsoft 365-Apps	Fügen Sie Microsoft 365 Apps for Enterprise hinzu.
Zuweisen von Apps zu Gruppen	Nachdem Sie Apps zu Intune hinzugefügt haben, weisen Sie diese Benutzern und Geräten zu.
Einschließen und Ausschließen von App-Zuweisungen	Steuern Sie den Zugriff und die Verfügbarkeit einer App, indem Sie ausgewählte Gruppen aus der Zuweisung ein- und ausschließen.
Verwenden von PowerShell-Skripts	Laden Sie PowerShell-Skripts hoch, um die Verwaltungsfunktionen von Windows-Geräten in Intune zu erweitern und den Wechsel zur modernen Verwaltung zu erleichtern.

Schritt 8: Registrieren von Geräten

Während der Registrierung wird das Gerät bei Microsoft Entra ID registriert und auf Konformität ausgewertet. Informationen zu den einzelnen Registrierungsmethoden und zur Auswahl der für Ihre Organization geeigneten Registrierungsmethode finden Sie im Registrierungshandbuch für Windows-Geräte für Microsoft Intune.

Aufgabe	Detail
Aktivieren der automatischen MDM-Registrierung	Vereinfachen Sie die Registrierung, indem Sie die automatische Registrierung aktivieren, wodurch Geräte automatisch in Intune registriert werden, die Ihrer Microsoft Entra ID beitreten oder sich bei ihr registrieren. Die automatische Registrierung vereinfacht die Bereitstellung von Windows Autopilot, die BYOD-Registrierung, die Registrierung mithilfe von Gruppenrichtlinien und die Massenregistrierung über ein Bereitstellungspaket.
Automatische Ermittlung des MDM-Servers aktivieren	Wenn Sie nicht über die Microsoft Entra ID P1 oder P2 verfügen, empfehlen wir, einen CNAME-Eintragstyp für Intune-Registrierungsserver zu erstellen. Der CNAME-Eintrag leitet Registrierungsanforderungen an den richtigen Server um, sodass die registrierenden Benutzer den Servernamen nicht manuell eingeben müssen.
Szenarien für Windows Autopilot	Vereinfachen Sie die benutzergesteuerte oder selbst bereitgestellte OOBE für Sie und Ihre Benutzer, indem Sie die Microsoft Intune-Geräteregistrierung so einrichten, dass sie während Windows Autopilot automatisch erfolgt.
Registrieren von Microsoft Entra Hybrid-verbundenen Geräten mit Windows Autopilot	Der Intune-Connector für Active Directory ermöglicht es Geräten in Active Directory Domain Services, sich mit Microsoft Entra ID zu verbinden und dann automatisch bei Intune zu registrieren. Wir empfehlen diese Registrierungsoption für lokale Umgebungen, die Active Directory Domain Services verwenden und ihre Identitäten derzeit nicht zu Microsoft Entra ID verschieben können.
Registrieren von Geräten mithilfe von Gruppenrichtlinien	Lösen Sie die automatische Registrierung bei Intune mithilfe einer Gruppenrichtlinie aus.
Massenregistrierung von Geräten	Erstellen Sie ein Bereitstellungspaket im Windows-Konfigurations-Designer, das eine große Anzahl neuer Windows-Geräte mit Microsoft Entra ID verknüpft und in Intune registriert.
Einrichten der Seite für den Registrierungs-Status (ESP)	Erstellen Sie ein Registrierungs- status Seitenprofil mit benutzerdefinierten Einstellungen, um Benutzer durch die Geräteeinrichtung und -registrierung zu führen.
Ändern der Gerätebesitzbezeichnung	Nachdem ein Gerät registriert wurde, können Sie seine Besitzbezeichnung in Intune in unternehmenseigene oder persönliche Geräte ändern. Diese Anpassung ändert die Art und Weise, wie Sie das Gerät verwalten, und kann mehr Verwaltungs- und Identifikationsfunktionen in Intune ermöglichen oder einschränken.
Behandeln von Problemen bei der Registrierung	Beheben Sie Probleme, die während der Registrierung auftreten, und finden Sie Lösungen.

Schritt 9: Ausführen von Remoteaktionen

Nachdem Geräte eingerichtet wurden, können Sie unterstützte Remoteaktionen verwenden, um Geräte aus der Ferne zu verwalten und Probleme zu beheben. Die folgenden Artikel führen Sie in die Remoteaktionen für Windows ein. Wenn eine Aktion im Portal nicht vorhanden oder deaktiviert ist, wird sie für Windows nicht unterstützt.

Aufgabe	Detail
Durchführen von Remote-Aktionen auf Geräten	Erfahren Sie, wie Sie einen Drilldown ausführen und einzelne Geräte in Intune remote verwalten und Probleme beheben. In diesem Artikel werden alle in Intune verfügbaren Remoteaktionen und Links zu diesen Verfahren aufgeführt.
Verwenden von TeamViewer für die Remoteverwaltung von Intune-Geräten	Konfigurieren Sie TeamViewer in Intune und erfahren Sie, wie Sie ein Gerät fern verwalten können.
Verwenden von Sicherheitsaufgaben zum Anzeigen von Bedrohungen und Sicherheitsrisiken	Verwenden Sie Intune, um von Microsoft Defender for Endpoint identifizierte Endpunktschwachstellen zu beheben. Bevor Sie mit Sicherheitsaufgaben arbeiten können, müssen Sie Microsoft Defender für Endpunkt in Intune integrieren.

Schritt 10: Helfen Sie Mitarbeitern und Schülern/Studenten

Die Ressourcen in diesem Abschnitt sind in der Microsoft Intune-Benutzerhilfedokumentation enthalten. Diese Dokumentation richtet sich an Mitarbeiter, Schüler/Studenten und andere Benutzer von Intune-lizenzierten Geräten, die ein persönliches oder vom Unternehmen bereitgestelltes Gerät registrieren. Dokumentationslinks sind in der gesamten Intune-Unternehmensportal-App verfügbar und verweisen auf Informationen über:

Registrierungsmethoden mit exemplarischen Vorgehensweisen zum Registrieren
Einstellungen und Features des Unternehmensportals
Aufheben der Registrierung und Entfernen gespeicherter Daten
Aktualisieren von Geräteeinstellungen für Compliance-Anforderungen
Melden von App-Problemen