Kurz gesagt: Mit Microsoft Intune verwalten Sie Notebooks und Smartphones vollständig aus der Cloud, ohne Domänencontroller, ohne Gruppenrichtlinien und ohne eigenen Verwaltungsserver. In Microsoft 365 Business Premium ist Intune Plan 1 bereits enthalten, in Business Basic und Business Standard nicht. Ein neues Notebook kann so direkt zum Mitarbeitenden geliefert werden und richtet sich beim ersten Start selbst ein.
Was Intune ist und was es nicht ist
Microsoft Intune ist ein cloudbasierter Dienst für die Verwaltung von Geräten und Anwendungen. Verwaltet wird über das Intune Admin Center, eine Weboberfläche. Es gibt keine Serverinfrastruktur, die Sie selbst betreiben müssten.
Zwei Betriebsarten sind zu unterscheiden:
- Geräteverwaltung (MDM): Das Gerät wird registriert und vollständig verwaltet, inklusive Einstellungen, Sicherheit und Anwendungen. Geht ein Gerät verloren, können Sie es aus der Ferne zurücksetzen.
- Anwendungsverwaltung (MAM): Verwaltet werden nur die Arbeits-Apps und die Daten darin, nicht das restliche Gerät. Das funktioniert auch auf Geräten, die gar nicht registriert sind, und ist damit der saubere Weg für private Smartphones. Verlässt jemand das Unternehmen, lassen sich die Firmendaten entfernen, ohne private Inhalte anzutasten.
Beides lässt sich kombinieren. Ein verwaltetes Firmenhandy kann zusätzlich App-Schutzrichtlinien für besonders sensible Anwendungen bekommen.
Cloud-native heißt: keine Abhängigkeit vom Serverraum
Microsoft definiert einen cloud-nativen Windows-Endpunkt als Gerät, das mit Microsoft Entra ID verbunden und in Intune registriert ist, ohne Abhängigkeit von einem lokalen Active Directory, von Gruppenrichtlinien oder von Domänencontrollern. Konfiguration, Sicherheit und Anwendungsverteilung laufen vollständig über die Cloud.
Microsoft empfiehlt Organisationen ausdrücklich, sich auf cloud-native Endpunkte zu konzentrieren. Für ein Unternehmen mit 20 bis 80 Arbeitsplätzen bedeutet das konkret: kein Domänencontroller mehr nötig, den jemand patchen, sichern und irgendwann ersetzen muss.
Wichtig ist die Abgrenzung zum Hybrid Join. Ein hybrid verbundenes Gerät ist zwar in Entra ID registriert, hängt aber weiterhin an Domänencontrollern für die Anmeldung und an Gruppenrichtlinien für die Konfiguration. Microsoft schreibt dazu klar, dass solche Varianten für cloud-native Endpunkte nicht geeignet sind.
Die Lizenzfrage, sauber getrennt
Hier gibt es die meisten Fehlannahmen. Aus der offiziellen Microsoft-Dokumentation zu den Plänen:
- Microsoft 365 Business Basic und Business Standard: kein Intune.
- Microsoft 365 Business Premium: Intune Plan 1 enthalten. Microsoft bestätigt in den FAQ ausdrücklich, dass Business-Premium-Abonnenten für den vollen Funktionsumfang von Intune lizenziert sind, auch für iOS, Android und Mac. Ebenfalls enthalten ist Microsoft Entra ID P1.
- Office 365 E1, E3 und E5: kein Intune.
- Microsoft 365 E3 und E5: Intune enthalten.
Zwei Punkte, die man kennen sollte. Alle Business-Pläne enthalten „Basic Mobility and Security“. Microsoft beschreibt das ausdrücklich als begrenzten Teilbereich von Intune. Es ist nicht Intune und sollte nicht damit verwechselt werden. Und: Die Microsoft-365-Business-Pläne sind für Organisationen bis 300 Nutzer ausgelegt, über Basic, Standard und Premium hinweg gerechnet.
Zur Lizenzregel selbst schreibt Microsoft: Eine Intune-Lizenz ist für jeden Nutzer und jedes Gerät erforderlich, das direkt oder indirekt vom Dienst profitiert. Es genügt also nicht, nur einem Teil der Belegschaft eine Lizenz zuzuweisen. Administratoren brauchen bei Mandanten, die nach Juli 2021 angelegt wurden, keine eigene Intune-Lizenz.
Preise nennen wir hier bewusst nicht, weil sie regional und vertragsabhängig variieren. Die aktuellen Konditionen klären wir im Gespräch.
Windows Autopilot: das Gerät richtet sich selbst ein
Autopilot nutzt das Windows, das der Hersteller bereits vorinstalliert hat, und überführt es in einen geschäftsfähigen Zustand. Es werden Einstellungen und Richtlinien angewendet, Anwendungen installiert und bei Bedarf sogar die Windows-Edition gewechselt, etwa von Pro auf Enterprise.
Aus Sicht des Anwenders bleibt laut Microsoft nur eines zu tun: eine Netzwerkverbindung herstellen und sich anmelden. Alles Weitere läuft automatisch. Das Gerät kann damit direkt vom Händler an den Arbeitsplatz oder ins Homeoffice geliefert werden, ohne dass es vorher jemand in die Hand nimmt.
Voraussetzung für die automatische Registrierung in Intune ist ein Microsoft Entra ID P1 oder P2 Abonnement, das in Business Premium enthalten ist. Für die Vorab-Bereitstellung und die Registrierungs-Attestierung braucht es außerdem ein physisches Gerät mit TPM 2.0.
Was Sie damit im Alltag steuern
- Compliance-Richtlinien: Mindestanforderungen an die Gerätekonfiguration. Geräte, die durchfallen, gelten als nicht konform, und Sie legen fest, was dann passiert: Nutzer benachrichtigen, Zugriff beschränken oder zurücksetzen.
- Bedingter Zugriff: Nur verwaltete und konforme Geräte erreichen E-Mail und Unternehmensdaten. Das ist eine Entra-Funktion und setzt Entra ID P1 oder P2 voraus.
- Konfigurationsprofile: treten an die Stelle von Gruppenrichtlinien. Microsoft nennt als Vorteil cloud-nativer Endpunkte ausdrücklich, dass keine komplexe Gruppenrichtlinienverwaltung mehr nötig ist.
- BitLocker-Verwaltung: Verschlüsselung lässt sich ohne Nutzerinteraktion erzwingen. Die Wiederherstellungsschlüssel landen in Entra ID, und über die Einstellung, dass die Sicherung des Schlüssels Pflicht ist, schließt BitLocker die Aktivierung erst ab, wenn der Schlüssel wirklich hinterlegt wurde. Jeder Zugriff auf einen Schlüssel erzeugt einen Eintrag im Prüfprotokoll. Für eine Kanzlei oder Praxis ist genau das die gewünschte Einstellung.
- Anwendungsverteilung: Win32-Anwendungen, Branchenanwendungen, Microsoft 365 Apps und Store-Apps, im Nutzer- oder Gerätekontext. Die maximale Paketgröße liegt bei 30 GB.
- Selektives Löschen: Mit der Aktion „Retire“ entfernen Sie Unternehmensdaten, Profile und Einstellungen vom Gerät, persönliche Daten bleiben erhalten. Beim vollständigen Zurücksetzen wird dagegen alles gelöscht. Pro Mandant sind bis zu 1.000 Retire-Aktionen am Tag möglich.
Die Stolpersteine, die Sie vorher kennen sollten
- Windows Home reicht nicht. Autopilot, Win32-App-Verwaltung und die Windows-Update-Richtlinien setzen Pro, Pro Education, Pro for Workstations, Enterprise oder Education voraus. Im Handel gekaufte Geräte mit Windows Home müssen vorher angehoben werden.
- Bestehende Domänengeräte nicht umbauen. Microsoft beantwortet die Frage, ob man vorhandene domänengebundene Geräte auf cloud-native umstellen kann, mit Ja, empfiehlt aber ausdrücklich, das beim nächsten Geräteaustausch zu tun statt die gesamte Flotte neu bereitzustellen. Der volle Nutzen entsteht aus einem sauberen Neustart.
- Entra registered ist nur für private Geräte gedacht. Für firmeneigene Windows-Endpunkte ist diese Variante nicht vorgesehen, und Windows-Feature-, Quality- und Treiber-Update-Richtlinien funktionieren darauf nicht.
- Vor dem selektiven Löschen sichern. Bei einem mit BitLocker geschützten Entra-verbundenen Gerät entfernt Intune vor dem Retire die Schlüsselschutzvorrichtungen. Wiederherstellungsschlüssel und lokale Administratorzugänge gehören vorher gesichert.
- Zugriff auf lokale Ressourcen ist möglich, aber nicht geschenkt. Wer noch einen Dateiserver oder eine Branchenanwendung im Haus betreibt, braucht dafür zusätzliche Voraussetzungen, unter anderem eine Synchronisierung der Konten über Microsoft Entra Connect.
Sie möchten Intune in Ihrem Unternehmen einführen? Mehr dazu auf unserer Seite Microsoft Intune in Osnabrück.
Häufige Fragen
Können wir unseren Server abschaffen?
Für Geräteverwaltung, Anmeldung und Richtlinien: ja. Ob der Server ganz verschwinden kann, hängt an den Anwendungen, die noch darauf laufen. Das klären wir in der Bestandsaufnahme, nicht im Verkaufsgespräch.
Wir haben Business Standard. Reicht das?
Nein, Business Standard enthält kein Intune. Business Premium enthält Intune Plan 1 und Entra ID P1.
Können Mitarbeitende ihre privaten Handys nutzen?
Ja, über die Anwendungsverwaltung. Das Gerät bleibt unverwaltet, geschützt werden nur die Arbeits-Apps und deren Daten. Beim Austritt lassen sich die Firmendaten gezielt entfernen.
Was passiert mit unseren alten Notebooks in der Domäne?
Die laufen weiter. Microsoft empfiehlt, die Umstellung beim nächsten Geräteaustausch zu machen statt alle Geräte auf einmal neu aufzusetzen.
Läuft das auch mit Windows 10?
Cloud-native funktioniert ab Windows 10 Version 22H2. Windows 10 hat allerdings am 14. Oktober 2025 das Ende des Supports erreicht. Microsoft empfiehlt Windows 11.
Wir richten das ein
Wir prüfen Ihre Lizenzen, richten Autopilot und die Richtlinien ein und stellen die Umstellung so auf, dass sie am laufenden Betrieb vorbei passiert. Rufen Sie uns an unter 0541 50798808 oder schreiben Sie an info@team-data.de.
Quellen
- Microsoft Learn, What is Microsoft Intune, sowie Cloud-native endpoints overview und Tutorial cloud-native setup
- Microsoft Learn, Microsoft 365 and Office 365 platform service description, Abschnitt Feature availability across plans
- Microsoft Learn, Microsoft 365 Business Premium security FAQ und Device enrollment
- Microsoft Learn, Windows Autopilot overview, Intune licensing, BitLocker encryption, Retire devices und Windows updates
Stand der Angaben: September 2026. Lizenzumfänge und Funktionen können sich ändern, maßgeblich ist die jeweils aktuelle Microsoft-Dokumentation.
