Frag dich einmal, wie viele Geräte in deinem Unternehmen gerade auf Firmendaten zugreifen. Die Notebooks im Büro, klar. Aber auch das Diensthandy deines Vertriebsleiters, das private Tablet, auf dem jemand abends noch schnell eine E-Mail beantwortet, das Smartphone eines Mitarbeiters, der seit letzter Woche im Außendienst unterwegs ist. Jedes dieser Geräte ist eine Tür zu deinen Daten. Und wenn du ehrlich bist, weißt du bei den wenigsten davon genau, wie gut diese Tür verschlossen ist.
Genau hier setzt Microsoft Intune an. Der Dienst nimmt dir die Kontrolle über diese verstreute Gerätelandschaft ab, ohne dass du dafür jedes Handy in die Hand nehmen müsstest. In diesem Artikel gehe ich durch, was Intune konkret leistet und wo der Nutzen für ein mittelständisches Unternehmen liegt. Nicht als Technik-Vortrag, sondern so, wie ich es einem Geschäftsführer im Gespräch erklären würde.
Was Intune eigentlich ist
Ein cloudbasierter Dienst ohne eigenen Server
Microsoft Intune ist ein cloudbasierter Dienst, mit dem du die Geräte und Apps deines Unternehmens verwalten und absichern kannst.¹ Du meldest Geräte an, konfigurierst Einstellungen, sicherst sie ab, spielst Updates ein und steuerst, welche Nutzer und Geräte überhaupt auf Firmenressourcen zugreifen dürfen. Das alles läuft komplett in der Cloud, es gibt keinen Server, den du bei dir im Keller aufstellen und pflegen müsstest.¹
Der Dienst gehört zur Microsoft-Familie und lässt sich über Microsoft-365-Pläne oder als eigenständiges Abonnement beziehen. Wenn du ohnehin schon mit Microsoft 365 arbeitest, mit Outlook, Teams und den Office-Programmen, dann fügt sich Intune gut ein. Die Anmeldung deiner Mitarbeiter läuft über dieselben Konten, die sie sowieso schon nutzen.
Eine Oberfläche für die gesamte Geräteflotte
Wichtig ist die Bandbreite der unterstützten Geräte. Intune verwaltet Windows-PCs, Macs, iPhones und iPads, Android-Geräte und einige Spezialplattformen.¹ Du brauchst also nicht für jedes Betriebssystem ein eigenes Werkzeug. Ein Werkzeug, eine zentrale Oberfläche, die gesamte Geräteflotte. Verwaltet wird das Ganze über das sogenannte Intune Admin Center, eine Weboberfläche, die deine IT-Betreuung von überall aus bedienen kann.
Der eigentliche Kniff liegt darin, wie Intune die Dinge zusammenhält. Es stützt sich auf drei Pfeiler: die Identitäten, die sich anmelden, die Geräte, von denen aus das passiert, und die Apps, mit denen gearbeitet wird.¹ Diese drei Ebenen greifen ineinander. Und weil Intune nicht selbst die Anmeldung übernimmt, sondern das der Identitätsdienst Microsoft Entra ID erledigt, entsteht ein sauber getrenntes, aber verzahntes System. Für dich als Geschäftsführer heißt das vor allem eins: weniger Insellösungen, weniger Reibung.
Sicherheit ohne den täglichen Aufwand
Regeln einmal festlegen, dauerhaft durchsetzen
Der größte praktische Gewinn ist, dass du Regeln einmal festlegst und Intune sie dann durchsetzt, ganz ohne dass jemand von Gerät zu Gerät läuft. Du kannst zum Beispiel verlangen, dass jedes Gerät durch eine PIN oder ein Kennwort geschützt ist, dass die Festplatte verschlüsselt ist oder dass ein bestimmtes Mindest-Betriebssystem installiert sein muss. Geräte, die diese Vorgaben nicht erfüllen, fallen auf und können vom Zugriff auf Firmendaten ausgeschlossen werden.
Das klingt selbstverständlich, ist es in der Praxis aber selten. In vielen mittelständischen Betrieben hängt die Gerätesicherheit am guten Willen der Mitarbeiter und an der Aufmerksamkeit einer meist überlasteten IT. Mit Intune wird aus dem guten Willen eine technische Tatsache. Die Regel gilt, oder das Gerät kommt nicht rein.
Fernlöschen bei Verlust und Diebstahl
Der zweite große Punkt ist das Fernlöschen. Wenn ein Notebook oder ein Diensthandy verloren geht oder gestohlen wird, kannst du es aus der Ferne auf die Werkseinstellungen zurücksetzen. Diese Aktion entfernt sämtliche persönlichen und geschäftlichen Daten, Apps und Konfigurationen vom Gerät.² Für den Fall des verlorenen Geräts gibt es sogar eine besondere Variante, die das Zurücksetzen selbst dann zu Ende bringt, wenn das Gerät zwischendurch vom Strom getrennt wird, und die den freien Speicher überschreibt, damit sich nichts wiederherstellen lässt.² Stell dir vor, ein Laptop mit Kundendaten bleibt im Zug liegen. Ohne Intune ist das ein handfester Datenschutzvorfall mit Meldepflicht. Mit Intune ist es ein Klick in der Verwaltungsoberfläche, und das Gerät ist leer.
An dieser Stelle sei ein Detail erwähnt, das mancher Berater gern unterschlägt: Ein vollständiges Zurücksetzen setzt voraus, dass das Gerät bei Intune angemeldet, also unter Geräteverwaltung ist.² Für Geräte, die nur über App-Schutzrichtlinien laufen, gibt es einen anderen, gezielteren Weg, auf den ich gleich komme.
Wo sind die Einfallstore für Du überlegst, ob deine Geräteflotte diese Grundregeln überhaupt erfüllt? Finde es bei einem kostenlosen Gespräch mit unseren Experten zusammen heraus!
Privat und dienstlich sauber trennen
Warum die Vermischung zum Problem wird
Ein Thema, das viele Geschäftsführer unterschätzen, ist die Vermischung von Privatem und Dienstlichem auf ein und demselben Gerät. Dein Mitarbeiter checkt auf dem Firmenhandy auch mal private Nachrichten, oder er nutzt umgekehrt sein eigenes Smartphone für die Arbeit. Solange alles gut läuft, fällt das niemandem auf. Problematisch wird es, wenn jemand das Unternehmen verlässt oder ein privates Gerät verloren geht.
Intune löst das über sogenannte App-Schutzrichtlinien. Damit verwaltet der Dienst nicht das ganze Gerät, sondern nur die Arbeits-Apps und die Daten darin.¹ Die Fachbegriffe dafür sind Mobile Device Management, kurz MDM, für die Verwaltung des kompletten Geräts, und Mobile Application Management, kurz MAM, für die reine App-Ebene. Der entscheidende Vorteil: App-Schutzrichtlinien funktionieren unabhängig von jeder Geräteverwaltung.³ Du kannst also die Daten deines Unternehmens schützen, ohne dass deine Mitarbeiter ihr privates Handy vollständig unter Firmenkontrolle stellen müssen. Das senkt die Hemmschwelle enorm, gerade wenn Beschäftigte eigene Geräte einsetzen.
So sieht der Schutz im Alltag aus
In der Praxis sieht das so aus: Auf dem privaten Smartphone deines Mitarbeiters läuft Outlook mit dem Firmenpostfach. Intune kann verlangen, dass sich diese App nur mit einer PIN öffnen lässt, dass Firmendaten sich nicht per Kopieren und Einfügen in private Apps übertragen lassen und dass geschäftliche Informationen nicht in einem privaten Speicher landen.³ Die persönlichen Fotos, Nachrichten und Apps des Mitarbeiters bleiben davon unberührt. Die Schutzregeln greifen nur im Arbeitskontext, nicht wenn die App privat genutzt wird.³
Und wenn jemand das Unternehmen verlässt? Dann kannst du gezielt nur die Firmendaten aus den Apps entfernen, ohne die Apps selbst zu löschen und ohne das persönliche Gerät anzutasten.¹ Das ist ein sauberer Schnitt, der beiden Seiten gerecht wird. Der ehemalige Mitarbeiter behält sein Telefon samt allen privaten Inhalten, dein Unternehmen behält seine Daten.
Du kannst beide Ansätze auch kombinieren. Ein firmeneigenes Diensthandy wird vollständig verwaltet, und zusätzlich schützen App-Richtlinien besonders sensible Anwendungen.¹ So entsteht eine gestaffelte Sicherheit, bei der die eine Schicht die andere ergänzt.
Neue Geräte auspacken und loslegen
Der klassische Zeitfresser bei der Einrichtung
Es gibt einen Moment, den jeder kennt, der schon einmal einen neuen Firmen-Laptop einrichten musste: das stundenlange Installieren, Konfigurieren und Einrichten, bevor das Gerät überhaupt einsatzbereit ist. In vielen Betrieben ist das ein fester Zeitfresser der IT, und bei jedem neuen Mitarbeiter fällt er erneut an.
Für Windows-Geräte gibt es dafür Windows Autopilot, eine Technik, die neue Geräte einrichtet und vorkonfiguriert, damit sie ohne großes Zutun einsatzbereit sind.⁴ Das Prinzip: Das Gerät kommt direkt vom Hersteller oder Händler, dein Mitarbeiter packt es aus, verbindet es mit dem WLAN und meldet sich mit seinen Firmenzugangsdaten an. Alles Weitere läuft automatisch.⁴ Einstellungen und Richtlinien werden angewendet, Apps installieren sich, das Gerät meldet sich selbstständig bei der Verwaltung an. Die einzige nötige Interaktion des Mitarbeiters ist, sich mit dem Netzwerk zu verbinden und die eigenen Zugangsdaten einzugeben.⁴
Was Autopilot dir konkret bringt
Für dich bedeutet das dreierlei, und diesmal passt die Aufzählung wirklich. Erstens sparst du Zeit, weil deine IT keine Geräte mehr per Hand aufsetzt. Zweitens brauchst du weniger Infrastruktur, weil das klassische Erstellen und Pflegen von Betriebssystem-Abbildern entfällt.⁴ Und drittens ist der Ablauf für den Mitarbeiter so einfach, dass selbst wenig technikaffine Menschen damit zurechtkommen. Ein neuer Kollege kann an seinem ersten Tag ein Gerät bekommen, das vom Werk direkt zu ihm nach Hause geliefert wurde, und ist nach zwanzig Minuten arbeitsfähig, ohne dass jemand aus der IT vorbeikommen musste.
Autopilot lohnt sich nicht ab dem ersten Gerät, aber sobald du regelmäßig Geräte ausrollst oder mehrere Standorte betreust, wird der Unterschied deutlich. Und das gleiche Prinzip greift am Ende des Gerätelebens: Autopilot hilft auch dabei, Geräte zurückzusetzen und für den nächsten Nutzer vorzubereiten.⁴
Updates und Regeln zentral steuern
Updates automatisch verteilen statt darauf hoffen
Ein Vorteil, der im Alltag oft unterschätzt wird, betrifft die laufende Pflege. Sicherheitslücken entstehen selten durch spektakuläre Angriffe, sondern durch Geräte, auf denen ein Update seit Wochen aussteht. Genau hier nimmt Intune dir Arbeit ab. Über den Dienst legst du fest, welche Einstellungen auf den Geräten gelten und wie und wann Updates eingespielt werden, und diese Vorgaben verteilt Intune automatisch an die gesamte Flotte.¹ Du musst nicht mehr darauf hoffen, dass jeder Mitarbeiter seine Updates selbst anstößt.
Konfigurationsprofile und Compliance-Richtlinien
Das Ganze läuft über zwei Arten von Regeln, die man leicht auseinanderhält. Konfigurationsprofile bestimmen, wie ein Gerät eingerichtet ist, etwa welche WLAN-Zugänge hinterlegt sind oder welche Funktionen erlaubt sind. Compliance-Richtlinien legen dagegen fest, was ein Gerät erfüllen muss, um als sicher zu gelten, zum Beispiel eine aktive Verschlüsselung oder ein aktuelles Betriebssystem.¹ Erfüllt ein Gerät diese Vorgaben nicht, gilt es als nicht konform, und du kannst daran Konsequenzen knüpfen, bis hin zur Sperre des Zugriffs auf Firmendaten. Für dich heißt das: Der Zustand deiner Geräte ist keine Blackbox mehr. Du siehst auf einen Blick, welche Geräte den Regeln entsprechen und welche nicht, und du kannst nachsteuern, bevor aus einer Lücke ein Vorfall wird.
IPEXX Systems richtet deine App-Schutzrichtlinien so ein, dass die Trennung von privat und dienstlich technisch sauber sitzt und im Zweifel auch vor dem Betriebsrat Bestand hat. Sprich uns an, wir betreuen Unternehmen von Wörnitz bis Nürnberg.
Zugriff nur unter deinen Bedingungen
Bedingter Zugriff als Türsteher
Der letzte Baustein, den ich dir ans Herz legen möchte, ist der bedingte Zugriff, im Original Conditional Access. Man kann ihn sich als Türsteher für deine Firmendaten vorstellen, der nicht stur jeden reinlässt oder aussperrt, sondern bei jeder Anfrage kurz prüft, ob die Umstände passen.
Technisch ist das eine Wenn-dann-Logik.⁵ Wenn ein Nutzer auf eine Ressource wie Microsoft 365 zugreifen will, dann muss er bestimmte Bedingungen erfüllen, etwa eine Zwei-Faktor-Anmeldung durchführen.⁵ Der Türsteher berücksichtigt dabei verschiedene Signale: wer sich anmeldet, von welchem Gerät aus, von welchem Ort, über welche App und wie riskant die Situation gerade wirkt.⁵ Aus diesen Signalen entsteht eine Entscheidung. Zugriff gewähren, Zugriff mit Auflagen gewähren oder Zugriff blockieren.⁵
Das Zusammenspiel mit Intune und Zero Trust
Der eigentliche Wert entsteht im Zusammenspiel mit Intune. Intune meldet den Sicherheitszustand eines Geräts an den Identitätsdienst, und der bedingte Zugriff kann verlangen, dass nur Geräte auf Firmendaten zugreifen, die als konform gelten, die also deine Sicherheitsregeln einhalten.⁵ Ein Notebook ohne aktuelle Updates oder ohne Verschlüsselung kommt dann schlicht nicht an die Daten heran, ganz gleich, ob die Zugangsdaten stimmen. Du kannst ebenso festlegen, dass für bestimmte Anwendungen eine App-Schutzrichtlinie greifen muss.⁵ Damit schließt sich der Kreis: Die Regeln, die du in Intune definiert hast, werden am Zugangspunkt tatsächlich erzwungen.
Für dich heißt das, dass Sicherheit nicht mehr davon abhängt, ob ein Gerät zufällig im Firmennetz steht. Entscheidend ist der tatsächliche Zustand des Geräts und des Nutzers, aktuell und bei jeder Anmeldung neu bewertet.⁵ Das ist der Kern dessen, was Fachleute Zero Trust nennen: nichts wird als vertrauenswürdig vorausgesetzt, alles wird geprüft. Ein Hinweis zur Ehrlichkeit gehört dazu: Der bedingte Zugriff setzt eine passende Lizenz voraus, in der Regel Microsoft Entra ID P1, die auch in Microsoft 365 Business Premium enthalten ist.⁵ Welche Lizenz für dein Unternehmen die richtige ist, klärt man am besten im Vorfeld, damit es später keine Überraschungen gibt.
Was das für dein Unternehmen bedeutet
Sicherheit wird zur Technik statt zur Disziplinfrage
Fassen wir zusammen, ohne die einzelnen Funktionen noch einmal durchzugehen. Intune verschiebt die Gerätesicherheit von einer Frage der Disziplin hin zu einer Frage der Technik. Regeln, die früher an der Aufmerksamkeit einzelner Personen hingen, gelten jetzt automatisch. Verlorene Geräte sind kein Datenschutz-Albtraum mehr, sondern ein beherrschbarer Vorgang. Die Grenze zwischen privat und dienstlich wird sauber gezogen. Neue Geräte sind schnell einsatzbereit, und der Zugriff auf deine Daten passiert nur noch unter Bedingungen, die du selbst festgelegt hast.
Wo sich ein erfahrener Partner lohnt
Der Aufwand für all das liegt vor allem in der Einrichtung. Sind die Richtlinien einmal durchdacht aufgesetzt, läuft der Betrieb weitgehend im Hintergrund. Genau in dieser Anfangsphase entscheidet sich aber, ob das System später reibungslos funktioniert oder ob Mitarbeiter frustriert sind, weil Regeln zu streng oder zu locker gesetzt wurden. Das ist Erfahrungssache, und hier lohnt sich ein Partner, der das schon oft gemacht hat.
Wir richten deine Geräteverwaltung so ein, dass sie zu deinem Betrieb passt, und bleiben danach als Ansprechpartner erreichbar, wenn Fragen auftauchen. Melde dich, wenn du deine Geräteflotte auf sichere Beine stellen möchtest.