Microsoft 365 verwalten mit Intune, Entra ID, Autopilot und Defender

Entra ID verwaltet Identitäten und entscheidet über den Zugriff, Intune verwaltet die Geräte, Autopilot richtet neue Geräte ohne Handarbeit ein und Defender schützt sie. Ihre Stärke liegt im Zusammenspiel: Intune meldet, ob ein Gerät konform ist, und eine Conditional-Access-Richtlinie in Entra ID lässt nur konforme Geräte an die Daten. Diese vier solltest Du sicher beherrschen, bei uns ist das Alltag.

01Wie die vier zusammenhängen

Für kleine Firmen bündelt Microsoft 365 Business Premium die nötigen Lizenzen. Darin stecken Entra ID P1 für Conditional Access, Intune und Defender for Business. Defender for Business ist für Firmen bis 300 Benutzer gedacht und baut auf Defender for Endpoint auf.

Microsoft benennt Menüs häufig um. Die Pfade in diesem Artikel stammen aus der englischen Oberfläche und waren im Oktober 2026 aktuell. Findest Du einen Punkt nicht, such ihn in der Doku auf learn.microsoft.com.

02Entra ID: Identitäten und Zugriff

Benutzer und Gruppen

Rechte, Richtlinien und Apps weist Du nie einzelnen Benutzern zu. Du weist sie Gruppen zu. Sicherheitsgruppen pflegst Du von Hand, dynamische Gruppen füllen sich über Regeln selbst, etwa für alle Geräte mit einem bestimmten Merkmal. Dynamische Gruppen brauchen Entra ID P1.

MFA

Jedes Konto braucht einen zweiten Faktor. Für die Admin-Portale verlangt Microsoft ohnehin MFA. Am besten gegen Phishing schützen Passkeys, etwa auf einem FIDO2-Schlüssel. Die Authenticator-App ist ein guter Standard für alle Benutzer, SMS die schwächste Wahl.

Conditional Access

Eine Conditional-Access-Richtlinie verbindet Bedingungen mit einer Entscheidung: Wer greift auf welche App zu, von welchem Gerät und Ort, und was wird dafür verlangt? Typische Anforderungen sind MFA oder ein konformes Gerät. Die einfachen Sicherheitsstandards von Microsoft und eigene Richtlinien schließen sich aus. Wer eigene Richtlinien baut, schaltet die Sicherheitsstandards vorher ab.

Jede neue Richtlinie legst Du zuerst im Modus Report-only an. Sie wird dann bei jeder Anmeldung ausgewertet, blockiert aber nichts. Das Ergebnis steht in den Anmeldeprotokollen im Reiter für Report-only. Erst wenn dort nur erwartete Treffer stehen, schaltest Du sie auf On.

Notfallkonten

Microsoft empfiehlt mindestens zwei Notfallkonten. Das sind reine Cloud-Konten mit der Domäne onmicrosoft.com, ohne Synchronisation aus einem lokalen Active Directory. Sie melden sich mit einem phishingresistenten Verfahren an, empfohlen ist ein FIDO2-Schlüssel. Sie werden aus allen Richtlinien ausgenommen, die Anmeldungen blockieren oder einschränken, am einfachsten über eine eigene Gruppe. Jede Anmeldung mit einem Notfallkonto löst eine Meldung aus, und mindestens alle 90 Tage testest Du, ob sie noch funktionieren.

03Intune: Geräte verwalten

Registrierung

Windows-Geräte, die mit Entra ID verbunden werden, registrieren sich über die automatische Registrierung in Intune. Für Firmengeräte ist das der Normalfall, meist über Autopilot.

Konformitätsrichtlinien

Eine Konformitätsrichtlinie beschreibt, wann ein Gerät als sicher gilt: Mindestversion von Windows, BitLocker, Kennwort, Firewall und ein Risikowert aus Defender. Erfüllt ein Gerät die Regeln nicht, gilt es als nicht konform. Dazu legst Du Aktionen fest, etwa eine E-Mail an den Benutzer und eine Schonfrist.

Wichtig ist eine mandantenweite Einstellung in den „Compliance policy settings“: Mark devices with no compliance policy assigned as. Standard ist „Compliant“. Ein Gerät ganz ohne Richtlinie gilt dann als konform. Wer Conditional Access mit Konformität nutzt, stellt das auf „Not compliant“.

Konfigurationsprofile, Apps und Updates

• Konfigurationsprofile: Einstellungen für die Geräte, am besten über den Settings Catalog, der Einstellungen zum Suchen anbietet.
• Apps: Microsoft 365 Apps, Store-Apps und eigene Programme als Win32-App. Du weist sie als erforderlich oder verfügbar zu.
• Updates: Update-Ringe legen fest, wann Geräte Qualitäts- und Funktionsupdates bekommen. Ein kleiner Testring bekommt sie zuerst.

04Windows Autopilot: neue Geräte ohne Handarbeit

Autopilot erkennt ein Gerät am Hardware-Hash. Ist das Gerät registriert und hat ein Bereitstellungsprofil, richtet es sich beim ersten Start selbst ein. Dazu gehören Anmeldung mit dem Firmenkonto, Verbindung mit Entra ID, Registrierung in Intune, danach Apps und Richtlinien. Die Statusseite der Registrierung (Enrollment Status Page) zeigt dem Benutzer den Fortschritt.

Im Betrieb registrieren Händler oder Hersteller die Geräte. Den Hash selbst auszulesen empfiehlt Microsoft nur für Tests. Für den Testmandanten geht das in einer PowerShell mit Administratorrechten:

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -Online

Der Befehl fragt nach einer Anmeldung mit Intune-Rechten und lädt den Hash direkt hoch. Alternativ speicherst Du ihn mit -OutputFile als CSV und importierst ihn unter Devices > Windows > Enrollment > Windows Autopilot > Devices. Bearbeite die CSV nie mit Excel, sonst wird sie unbrauchbar.

Daneben gibt es Windows Autopilot device preparation. Diese neuere Variante braucht keinen vorab hochgeladenen Hash und setzt Windows 11 und Entra Join voraus.

05Defender for Endpoint: Geräte schützen

1. Verbindung: Im Defender Portal unter System > Settings > Endpoints > General > Advanced features schaltest Du „Intune connection“ ein. In Intune steht danach unter Endpoint security > Defender for Endpoint der Verbindungsstatus „Enabled“.
2. Onboarding: Unter Endpoint security > Endpoint detection and response legst Du eine Richtlinie an. Mit dem Pakettyp „Auto from connector“ holt sie das Onboarding-Paket selbst.
3. Warnungen: Nach 15 bis 30 Minuten erscheinen die Geräte im Defender Portal im Geräteinventar. Dort siehst Du auch die Warnungen und die Vorfälle, zu denen Defender zusammengehörige Warnungen bündelt.
4. Risiko in die Konformität: In der Konformitätsrichtlinie gibt es die Einstellung „Require the device to be at or under the machine risk score“. Microsoft empfiehlt dort „Low“.

06Das Zusammenspiel

Die Kette sieht so aus: Defender bewertet das Risiko eines Geräts. Intune nimmt den Risikowert in die Konformität auf und meldet den Status an Entra ID. Eine Conditional-Access-Richtlinie mit der Anforderung „Require device to be marked as compliant“ lässt nur konforme Geräte an Exchange Online, SharePoint und Teams. Wird ein Gerät auffällig, verliert es den Zugriff, ohne dass jemand eingreift.

07Übung im Testmandanten

1. Besorg Dir einen Testmandanten, zum Beispiel über eine zeitlich begrenzte Testversion von Microsoft 365 Business Premium. Nutze nie einen echten Firmenmandanten.
2. Leg zwei Notfallkonten an, nimm sie in eine Gruppe und teste ihre Anmeldung.
3. Leg eine Testgruppe mit einem Testbenutzer an. Alle folgenden Zuweisungen gehen nur an diese Gruppe.
4. Erstelle eine Windows-VM, lies den Hash aus und registriere sie für Autopilot. Weise ein Bereitstellungsprofil zu und setz die VM zurück.
5. Erstelle eine Konformitätsrichtlinie mit BitLocker und Mindestversion und stell die mandantenweite Einstellung auf „Not compliant“.
6. Verbinde Defender mit Intune und rolle die Onboarding-Richtlinie auf die Testgruppe aus.
7. Erstelle eine Conditional-Access-Richtlinie „Require device to be marked as compliant“ für die Testgruppe, ohne die Notfallkonten, zuerst im Modus Report-only.
8. Prüf die Anmeldeprotokolle, schalte die Richtlinie dann auf On und teste mit einem konformen und einem nicht konformen Gerät.

Geschafft, wenn: Die VM sich nach dem Zurücksetzen ohne Handarbeit einrichtet, im Defender Portal auftaucht, als konform gilt und nur mit diesem Status auf Exchange Online zugreifen kann.

08Typische Fallen

• Selbst ausgesperrt: Eine Richtlinie für alle Benutzer, die ein konformes Gerät verlangt, sperrt auch Dich aus, wenn Dein Admin-Gerät nicht registriert ist. Deshalb immer Notfallkonten ausnehmen und mit Report-only beginnen.
• Richtlinie direkt auf alle: Wer neue Richtlinien gleich auf alle Benutzer oder Geräte legt, testet im Betrieb. Erst eine Testgruppe, dann schrittweise erweitern.
• Konform ohne Richtlinie: Bleibt die Einstellung für Geräte ohne Richtlinie auf „Compliant“, kommt ein Gerät ohne jede Prüfung durch.
• Synchronisationskonto vergessen: Wer Entra Connect nutzt, nimmt die Rolle „Directory Synchronization Accounts“ aus blockierenden Richtlinien aus, sonst bricht die Synchronisation.
• Report-only mit Nachfragen: Richtlinien im Modus Report-only, die ein konformes Gerät prüfen, können auf macOS, iOS und Android nach einem Gerätezertifikat fragen. Schließ diese Plattformen dort aus.

09Häufige Fragen zu Microsoft 365 im Betrieb

Welche Lizenz brauche ich für Conditional Access? Conditional Access braucht Entra ID P1. Das ist zum Beispiel in Microsoft 365 Business Premium enthalten, zusammen mit Intune und Defender for Business.

Was ist der Unterschied zwischen Konformitätsrichtlinie und Konfigurationsprofil? Ein Konfigurationsprofil stellt etwas am Gerät ein. Eine Konformitätsrichtlinie prüft nur, ob das Gerät die Regeln erfüllt, und meldet das Ergebnis an Entra ID.

Warum brauche ich Notfallkonten, wenn ich doch Administrator bin? Weil Dein normales Konto von genau den Richtlinien betroffen ist, die Du gerade änderst. Ein Fehler in Conditional Access oder ein Ausfall Deines zweiten Faktors kann Dich sonst vollständig aussperren.

Muss ich den Hardware-Hash immer selbst auslesen? Nein. Bei neu gekauften Geräten registrieren Händler oder Hersteller die Geräte für Dich. Das Auslesen von Hand ist für Tests und Einzelfälle gedacht.

Wie lange dauert es, bis eine Richtlinie auf einem Gerät ankommt? Das hängt davon ab, wann sich das Gerät bei Intune meldet. Über die Synchronisation im Gerät oder im Admin Center kannst Du das beschleunigen, und bei neuen Geräten geht es meist schneller.

10Weiter im Lernpfad

Zurück zur Übersicht: Lernpfad IT-Infrastruktur. Wie Du Microsoft-Dokumentation und KI-Antworten sinnvoll gegeneinander prüfst, steht in Arbeiten mit KI in der IT. Arbeitsplätze in Microsoft 365 verwalten ist Teil unserer Praktika Fachinformatiker Systemintegration und Fachinformatiker Digitale Vernetzung.

Zuletzt geprüft: Oktober 2026