1. Management-Zusammenfassung

Dieses Dokument beschreibt das vollständige Konzept zur Einführung von Microsoft Intune als zentrales Mobile Device Management (MDM) und Endpoint Security System für das Unternehmen [Kundenname]. Es richtet sich an Entscheider und IT-Verantwortliche gleichermaßen und bildet die Grundlage für die schrittweise Implementierung.

Warum Microsoft Intune?

Die Verwaltung von Unternehmensgeräten und der Schutz von Unternehmensdaten sind in der modernen, mobilen Arbeitswelt essenziell. Ohne eine zentrale Geräteverwaltung entstehen erhebliche Risiken: unkontrollierte Softwareinstallationen, fehlende Verschlüsselung auf Laptops, keine Möglichkeit bei Geräteverlust schnell zu reagieren, und keine Übersicht über den Sicherheitsstatus der IT-Infrastruktur.

Microsoft Intune löst diese Herausforderungen als cloud-native Plattform, die vollständig in Microsoft 365 integriert ist. Die Lösung ist bereits in Microsoft 365 Business Premium enthalten — für die meisten Unternehmen entstehen daher keine zusätzlichen Lizenzkosten.

Die drei wichtigsten Vorteile im Überblick

Was ändert sich für Mitarbeiter?

Für die meisten Mitarbeiter ändert sich im Arbeitsalltag wenig — die Umstellung läuft weitgehend im Hintergrund ab:

• Neue Geräte richten sich nach Anmeldung mit dem Unternehmenskonto automatisch ein. Kein manuelles Installieren von Software.
• Bestehende Geräte werden bei Bedarf neu aufgesetzt oder in-place eingebunden. Arbeitsdaten bleiben erhalten.
• Private Geräte (BYOD) werden nicht vollständig verwaltet — nur die Microsoft-Office-Apps erhalten eine zusätzliche PIN-Sicherung. Private Daten sind für die IT unsichtbar.
• Mitarbeiter erhalten Zugriff auf einen unternehmensinternen App-Store (Company Portal), über den sie zusätzliche Software selbst installieren können — ohne IT-Ticket.

Erwarteter Nutzen und Einsparungen

Zeitlicher Rahmen

Die vollständige Einführung von Microsoft Intune ist in einem Zeitraum von 4 Monaten realisierbar:

• Monat 1: Vorbereitung und Pilotphase (IT-Abteilung)
• Monat 2: Early Adopters (10–20% der Geräte)
• Monat 3: Vollrollout Windows und mobile Geräte
• Monat 4: BYOD-Integration, Abschluss, Betriebsübergabe

2. Zielarchitektur

Die Zielarchitektur definiert, welche Geräte auf welche Weise verwaltet werden, wie Geräte in Azure Active Directory (Entra ID) eingebunden sind, und wie Windows Autopilot für die Zero-Touch-Bereitstellung genutzt wird.

2.1 Gerätetypen und Verwaltungsmodelle

2.2 Entra ID Join-Strategie

Die Entscheidung über die Join-Strategie ist eine der wichtigsten Architekturentscheidungen im Intune-Projekt. Sie bestimmt, wie Geräte mit der Identitätsplattform verbunden werden.

2.3 Windows Autopilot

Windows Autopilot ermöglicht die vollautomatische Einrichtung neuer Windows-Geräte direkt aus der Verpackung. Der Benutzer bekommt das Gerät geliefert, schaltet es ein, meldet sich mit seinem Unternehmenskonto an — und das Gerät konfiguriert sich selbst vollständig.

Autopilot-Modi

Hardware Hash Registrierung

# PowerShell als Administrator auf dem Zielgerät:
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutoPilotInfo -OutputFile C:\autopilot.csv

Dann: Intune Admin Center > Devices > Enrollment > Windows > Autopilot > Devices > Import

Empfohlene Autopilot Deployment Profile Einstellungen

Enrollment Status Page (ESP)

2.4 Gerätegruppen-Architektur

Die Geräteverwaltung basiert auf dynamischen Entra ID-Gruppen. Mitgliedschaft wird automatisch anhand von Geräteattributen bestimmt — keine manuelle Pflege notwendig.

Intune Filter (ergänzend)

• Filter "Windows 11 only": (device.osVersion -startsWith "10.0.22")
• Filter "Corporate Devices": (device.deviceOwnership -eq "Company")

3. Namensschema und Konventionen

Einheitliche Namenskonventionen sind entscheidend für die langfristige Administrierbarkeit einer Intune-Umgebung. Ohne klares Schema wird die Verwaltung bei steigender Anzahl von Policies, Gruppen und Apps schnell unübersichtlich. Dieses Schema orientiert sich an den Best Practices für Microsoft Intune in MSP-Umgebungen.

3.1 Vollständige Namenskonventions-Tabelle

3.2 Scope-Kürzel

4. Übersicht Intune-Richtlinien

Die folgende Tabelle gibt einen vollständigen Überblick aller im Rahmen dieses Konzepts definierten Intune-Richtlinien. Sie dient als Referenz für die Implementierung und als Dokumentationsgrundlage für den laufenden Betrieb.

5. Compliance Policies

Compliance Policies definieren den Mindeststandard, den ein Gerät erfüllen muss, um als "konform" (Compliant) zu gelten. Der Compliance-Status ist die Grundlage für Conditional Access — nur konforme Geräte erhalten vollen Zugriff auf Unternehmensressourcen. Nicht-konforme Geräte werden zunächst benachrichtigt und nach Ablauf der Grace Period gesperrt.

5.1 Windows Compliance Policy

Policy-Name: INTUNE_COMP_WIN_AllDevices_MinSecurity
Zielgruppe: INTUNE_GRP_WIN_AllDevices

Grace Period und Non-Compliance-Aktionen

Grace Period: 24 Stunden — gibt Benutzern und IT Zeit, Compliance-Probleme zu beheben, ohne sofortige Aussperrung.

5.2 iOS/iPadOS Compliance Policy

Policy-Name: INTUNE_COMP_IOS_AllDevices_MinSecurity
Zielgruppe: INTUNE_GRP_IOS_AllDevices

6. Conditional Access Konzept

Conditional Access ist das zentrale Sicherheitstor vor allen Microsoft 365 Ressourcen. Jeder Zugriffsversuch auf Cloud-Apps (Exchange, SharePoint, Teams, Azure-Portal etc.) wird in Echtzeit gegen definierte Bedingungen geprüft. Nur wenn alle Bedingungen erfüllt sind, wird der Zugriff gewährt.

6.1 Implementierungsreihenfolge

6.2 CA Policy 1: MFA für alle Benutzer

6.3 CA Policy 2: Block Non-Compliant Devices

Hinweis: Die Compliance-Policy-Grace-Period (24h) gilt vor der CA-Blockierung. Ein frisch enrolled Gerät hat 24 Stunden Zeit, compliant zu werden.

6.4 CA Policy 3: Block Legacy Authentication

6.5 CA Policy 4: SharePoint und OneDrive nur von verwalteten Geräten

BYOD-Hinweis: Für BYOD-Geräte greift die App Protection Policy (MAM). Benutzer können Dateien über die OneDrive-App zugreifen, aber Copy/Paste zu privaten Apps ist blockiert.

6.6 CA Policy 5: Verschärfte Sicherheit für Administratoren

6.7 Break-Glass-Konten

Break-Glass-Konten sind Notfallkonten, die bei MFA-Ausfall, CA-Fehlkonfiguration oder Authenticator-Problemen den Zugang zum Tenant sicherstellen. Ohne korrekt eingerichtete Break-Glass-Konten besteht das Risiko einer vollständigen Tenant-Sperrung.

6.8 BYOD-Strategie — CA-Integration

Private Geräte werden nicht vollständig in MDM enrolled. Über App Protection Policies (MAM) werden nur die Office-Apps verwaltet. CA-Policies ermöglichen Zugriff auf Office-Apps, wenn die App Protection Policy aktiv ist.

7. App-Deployment-Konzept

Das App-Deployment-Konzept definiert, welche Anwendungen auf welchen Geräten installiert werden, ob automatisch (Required) oder per Selbstservice (Available), und wie App-Updates gesteuert werden. Die Grundlage bilden Entra ID-Gruppen für automatische Zuweisung.

7.1 Pflicht-Apps Windows (Required — Automatische Installation)

Alle Pflicht-Apps werden automatisch und ohne Benutzerinteraktion auf allen Zielgeräten installiert — auch wenn der Benutzer gerade arbeitet.

Microsoft 365 Apps Deployment-Kanal

OneDrive Known Folder Move (KFM)

KFM leitet Desktop, Dokumente und Bilder des Benutzers automatisch und lautlos nach OneDrive um. Kein Datenverlust mehr bei Gerätewechsel oder -ausfall.

7.2 Optionale Apps Windows (Available — Selbstinstallation im Company Portal)

7.3 Pflicht-Apps iOS/iPadOS (VPP/ABM — Automatische Zuweisung)

7.4 Win32-App-Deployment (.intunewin)

Klassische Windows-Installer (.exe/.msi) werden über das .intunewin-Format verteilt. Voraussetzung ist die Intune Management Extension (IME), die automatisch bei der ersten Win32-App-Zuweisung installiert wird.

# Schritt 1: .intunewin erstellen
IntuneWinAppUtil.exe -c C:\AppPackages\AdobeReader -s AcroRdrDC_installer.exe -o C:\Output

# Schritt 2: Install-Befehl (Adobe Reader Beispiel)
AcroRdrDC2300620360_de_DE.exe /sAll /rs /rps /msi /norestart /quiet

# Schritt 3: Uninstall-Befehl
MsiExec.exe /X{AC76BA86-7AD7-1031-7B44-AC0F074E4100} /quiet /norestart

7.5 App Protection Policies (MAM/BYOD)

Policy-Name: APP_IOS_BYOD_M365Apps
Zielgruppe: Alle Benutzer (greift auf nicht-enrolled Geräten)
Geschützte Apps: Outlook, Teams, OneDrive, Edge, Word, Excel, PowerPoint, OneNote

7.6 Windows Update Rings

Patch Tuesday Zeitplan (Production Ring):

8. Enrollment-Prozesse

Dieses Kapitel beschreibt die vier Enrollment-Szenarien mit allen Schritten, Voraussetzungen und typischen Fehlerquellen. Jedes Szenario hat einen anderen Ablauf — die richtige Wahl hängt von Gerättyp, Alter und Nutzungsmodell ab.

8.1 Szenario A: Neue Windows-Geräte per Windows Autopilot

Autopilot ist die Standardmethode für neue Firmengeräte. Zero-Touch: Benutzer packt Gerät aus, meldet sich an — fertig.

Voraussetzungen

• Hardware Hash des Geräts in Autopilot-Datenbank registriert
• Autopilot Deployment Profile erstellt und Gerätegruppe zugewiesen
• Enrollment Status Page konfiguriert
• Benutzer lizenziert (Intune-Lizenz aus M365 Business Premium)
• MFA für Benutzer konfiguriert (Microsoft Authenticator vorab auf Mobilgerät einrichten!)
• Netzwerkverbindung am Aufstellungsort verfügbar

Schritt-für-Schritt Enrollment (Benutzerperspektive)

8.2 Szenario B: Bestehende Windows-Geräte

Option B1: Wipe & Reload (Empfehlung für Geräte über 2 Jahre)

1. Benutzerdaten sichern: OneDrive KFM vorab aktivieren, prüfen ob alle Daten in OneDrive/SharePoint
2. Windows Reset: Einstellungen > System > Wiederherstellung > Diesen PC zurücksetzen > "Alles entfernen"
3. Falls Hardware Hash bereits in Autopilot: Autopilot-Flow startet automatisch nach Reset

Option B2: In-Place Enrollment (ohne Reset — für Pilotphase)

1. Sicherstellen: kein vorhandenes MDM-Enrollment (Einstellungen > Konten > Auf Geschäftskonto zugreifen)
2. "Verbinden" → UPN eingeben → Anmelden mit Entra ID + MFA
3. Windows fragt: "Gerät bei Microsoft Intune registrieren?" → Ja
4. Enrollment beginnt, Policies synchronisieren (bis 30 Minuten)
5. Gerät-Neustart empfohlen für vollständige Policy-Anwendung

Option B3: Bulk Enrollment (Shared Devices)

Für viele Geräte gleichzeitig ohne dedizierten Benutzer: Windows Configuration Designer (Microsoft Store) → Provisionierungspaket (.ppkg) → per USB auf Gerät anwenden. Geeignet für Schulungsräume, Empfangs-PCs, Lagerterminals.

8.3 Szenario C: iPhones und iPads (Apple Business Manager)

Apple Business Manager (ABM) + Intune ermöglicht vollautomatisches Enrollment ohne Benutzerinteraktion bei der Einrichtung.

Voraussetzungen ABM

1. business.apple.com → "Erste Schritte" → Organisation registrieren (D-U-N-S Nummer erforderlich, 1–3 Werktage)
2. ABM mit Intune verbinden: Intune Admin Center > iOS/iPadOS > Enrollment > Enrollment program tokens
3. APNs-Zertifikat einrichten: Intune Admin Center > iOS enrollment > Apple MDM Push Certificate

Enrollment Profile iOS

8.4 Szenario D: Private Mobile Geräte (BYOD)

Private Geräte werden NICHT vollständig enrolled. Nur die Office-Apps werden über App Protection Policies verwaltet.

Ablauf für Mitarbeiter

1. Company Portal aus App Store/Google Play installieren (aber NICHT enrollen)
2. Outlook / Teams / OneDrive aus App Store installieren
3. App mit Unternehmenskonto (UPN) öffnen und anmelden
4. App Protection Policy greift automatisch — App fordert PIN-Einrichtung
5. Biometrie als Alternative zur PIN möglich
6. Fertig — Zugriff auf Unternehmens-E-Mails und -Dateien möglich

8.5 Fehlerquellen und Lösungen

9. Rollout-Plan

Der Rollout erfolgt in sechs Phasen über einen Zeitraum von vier Monaten. Jede Phase baut auf der vorherigen auf. Ein Übergang in die nächste Phase erfolgt nur, wenn die definierten Erfolgskriterien der aktuellen Phase erfüllt sind.

9.1 Rollback-Strategie

Falls kritische Probleme in der Pilotphase auftreten:

• Pilotgeräte aus dynamischen Gruppen entfernen → Policies greifen nicht mehr
• Geräte unenrollen: Intune Admin Center > Devices > [Gerät] > Delete/Wipe
• Ursache analysieren, Policy anpassen, erneut testen
• CA-Policies auf Report-only zurücksetzen bei Problemen

9.2 Benutzerkommunikation

Mitarbeiter müssen rechtzeitig über die Umstellung informiert werden. Empfohlene Ankündigung 2 Wochen vor Rollout der jeweiligen Abteilung:

• Ankündigungs-E-Mail mit konkretem Datum und Ablauf
• FAQ-Dokument: Was ändert sich? Was muss ich tun? Wer hilft mir?
• Hinweis auf BYOD: Datenschutzgarantie kommunizieren (IT sieht keine privaten Daten)
• Kontaktinformation IT-Support für Rückfragen

10. Risiko- und Aufwandseinschätzung

Die folgende Tabelle listet die relevanten Risiken des Intune-Einführungsprojekts mit Kritikalität, Eintrittswahrscheinlichkeit und Gegenmaßnahmen. Die frühzeitige Adressierung dieser Risiken ist entscheidend für einen reibungslosen Rollout.

11. Handlungsempfehlungen

Die folgenden Empfehlungen sind nach Priorität und Zeitraum geordnet. Die Reihenfolge ist bewusst gewählt: Sicherheitskritische Maßnahmen zuerst, dann Infrastrukturaufbau, dann Rollout.

Sofort — Woche 1–2 (Sicherheitsfundament)

1. MFA für alle Benutzer aktivieren

Multi-Faktor-Authentifizierung ist die wirkungsvollste Einzelmaßnahme gegen Account-Kompromittierung. Microsoft-Daten zeigen, dass 99,9% der kompromittierten Accounts kein MFA hatten. Alle Benutzer müssen Microsoft Authenticator einrichten, bevor CA-Policies aktiviert werden.

• Entra ID > Users > Per-user MFA: Status aller Benutzer prüfen
• Authenticator-Rollout koordinieren (ggf. individuelle Hilfestellung für technisch weniger versierte Mitarbeiter)
• Fallback-Methode konfigurieren (SMS als Backup)

2. Break-Glass-Konten anlegen und testen

Zwei Notfallkonten anlegen: breakglass1@[tenant].onmicrosoft.com und breakglass2@[tenant].onmicrosoft.com. Aus allen CA-Policies ausschließen. 64-Zeichen-Passwort offline sichern. Zugang vierteljährlich testen.

3. Entra ID Gruppen erstellen

Alle erforderlichen Geräte- und Benutzergruppen anlegen, bevor Policies erstellt werden. Reihenfolge: Gruppen → Policies → Assignments.

• INTUNE_GRP_WIN_AllDevices (dynamisch)
• INTUNE_GRP_IOS_AllDevices (dynamisch)
• INTUNE_GRP_ALL_AllUsers (dynamisch)
• INTUNE_GRP_WIN_Pilot (statisch)
• INTUNE_GRP_WIN_EarlyAdopter (statisch)

4. APNs-Zertifikat einrichten

Ohne APNs-Zertifikat ist kein iOS-Enrollment möglich. Einrichtung: Intune Admin Center > iOS/iPadOS > iOS enrollment > Apple MDM Push Certificate. Apple ID dokumentieren. Ablaufdatum im Kalender eintragen.

5. CA: Block Legacy Authentication sofort aktivieren

Diese Policy kann sofort auf "Block" gestellt werden — sie blockiert nur veraltete Protokolle, die kein MFA unterstützen. Vorher prüfen, ob noch Legacy-Auth-Abhängigkeiten vorhanden sind.

Kurzfristig — Monat 1 (Infrastruktur aufbauen)

6. Autopilot konfigurieren

Deployment Profile erstellen (AP_WIN_Corporate_Standard), Enrollment Status Page einrichten, Hardware-Hashes für erste Testgeräte importieren. Ersten Autopilot-Test mit Dummy-Gerät durchführen.

7. Alle Sicherheitspolicies erstellen und der Pilotgruppe zuweisen

BitLocker, Defender AV, Firewall, ASR (Audit-Modus), ScreenLock, HelloForBusiness, LAPS, USBBlock, EdgeSecurity, Security Baseline. Alle policies zunächst nur der Pilotgruppe INTUNE_GRP_WIN_Pilot zuweisen.

8. Compliance Policies erstellen

Windows und iOS Compliance Policies erstellen. Grace Period auf 24 Stunden setzen. Non-Compliance-Aktionen konfigurieren (E-Mail nach Benachrichtigung).

9. CA: Block Non-Compliant auf Report-only starten

Noch nicht auf Block — nur Report-only. Logs beobachten: Welche Geräte wären betroffen? Daraus Maßnahmen ableiten.

10. Pilotgeräte enrollen und validieren

5–10 IT-Geräte enrollen. Alle Policies validieren. Apps prüfen. BitLocker-Status, Compliance-Status, CA-Log überprüfen. Fehler dokumentieren und beheben.

Mittelfristig — Monat 2–3 (Rollout)

11. Vollrollout Windows starten

Benutzerkommunikation versenden. Abteilungsweise in Wellen ausrollen. Support bereitstellen. Update Rings in Produktion aktiv setzen.

12. CA: Block Non-Compliant auf Block setzen

Erst aktivieren, wenn 95% der Windows-Geräte enrolled und compliant sind. Kommunikation an Benutzer: Was passiert, wenn ihr Gerät nicht compliant ist?

13. Mobile Rollout und BYOD

iOS-Firmengeräte über ABM enrollen. BYOD-Mitarbeiter informieren und App Protection Policies aktivieren. VPP-Apps zuweisen.

14. ASR von Audit auf Block

Nach 2–4 Wochen Audit-Modus: ASR-Regeln auswerten. Regeln ohne false positives auf Block setzen. Verbleibende Regeln im Audit-Modus lassen oder ausschließen.

12. Administrator-Checkliste

Diese Checkliste dient als Arbeitswerkzeug für IT-Administratoren während der Implementierung. Sie kann ausgedruckt und als physische Checkliste verwendet werden. Jeder Punkt sollte erst abgehakt werden, wenn er vollständig abgeschlossen und getestet wurde.

• Entra ID Gruppe INTUNE_GRP_WIN_AllDevices angelegt (dynamisch, OS = Windows)
• Entra ID Gruppe INTUNE_GRP_IOS_AllDevices angelegt (dynamisch, OS = iOS)
• Entra ID Gruppe INTUNE_GRP_ALL_AllUsers angelegt (dynamisch, alle aktiven Benutzer)
• Entra ID Gruppe INTUNE_GRP_WIN_Pilot angelegt (statisch, IT-Team)
• Entra ID Gruppe INTUNE_GRP_WIN_EarlyAdopter angelegt (statisch)
• Autopilot Deployment Profile AP_WIN_Corporate_Standard erstellt
• Enrollment Status Page konfiguriert (60 Min. Timeout, Logs erlaubt)
• APNs-Zertifikat eingerichtet und Ablaufdatum im Kalender eingetragen
• Apple Business Manager mit Intune verbunden (Enrollment Program Token)
• VPP-Token in Intune hinterlegt
• Break-Glass-Konto 1 (breakglass1@...) angelegt, Passwort offline gesichert
• Break-Glass-Konto 2 (breakglass2@...) angelegt, Passwort offline gesichert
• Break-Glass-Konten aus allen CA-Policies ausgeschlossen
• MFA für alle Benutzer aktiviert (Microsoft Authenticator)
• CA_AllUsers_AllApps_RequireMFA erstellt (Report-only)
• CA_AllUsers_LegacyAuth_Block erstellt und aktiviert (Block)
• CA_AdminRoles_AllApps_StrongMFA erstellt und aktiviert (Block)

• INTUNE_CONF_WIN_AllDevices_BitLocker erstellt und Pilotgruppe zugewiesen
• INTUNE_CONF_WIN_AllDevices_DefenderAV erstellt und Pilotgruppe zugewiesen
• INTUNE_CONF_WIN_AllDevices_Firewall erstellt und Pilotgruppe zugewiesen
• INTUNE_CONF_WIN_AllDevices_ASR erstellt (Audit-Modus) und Pilotgruppe zugewiesen
• INTUNE_CONF_WIN_AllDevices_ScreenLock erstellt und Pilotgruppe zugewiesen
• INTUNE_CONF_WIN_AllDevices_HelloForBusiness erstellt und Pilotgruppe zugewiesen
• INTUNE_CONF_WIN_AllDevices_PasswordPolicy erstellt und Pilotgruppe zugewiesen
• INTUNE_CONF_WIN_AllDevices_LAPS erstellt und Pilotgruppe zugewiesen
• INTUNE_CONF_WIN_AllDevices_USBBlock erstellt und Pilotgruppe zugewiesen
• INTUNE_CONF_WIN_AllDevices_EdgeSecurity erstellt und Pilotgruppe zugewiesen
• INTUNE_CONF_WIN_AllDevices_EdgeConfig erstellt und Pilotgruppe zugewiesen
• INTUNE_CONF_WIN_AllDevices_SecurityBaseline (Windows 11 Security Baseline) zugewiesen
• INTUNE_CONF_IOS_AllDevices_Passcode erstellt und iOS-Gruppe zugewiesen
• INTUNE_CONF_IOS_AllDevices_ScreenLock erstellt und iOS-Gruppe zugewiesen
• INTUNE_COMP_WIN_AllDevices_MinSecurity (Compliance Policy Windows) erstellt
• INTUNE_COMP_IOS_AllDevices_MinSecurity (Compliance Policy iOS) erstellt
• CA_AllDevices_NonCompliant_Block erstellt (Report-only)
• CA_AllUsers_SharePointOneDrive_ManagedOnly erstellt (Report-only)

• Microsoft 365 Apps Suite konfiguriert (Monthly Enterprise Channel, ohne Publisher/Access/InfoPath)
• INTUNE_CONF_WIN_AllDevices_OneDriveKFM (Known Folder Move) Policy erstellt
• Edge als Standard-Browser über Policy konfiguriert
• Company Portal (Windows Store) als Required zugewiesen
• Adobe Acrobat Reader als Win32-App (.intunewin) paketiert und zugewiesen
• Optionale Apps im Company Portal bereitgestellt (7-Zip, VLC, etc.)
• Microsoft Authenticator für alle Benutzer zugewiesen
• iOS Pflicht-Apps über VPP zugewiesen (Outlook, Teams, Authenticator, OneDrive, Edge, Company Portal)
• APP_IOS_BYOD_M365Apps (App Protection Policy iOS) erstellt und zugewiesen
• APP_AND_BYOD_M365Apps (App Protection Policy Android) erstellt und zugewiesen
• UR_WIN_Pilot (Update Ring Pilot, 0 Tage Delay) erstellt
• UR_WIN_EarlyAdopter (Update Ring EA, 7/30 Tage) erstellt
• UR_WIN_Production (Update Ring Production, 14/60 Tage) erstellt

• 5–10 IT-Geräte erfolgreich enrolled (Autopilot und/oder In-Place)
• Alle Sicherheitspolicies greifen korrekt (Compliance-Status: Compliant)
• BitLocker aktiv auf allen Pilotgeräten (Recovery Key in Entra ID gesichert)
• Pflicht-Apps vollständig installiert
• LAPS-Passwort abrufbar im Intune Admin Center
• CA-Policies im Report-only validiert (keine unerwarteten Blockierungen)
• iOS-Pilotgerät enrolled und Policies greifen
• Fehler dokumentiert und behoben
• Pilot-Freigabe für Early-Adopter-Phase erteilt

• Benutzerkommunikation (Ankündigungs-E-Mail) versendet
• Support-FAQ veröffentlicht
• Rollout-Wellen pro Abteilung geplant und kommuniziert
• CA_AllUsers_AllApps_RequireMFA von Report-only auf Block gesetzt
• Alle Windows-Geräte enrolled (95%+ Enrollment-Rate)
• CA_AllDevices_NonCompliant_Block auf Block gesetzt (nach Erreichen 95% Compliance)
• Alle iOS/iPadOS-Firmengeräte über ABM enrolled
• CA_AllUsers_SharePointOneDrive_ManagedOnly auf Block gesetzt
• BYOD-Mitarbeiter informiert und App Protection Policies aktiv
• ASR-Regeln ausgewertet (Audit-Modus → Block für validierte Regeln)
• Monitoring und Alerting konfiguriert (Break-Glass-Konto-Alerts)
• APNs-Zertifikat-Ablauf dokumentiert und Kalenderreminder gesetzt
• Betriebsdokumentation finalisiert und übergeben