Ein neuer Laptop ist in kleinen Betrieben schnell besorgt. Eingerichtet wird er dann oft vom Mitarbeiter selbst, mit einem lokalen Konto oder gleich mit dem privaten Microsoft-Konto. Das funktioniert. Nur weiß danach niemand in der Firma, wie dieses Gerät eingestellt ist: ob Updates laufen, ob die Festplatte verschlüsselt ist, welche Programme installiert sind und wer darauf Administrator ist. Mit jedem weiteren Gerät wird das unübersichtlicher, und irgendwann ist jeder Rechner im Betrieb ein bisschen anders.

Microsoft Intune ist das Werkzeug in Microsoft 365, das diese Fragen für alle Geräte gleichzeitig beantwortet. Meine Haltung dazu ist eindeutig: Intune lohnt sich für KMU ab dem ersten Mitarbeiter, nicht erst ab einer bestimmten Größe. Der wichtigste Grund ist ganz praktisch. Geht ein Laptop verloren, lässt er sich mit Intune über das Internet sperren und löschen. Ohne Intune kann man in so einem Fall nur hoffen, dass nichts passiert.

Intune und Entra ID: wer sich anmeldet und wie das Gerät eingestellt ist

Intune und Entra ID gehen Hand in Hand, deshalb lohnt es sich, die Aufgaben kurz auseinanderzuhalten. Entra ID (früher Azure Active Directory) ist das Verzeichnis der Benutzerkonten in Microsoft 365. Dort ist geregelt, wer sich anmelden darf, mit welchem zweiten Faktor und ob ein Konto gesperrt ist. Intune ist für die Geräte zuständig: welche Einstellungen gelten, welche Programme installiert sind, wie Updates laufen und wie das Gerät geschützt ist.

Zusammen funktioniert das so: Ein Windows-Gerät wird mit dem Firmenkonto in Entra ID verbunden und dabei in Intune aufgenommen. Ab diesem Moment holt es sich regelmäßig seine Einstellungen und meldet zurück, in welchem Zustand es ist. Wer im Betrieb neu anfängt, meldet sich am Laptop mit seinem Firmenkonto an, und das Gerät richtet sich nach den Vorgaben der Firma ein.

Ein Firmenkonto allein reicht aber nicht. Wird ein Laptop zwar mit dem Firmenkonto verbunden, ohne dass die Konfiguration dahinter stimmt, ist der Mitarbeiter am Ende trotzdem Administrator auf seinem Gerät. Warum das schon beim ersten Mitarbeiter ein Thema ist, habe ich im Artikel über lokale Adminrechte im kleinen Betrieb beschrieben. Einen kürzeren Überblick über beide Dienste finden Sie in Microsoft 365 für KMU: Entra ID und Intune im Überblick. Hier geht es um den nächsten Schritt, nämlich das, was die Konfiguration dahinter konkret regelt.

Eine Voraussetzung vorweg: Aufnehmen lässt sich nur ein Gerät mit Windows Pro oder einer höheren Edition. Windows Home, wie es auf vielen Laptops aus dem Elektromarkt vorinstalliert ist, lässt sich nicht mit Entra ID verbinden und nicht in Intune aufnehmen. Solche Geräte müssen auf Pro aktualisiert oder ersetzt werden. Ich empfehle deshalb, Firmengeräte über jemanden zu kaufen, der sie passend vorbereitet.

Was Intune im Betrieb konkret regelt

Bei meinen Kunden decke ich über Intune im Wesentlichen fünf Bereiche ab. Keiner davon ist für sich spektakulär. Der Wert liegt darin, dass alle Geräte gleich behandelt werden, auch das, das nächstes Jahr dazukommt.

Geräte einheitlich absichern

Über die Gerätekonfiguration werden alle Geräte sicherheitstechnisch gehärtet. Härten heißt, dass alles, was nicht gebraucht wird und eine Angriffsfläche bietet, abgedreht wird, und dass die schützenden Einstellungen verbindlich eingeschaltet sind. Dazu gehören zum Beispiel die Verschlüsselung der Festplatte, die Firewall, die Bildschirmsperre, Regeln für Kennwörter und das Verhalten bei Updates.

Der Unterschied zur Einrichtung von Hand ist, dass diese Einstellungen nicht einmal gesetzt und dann vergessen werden. Intune prüft laufend, ob sie noch stimmen, und ein neues Gerät bekommt sie beim ersten Anmelden automatisch. Wie viele Geräte im Betrieb gerade nicht dem Soll entsprechen, sieht man an einer Stelle, statt jeden Rechner einzeln anschauen zu müssen.

Programme automatisch verteilen und aktualisieren

Programme werden über Intune automatisch auf die Geräte ausgerollt und aktualisiert. Ein neuer Mitarbeiter muss sich seine Programme nicht selbst zusammensuchen, und niemand muss mit Adminrechten etwas installieren. Gleichzeitig verschwindet ein Problem, das in kleinen Betrieben häufig übersehen wird: der eine Rechner, auf dem ein Programm seit Monaten nicht mehr aktualisiert wurde, weil sich niemand zuständig gefühlt hat.

Schutz vor Schadsoftware

Der Endpunktschutz, also der Schutz des einzelnen Geräts vor Schadsoftware, ist mit Intune verbunden. In Microsoft 365 Business Premium ist dafür Microsoft Defender for Business enthalten. Intune legt fest, wie Defender auf jedem Gerät eingestellt ist, und die Meldungen landen zentral, statt am einzelnen Bildschirm wo sie weggeklickt werden.

Keine Adminrechte im Alltag

LAPS ist für mich Pflicht. Kein Benutzer sollte mit Administratorrechten seine tägliche Arbeit machen. Der Grund ist einfach: Was ein Benutzer auf seinem Gerät darf, darf auch jede Schadsoftware, die er versehentlich öffnet. Mit normalen Benutzerrechten kann sie deutlich weniger anrichten.

LAPS steht für Local Administrator Password Solution. Damit bekommt das lokale Administratorkonto auf jedem Gerät ein eigenes, zufälliges Passwort, das automatisch wechselt und verschlüsselt in Entra ID gesichert ist. Braucht jemand für eine Installation tatsächlich Adminrechte, holt der IT-Betreuer das Passwort für genau dieses Gerät, und danach kann es automatisch wieder gewechselt werden. Ein Passwort, das auf allen Rechnern gleich ist und seit Jahren auf einem Zettel steht, gibt es damit nicht mehr.

Verlorene Geräte sperren und löschen

Das ist für mich der wichtigste Grund, warum sich Intune ab dem ersten Gerät lohnt. Geht ein Laptop verloren oder wird gestohlen, lässt er sich über Intune aus der Ferne sperren oder auf Werkseinstellungen zurücksetzen. Beim Zurücksetzen werden Benutzerkonten, Daten und Einstellungen entfernt, und die Daten lassen sich danach nicht wiederherstellen.

Ehrlicherweise gehört dazu eine Einschränkung: Der Befehl wird erst ausgeführt, wenn sich das Gerät das nächste Mal mit dem Internet verbindet. Ist es eingeschaltet und online, passiert das in der Regel innerhalb von 15 Minuten. Bis dahin schützt die Verschlüsselung der Festplatte aus der Gerätekonfiguration, denn ohne Anmeldung kommt niemand an die Daten auf dem Gerät.

Und Handys und Macs?

Auch Mobilgeräte und Macs kommen bei mir in Intune. Bei Firmenhandys funktioniert das ähnlich wie bei Laptops. Anders ist es bei privaten Handys, auf denen Mitarbeiter ihre Firmenmails oder Teams verwenden. Dort verwalte ich nicht das ganze Gerät, sondern setze App-Schutzrichtlinien ein. Sie gelten nur für die Firmen-Apps und schützen die Firmendaten darin: Firmendaten lassen sich nicht in private Apps kopieren oder privat abspeichern, für den Zugriff kann eine PIN verlangt werden, und Firmendaten lassen sich aus den Apps löschen, ohne die privaten Daten zu berühren. Das private Foto-Album bleibt privat, und die Firma muss sich nicht um das restliche Handy kümmern.

Was Intune kostet und welche Lizenz Sie brauchen

Intune ist in Microsoft 365 Business Premium enthalten, zusammen mit den erweiterten Funktionen von Entra ID und Microsoft Defender for Business. Alle drei Business-Pläne sind für Betriebe mit bis zu 300 Benutzern gedacht. Die Listenpreise in Österreich, jeweils pro Benutzer und Monat bei jährlicher Abrechnung und zuzüglich Umsatzsteuer, sehen so aus (Microsoft, Stand Oktober 2026):

Plan Preis pro Benutzer und Monat Intune, erweitertes Entra ID, Defender for Business
Microsoft 365 Business Basic € 6,07 nicht enthalten
Microsoft 365 Business Standard € 12,13 nicht enthalten
Microsoft 365 Business Premium € 19,06 enthalten

Gegenüber Business Standard sind das € 6,93 pro Benutzer und Monat mehr. Bei zehn Mitarbeitern liegt der Unterschied also bei rund 70 Euro im Monat. Dafür kommen Geräteverwaltung, Schutz vor Schadsoftware und die erweiterten Anmelderegeln in einem Paket, das aufeinander abgestimmt ist.

Intune lässt sich auch einzeln lizenzieren. Für einen kleinen Betrieb ist Business Premium aber meistens der einfachere und vollständigere Weg, weil die drei Teile genau zusammenspielen. In meiner Betreuung ist Business Premium deshalb inkludiert, wegen der Kombination aus Entra ID, Intune und Defender.

Neben der Lizenz kostet Intune vor allem Arbeit, einmal für die Einrichtung und dann für die laufende Pflege. Richtlinien müssen angepasst werden, wenn neue Programme dazukommen oder Microsoft Funktionen ändert. Und Geräte mit Windows Home brauchen ein Upgrade auf Pro oder müssen ersetzt werden. Beides sollte man einplanen, bevor man anfängt.

So läuft die Einführung ab

Wenn ich Intune bei einem Kunden neu einführe, gehe ich immer in derselben Reihenfolge vor. Das wichtigste Prinzip dabei: nicht alles auf einmal, sondern nach und nach. So fallen Probleme früh auf, solange erst ein oder zwei Geräte betroffen sind.

Erstens, den Tenant vorbereiten. Der Tenant ist die Microsoft-365-Umgebung des Betriebs. Bevor das erste Gerät aufgenommen wird, werden dort die Grundlagen gelegt: Lizenzen zuweisen, festlegen, wer Geräte mit der Firma verbinden darf, LAPS in Entra ID einschalten und die Anmelderegeln setzen.

Zweitens, eine gute Baseline und Richtlinien. Eine Baseline ist ein Grundpaket an Sicherheitseinstellungen, das für alle Geräte gilt. Darauf kommen die Richtlinien für Programme, Updates, Defender und LAPS. Je sauberer dieser Teil ist, desto ruhiger läuft alles Weitere.

Drittens, Benutzer für Benutzer umstellen. Ich stelle jeden Mitarbeiter persönlich um und achte dabei darauf, dass alle Daten erhalten bleiben. Das ist der Teil, den man nicht unterschätzen sollte. Wechselt ein Gerät vom lokalen oder privaten Konto auf das Firmenkonto, entsteht ein neues Benutzerprofil. Dateien, Desktop, Browser-Lesezeichen und Einstellungen müssen deshalb bewusst mitgenommen werden, sonst sitzt der Mitarbeiter am nächsten Morgen vor einem leeren Rechner.

Viertens, der laufende Betrieb. Ab dann wird jedes neue Gerät direkt mit dem Firmenkonto eingerichtet und bekommt automatisch alles, was es braucht. Kommt eine neue Richtlinie dazu, wird sie wieder zuerst an einem Gerät ausprobiert und dann verteilt.

Für Ihren IT-Betreuer: Für die Sicherung der LAPS-Passwörter in der Cloud müssen die Geräte mit Entra ID verbunden sein, und LAPS muss in den Geräteeinstellungen von Entra ID aktiviert werden. Die Benutzer brauchen eine zugewiesene Intune-Lizenz, auch wenn sie über Business Premium kommt. Für neue Geräte lohnt sich Windows Autopilot, das ebenfalls in Business Premium enthalten ist. Damit richtet sich ein Gerät direkt aus der Verpackung mit dem Firmenkonto ein.

Lohnt sich das schon für fünf Leute?

Ja, und zwar ab dem ersten Benutzer. Das Risiko eines verlorenen Laptops oder eines Mitarbeiters mit Adminrechten hängt nicht von der Größe des Betriebs ab. Ein einziges Gerät mit Kundendaten im Zug liegen gelassen reicht. Und je früher die Geräte sauber aufgesetzt sind, desto weniger muss später umgezogen werden, denn jedes weitere Gerät mit lokalem Konto ist ein weiteres Gerät, das irgendwann umgestellt werden muss.

Ebenso ehrlich gehört dazu, was Intune nicht leistet. Es ersetzt kein Backup, denn eine Geräteverwaltung stellt keine gelöschten Dateien wieder her (warum Cloud allein kein Backup ist). Es ersetzt auch keine Schulung, denn wer auf einen Phishing-Link klickt und sein Passwort eingibt, wird von Intune allein nicht aufgehalten. Und das Fernlöschen funktioniert nur, wenn das Gerät noch einmal online geht. Intune ist ein Baustein, ein wichtiger, aber nicht der einzige.

Wovon ich abrate

Zu viel auf einmal umstellen. Alle Geräte am selben Tag mit allen Richtlinien zu versorgen klingt effizient. Geht dabei etwas schief, sind aber auch alle gleichzeitig betroffen, und man weiß nicht, welche Einstellung es war. Besser ist eine gute Baseline und dann Schritt für Schritt.

Ein Firmenkonto ohne Konfiguration dahinter. Ein Gerät, das zwar mit dem Firmenkonto verbunden ist, aber ohne passende Richtlinien läuft, sieht ordentlich aus und ist es nicht. Der Mitarbeiter ist dann meist trotzdem Administrator, und Intune zeigt nur an, dass es das Gerät gibt.

Adminrechte als Dauerlösung. Wenn ein Programm angeblich nur mit Adminrechten läuft, ist die Lösung, das Programm über Intune zu verteilen oder gezielt mit dem LAPS-Passwort zu installieren. Dem Mitarbeiter dauerhaft Adminrechte zu geben, weil es schneller geht, öffnet genau die Tür, die man schließen wollte.

Geräte aus dem Elektromarkt. Laptops mit Windows Home lassen sich nicht aufnehmen. Wer Firmengeräte einzeln im Handel kauft, zahlt das Upgrade und die Zeit fürs Neuaufsetzen meist später doppelt.

Was ich an Ihrer Stelle als Erstes tun würde

  1. Eine Liste aller Firmengeräte machen. Für jedes Gerät drei Dinge notieren: Windows Home oder Pro, mit welchem Konto sich der Mitarbeiter anmeldet (lokal, privat oder Firmenkonto) und ob er auf dem Gerät Administrator ist. Allein diese Liste zeigt meistens, wo es hakt.
  2. Die Lizenz prüfen. Haben Sie schon Business Premium, ist Intune bereits bezahlt und wird vielleicht nur nicht genutzt.
  3. Mit einem Gerät anfangen. Baseline festlegen, ein Gerät umstellen, eine Woche damit arbeiten. Danach wissen Sie, wie sich das im Alltag anfühlt, und der Rest geht deutlich schneller.

Wenn Sie die Umstellung nicht selbst machen wollen oder eine zweite Meinung zu Ihrer bestehenden Konfiguration möchten, schreiben Sie mir. Einen ersten Blick auf Ihre Umgebung bekommen Sie auch über den kostenlosen Microsoft-365-Check.

Quellen

  1. Windows user cannot enroll, Microsoft Learn. Windows Home lässt sich nicht aufnehmen.
  2. Microsoft Intune support for Windows LAPS, Microsoft Learn. Funktionsweise von LAPS.
  3. Remove devices by using wipe, retire, or manually unenrolling the device, Microsoft Learn. Fernlöschung und Zeitpunkt der Ausführung.
  4. App protection policies overview, Microsoft Learn. App-Schutzrichtlinien auf privaten Geräten.
  5. Microsoft 365 Business: Pläne und Preise, Microsoft Österreich, Oktober 2026. Preise und Inhalt der Pläne.
  6. Windows Autopilot licensing requirements, Microsoft Learn. Autopilot in Business Premium.