Einleitung: Microsoft baut Windows Autopilot neu
Windows Autopilot Device Preparation ist Microsofts neuer Ansatz für automatisiertes Deployment in Intune. Der Hersteller baut den klassischen Autopilot-Prozess seit einiger Zeit grundlegend um. Für Sysadmins bedeutet das neue Möglichkeiten, aber auch offene Fragen zur Migration bestehender Profile.
Beim klassischen Autopilot musste ein Gerät vorab registriert und einem Profil zugewiesen werden, bevor es beim Nutzer ankam. Windows Autopilot Device Preparation dreht dieses Prinzip um und verlagert die Zuweisung näher an den ersten Boot-Vorgang. Dadurch wird das Onboarding schlanker, deutlich schneller und weniger fehleranfällig.
Was ist Windows Autopilot Device Preparation? Architektur und Unterschiede
Windows Autopilot Device Preparation basiert technisch auf einer neuen Policy-Struktur direkt im Intune Admin Center. Anders als beim klassischen Autopilot-Profil registrierst du kein Gerät mehr per Hardware-Hash vorab. Stattdessen greift eine Preparation Policy, sobald sich ein Gerät zum ersten Mal mit einem berechtigten Nutzerkonto anmeldet.
Die Architektur setzt auf Microsoft Entra ID als zentrale Identitätsquelle und arbeitet eng mit Enrollment Status Page und App-Zuweisungen zusammen. Dadurch entfällt viel manueller Vorbereitungsaufwand für IT-Teams, die Geräte an Endanwender verschicken. Allerdings unterstützt der neue Modus aktuell nicht alle Szenarien des klassischen Autopilot.
Für welche Szenarien Device Preparation empfohlen wird
Microsoft positioniert Windows Autopilot Device Preparation vor allem für user-driven Deployments mit reinem Microsoft Entra Join. Das trifft besonders auf Unternehmen zu, die Geräte direkt an Mitarbeitende versenden, ohne dass IT-Personal physisch beteiligt ist. Der neue Modus reduziert hier die Fehlerquellen deutlich.
Windows Autopilot Device Preparation user driven vs. Hybrid Join
Für Hybrid Join, also die Kombination aus lokalem Active Directory und Entra ID, ist Windows Autopilot Device Preparation aktuell nicht vorgesehen. Wer weiterhin auf Hybrid Join angewiesen ist, bleibt daher zunächst beim klassischen Autopilot-Profil. Das betrifft insbesondere Umgebungen mit bestehenden GPO-Strukturen oder Domänen-Vertrauensstellungen, die noch nicht vollständig in die Cloud migriert sind.
Koexistenz: Klassisches Autopilot und Device Preparation parallel nutzen
Beide Modelle lassen sich aktuell parallel in derselben Intune-Umgebung betreiben. Du kannst also bestimmte Gerätegruppen weiterhin über klassische Autopilot-Profile ausrollen, während neue user-driven Deployments bereits über Device Preparation laufen. Diese Koexistenz erlaubt einen schrittweisen Umstieg ohne harten Cut-over.
Voraussetzungen und Lizenzierung
Für den produktiven Einsatz benötigst du eine gültige Intune-Lizenz sowie Microsoft Entra ID, mindestens in der P1-Ausprägung für die relevanten Conditional-Access-Szenarien. Zudem muss das Gerät ein unterstütztes Windows-Betriebssystem mitbringen; einen Überblick über aktuelle Editionen findest du im Artikel zu Windows-Versionen im Überblick.
Auf der Berechtigungsseite brauchst du in Intune mindestens die Rolle zur Verwaltung von Enrollment-Profilen. Zusätzlich solltest du in Entra ID die Berechtigung besitzen, Geräte zu registrieren und Gruppen dynamisch zu pflegen. Ohne diese Rollen lässt sich eine Device Preparation Policy nicht sauber zuweisen.
Schritt für Schritt: Device Preparation Policy einrichten und zuweisen
Die Einrichtung von Windows Autopilot Device Preparation läuft im Intune Admin Center über einen eigenen Menüpunkt. Folge dieser Reihenfolge, um Fehler bei der ersten Konfiguration zu vermeiden:
- Im Intune Admin Center unter Geräte den Bereich Enrollment öffnen
- Windows Autopilot Device Preparation auswählen und eine neue Policy erstellen
- Join-Typ Microsoft Entra Join sowie den Deployment-Modus (Standard oder Enhanced) festlegen
- Apps, die während der Vorbereitung installiert werden sollen, hinzufügen
- Zielgruppe (Nutzer- oder Gerätegruppe) für die Zuweisung auswählen
- Enrollment Status Page konfigurieren und Timeout-Werte prüfen
- Policy speichern und mit einem Testgerät verifizieren
Für die Kontrolle per PowerShell kannst du bestehende Autopilot-Objekte parallel abfragen, um Überschneidungen zu vermeiden:
Get-AutopilotProfile | Select-Object DisplayName, Id, CreatedDateTimeAnschließend solltest du die Zuweisung in einer kleinen Pilotgruppe testen, bevor du sie unternehmensweit ausrollst. So lassen sich Probleme bei App-Zuweisungen frühzeitig erkennen.
Migration bestehender Autopilot-Profile
Eine automatische Migration von klassischen Profilen zu Windows Autopilot Device Preparation bietet Microsoft aktuell nicht an. Du legst die neue Policy daher parallel an und wanderst Gerätegruppen schrittweise um. Dokumentiere dabei genau, welche Gruppen bereits umgestellt sind, um Doppelzuweisungen zu vermeiden.
Teste den neuen Modus zunächst mit Geräten, die noch nicht produktiv im Einsatz sind. Prüfe außerdem, ob alle benötigten Apps und Konfigurationsprofile korrekt greifen, etwa über Company Portal, bevor du auf breiter Front umstellst.
Troubleshooting: Typische Fehlerbilder
In der Praxis tauchen bei Windows Autopilot Device Preparation vor allem Probleme bei der Gruppenzuweisung und bei Timeout-Einstellungen auf. Prüfe zuerst, ob das Gerät wirklich der zugewiesenen Entra-Gruppe angehört. Zudem lohnt sich ein Blick in die Ereignisanzeige unter dem Autopilot-Provisioning-Log.
Windows Autopilot Device Preparation Deployments Empty – was tun?
Zeigt die Übersicht der Deployments in Intune keine Einträge an, liegt das meist an einer fehlerhaften oder noch nicht replizierten Zuweisung. Warte einige Minuten, da Zuweisungsänderungen in Intune nicht sofort greifen. Prüfe anschließend, ob die Policy tatsächlich im Status „Zugewiesen“ steht und die passende Zielgruppe korrekt gepflegt ist.
Ausblick: Roadmap und was Admins jetzt vorbereiten sollten
Microsoft treibt die Entwicklung von Windows Autopilot Device Preparation kontinuierlich voran und wird die Funktionsparität zum klassischen Modell schrittweise erweitern. Admins sollten daher jetzt schon Testumgebungen aufbauen, um mit dem neuen Ansatz vertraut zu werden. Details zu Funktionsumfang und Grenzen findest du in der offiziellen Microsoft-Dokumentation.
Wer heute noch auf Hybrid Join angewiesen ist, sollte den Wechsel zu reinem Entra Join langfristig einplanen. Nur so lässt sich das volle Potenzial von Windows Autopilot Device Preparation künftig nutzen.
FAQ
Was ist Windows Autopilot Device Preparation genau?
Es handelt sich um ein neues Deployment-Modell in Intune, das Geräte direkt bei der ersten Anmeldung konfiguriert statt vorab über ein klassisches Profil. Der Fokus liegt auf user-driven Szenarien mit Microsoft Entra Join.
Funktioniert Windows Autopilot Device Preparation mit Hybrid Join?
Nein, aktuell unterstützt der neue Modus ausschließlich reinen Microsoft Entra Join. Für Hybrid-Szenarien bleibt der klassische Autopilot-Prozess weiterhin die richtige Wahl.
Was bedeutet der automatische Modus bei Device Preparation?
Im automatischen Modus läuft die Vorbereitung ohne zusätzliche Nutzerinteraktion während der Enrollment Status Page ab. Das eignet sich vor allem für standardisierte Geräteflotten mit einheitlicher App-Ausstattung.
Wie gehe ich Schritt für Schritt bei der Ersteinrichtung vor?
Du legst im Intune Admin Center eine neue Policy an, wählst den Join-Typ, hinterlegst Apps und weist die Policy einer Gruppe zu. Anschließend testest du den Ablauf mit einem einzelnen Gerät, bevor du breiter ausrollst.