Der Intune Company Portal zeigt bei vielen Anwendern seit Wochen ein Update an – installiert wird trotzdem nichts. Genau dieses Verhalten sorgt bei Admins regelmäßig für Support-Tickets, obwohl die App-Zuweisung in Intune eigentlich korrekt aussieht. Das Problem beim Intune App Update Company Portal liegt selten am Portal selbst, sondern fast immer an der Konfiguration des Bereitstellungstyps und des Assignment-Intents. Dieser Artikel zeigt dir, warum das so ist und wie du automatische Updates zuverlässig einrichtest.
Das Problem: Company Portal zeigt “Update verfügbar”, installiert aber nichts automatisch
Nutzer öffnen den Company Portal, sehen ein Update-Badge bei einer App und klicken es einfach weg. Anschließend bleibt die alte Version installiert, teilweise über Monate. Das ist kein Bug, sondern liegt am Zusammenspiel aus App-Typ und Zuweisungsart. Intune unterscheidet nämlich technisch sehr genau zwischen “anbieten” und “erzwingen”. Wer das nicht berücksichtigt, wundert sich zurecht über veraltete Software im Unternehmen.
Überblick: App-Bereitstellungstypen in Intune und ihr Update-Verhalten
Bevor du Updates automatisierst, solltest du wissen, welchen Bereitstellungstyp deine App überhaupt nutzt. Die vier gängigsten Typen verhalten sich bei Updates unterschiedlich.
Win32-Apps (.intunewin)
Win32-Apps werden über die Intune Management Extension (IME) auf dem Client installiert. Updates funktionieren hier über sogenannte Superseded Apps: Du lädst die neue Version hoch und verknüpfst sie mit der alten Version. Erst dadurch erkennt Intune eine Aktualisierung.
LOB-Apps (Line-of-Business)
Klassische LOB-Apps, meist MSI- oder APPX-Pakete, verhalten sich ähnlich wie Win32-Apps. Allerdings fehlt hier oft die Supersedence-Funktion, weshalb Updates häufig als komplett neue App-Zuweisung ausgerollt werden müssen.
Microsoft Store App (new) / Winget
Dieser Typ basiert auf Winget im Hintergrund und bezieht Apps direkt aus dem Microsoft Store. Updates laufen deshalb losgelöst vom klassischen Intune-Zuweisungsmechanismus – dazu gleich mehr.
MSI-Apps
MSI-Apps werden meist direkt über den Windows Installer verwaltet. Updates erfordern in der Regel eine neue Produktversion mit eigenem Upgrade-Code, sonst erkennt Intune keine Aktualisierung.
Warum “Microsoft Store App (new)” technisch anders funktioniert
Der neue App-Typ “Microsoft Store App (new)” nutzt im Hintergrund die Winget-Infrastruktur. Dadurch verhält er sich eher wie der Microsoft Store selbst als wie eine klassische Win32-Bereitstellung. Updates werden vom Store-Backend bereitgestellt, Intune stößt lediglich die Prüfung an. Deshalb greifen viele klassische Win32-Mechanismen wie Supersedence hier nicht. Zudem hängt das Update-Timing stärker von den Store-eigenen Zyklen ab, was die Steuerung durch den Admin einschränkt. Details dazu findest du in der offiziellen Microsoft-Dokumentation zu Microsoft Store Apps (new).
Assignment-Intent verstehen: “Verfügbar” vs. “Erforderlich”
Der wichtigste Hebel für automatische Updates ist der Assignment-Intent. Bei “Verfügbar” entscheidet ausschließlich der Nutzer, ob und wann er installiert. Bei “Erforderlich” installiert Intune die App automatisch im Hintergrund, unabhängig davon, ob jemand den Company Portal überhaupt öffnet. Genau dieser Unterschied erklärt, warum Updates bei “verfügbaren” Apps oft liegen bleiben: Der Hinweis existiert, aber niemand zwingt die Installation. Für unternehmenskritische Software solltest du daher grundsätzlich “Erforderlich” statt “Verfügbar” nutzen.
Automatische Updates erzwingen: Konfigurationsoptionen und Policies
Damit Updates ohne Nutzerinteraktion laufen, brauchst du eine Kombination aus mehreren Einstellungen:
- Assignment-Intent auf “Erforderlich” setzen, nicht “Verfügbar”
- Bei Win32-Apps: neue Version als Supersedence zur alten Version zuweisen
- Installationsfristen (Deadlines) statt reiner Verfügbarkeit konfigurieren
- Bei Bedarf Neustartverhalten und Wartungsfenster über Update-Ringe abstimmen
Zusätzlich solltest du prüfen, ob Endpoint-Sicherheitsrichtlinien den automatischen Neustart blockieren, da sonst Updates zwar heruntergeladen, aber nicht abgeschlossen werden.
Praxis-Setup: App so konfigurieren, dass Updates ohne Nutzerinteraktion laufen
- Öffne das Microsoft Intune Admin Center und navigiere zu Apps > Windows.
- Lade die neue App-Version hoch und wähle beim Win32-App-Assistenten unter “Supersedence” die vorherige Version aus.
- Wechsle zu “Zuweisungen” und setze die Gruppe auf Intent “Erforderlich”.
- Konfiguriere unter “Verfügbarkeit” eine Installationsfrist, zum Beispiel 3 Tage nach Verfügbarkeit.
- Speichere die Zuweisung und beobachte den Rollout über den Reiter “Geräteinstallationsstatus”.
- Prüfe anschließend auf einem Testgerät die Synchronisierung, entweder über den Company Portal oder direkt über die Einstellungen-App.
Bei sicherheitskritischen Anwendungen lohnt sich zudem ein Blick auf begleitende Richtlinien, etwa wenn du parallel Browser-Erweiterungen über Intune verwaltest, um Angriffsflächen konsistent zu reduzieren.
Intune Update Company Portal App: Warum Nutzer den Hinweis einfach ignorieren
Bei Intent “Verfügbar” liegt die Entscheidung allein beim Nutzer. Viele klicken den Hinweis weg, weil kein Zwang besteht und keine Deadline hinterlegt ist. Selbst wenn eine Deadline existiert, aber der Intent trotzdem auf “Verfügbar” steht, greift keine automatische Installation. Deshalb ist die Kombination aus “Erforderlich” plus Deadline der einzige Weg, um Updates verbindlich durchzusetzen. Zusätzlich solltest du sicherstellen, dass Geräte regelmäßig online sind, da Intune Richtlinien nur bei bestehender Verbindung auswerten kann.
Monitoring: App-Update-Status überwachen
Für die Kontrolle stehen dir mehrere Wege zur Verfügung. Im Admin Center liefert der Bericht “App-Installationsstatus” pro App eine Übersicht über erfolgreiche, fehlgeschlagene und ausstehende Installationen. Auf dem Client selbst helfen die IME-Logs bei der Fehlersuche:
Get-Content "$env:ProgramData\Microsoft\IntuneManagementExtension\Logs\IntuneManagementExtension.log" -Tail 50Diese Logdatei zeigt dir, ob die Win32-App überhaupt zur Installation angestoßen wurde und an welcher Stelle sie fehlschlägt. Wer regelmäßig Reports automatisiert auswerten will, findet in unserem Artikel zu PowerShell-Parametern nützliche Grundlagen für eigene Auswertungsskripte. Weiterführende Details zu Assignment-Intents liefert die Microsoft-Learn-Dokumentation zur App-Bereitstellung.
Best-Practice-Checkliste für den Rollout von Store-Apps über Company Portal
- Kritische Apps immer mit Intent “Erforderlich” plus Deadline ausrollen
- Bei Win32-Apps konsequent Supersedence pflegen, sonst bleiben Altversionen aktiv
- Microsoft Store App (new) nur einsetzen, wenn Winget-Verhalten akzeptabel ist
- Testringe nutzen, bevor du auf die gesamte Organisation ausrollst
- Installationsstatus regelmäßig über Reports kontrollieren, nicht nur bei Störmeldungen
Gerade in Umgebungen mit vielen verwalteten Endgeräten lohnt sich außerdem ein Blick auf angrenzende Themen wie Entra ID Schutzmaßnahmen, da App-Verwaltung und Identitätsschutz in modernen Intune-Umgebungen eng zusammenhängen.
FAQ
Wie aktualisiere ich Apps im Intune Company Portal automatisch?
Setze den Assignment-Intent der App auf “Erforderlich” und hinterlege eine Installationsfrist. Bei Win32-Apps musst du zusätzlich die neue Version über Supersedence mit der alten verknüpfen, sonst erkennt Intune kein Update.
Intune App Company Portal: Warum bleibt die alte Version installiert?
Meist liegt es am Intent “Verfügbar”. Hier entscheidet der Nutzer selbst, ob er installiert. Ohne “Erforderlich” und Deadline bleibt die alte Version so lange aktiv, bis jemand manuell klickt.
Was ist der Unterschied zwischen Win32-App und Microsoft Store App (new) bei Updates?
Win32-Apps benötigen manuelle Supersedence-Konfiguration durch den Admin. Microsoft Store App (new) läuft dagegen über Winget im Hintergrund und bezieht Updates direkt aus dem Store-Backend, wodurch die Steuerungsmöglichkeiten des Admins eingeschränkter sind.
Kann ich Nutzer zwingen, Updates sofort zu installieren?
Ja, über den Intent “Erforderlich” in Kombination mit einer kurzen Installationsfrist. Nach Ablauf der Frist installiert Intune die App automatisch, auch wenn der Nutzer den Company Portal gar nicht öffnet.