Kurz gesagt: Die wichtigsten Intune Best Practices für eine vernachlässigte Entra-ID-only-Umgebung sind: zuerst Compliance-Status und Security Baselines prüfen, dann Defender, BitLocker und LAPS verpflichtend machen, Update Ringe sauber konfigurieren, Conditional Access mit Compliance-Pflicht erzwingen und abschließend Reporting sowie Audit Log aktivieren – das schafft in rund acht Stunden eine solide Sicherheitsbasis.
Intune Best Practices sind in der Theorie klar formuliert, scheitern im Alltag aber oft an Zeitmangel: Ein Rollout läuft sauber an, danach bleibt die Umgebung über Monate unangetastet liegen. Genau das ist der Moment, ab dem Richtlinien veralten, Compliance-Werte kippen und niemand mehr merkt, wann ein Gerät zuletzt synchronisiert hat.
Wer eine Entra-ID-only-Umgebung unter Windows übernimmt oder nach längerer Pause wieder reinschaut, braucht keinen Monatsplan, sondern einen scharf priorisierten Sofortmaßnahmen-Katalog. Dieser Guide zeigt, mit welchen Schritten du in rund acht Stunden die größten Lücken schließt – und wie du anschließend dafür sorgst, dass die Umgebung nicht erneut einschläft.
Warum Intune-Umgebungen nach dem Rollout “einschlafen”
Nach dem Autopilot-Rollout verschwindet Intune oft aus dem Tagesgeschäft, weil andere Projekte Vorrang bekommen. Richtlinien, die beim Start aktuell waren, bleiben unverändert, während sich Bedrohungslage und Microsoft-Empfehlungen weiterentwickeln. Besonders bei Autopilot-Device-Preparation-Umgebungen fällt das erst auf, wenn ein Audit oder ein Sicherheitsvorfall den Ist-Zustand offenlegt.
Das Risiko: nicht gepatchte Clients, fehlende BitLocker-Pflicht, veraltete Baselines und Conditional-Access-Regeln, die längst nicht mehr zur aktuellen Geräteflotte passen. Je länger die Lücke besteht, desto teurer wird die Nachbesserung.
Schnell-Diagnose: Ist-Zustand in unter einer Stunde prüfen
Bevor du irgendetwas änderst, brauchst du Zahlen. Diese Diagnose gehört zu den grundlegenden Intune Best Practices, bevor du überhaupt an Richtlinien schraubst. Die folgenden Abfragen über das Microsoft Graph PowerShell SDK liefern in wenigen Minuten einen Überblick über Compliance, Baselines und Update-Status.
Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"
Get-MgDeviceManagementManagedDevice -Filter "complianceState eq 'noncompliant'" |
Select-Object DeviceName, UserPrincipalName, LastSyncDateTimeDer Befehl zeigt alle nicht-konformen Geräte samt letztem Sync-Zeitpunkt. Geräte, die seit Wochen nicht mehr gemeldet haben, sind der erste Kandidat für eine genauere Prüfung.
Get-MgDeviceManagementDeviceCompliancePolicy |
Select-Object DisplayName, Id, CreatedDateTimeDamit siehst du, welche Compliance-Richtlinien existieren und wie alt sie sind. Fehlt eine Richtlinie für BitLocker oder Defender komplett, ist das eine der ersten Lücken, die du schließen solltest.
Priorität 1: Sicherheitsbasis mit Intune Best Practices herstellen
Die Security Baselines sind der schnellste Hebel, um viele Einzeleinstellungen auf einen aktuellen, von Microsoft empfohlenen Stand zu bringen. Prüfe zuerst, welche Baseline-Version zugewiesen ist, und aktualisiere sie, falls sie mehr als ein bis zwei Versionen hinterherhinkt. Details dazu liefert die offizielle Dokumentation zu Security Baselines.
Zur Sicherheitsbasis gehören außerdem drei Pflichtpunkte, die sich mit überschaubarem Aufwand umsetzen lassen:
- Defender for Endpoint vollständig an Intune angebunden, inklusive aktivierter Echtzeit-Schutzrichtlinien
- BitLocker-Verschlüsselung als verpflichtende Compliance-Regel, nicht nur als Empfehlung
- Windows LAPS für lokale Admin-Konten aktiviert, mit automatischer Rotation statt statischer Passwörter
Diese drei Punkte schließen die Lücken, die bei vernachlässigten Umgebungen am häufigsten ausgenutzt werden.
Priorität 2: Patch- und Update-Hygiene sauber aufsetzen
Veraltete Update Ringe sind ein klassisches Symptom einer eingeschlafenen Umgebung. Prüfe zunächst, mit welcher Verzögerung Quality- und Feature-Updates ausgerollt werden:
Get-MgDeviceManagementWindowsUpdateForBusinessConfiguration |
Select-Object DisplayName, QualityUpdatesDeferralPeriodInDays, FeatureUpdatesDeferralPeriodInDaysStehen hier Werte von 30 Tagen oder mehr, solltest du für kritische Sicherheitsupdates einen zweiten, schnelleren Ring mit Expedited Updates einrichten. Wie du Patchdays ohne Chaos planst, inklusive Rollback-Strategie, beschreibt der Artikel Patchday ohne Chaos. Vergiss dabei nicht die Treiber-Updates: Ohne eigene Driver-Update-Richtlinie bleiben Firmware-Lücken oft monatelang offen.
Auch App-Updates gehören zur Patch-Hygiene. Aktualisiert sich das Company Portal nicht automatisch, erklärt der Beitrag Intune Company Portal richtig konfigurieren, woran das liegt.
Priorität 3: Zugriffskontrolle für Entra-ID-only-Geräte schärfen
In reinen Entra-ID-Umgebungen ist Conditional Access der zentrale Schutzmechanismus, weil es kein klassisches AD-Gruppenrichtlinien-Netz gibt. Liste zunächst alle vorhandenen Richtlinien und ihren Status:
Get-MgIdentityConditionalAccessPolicy |
Where-Object { $_.State -ne "enabled\