Windows Autopilot und Intune – neue Laptops ohne Handarbeit

Wie Autopilot und Intune zusammenspielen

Ohne Automatisierung bedeutet ein neuer Laptop Handarbeit: Windows einrichten, Programme installieren, Einstellungen setzen. Das kostet Zeit, und am Ende ist jedes Gerät ein wenig anders konfiguriert.

Microsoft Intune ist ein Cloud-Dienst zur Geräteverwaltung (Mobile Device Management, kurz MDM). Darin legen Sie fest, wie Ihre Geräte eingerichtet sein müssen. Windows Autopilot sorgt dafür, dass ein neues Gerät diese Vorgaben beim ersten Start abholt. Das vom Hersteller vorinstallierte Windows wird dabei nicht neu aufgesetzt, sondern in einen betriebsbereiten Zustand gebracht.

Für Mitarbeitende sieht das so aus: Gerät einschalten, mit dem Netzwerk verbinden, mit dem Microsoft-365-Konto anmelden. Das Gerät tritt Microsoft Entra ID bei (Entra Join), meldet sich bei Intune an und erhält Richtlinien und Anwendungen. Im besten Fall hatte Ihre IT das Gerät dafür nie in der Hand.

Zwei Wege: klassisches Autopilot und Gerätevorbereitung

Microsoft bietet zwei Varianten an, die sich im selben Unternehmen parallel nutzen lassen. Ein einzelnes Gerät durchläuft aber immer nur eine davon.

Beim klassischen Windows Autopilot wird jedes Gerät vorab registriert. Grundlage ist der Hardware-Hash, eine eindeutige Kennung des Geräts. Idealerweise erledigt das der Hersteller oder Ihr Händler beim Kauf. Händler müssen dafür am CSP-Programm von Microsoft teilnehmen, und eine Person mit der Rolle Globaler Administrator bestätigt bei Ihnen die Partnerbeziehung; delegierte Administratorrechte sind dafür nicht nötig. Alternativ laden Sie die Kennungen selbst als CSV-Datei hoch.

Die neuere Windows Autopilot-Gerätevorbereitung (Device Preparation) kommt ohne Vorregistrierung aus. Das Gerät wird bei der Anmeldung einer festgelegten Gerätegruppe zugeordnet und erhält sofort die dafür ausgewählten Apps und Skripts. Sie setzt Windows 11 voraus.

Microsoft beschreibt die Gerätevorbereitung als einfacher in Konfiguration und Ablauf. Das klassische Autopilot bietet dafür mehr Funktionen und Anpassungen. Welcher Weg passt, hängt davon ab, wie Sie Geräte beschaffen und welche Funktionen Sie brauchen. Den vollständigen Vergleich der beiden Varianten pflegt Microsoft auf Microsoft Learn.

Voraussetzungen

• Lizenzen: Microsoft 365 Business Premium, E3 und E5 enthalten Intune (Plan 1) und Microsoft Entra ID P1, das für die automatische Anmeldung bei Intune nötig ist. Die Lizenzen müssen den Benutzerinnen und Benutzern zugewiesen sein.
• Windows-Edition: Windows 11 Pro, Pro Education, Pro for Workstations, Enterprise oder Education. Home-Editionen gehören nicht zu den unterstützten Editionen.
• Entra Join: Microsoft empfiehlt, neue Geräte direkt in Microsoft Entra ID aufzunehmen statt sie per Hybrid Join an ein lokales Active Directory zu binden.
• Grundeinstellungen: Die automatische Anmeldung bei Intune ist aktiviert, und es ist festgelegt, wer Geräte in Entra ID aufnehmen darf.
• Internet: Während der Einrichtung braucht das Gerät eine Internetverbindung, die Microsoft-Dienste nicht blockiert.

Was Sie in Intune konfigurieren sollten

Autopilot ist nur der Weg aufs Gerät. Entscheidend ist, was in Intune hinterlegt ist. Eine solide Grundausstattung umfasst:

• Anmeldung: Autopilot-Profil oder Richtlinie zur Gerätevorbereitung, Gerätenamen und Firmenlogo auf der Anmeldeseite.
• Compliance-Richtlinien: Regeln, die ein Gerät erfüllen muss, etwa aktive Verschlüsselung, Secure Boot oder eine Mindestversion von Windows.
• BitLocker: Intune verschlüsselt das Laufwerk ohne Zutun der Benutzer, die Wiederherstellungsschlüssel liegen in Microsoft Entra ID.
• Updates: Update-Ringe in Intune oder Windows Autopatch, das seit 2025 auch mit Business Premium nutzbar ist und Updates für Windows, Microsoft 365 Apps, Edge und Teams in Wellen verteilt.
• Apps: Microsoft 365 Apps, Ihre Fachanwendungen und Apps aus dem Microsoft Store.
• Microsoft Defender: Business Premium enthält Defender for Business, die Geräte werden über Intune angebunden.
• Lokale Administratorrechte: Mitarbeitende arbeiten als Standardbenutzer. Windows LAPS verwaltet das Kennwort des lokalen Administratorkontos, wechselt es regelmässig und hinterlegt es in Entra ID.

Wenn Sie Conditional Access nutzen, stellen Sie in Intune ein, dass Geräte ohne Compliance-Richtlinie als nicht konform gelten. Wie das mit den Zugriffsregeln zusammenspielt, zeigt unser Beitrag MFA allein reicht nicht.

Eintritt, Austritt und verlorene Geräte

Bei einem Eintritt erhält die neue Person das Gerät originalverpackt oder vom Händler zugestellt und meldet sich an. Soll ein gebrauchtes Gerät weitergegeben werden, setzt Autopilot Reset es zurück: Persönliche Dateien, Apps und Einstellungen werden entfernt, die Verbindung zu Entra ID und Intune bleibt. Das funktioniert mit dem klassischen Autopilot und nur bei Entra Join.

Bei einem Austritt ist für Firmengeräte in der Regel Wipe die passende Aktion, also das Zurücksetzen auf Werkseinstellungen. Retire entfernt nur Firmendaten und Verwaltung und lässt persönliche Daten stehen; das ist vor allem für private Geräte gedacht. Verlässt ein Gerät das Unternehmen endgültig, etwa beim Verkauf, entfernen Sie es zusätzlich aus Autopilot.

Geht ein Laptop verloren, lösen Sie in Intune einen Wipe aus, bei Bedarf mit der Option, die auch bei Stromunterbruch weiterläuft. Der Befehl greift erst, wenn das Gerät online ist; bis dahin schützt BitLocker die gespeicherten Daten. Deaktivieren Sie das Gerät zusätzlich in Entra ID, damit es keinen Zugriff mehr auf Cloud-Dienste erhält. Löschen Sie es dort nicht vorschnell, sonst gehen die BitLocker-Schlüssel verloren.

Für Treuhand- und Immobilienfirmen ist ein verlorenes Gerät auch ein Datenschutzthema. Das Datenschutzgesetz verlangt eine dem Risiko angemessene Datensicherheit (Art. 8 DSG) und eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), wenn eine Verletzung voraussichtlich zu einem hohen Risiko für die Betroffenen führt (Art. 24 DSG). Verschlüsselung und ein dokumentierter Ablauf erleichtern diese Beurteilung, die Prüfung im Einzelfall ersetzen sie nicht.

Was mit bestehenden Geräten passiert

• Bereits in Entra ID und Intune: Mit der Profileinstellung «Convert all targeted devices to Autopilot» registriert Intune diese Geräte nachträglich. Autopilot greift dann beim nächsten Zurücksetzen.
• In einer lokalen Domäne oder per Hybrid Join: Einen unterstützten Weg zum Entra Join ohne Zurücksetzen gibt es nicht. Microsoft empfiehlt den Wechsel bei einem natürlichen Anlass, etwa beim Ersatz der Hardware.
• Ohne Verwaltung, mit lokalen Konten: Daten sichern, Gerät zurücksetzen und über Autopilot neu einrichten.
• Windows 10: Der Support endete am 14. Oktober 2025. Unternehmen können längstens drei Jahre kostenpflichtige Sicherheitsupdates (ESU) beziehen. Planen Sie Ersatz oder ein Upgrade auf Windows 11, wo die Hardware es zulässt.

So gehen Sie vor

1. Machen Sie eine Bestandesaufnahme: Geräte, Windows-Editionen und -Versionen, Lizenzen und Beschaffungsweg.
2. Wählen Sie die Variante: klassisches Autopilot mit Registrierung durch den Händler oder Gerätevorbereitung ohne Vorregistrierung.
3. Bauen Sie die Grundkonfiguration in Intune auf: Anmeldung, Compliance, BitLocker, Updates, Defender, Apps und LAPS.
4. Testen Sie mit zwei oder drei Pilotgeräten und echten Benutzern, inklusive eines Austritts und eines simulierten Verlusts.
5. Halten Sie fest, wer bestellt, wer registriert und wer bei Austritt oder Verlust handelt.
6. Richten Sie danach jedes neue Gerät über Autopilot ein und stellen Sie bestehende Geräte beim nächsten natürlichen Anlass um.

Wir richten Autopilot und Intune für KMU ein, von der Lizenzprüfung über die Grundkonfiguration bis zum Pilot. Mehr dazu erfahren Sie auf unseren Seiten Moderner Arbeitsplatz und IT-Sicherheit. Wenn Sie wissen möchten, wie das in Ihrer Umgebung aussehen könnte, nehmen Sie Kontakt mit uns auf.