Defend · Geräteschutz
Laptops mit Intune
Für ein Unternehmen auf Microsoft 365 werden die Laptops in Microsoft Intune verwaltet. Das registrieren wir, das setzen wir, in dieser Reihenfolge, und das steht für jedes Gerät im Protokoll.
Der Laptop wird aus dem Tenant verwaltet, an dem er sich anmeldet.
Microsoft Intune ist die Geräteverwaltung, die in Microsoft 365 steckt: Ein Laptop wird in das Microsoft Entra ID Ihres Unternehmens aufgenommen, in Intune registriert und bekommt von da an seine Einstellungen, seinen Schutz und seine Updates aus dem Tenant, wo immer er ist. Die Konformitätsrichtlinie, die Intune anwendet, ist genau das, was Conditional Access bei jeder Anmeldung prüft: Ein Gerät, das verschlüsselt, geschützt und aktuell ist, kommt hinein; eines, das es nicht ist, kommt bis zur Anmeldeseite. Auf Intune sind Geräteschutz und Anmeldeschutz deshalb ein System, und ein neuer Laptop wird jedes Mal gleich eingerichtet, nach einer Liste, nicht aus dem Gedächtnis.
Was wir setzen
Registrierung, Regel, Baseline, in dieser Reihenfolge.
Jeder Schritt baut auf dem vorigen auf. Die Konformitätsrichtlinie geht zuletzt scharf, wenn jeder Laptop sie erfüllt. So sperrt sie nie die Leute aus, die sie schützen soll.
-
Registriert beim ersten Start
Ein neuer Laptop wird beim ersten Einschalten und Anmelden registriert: in Entra ID aufgenommen, in Intune eingetragen und nach der Software- und Einstellungsliste des Unternehmens eingerichtet. Vorhandene Laptops kommen in Wellen dazu, die Pilotgruppe zuerst.
-
Verschlüsselt, Schlüssel im Tenant
Die Festplattenverschlüsselung wird per Richtlinie eingeschaltet, und der Wiederherstellungsschlüssel liegt in Entra ID, nie auf dem Gerät und nie auf Papier. Ein Laptop, der nach einem Update nicht mehr startet, wird mit dem Schlüssel wiederhergestellt, nicht neu aufgesetzt.
-
Die Konformitätsrichtlinie
Intune stuft ein Gerät nur als konform ein, wenn es verschlüsselt und geschützt ist und das Betriebssystem auf dem vereinbarten Stand steht. Conditional Access liest das bei jeder Anmeldung. Wer herausfällt, erfährt, was zu tun ist, und verliert den Zugriff, bis es behoben ist.
-
Die dokumentierte Baseline
Die Einstellungen, die ein Laptop haben muss, stehen einmal schriftlich fest und gelten per Richtlinie: Schutz, Firewall, was der Nutzer installieren darf, wie sich der Bildschirm sperrt. Eine Änderung an der Baseline ist eine Entscheidung mit Verantwortlichem und Datum, für alle Geräte.
-
Patches in Ringen
Windows und die Microsoft-365-Apps aktualisieren sich über Intune: zuerst ein Pilotring, dann der Rest, mit einer Verzögerung, die ein fehlerhaftes Update vom ganzen Unternehmen fernhält. Andere Anwendungen halten dieselben getesteten Skripte aktuell, die sie installieren.
-
Verloren, gestohlen oder beim Offboarding
Ein verlorener Laptop wird aus Intune gelöscht, wenn er das nächste Mal online geht; der Laptop von jemandem, der geht, wird abgemeldet und von Unternehmensdaten befreit; ein Gerät, das an das Leasingunternehmen zurückgeht, wird vollständig gelöscht. Jeder Schritt steht mit Datum im Protokoll.
Schriftlich festgehalten
Schriftlich festgehalten für Intune.
- Jeder Laptop mit Konformitätsstatus, Verschlüsselung und Patchring
- Die Konformitätsrichtlinie und die Baseline-Richtlinien, exportiert so, wie sie gesetzt sind, mit Datum
- Die Wiederherstellungsschlüssel, in Entra ID hinterlegt, und wer sie lesen kann
- Die Ausnahmen, jede mit Grund, Verantwortlichem und Prüfdatum
- Die Löschungen und Abmeldungen, jede mit Datum
Was wir in übernommenen Tenants finden.
-
Registriert, aber ohne Konformitätsrichtlinie
Die Laptops stehen in Intune, also wirken sie verwaltet. Nichts prüft, ob sie verschlüsselt oder aktuell sind, und Conditional Access hat nichts zu lesen. Also kommt jedes Gerät hinein.
-
Die Regel scharf, bevor die Geräte so weit waren
Eine Regel, die Verschlüsselung verlangt, geht scharf, während die Hälfte der Laptops noch nicht verschlüsselt ist. Montagmorgen ist das halbe Unternehmen ausgesperrt, und mittags ist die Regel abgeschaltet, für immer.
-
Updates, die nie ankommen
Das Patching ist für den Ring eingerichtet, in dem niemand ist. Die Pilotgruppe aktualisiert jeden Monat; der Rest des Unternehmens steht da, wo er vor einem Jahr stand.
Häufige Fragen
Unsere Laptops sind schon mit Microsoft 365 verbunden. Reicht das nicht?
Die Verbindung gibt dem Laptop eine Anmeldung. Intune gibt ihm eine Baseline, Verschlüsselung und Updates und sagt Conditional Access, ob das Gerät Akten öffnen darf. Ohne Konformitätsrichtlinie sagt die Verbindung nur, wem der Laptop gehört, nicht, ob er sicher ist.
Wie lange dauert die Registrierung?
Ein neuer Laptop registriert sich beim ersten Start selbst und ist fertig, wenn die Einrichtung durch ist. Vorhandene Laptops brauchen länger, weil sie in Wellen dazukommen und jeder die Baseline erfüllen muss, bevor die Konformitätsrichtlinie scharf geht. Die Reihenfolge planen wir mit Ihnen, um Ihre Fristen herum.
Und wenn ein Laptop am Fristtag als nicht konform gilt?
Das Gerät zeigt, was es braucht, meist ein Update oder einen Neustart, und unsere Techniker sehen es ebenfalls. Lässt es sich nicht rechtzeitig beheben, kann Ihr TechPilot eine Ausnahme mit Datum erteilen, schriftlich festgehalten. Die Person arbeitet weiter, das Gerät wird am nächsten Tag in Ordnung gebracht.
Start
Was sagt Intune heute über Ihre Laptops?
Im Erstgespräch sehen wir uns Ihren Tenant an, wie er ist: welche Geräte registriert sind, welche verschlüsselt und konform, und welche durchfallen.
- Kein First Level
- Keine Überraschungen
- Erst testen, dann entscheiden