Häufige Fallstricke bei Microsoft Intune-Bereitstellungen

Von Mirko Peters · 2026-08-28

Willkommen zurück im Podcast-Blog! Wenn Ihre Organisation dem Vorbild moderner Unternehmen folgt, haben Sie Microsoft Intune wahrscheinlich als Eckpfeiler Ihrer Endpoint-Management-Strategie eingeführt …

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Podcast-Blog! Wenn Ihre Organisation dem Vorbild moderner Unternehmen folgt, hat sie Microsoft Intune wahrscheinlich als Eckpfeiler ihrer Endpoint-Management-Strategie eingeführt. Auf dem Papier bietet das Tool ein beeindruckendes Arsenal, um Geräte zu verwalten, Sicherheitsbaselines durchzusetzen und Unternehmenswerte zu schützen. Wie wir im Podcast immer wieder betonen, kann die Bereitstellung eines leistungsstarken Cloud-Tools ohne passende Leitplanken jedoch mehr Risiken erzeugen, als es beseitigt. Verborgene Gefahren, Fehlkonfigurationen und mangelnde Aufmerksamkeit während der Bereitstellung können Ihre Organisation für Angreifer angreifbar machen und Ihre Zero-Trust-Ziele vollständig untergraben.

In diesem Beitrag gehen wir detailliert auf die häufigsten Fallstricke bei Microsoft Intune-Bereitstellungen ein. Wir zeigen, wie falsche Einstellungen, schwache Compliance-Regeln, nicht verwaltete Geräte und verwundbare Administratorkonten Ihre gesamte Infrastruktur gefährden können. Ob Sie gerade Ihre ersten Richtlinien ausrollen oder eine bestehende Umgebung härten möchten: Diese Schwachstellen zu verstehen, ist der erste Schritt zu einem wirklich sicheren Unternehmen.

Risiken durch Intune-Fehlkonfigurationen

Häufige Fehlkonfigurationen

Wenn Sie Microsoft Intune erstmals einrichten, tappt man erstaunlich leicht in die Falle, Standardeinstellungen zu übernehmen oder zu weitreichende Berechtigungen zu vergeben, nur um Geräte schnell registrieren zu können. Diese Abkürzungen schaffen leider gravierende Sicherheitslücken. Hier sind einige der häufigsten Fehler, die Organisationen machen:

• Entra ID-Rollen mit Intune-Zugriff: Wenn leistungsstarke Verzeichnisrollen ohne regelmäßige Überprüfung vergeben werden, können Benutzer unbeabsichtigt übermäßige Berechtigungen im gesamten Mandanten erhalten.
• Intune-spezifische Rollen: Werden integrierte oder benutzerdefinierte Intune-Rollen nicht sauber eingegrenzt, können unbefugte Personen kritische Einstellungen der Geräteverwaltung ändern.
• API-Berechtigungen von Entra ID-Anwendungen: Zu großzügig vergebene API-Berechtigungen für Drittanbieter- oder eigene Anwendungen, die mit Intune interagieren, können Angreifern massive Hintertüren öffnen.

Auswirkungen auf die Sicherheit

Fehler in Ihrer Intune-Konfiguration können die Sicherheitslage Ihrer Organisation erheblich beeinträchtigen. Wenn etwa nicht konforme Geräte Zugriff auf Ihr Unternehmensnetzwerk erhalten, steigt Ihr Risiko deutlich. Das bedeutet: Endgeräte, die Ihre Sicherheitsbaselines nicht erfüllen, erhalten freien Zugang zu sensiblen Datenspeichern.

Falsche Compliance-Richtlinieneinstellungen können Geräte vollständig für Angriffe öffnen. Wenn Ihre Regeln nicht zu den sich wandelnden Bedrohungen passen, nutzen Angreifer diese Lücken aus. Fehlende BitLocker-Wiederherstellungsschlüssel können zudem zu katastrophalem Datenverlust führen und unbefugten physischen Zugriff auf verschlüsselte Volumes ermöglichen. Ebenso gefährdet die Vernachlässigung von Sicherheitsbaselines Geräte, da ihnen ab Werk wesentliche Härtungskonfigurationen fehlen.

Die kumulativen Auswirkungen dieser Fehlkonfigurationen können verheerend sein. Compliance-Drift erlaubt es Geräten, über längere Zeit außerhalb definierter Sicherheitsparameter zu arbeiten, und schafft so blinde Flecken. Eine schlecht gestaltete bedingte Zugriffsrichtlinie kann dazu führen, dass ein kompromittierter Endpunkt unbemerkte Eingangstore bietet. Wenn lokale Administratorrechte nicht entzogen werden, entstehen zudem erhebliche betriebliche und sicherheitstechnische Risiken.

Schwache Compliance-Richtlinien in Intune

Compliance-Lücken

Schwache Compliance-Richtlinien in Intune sind ein stiller Killer für die Sicherheit im Unternehmen. Es gibt mehrere typische Lücken, die Umgebungen gefährlich angreifbar machen. Hier sind einige häufige blinde Flecken:

Diese Lücken erlauben es Geräten, auf sensible Daten zuzugreifen, ohne ordnungsgemäße Prüfungen zu durchlaufen. Ein Gerät kann zum Beispiel nach außen konform wirken, nur weil es nie korrekt gegen aktuelle Vorgaben geprüft wurde. Dadurch entstehen versteckte Risiken im gesamten Netzwerk.

Folgen schwacher Richtlinien

Werden keine robusten Compliance-Richtlinien durchgesetzt, kann das eine Kette kritischer Probleme auslösen:

• Nicht konforme Geräte greifen auf Ressourcen zu: Schwache Richtlinien können unsichere Geräte, etwa solche mit veralteten, verwundbaren Betriebssystemen, direkt mit Unternehmensdaten verbinden. Das führt zu unautorisiertem Zugriff und Datenabfluss.
• Höheres Risiko für Datenschutzverletzungen: Ohne kontinuierliche Compliance-Überwachung werden kompromittierte Endpunkte zu einfachen Ausgangspunkten für laterale Bewegungen.
• Wirkungslose mehrschichtige Sicherheit: Schwache Gerätekonformität schwächt die Wirkung ergänzender Sicherheitswerkzeuge wie verwaltete E-Mail-Gateways und Endpoint-Detection-and-Response-Agenten (EDR).
• Verlust der Datenkontrolle: Unternehmen riskieren, die Kontrolle über ihre vertraulichen Daten zu verlieren, was den Grundprinzipien einer Zero-Trust-Architektur direkt widerspricht.
• Schwierigkeiten bei der Durchsetzung von Sicherheit: Ohne strikte bedingte Zugriffsregeln, die direkt an die Gerätekonformität gebunden sind, können nicht verifizierte Endpunkte Netzwerkgrenzen leicht umgehen.

Reale Vorfälle zeigen genau diese Gefahren. So haben etwa aufsehenerregende Sicherheitsanweisungen gezeigt, wie Schwachstellen bei administrativen Zugriffen und schwacher Richtliniendurchsetzung zu massiven Datenpannen führen können. Organisationen mit großzügigen BYOD-Richtlinien (Bring Your Own Device) ohne ausreichende Endpunktkontrollen sind einem deutlich höheren Risiko ausgesetzt.

Um diese Fallstricke zu vermeiden, müssen Sie die Einhaltung der Richtlinien konsequent überwachen. Stellen Sie sicher, dass Ihre Richtlinien umfassend und klar definiert sind und auf jeder unterstützten Betriebssystemplattform konsequent durchgesetzt werden.

Nicht verwaltete Geräte und Sicherheitsbedrohungen

Risiken nicht verwalteter Geräte

Nicht verwaltete Geräte stellen für IT- und Sicherheitsteams einen erheblichen blinden Fleck dar. Diese Endpunkte liegen außerhalb der direkten Kontrolle durch Intune und können so wichtige Sicherheitsvorkehrungen umgehen. Angreifer nutzen gezielt die folgenden Schwachstellen aus:

• Nicht verwaltete Geräte können Sicherheitsregeln von Intune umgehen, indem sie fehlerhaft konfigurierte Richtlinien für bedingten Zugriff ausnutzen.
• Angreifer können täuschend echte Endpunkte oder Proxy-Setups einsetzen, um vertrauenswürdige Firmengeräte nachzuahmen und sich ohne Genehmigung zu authentifizieren.
• Manipulierte Token-Claims können genutzt werden, um die Multi-Faktor-Authentifizierung (MFA) und die Gerätestatusprüfungen zu umgehen.

Unverwaltete Geräte den Zugriff auf Unternehmensressourcen zu erlauben, birgt erhebliche betriebliche Risiken. Aktuelle Branchendaten zeigen, dass rund 46 % der kompromittierten Endpunkte, die Unternehmensanmeldedaten verwendeten, unverwaltete Geräte waren. Allein diese Zahl zeigt, warum eine strikte Endpunktregistrierung unverzichtbar ist.

Bedenken bei Schatten-IT

Schatten-IT, also der Einsatz nicht autorisierter Hardware, Software und Cloud-Dienste ohne ausdrückliche Genehmigung der IT, hat im Zeitalter der Remote- und Hybridarbeit stark zugenommen. Mitarbeitende greifen häufig auf nicht genehmigte Produktivitätswerkzeuge, Dateifreigabe-Apps und Messaging-Plattformen zurück, um ihre Arbeit schnell zu erledigen. Leider erfüllen diese Werkzeuge selten die Sicherheitsstandards von Unternehmen.

Das Ausmaß der Schatten-IT ist erschreckend. Im Durchschnitt nutzen Organisationen Hunderte unbekannter Cloud-Dienste neben den genehmigten Plattformen. Zudem gibt eine deutliche Mehrheit der Beschäftigten in Unternehmen an, regelmäßig nicht genehmigte SaaS-Anwendungen zu nutzen. Diese unautorisierte Nutzung schafft massive blinde Flecken in der Sicherheit, und ein erheblicher Anteil moderner Cybervorfälle lässt sich auf Schatten-IT-Angriffswege zurückführen.

Um diese Risiken zu begrenzen, sind strikte Richtlinien für die Geräteverwaltung, der Einsatz von Cloud Access Security Broker (CASB)-Lösungen und die aktive Überwachung des Netzwerks auf Datenverkehr nicht genehmigter Anwendungen erforderlich.

Schwachstellen bei Administratorkonten in Microsoft Intune

Kompromittierte Administratorkonten

Privilegierte Konten sind das begehrteste Ziel für Cyberkriminelle. Gelingt es einem Angreifer, ein Intune-Administratorkonto zu kompromittieren, erhält er quasi die Schlüssel zum Königreich. Mit administrativer Kontrolle über die Geräteverwaltung können Täter schädliche Nutzlasten verteilen, Sicherheitskonfigurationen ändern und Compliance-Richtlinien global deaktivieren. Typische Angriffswege für solche Kompromittierungen sind:

• Ausnutzung schwacher Passwörter: Wiederverwendung vorhersehbarer oder leicht zu erratender Passwörter für privilegierte Konten.
• Phishing-Angriffe: Raffinierte Social-Engineering-Kampagnen, die darauf ausgelegt sind, Administratorzugangsdaten abzugreifen.
• Fehlende Multi-Faktor-Authentifizierung (MFA): Wenn für alle administrativen Rollen keine phishingresistente MFA erzwungen wird.

Behörden und Branchenverbände für Cybersicherheit haben wiederholt vor den Gefahren kompromittierter Administratorkonten gewarnt. Bei bekannten Sicherheitsvorfällen in Unternehmen haben Angreifer die Verwaltungskonsolen für Geräte übernommen, um großflächig Geräte zurückzusetzen oder Ransomware auf Zehntausenden Endpunkten zu verteilen. Diese Vorfälle zeigen, warum starke Sicherheitsmaßnahmen für den administrativen Zugriff unbedingt notwendig sind.

Bedeutung der Genehmigung durch mehrere Administratoren

Die Einrichtung eines Workflows zur Genehmigung durch mehrere Administratoren ist eine der wirksamsten Maßnahmen zum Schutz Ihres Intune-Mandanten. Diese Funktion erfordert, dass ein zweiter benannter Administrator hochwirksame Aktionen prüft und genehmigt, etwa das massenhafte Zurücksetzen von Geräten, das Löschen sensibler Richtlinien oder tenantweite Konfigurationsänderungen, bevor diese ausgeführt werden können.

Multi-Admin Approval senkt das Risiko versehentlicher oder böswilliger administrativer Aktionen drastisch. Indem Organisationen ein „Vier-Augen-Prinzip“ durchsetzen, schaffen sie eine entscheidende Ebene der Verantwortlichkeit. Sie verhindert, dass ein einziges kompromittiertes Admin-Konto die gesamte Geräteflotte lahmlegt.

Die Sicherheitslage mit Intune stärken

Best Practices für die Sicherheit

Um Ihre Intune-Bereitstellung abzusichern und an Zero-Trust-Prinzipien auszurichten, sollten Sie die folgenden branchenüblichen Best Practices umsetzen:

• Role-Based Access Control (RBAC): Halten Sie sich konsequent an das Prinzip der minimalen Berechtigungen und vergeben Sie administrative Rechte nur an Personen, die sie tatsächlich benötigen.
• Microsoft Entra Privileged Identity Management (PIM): Nutzen Sie zeitlich begrenzte Aktivierung bei Bedarf (Just-in-Time) für privilegierte Administratorrollen.
• Phishing-resistente Authentifizierung: Verpflichten Sie alle Administrator- und Standardbenutzerkonten zur Verwendung von FIDO2-Sicherheitsschlüsseln oder Windows Hello for Business.
• Multi-Admin Approval (MAA): Verlangen Sie für sensible Aufgaben mit hohem Risiko die Genehmigung durch einen zweiten Administrator.
• Notfallverfahren: Richten Sie streng kontrollierte „Break-Glass“-Konten ein, die intensiv überwacht werden, und nutzen Sie diese ausschließlich für katastrophale Aussperrungen aus der Administration.

Integrieren Sie Intune außerdem eng mit Microsoft Entra ID. Nutzen Sie Bedingter-Zugriff-Richtlinien, damit nur gesunde, konforme Geräte Token für Unternehmensressourcen anfordern können. Schützen Sie Anwendungsdaten mit Mobile Application Management (MAM) und prüfen Sie regelmäßig die Berichte von Endpoint Analytics.

Überwachung und Überprüfung

Kontinuierliche Überwachung und Überprüfung sind unverzichtbar, um eine sichere Intune-Umgebung aufrechtzuerhalten. Sie sollten Betriebsprotokolle regelmäßig auswerten, um Auffälligkeiten, Konfigurationsabweichungen und unautorisierte administrative Änderungen zu erkennen.

Erwägen Sie die Umsetzung der folgenden Überwachungsmethoden:

1. Diagnose in Intune aktivieren: Exportieren Sie Betriebsprotokolle in externen Speicher für detaillierte Analysen.
2. Azure Monitor nutzen: Richten Sie automatisierte Warnmeldungen für verdächtige administrative Aktionen oder einen Anstieg nicht konformer Geräte ein.
3. Abfragen in Log Analytics erstellen: Erstellen Sie benutzerdefinierte Kusto-Abfragen, um Compliance-Trends über die Zeit zu filtern und auszuwerten.

Wenn Sie Intunes native Berichtsfunktionen zusammen mit SIEM-Integrationen nutzen, erhalten Sie Echtzeit-Einblick in Ihre Endpunktlandschaft und erkennen Schwachstellen, bevor Angreifer sie ausnutzen.

Wenn Sie Ihre Intune-Bereitstellung nicht sorgfältig planen und solide Basiskonfigurationen festlegen, setzen Sie Ihr Unternehmen zwangsläufig erheblichen Sicherheitsrisiken aus. Definieren Sie Ihre Governance-Strategie, bevor Sie Richtlinien flächendeckend ausrollen. Testen Sie neue Konfigurationen stets in Pilotringen, bevor Sie sie auf Produktivgeräte übertragen. Überprüfen Sie Ihre Umgebung regelmäßig, um unautorisierte Änderungen zu erkennen, eine konsequente RBAC durchzusetzen und strenge Bedingter-Zugriff-Kontrollen aufrechtzuerhalten. Bleiben Sie wachsam und verfeinern Sie Ihre Intune-Einrichtung kontinuierlich, um die digitalen Werte Ihrer Organisation zu schützen.

Um dieses Thema zu vertiefen und Expertenmeinungen zur Absicherung Ihrer Endpoint-Management-Umgebung zu hören, sehen Sie sich unbedingt unsere passende Podcast-Folge an: Harden Intune Deployment for Zero Trust Compliance.

Häufige Fragen

Was ist Microsoft Intune?

Microsoft Intune ist ein cloudbasierter Dienst für die Endpoint-Verwaltung. Er hilft Organisationen dabei, Benutzerzugriffe zu verwalten und Sicherheitsrichtlinien auf Mobilgeräten, Tablets und Desktop-Computern zu konfigurieren.

Wie kann ich die Sicherheit meiner Intune-Umgebung verbessern?

Sie können die Sicherheit von Intune erhöhen, indem Sie eine strikte rollenbasierte Zugriffssteuerung (Role-Based Access Control) implementieren, für sensible Aktionen eine Genehmigung durch mehrere Administratoren verlangen, phishingresistente MFA erzwingen und Compliance-Richtlinien regelmäßig überprüfen.

Was sind nicht verwaltete Geräte?

Nicht verwaltete Geräte sind Endpunkte, die im Intune-Mandanten Ihrer Organisation weder registriert noch eingeschrieben sind. Da ihnen die unternehmensseitige Verwaltung fehlt, können sie Sicherheitsbasiskonfigurationen umgehen und das Risiko von Datenlecks erhöhen.

Warum sind Compliance-Richtlinien wichtig?

Compliance-Richtlinien stellen sicher, dass jedes Gerät, das auf Unternehmensressourcen zugreift, die minimalen Sicherheitsanforderungen erfüllt. So wird verhindert, dass veraltete oder kompromittierte Endpunkte auf sensible Unternehmensdaten zugreifen.

Wie oft sollte ich meine Intune-Umgebung überprüfen?

Sie sollten Ihre Intune-Umgebung mindestens vierteljährlich umfassend überprüfen. Zusätzlich sollten Sie Betriebsprotokolle und Warnmeldungen kontinuierlich überwachen, um Bedrohungen in Echtzeit zu erkennen.