M365Con 2027 – die kostenlose Online-Konferenz · 11–22 Jan 2027 · 120 sessions→ m365con.net
M365.FM DUB
DeutschDE
EnglishEnglishDeutschDeutschEspañolEspañolFrançaisFrançaisItalianoItalianoPortuguêsPortuguêsNederlandsNederlandsPolskiPolskiBahasa IndonesiaBahasa IndonesiaРусскийРусскийУкраїнськаУкраїнськаالعربيةالعربيةעבריתעברית日本語日本語한국어한국어
☰
CommunityAlle FolgenPodcastBlogVideosBibliothekGästeProfilLernenPodcast

Blog · Mirko Peters

So führen Sie eine Richtlinien-Compliance-Prüfung in Microsoft durch: Schritt-für-Schritt-Anleitung für M365- und Power-Platform-Administratoren

Von ·

Schritt-für-Schritt-Anleitung für eine Richtlinien-Compliance-Prüfung in Microsoft für M365- und Power-Platform-Administratoren: Intune-Richtlinien, Berichterstellung, Behebung und Bedingter Zugriff.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Cover: Fix Microsoft 365 Compliance Drift Beyond Green Dashboards

Eine Richtlinien-Compliance-Prüfung in Microsoft zeigt Ihnen im Kern, ob die Geräte, Benutzer und Cloud-Apps Ihrer Organisation die von Ihnen festgelegten Regeln einhalten – oder ob Sie bei Sicherheit und Audits ein unnötiges Risiko eingehen. Solche Prüfungen helfen Administratoren von Microsoft 365 und Power Platform dabei, Risiken zu begrenzen, gesetzliche Vorgaben einzuhalten und auf Basis des tatsächlichen Compliance-Status zu entscheiden, wer Zugriff auf sensible Ressourcen erhält.

Diese Anleitung zeigt Ihnen die technischen und prozessualen Schritte einer Compliance-Prüfung im Detail. Sie erfahren, wie Administratoren Richtlinien einrichten, Prüfungen auslösen, Lücken erkennen und auch anspruchsvolle Audits bestehen. Wir behandeln die richtigen Werkzeuge, Dashboards und Automatisierungsmöglichkeiten und stellen bewährte Vorgehensweisen vor. Außerdem zeigen wir typische Fehlerquellen, die Angriffsflächen für Betrug oder Nichteinhaltung schaffen können. Ob Sie sich auf ein Audit vorbereiten oder Zero Trust einführen: Mit diesen Strategien halten Sie eine sichere und gut gesteuerte Microsoft-Umgebung aufrecht.

Verwaltung von Compliance-Richtlinien in Microsoft Intune

Gerätekonformität bildet das Fundament Ihrer Sicherheit und Ihrer Auditfähigkeit in Microsoft-Cloud-Umgebungen. Mit Microsoft Intune erhalten Sie eine zentrale Stelle, um Richtlinien zu verwalten, die festlegen, wie Laptops, Smartphones und Tablets sich mit Ihren Microsoft 365- und Power-Platform-Diensten verbinden. Diese Compliance-Richtlinien sind mehr als reine Kontrollkästchen. Mit ihnen zeigen Sie Prüfern (und Ihrer Geschäftsleitung), dass Sie gesetzliche, vertragliche und interne Vorgaben einhalten.

Ob sichergestellt werden soll, dass jedes Gerät verschlüsselt ist, aktuell bleibt oder riskante Apps blockiert, Intune automatisiert Aufgaben, die früher in unübersichtlichen Tabellen und manuellen Prüfungen erledigt wurden. Ob Sie mit behördlichen Vorgaben, NIST-Leitlinien, HIPAA oder eigenen IT-Richtlinien arbeiten: Die Compliance-Richtlinienverwaltung in Intune passt sich an Ihre Anforderungen an, wenn Ihre Organisation wächst oder sich die Vorgaben ändern.

Sie müssen dabei auch nicht im Dunkeln tappen. Richtlinien werden zentral bereitgestellt, nachverfolgt und über alle verwalteten Geräte hinweg berichtet. Wenn Organisationen manuelle Prüfungen durch Automatisierung ersetzen, bietet Intune eine skalierbare Grundlage für Compliance. Bevor Sie sich mit dem Erstellen, Gruppieren und Auflösen von Richtlinienkonflikten beschäftigen, sollten Sie wissen: Intune ist für digitale, prüfungsbereite Compliance ausgelegt. So behalten Sie sowohl schnelle Bedrohungen als auch regulatorische Änderungen im Blick.

So erstellen und weisen Sie Gerätecompliance-Richtlinien in Intune zu

  1. Beginnen Sie im Intune Admin Center: Öffnen Sie zunächst das Microsoft Intune Admin Center. Navigieren Sie zu Endpoint Security > Gerätekonformität > Richtlinien, um eine neue Compliance-Richtlinie zu erstellen. Wählen Sie dabei die passende Plattform (Windows, macOS, iOS oder Android) für Ihre Geräte aus.
  2. Compliance-Regeln festlegen: Definieren Sie, was für Ihre Organisation „konform“ bedeutet. Dazu können die erforderliche Betriebssystemversion, die Datenträgerverschlüsselung, Kennwortanforderungen, blockierte Apps, der Status von Microsoft Defender oder andere Basiskonfigurationen gehören. Konzentrieren Sie sich auf konkrete, aussagekräftige Kriterien und setzen Sie nicht einfach jedes verfügbare Häkchen.
  3. Benutzer- oder Gerätegruppen als Ziel festlegen: Weisen Sie die Compliance-Richtlinie Azure AD-Gruppen zu, entweder nach Benutzer oder nach Gerät. Seien Sie vorsichtig: Die Zuweisung an die Gruppen „Alle Benutzer“ oder „Alle Geräte“ wirkt zwar einfach, kann aber Probleme verursachen, etwa wenn versehentlich Testgeräte oder Nicht-Produktionsendpunkte betroffen sind. Verwenden Sie für mehr Übersicht Organisationseinheiten oder benutzerdefinierte dynamische Gruppen.
  4. Bereiche und Filter nutzen: Wenn Sie in einem großen Unternehmen arbeiten, verwenden Sie Bereichstags, um die Sichtbarkeit für Administratoren zu steuern, und Filter, um Zuweisungen fein abzustimmen (zum Beispiel nur für Laptops oder nur für Geräte in einem bestimmten Land).
  5. Richtlinie prüfen und anwenden: Kontrollieren Sie Ihre Zuweisungen noch einmal. Überschneiden sich mehrere Richtlinien, bestimmt Intune die Konformität anhand der strengsten Einstellung. Prüfen Sie daher auf versehentliche Konflikte. Dokumentieren Sie die Absicht hinter jeder Zuweisung, damit sie für Prüfer und künftige Administratoren nachvollziehbar ist.
  6. Überwachen und anpassen: Beobachten Sie nach der Bereitstellung die Compliance-Dashboards, damit Sie sofort erkennen, ob die Nichtkonformität nach dem Rollout ansteigt. Passen Sie Richtlinien und Gruppenzuweisungen bei Bedarf an geschäftliche Veränderungen, M&A-Aktivitäten oder regulatorische Updates an.
  7. Nachvollziehbarkeit sicherstellen: Halten Sie Zuweisungsnachweise, Begründungen und Dokumentation griffbereit und auf dem neuesten Stand. Prüfer wünschen sich klare Belege darüber, wer was und warum zugewiesen hat, besonders in komplexen Umgebungen, in denen sich eine Richtlinie über globale Teams hinweg auswirken kann.

So lösen Auswertungsauslöser die Compliance-Prüfungen in Microsoft Intune aus

Microsoft Intune verwendet mehrere Arten von Auswertungsauslösern, um die Gerätekonformität zu prüfen. Geplante (periodische) Auslöser laufen automatisch alle 8 Stunden für Windows-Geräte oder nachdem sich ein Gerät bei anderen Plattformen gemeldet hat. Bedarfsgesteuerte Auslöser treten auf, wenn ein Administrator oder Benutzer eine Compliance-Auswertung manuell startet, etwa durch Klicken auf „Gerätekonformität überprüfen“ in der Company Portal App oder durch Erzwingen einer Synchronisierung im Intune-Portal.

Eine erneute Auswertung der Konformität erfolgt außerdem, wenn einem Gerät eine neue Richtlinie zugewiesen wird, nach Systemneustarts oder nachdem Einstellungen wie das Kennwort geändert wurden. So wird sichergestellt, dass Geräte schnell erneut geprüft werden, wenn sich ihr Status möglicherweise geändert hat. Regelmäßige und ereignisgesteuerte Auslöser sorgen gemeinsam dafür, dass Sie für alle verwalteten Endpunkte einen genauen und aktuellen Konformitätsstatus erhalten. So wird das Risiko von Prüflücken oder nicht konformen Geräten, die unentdeckt bleiben, minimiert.

So löst Intune Richtlinienkonflikte auf und behandelt schwache Konfigurationen

  1. Rangfolge und Zusammenführung von Richtlinien: Wenn mehrere Compliance-Richtlinien auf dasselbe Gerät abzielen, wertet Intune alle Einstellungen aus und wendet die restriktivste Regel an (auch als „höchste Durchsetzung“ bezeichnet). Wenn eine Richtlinie eine Mindest-Betriebssystemversion verlangt und eine andere nicht, blockiert Intune Geräte mit älteren Betriebssystemversionen in jedem Fall.
  2. Erkennen schwacher oder widersprüchlicher Einstellungen: Bei einem Konflikt – eine Richtlinie verlangt Verschlüsselung, eine andere enthält dazu keine Vorgabe – müssen Geräte die strengere Einstellung erfüllen. Schwache Konfigurationen, etwa das Fehlen von Kennwortanforderungen, werden erkannt, wenn eine stärkere, überlappende Richtlinie existiert. Wenn alle zugewiesenen Richtlinien eine Sicherheitskontrolle auslassen, wird diese Lücke zu einem Compliance-Risiko.
  3. Veraltete oder überlappende Richtlinien: Übriggebliebene oder alte Richtlinien können für Verwirrung sorgen und sogar zu falsch positiven bzw. falsch negativen Ergebnissen führen. Prüfen Sie stets die gesamte Gruppe zugewiesener Richtlinien, um veraltete Einstellungen auszusortieren, die Ihre gesamten Compliance-Anforderungen abschwächen könnten.
  4. Mindestkonfigurationsstandards: Bestehen Sie immer auf Basisanforderungen wie einer Mindest-Betriebssystemversion, Echtzeit-Virenschutz und Verschlüsselung. Selbst wenn nur eine einzige Richtlinie die Untergrenze festlegt, erzwingt Intune diese im gesamten Gerätebestand.
  5. Durchsetzung in komplexen Umgebungen: In dienstübergreifenden Umgebungen – etwa bei der Synchronisierung von Microsoft 365-Aufbewahrungsrichtlinien oder bei der Abstimmung mit Microsoft Purview – können schlecht abgebildete Geräte- oder Dienstrichtlinien Lücken erzeugen. Streben Sie eine einheitliche Governance und eine abgestimmte Richtlinienausrichtung über den gesamten Stack hinweg an, damit die Ergebnisse vorhersehbar bleiben.
  6. Kontinuierliche Überprüfung: Planen Sie regelmäßige Überprüfungen der zugewiesenen und aktiven Richtlinien. Dokumentieren Sie Entscheidungen zu Richtlinienkonflikten und stimmen Sie Teams auf aktuelle Baseline-Standards ab, während sich Produkte und Risiken weiterentwickeln.

Überwachung und Berichterstattung zum Compliance-Status über alle Geräte hinweg

Compliance-Richtlinien einzurichten ist nur die halbe Arbeit. Jederzeit zu wissen, wo Sie stehen, ist das, was Ihre Organisation sicher und prüfungsbereit hält. Microsoft Intune bietet Echtzeit-Dashboards, umfangreiche Berichte und Exportfunktionen, damit Administratoren, Sicherheitsteams und Prüfer über den Compliance-Status aller Geräte auf dem Laufenden bleiben, unabhängig von der Größe Ihres Gerätebestands.

Moderne Berichterstattung geht weit über die Prüfung eines grünen Häkchens oder eines roten Kreuzes hinaus. Sie sehen nicht nur, welche Geräte konform sind, sondern auch, welche konkreten Richtlinien oder Einstellungen nicht erfüllt werden, wie sich die Compliance-Kennzahlen im Zeitverlauf entwickeln und wo Sie bei der Behebung ansetzen sollten. Exportierbare Berichte, detaillierte Analysen je Einstellung und Integrationspunkte für Auditprotokolle erleichtern es, die regulatorische und interne Compliance nachzuweisen und zu verteidigen.

Kontinuierliche Überwachung in Echtzeit – ähnlich wie in Microsoft Defender for Cloud beschrieben – hilft Ihnen, Konfigurationsabweichungen und neue Bedrohungen frühzeitig zu erkennen. In den folgenden Abschnitten erfahren Sie, wie Sie mit den Intune-Dashboards und -Berichten beobachten, auswerten und handeln. Dazu gehören bewährte Methoden für den Export des Inventars, die Interpretation der Ergebnisse und den Start von Korrekturmaßnahmen, wenn sie nötig sind.

Gerätekonformitäts-Dashboard nutzen und Berichte anzeigen

  1. Dashboard öffnen: Wechseln Sie im Intune Admin Center zu Geräte > Überwachung > Compliancestatus. Das Dashboard bietet einen Überblick auf hoher Ebene: Gesamtzahl der Geräte, Prozentsatz der konformen Geräte und eine Aufschlüsselung nach Plattform oder Sicherheitsbaseline.
  2. Gerätedetails im Detail prüfen: Öffnen Sie Gerätegruppen oder suchen Sie nach Benutzer, um den Status einzelner Geräte im Detail zu sehen. Jedes Gerät zeigt die Richtlinien, gegen die es geprüft wird, das Datum des letzten Kontakts und welche Einstellungen (etwa OS-Version oder Verschlüsselung) bestanden haben oder fehlgeschlagen sind.
  3. Compliance-Berichte anzeigen: Unter Berichte > Gerätekonformität erstellen Sie zusammenfassende und detaillierte Berichte für alle Geräte oder filtern nach Gruppe, Plattform oder Konformitätsstatus. Die Berichte enthalten Trends. So erkennen Sie, ob etwas abrutscht, oder sehen, ob aktuelle Richtlinienänderungen die gewünschte Wirkung hatten.
  4. Automatisierte Überwachung des Compliancestatus einrichten: Verwenden Sie Benachrichtigungsoptionen, um Meldungen oder E-Mails auszulösen, sobald Geräte nicht mehr konform sind. So können Sie schnell reagieren: den Zugriff sperren, eine Korrekturmaßnahme starten oder die Benutzer informieren, um das Problem zu beheben.
  5. Erkenntnisse in Maßnahmen umsetzen: Beobachten Sie nicht nur, sondern nutzen Sie die Daten aus dem Dashboard, um Untersuchungen einzuleiten, Richtlinien anzupassen und zu priorisieren, welche nicht konformen Gruppen oder Einstellungen zuerst behoben werden. Dashboards helfen Ihnen nicht nur, audit-bereit zu bleiben, sondern auch proaktiv gegen Bedrohungen und kostspielige Fehlkonfigurationen vorzugehen.

Detaillierte Analyse: Status pro Einstellung und Export des Konformitätsinventars

  1. Berichterstattung pro Einstellung: In den Konformitätsberichten finden Sie Spalten, die für jedes Gerät zeigen, ob eine einzelne Einstellung – etwa die PIN-Länge, der Virenschutzstatus oder eine App-Sperrliste – konform ist. Diese Details helfen, Lücken genau zu lokalisieren.
  2. Konformitätsinventar exportieren: Nutzen Sie die Funktion „Exportieren“ in Berichten oder Dashboards, um CSV-Dateien mit den Konformitätsstatus der Geräte herunterzuladen. Für eine robustere Lösung leiten Sie die Daten an Azure Monitor Logs weiter oder nutzen Power BI für geräteübergreifende Analysen im großen Maßstab.
  3. Für Audits und Untersuchungen verwenden: Exporte liefern wichtige Nachweise für Prüfer und unterstützen forensische Untersuchungen. Sie können historische Trends zeigen, eine rechtzeitige Behebung belegen oder nachweisen, wo Ausnahmen formal genehmigt wurden.

Bekannte Berichtsverhalten und Einleiten von Korrekturmaßnahmen

  1. Mit Verzögerungen bei der Berichterstattung rechnen: Der Konformitätsstatus wird in den Dashboards manchmal nicht sofort aktualisiert, etwa wegen Check-in-Intervallen der Geräte oder Netzwerkproblemen. Bestätigen Sie den Status immer durch eine manuelle Synchronisierung oder einen neuen Geräte-Check-in, bevor Sie von einer Nichtkonformität ausgehen.
  2. Falsch positive und falsch negative Ergebnisse richtig deuten: Seien Sie vorsichtig bei Fällen, in denen der Konformitätsstatus durch Richtlinienänderungen oder unvollständige Geräte-Synchronisierungen kurzzeitig wechselt. Dies kann als „falsch negativ“ oder als vorübergehende Schwankung erscheinen. Wiederkehrende Probleme sollten Sie untersuchen, einmalige Ereignisse korrigieren sich unter Umständen von selbst.
  3. Auslöser für Korrekturworkflows verstehen: Intune kann automatische Korrekturworkflows auslösen (mithilfe von Gerätescripts, Proactive Remediations oder Endpoint Analytics), sobald ein Gerät als nicht konform markiert wird. So kann das System häufige Probleme automatisch beheben, etwa die Aktivierung von BitLocker oder die Aktualisierung von Virensignaturen.
  4. Manuelle und automatisierte Korrekturen im Vergleich: Bei komplexer oder hochriskanter Nichtkonformität ist manuelles Eingreifen am besten. Bei alltäglichen Fehlkonfigurationen können Sie auf die Automatisierung von Intune vertrauen, sollten die Ergebnisse aber kritisch prüfen, damit die Einstellungen dauerhaft greifen und Geräte nicht dauerhaft nicht konform bleiben.
  5. Auffälligkeiten in der Berichterstattung im Blick behalten: Achten Sie auf wiederkehrende Auffälligkeiten, Verzögerungen oder ungewöhnliche Muster in Ihrer Berichterstattung. Diese zeigen sich oft, bevor sich größere Konfigurationsabweichungen einstellen. Gleichen Sie den tatsächlichen Gerätestatus mit den gemeldeten Daten ab und stimmen Sie sich bei Bedarf mit anderen Überwachungswerkzeugen ab.
  6. Skripte und PowerShell für die Massenbehebung nutzen: Wenn die Automatisierung fehlschlägt, sollten Sie PowerShell-Automatisierung in Betracht ziehen (idealerweise über bewährte Skripte; achten Sie auf tote Links wie diesen hier, der inzwischen weiterleitet), um Zustände zurückzusetzen oder erforderliche Konfigurationen im großen Stil bereitzustellen.

Gerätekonformität mit Conditional Access und Microsoft Entra ID integrieren

Gerätekonformität ist nicht nur ein Zeugnis für die IT, sondern eine Schutztür für Ihre sensibelsten Daten. Microsoft Intune und Entra ID (früher Azure AD) arbeiten zusammen, damit nur konforme Geräte und Benutzer Zugriff auf zentrale Microsoft 365-Apps und -Dienste erhalten, von Exchange über SharePoint bis zur Power Platform.

Conditional-Access-Richtlinien setzen diese Regeln durch: Entspricht ein Gerät nicht den Anforderungen – etwa weil veraltete Software läuft oder die Verschlüsselung fehlt –, wird der Zugriff auf Unternehmensressourcen blockiert oder eingeschränkt. Dadurch entsteht eine Abhängigkeit in Echtzeit zwischen der Compliance-Engine in Intune und der Zugriffssteuerung in Entra ID. So wird Zero Trust zu einem lebendigen Bestandteil Ihrer Microsoft-Umgebung.

In den folgenden Abschnitten erfahren Sie genauer, wie die Übergabe von Richtlinien abläuft und warum das wichtig ist. Sie werden sehen, dass das bloße Zuweisen einer Richtlinie nicht genügt: Sie müssen diese Integrationen testen, validieren und überwachen, um Sicherheitslücken ebenso zu vermeiden wie ungewollte Aussperrungen. Wenn Sie sich eingehend mit Identitätsrisiken befassen möchten, ist diese Folge zu Conditional Access in Entra ID ein Muss. Und falls Sie sich schon einmal Gedanken über versteckte Ausnahmen oder überschneidende Richtlinien gemacht haben, lohnt sich ein Blick auf praxisnahe Hinweise zu Vertrauensproblemen bei Conditional Access in Microsoft 365.

Integration von Conditional Access und Zugriffsabhängigkeiten

Conditional-Access-Richtlinien in Entra ID nutzen den in Echtzeit von Intune gemeldeten Compliance-Status eines Geräts als zentrale Abhängigkeit, wenn sie Zugriff gewähren oder verweigern. So läuft das ab: Versucht ein Benutzer, sich bei einer geschützten Ressource anzumelden, prüft Entra ID bei Intune, ob der Compliance-Status des Geräts stimmt. Ist das Gerät konform, wird der Zugriff erlaubt. Ist es das nicht, wird der Zugriff blockiert, eingeschränkt oder es werden Anweisungen zur Behebung angezeigt. Diese enge technische Übergabe ermöglicht es Organisationen, Sicherheitsanforderungen durchzusetzen, ohne dass Mitarbeitende jede Regel auswendig kennen müssen. Außerdem behalten Sie die strikte Kontrolle, selbst wenn Endgeräte zwischen Netzwerken wechseln oder außerhalb Ihrer Firewall unterwegs sind.

Tests und Validierung von Maßnahmen bei fehlender Konformität

Damit sichergestellt ist, dass eine fehlende Konformität die richtigen Conditional-Access-Maßnahmen auslöst, müssen Sie dies anhand realistischer Testszenarien überprüfen. Richten Sie kontrollierte Testkonten und Testgeräte ein, wenden Sie die Richtlinien an und beobachten Sie, wie der Zugriff reagiert, wenn Sie die Konformität gezielt verletzen, etwa durch Deaktivieren der Verschlüsselung oder die Installation einer nicht zulässigen App. Prüfen Sie, ob Karenzzeiten, benutzerdefinierte Meldungen und Hinweise zur Behebung tatsächlich bei den Benutzern ankommen. Beheben Sie Inkonsistenzen oder Verzögerungen umgehend, denn sie deuten oft auf tiefer liegende Konfigurationsprobleme hin. Durch diese durchgängigen Prüfungen vermeiden Sie ungeplante Störungen und stellen einen vorhersehbaren, sicheren Zugriff sicher.

Richtlinien- und Datenkonformität über Microsoft Purview und das 365-Ökosystem hinweg

Geräteinstellungen sind wichtig, doch echte organisatorische Konformität erstreckt sich auf jeden Winkel Ihrer Microsoft-Landschaft, einschließlich Daten, Datenschutz und Prozesskontrollen. Microsoft Purview und die Compliance-365-Suite bieten ein umfassendes Werkzeugset, um sensible Informationen über Cloud-Workloads hinweg zu klassifizieren, zu schützen, zu überwachen und zu prüfen, nicht nur auf Endgeräten.

Ob Sie Dokumentenlecks verhindern, sichere Zusammenarbeit ermöglichen oder regulatorische Prüfungen bestehen wollen: Purview und die zugehörigen Werkzeuge sichern Inhalte mit Data Loss Prevention (DLP), Informationsschutz und erweiterten Überwachungsfunktionen ab. So vermeiden Organisationen das Chaos und das rechtliche Risiko unverwalteter oder Schatten-Daten, die sich in SharePoint oder Teams anhäufen.

Diese Werkzeuge arbeiten zusammen: Richtlinien und Kontrollen lassen sich über Purview, Teams, die Power Platform und darüber hinaus orchestrieren. So entsteht ein echtes „Single Pane of Glass“ für Compliance-Verantwortliche. Sie lernen praktische Schritte für die Nutzung der Verwaltungsfunktionen von Purview kennen sowie bewährte Methoden, um Ausnahmen und Ablaufdaten nachzuverfolgen und Compliance-Feststellungen bis zum Abschluss zu bearbeiten. Eine ausführliche Betrachtung der Auswirkungen von Purview finden Sie in diesem Beitrag zur Governance fortgeschrittener Copilot-Agenten mit Microsoft Purview oder zu Strategien für Data Loss Prevention in der Power Platform.

Verwendung der Verwaltungs- und Compliance-Werkzeuge von Microsoft Purview

  1. Daten mit Microsoft Purview Information Protection klassifizieren und schützen: Erstellen Sie Bezeichnungen, um Vertraulichkeitsrichtlinien und Governance-Markierungen auf E-Mails, Teams-Dateien, SharePoint-Dateien und OneDrive-Dateien anzuwenden. So bleiben vertrauliche Informationen unabhängig von der Plattform verschlüsselt und zugriffsgeschützt.
  2. DLP (Data Loss Prevention) einrichten und überwachen: Verwenden Sie DLP-Richtlinien, um unbeabsichtigte Freigaben, Datenverluste oder die Nutzung riskanter Konnektoren innerhalb der Power Platform und in Cloud-Apps zu verhindern. Passen Sie Richtlinien an, um bestimmte Aktionen zu blockieren, etwa das Hochladen sensibler Dokumente in nicht genehmigte Schatten-IT-Dienste.
  3. Überwachung und Aktivitätsprotokollierung nutzen: Aktivieren Sie die erweiterte Überwachung in Purview, um Benutzer-, Administrator- und Systemaktionen über alle Workloads hinweg zu erfassen. Diese Protokolle sind für die Reaktion auf Sicherheitsvorfälle und den Nachweis der Compliance bei behördlichen Prüfungen unverzichtbar.
  4. Richtlinienverwaltung im Compliance Center zentralisieren: Entwerfen Sie im Compliance Center von Purview ganzheitliche Richtlinien für Geräte, Daten und Prozesse. Dashboards bündeln Status und Feststellungen, sodass Sie Ihrer Geschäftsleitung berichten oder sich mit Prüfern von einer einzigen Oberfläche aus abstimmen können.
  5. Zusammenarbeitskontrollen integrieren: Verbinden Sie die Dokumentkontrollen von Purview mit Strategien für die Governance in SharePoint, um Inhalte unternehmensweit zu verwalten. Ziehen Sie Berechtigungen enger, überwachen Sie Freigabelinks und stimmen Sie DLP so ab, dass ein kollaborativer, prüfungsfähiger Arbeitsplatz entsteht.
  6. Verantwortlichkeiten festlegen: Arbeiten Sie mit HR, Rechtsabteilung und Sicherheitsfunktionen zusammen, um Richtlinieneigentümer zu benennen, Überprüfungsrhythmen festzulegen und den Schutz von Informationen am Lebenszyklus des Unternehmens auszurichten. Dieser menschliche Aspekt bildet zusammen mit den technischen Kontrollen die Grundlage für ein reifes Compliance-Programm.

Verwaltung von Richtlinienausnahmen, Ablaufdaten und Prüfungsfeststellungen in Purview

  1. Temporäre Ausnahmen protokollieren: Dokumentieren Sie genehmigte Ausnahmen in Purview formal, etwa geschäftlich begründete Abweichungen von der regulären Sicherheitsrichtlinie, mit Start- und Enddatum. Dieser Nachweis ist bei Anfragen von Prüfern entscheidend.
  2. Ablauf von Ausnahmen überwachen: Richten Sie Erinnerungen und automatisierte Überprüfungen für Ausnahmen ein, die bald auslaufen. So verhindern Sie eine schleichende Ausweitung von Ausnahmen, bei der aus temporären Umgehungen unbeaufsichtigte Dauerrisiken werden.
  3. Feststellungen nachverfolgen, beheben und abschließen: Hängen Sie Behebungsmaßnahmen, Nachweise und Abschlussnotizen an jede richtlinienbezogene Feststellung oder Lücke an. So entstehen lückenlose Prüfpfade, und Sie belegen Ihre Compliance-Maßnahmen in Echtzeit.
  4. Nachweise für Prüfer erstellen: Nutzen Sie die Berichte und Exportfunktionen von Purview, um alle Daten zu Ausnahmen, Behebungen und Überprüfungen zusammenzustellen. Stellen Sie Prüfern Zeitachsen, Begründungen und den Nachweis zeitnaher Abschlüsse für jede Feststellung bereit.

Methoden für manuelle und automatisierte Compliance-Prüfungen

Compliance darf nicht nach dem Motto „einrichten und vergessen“ funktionieren. Sie wollen die Möglichkeit haben, die Compliance jederzeit zu prüfen, oder die Prüfung der Automatisierung im großen Maßstab überlassen. Microsoft Intune bietet zusammen mit Azure CLI, PowerShell und der REST API Optionen für manuelle und automatisierte Scans. So reagieren Sie schnell, wenn etwas nicht stimmt, oder behalten über Tausende von Endpunkten hinweg den Überblick.

Manuelle Scans auf Abruf sind nützlich, wenn Sie ein hartnäckiges Gerät analysieren oder nach einer Änderung der Richtlinienzuweisungen sofort eine Prüfung auslösen möchten. Die Automatisierung mit Skripten oder die Integration in bestehende IT-Workflows sorgt dafür, dass Abweichungen von der Compliance erkannt und behoben werden, bevor Prüfer oder Angreifer sie bemerken.

In den folgenden Abschnitten wird Schritt für Schritt erläutert, wie Sie eine manuelle Prüfung direkt im Portal oder mithilfe von Befehlszeilentools durchführen. Außerdem zeigen wir, wie Sie Skripting-Möglichkeiten nutzen (etwa die in verschiedenen PowerShell-Automatisierungs-Podcasts besprochenen), um Ihre Compliance-Überwachung, Protokollierung und Reaktion auf Abweichungen zu skalieren. So bleiben Sie der Entwicklung immer einen Schritt voraus, unabhängig davon, ob Sie 100 oder 100.000 Geräte verwalten.

Bedarfsgesteuerte Bewertungsprüfungen über Portal und Befehlszeile starten

  1. Synchronisierung im Intune Admin Center auslösen: Wählen Sie das Gerät im Bereich „Geräte“ des Intune-Portals aus, und klicken Sie auf „Synchronisieren“ oder „Gerätekonformität überprüfen“. Das Gerät meldet sich daraufhin sofort, bewertet die aktuellen Konformitätsrichtlinien und aktualisiert seinen Status.
  2. Prüfung über die App „Unternehmensportal“ anfordern: Benutzer können auf ihren Geräten das Unternehmensportal (unter iOS, Android oder Windows) öffnen, zu ihrem Gerät navigieren und die Option zur Überprüfung des Konformitätsstatus antippen. Das eignet sich besonders für Benutzer, die Zugriffsprobleme sofort beheben müssen.
  3. Anmeldung über die Befehlszeile: Erfahrene Administratoren können mit dsregcmd /status (Windows) oder über MDM-Synchronisierungsskripte eine Konformitätsbewertung anstoßen. So lassen sich hartnäckige Abweichungen beim Konformitätsstatus schnell prüfen und beheben.
  4. Schnelle Fehlerbehebung: Nutzen Sie bedarfsgesteuerte Prüfungen nach der Einführung neuer Richtlinien, nach Änderungen an Gruppenzuweisungen oder nach der Behebung eines Geräts, um zu sehen, ob diese Änderungen gewirkt haben. Das verkürzt Ausfallzeiten im Geschäftsbetrieb und liefert belastbare Nachweise bei einer Untersuchung oder Prüfung.

Compliance-Prüfungen mit Azure CLI, PowerShell, API und Monitor-Protokollen automatisieren

  1. Skriptgesteuerte Prüfungen mit Azure CLI: Verwenden Sie Azure CLI, um Abfragen des Konformitätsstatus für Geräte oder Gruppen zu planen und auszuführen. Automatisieren Sie das Abrufen und die zusammenfassende Berichterstattung, damit die täglichen Dashboards für IT- und Sicherheitsteams stets aktuell bleiben.
  2. PowerShell-Automatisierung: Stellen Sie PowerShell-Skripte über die proaktiven Behebungsfunktionen von Intune bereit. Skripte können den Konformitätsstatus prüfen, Ergebnisse protokollieren und sogar automatisch Korrekturmaßnahmen auslösen. So werden Abweichungen ohne Eingreifen der Benutzer erkannt und behoben.
  3. REST-API-Integration: Nutzen Sie die Microsoft Graph API, um Konformitätsdaten in Echtzeit abzurufen, Benachrichtigungen zu übermitteln oder Massenprüfungen zu automatisieren. Besonders wirkungsvoll ist dies für die Anbindung an Service Desks oder übergreifende Compliance-Dashboards.
  4. Azure Monitor-Protokolle und Resource Graph verwenden: Leiten Sie die Konformitätsstatus der Geräte in Azure Monitor-Protokolle weiter, um sie langfristig aufzubewahren, mit anderen Sicherheitsereignissen zu korrelieren und automatisierte Warnmeldungen einzurichten. Mit Azure Resource Graph lassen sich nicht konforme Geräte in großen Beständen schnell finden.
  5. Proaktive Behebung aktivieren: Erstellen Sie benutzerdefinierte Behebungsskripte, die häufige Ursachen für Nichtkonformität automatisch beheben (etwa die Aktivierung von BitLocker, die Aktualisierung der Virenschutzdefinitionen oder das Zurücksetzen riskanter Registrierungsänderungen), sofern Konformitätsprüfungen sie melden.
  6. Low-Code-Workflows mit Power Automate erstellen: Verwenden Sie Power Automate für plattformübergreifende Aktionen, um Konformitätswarnungen mit der Erstellung von Tickets, Benachrichtigungen an Benutzer oder sogar Aktualisierungen von bedingtem Zugriff zu verknüpfen. So arbeiten Microsoft 365, Service Desks und Sicherheitsteams nahtlos zusammen.
  7. Automatisierte Nachweise dokumentieren: Stellen Sie sicher, dass alle automatisierten Prüfungen und Korrekturen protokolliert und nachvollziehbar sind, insbesondere wenn sie über APIs oder Skripte gesteuert werden. Wer Erkennung und Korrektur belegen kann, schützt seinen Ruf und ist auf Audits oder Prüfungen durch Aufsichtsbehörden gut vorbereitet.

Häufige Compliance-Lücken und organisatorische Herausforderungen

Richtlinien und Berichte zu erstellen ist nur ein Teil des Compliance-Puzzles. Am schwierigsten ist es, Fehler zu erkennen und Lücken zu schließen, bevor sie im Auditfall zum Problem werden. Fehler wie zu breit zugewiesene Richtlinien, nicht erfasste unbekannte Geräte oder übersehene Benutzerbestätigungen können Ihr gesamtes Programm untergraben, selbst wenn die Dashboards auf den ersten Blick gut aussehen.

Nicht verwaltete oder unbekannte Geräte sowie Schatten-IT (etwa wild erstellte Teams, nicht genehmigte Apps oder vergessene Endgeräte) sind typische Problemfelder. Ohne straffe Governance öffnen Sie Datenlecks oder schwer nachvollziehbaren Sicherheitsverletzungen Tür und Tor. Ausführlich behandelt das praxisnahe Leitfaden zur Schatten-IT.

Lücken bei der Bestätigung von Richtlinien und die Vorbereitung auf Audits verdienen ebenfalls besondere Aufmerksamkeit. Wenn Mitarbeitende an „Erinnerungsmüdigkeit“ leiden, Auftragnehmer durchrutschen oder alte Richtlinien in SharePoint weiterleben, kann das Ihren Prüfpfad erheblich schwächen. Im Folgenden zeigen wir bewährte Wege, mit denen Administratoren diese Lücken schließen, die Abdeckung von Geräten und Benutzern im Blick behalten und verirrte Richtlinien oder Benutzer wieder in die Compliance einbinden.

Umgang mit breit angelegten Richtlinienzuweisungen und nicht verwalteten oder unbekannten Geräten

  1. Risiken breiter Zuweisungen: Richtlinien an „Alle Benutzer“ oder „Alle Geräte“ zuzuweisen, wirkt auf den ersten Blick effizient. Dabei können jedoch Einstellungen falsch angewendet oder wichtige Kontrollen unnötig breit ausgerollt werden. Ungewollte Ziele, etwa Testumgebungen oder Power-User, können im Produktivbetrieb echte Probleme und Compliance-Lücken verursachen.
  2. Risiko nicht verwalteter Geräte: Lücken entstehen häufig durch unbekannte, nicht registrierte oder nicht überwachte Geräte, vor allem dann, wenn private Geräte (BYOD) oder Endgeräte von Auftragnehmern die üblichen Kontrollen umgehen.
  3. Richtlinienbereiche präzise festlegen: Nutzen Sie gezielte Zuweisungen, dynamische Azure AD-Gruppen und Gerätefilter, um die Richtlinienabdeckung zu schärfen. Dokumentieren Sie die Absicht hinter jeder Richtlinie und überprüfen Sie sie regelmäßig, um ungewollte Abweichungen oder versehentliche Ausweitungen zu vermeiden.
  4. Gerätestatus proaktiv überwachen: Planen Sie regelmäßige Überprüfungen mit Compliance-Berichten, Prüfungen beim Onboarding und Offboarding sowie Abgleichen mit Ihren Geräteinventar-Tools. Achten Sie auf Geräte „ohne zugewiesene Compliance-Richtlinie“ und beheben Sie diese umgehend.
  5. Eindämmung von Schatten-IT: Kombinieren Sie Geräterichtlinien mit Kontrollen für externe Apps, Konnektoren oder nicht autorisierte Teams. Lesen Sie die Teams-Governance-Leitfäden zur Automatisierung des Lebenszyklus und zur Integration von Power Automate, damit die Zusammenarbeit sicher und compliant bleibt.
  6. Lücken sofort schließen: Wenn Sie Lücken entdecken, weisen Sie korrigierende Richtlinien zu, sperren Geräte mit hohem Risiko und informieren Sie die Benutzer, um Abweichungen zu beheben. Das erste Audit nach einem übersehenen Gerät ist der Zeitpunkt, an dem Sie einen solchen Fehler garantiert nicht noch einmal machen möchten.

Umgang mit Herausforderungen bei Richtlinienbestätigung und Audits

Nächste Schritte, Feedback und maßgebliche Ressourcen

Sie haben den praktischen Prozess durchlaufen, Microsoft-Richtlinien für Compliance über Geräte und Daten hinweg bereitzustellen, zu überwachen und zu verfeinern. Was kommt als Nächstes? Dieser abschließende Abschnitt unterstützt Sie bei der kontinuierlichen Verbesserung, der Audit-Resilienz und bei verbindlichen Empfehlungen direkt von Microsoft und aus Branchenstandards.

Nehmen Sie sich jetzt Zeit, Ihren Compliance-Weg zu überdenken, Stellen für weitere Automatisierung oder Fehlervermeidung zu identifizieren und Ihre Richtlinien sowie das Bewusstsein Ihres Teams aktuell zu halten, während Microsoft neue Funktionen einführt und sich Vorschriften weiterentwickeln. Außerdem haben Sie die Gelegenheit, Verbesserungswünsche an Microsoft zu senden, damit die Werkzeuge, auf die Sie sich verlassen, auch weiterhin zu den realen Anforderungen Ihrer Organisation passen.

Zuletzt erfahren Sie, wo Sie aktuelle Dokumentation, offizielle Runbooks und vertrauenswürdige Ressourcen finden. Audit-Bereitschaft ist kein statischer Zielpunkt, sondern ein sich ständig veränderndes Ziel. Wenn Sie mit maßgeblichen Quellen und Erfahrungswerten aus der Community in Verbindung bleiben, schützen Sie sich am besten vor unerwarteten Feststellungen und dem schleichenden Abdriften der Compliance.

Nächste Schritte prüfen und Feedback an Microsoft geben

Maßgebliche Compliance-Runbooks für Intune und Microsoft

Häufige Fragen: Microsoft Policy Compliance Check

Wenn Sie mit Microsoft 365, Intune oder Power Platform arbeiten, wirken Compliance-Prüfungen auf den ersten Blick oft kompliziert. Die meisten Administratoren möchten wissen, wann und wie diese Prüfungen ausgelöst werden, welche Dashboards ein realistisches Bild liefern und wie sich Nichtkonformität mehr als nur ein rotes Warnsignal im Bericht darstellen lässt. Außerdem stellt sich die Frage, wie Compliance das Benutzererlebnis beeinflusst. Und ob sich mehr automatisieren lässt, ohne Benutzer ständig mit Hinweisen zu belästigen.

Eine zentrale Frage lautet: „Was löst eine Compliance-Prüfung aus?“ In Intune werden Gerätprüfungen durch Richtlinienaktualisierungen, Benutzeranmeldungen, geplante Aktualisierungszyklen oder die manuelle Auswertung im Admin Center ausgelöst. Diese Auslöser zu kennen, ist bei der Fehlerbehebung oder der Einführung neuer Richtlinien entscheidend.

Ein weiteres Anliegen betrifft die Dashboards: Das Gerätecompliance-Dashboard in Intune und das Microsoft 365 Compliance Center zeigen den Status der Geräte an. Berichte können jedoch verzögert sein oder nicht verwaltete Endpunkte übersehen. Deshalb fragen viele auch nach Abdeckungslücken, insbesondere bei Geräten, die durch das Raster fallen, oder bei Benutzern, die Richtlinien nicht bestätigt haben.

Viele Administratoren fragen: Können Microsoft-Tools Nichtkonformität automatisch beheben? Bis zu einem gewissen Grad ja. Skripte für proaktive Behebung, Endpoint Analytics und Power Automate-Flows können helfen, häufige Probleme zu korrigieren, Benutzer zu benachrichtigen und bei Bedarf sogar Tickets im Service Desk auszulösen, wenn manuelles Eingreifen nötig ist. Letztlich geht es darum, die beweglichen Teile zu kennen und Automatisierung und Kommunikation so zu gestalten, dass sie Ihnen in die Karten spielen.

Microsoft Intune Compliance Microsoft Power Platform Microsoft Defender Microsoft Entra ID Zero Trust

Verwandte Artikel

RSS