Intune-Gerätekonformität: Abweichungen beheben

Von Mirko Peters · 2026-04-24 · Aktualisiert 2026-07-18

Abweichungen bei der Intune-Gerätekonformität beheben: Praxisnahe Prüfungen für Richtlinien, Gerätestatus, Registrierung, Bedingten Zugriff und Synchronisierungszeitpunkte.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Abweichungen bei der Gerätekonformität gehören zu den Problemen, die jeden treffen können, der Microsoft Intune nutzt, auch die sorgfältigsten IT-Administratoren. Sie richten alles ein, arbeiten die Checkliste ab, und trotzdem taucht plötzlich ein Gerät mit dem gefürchteten Status „Nicht konform“ auf, ohne erkennbaren Grund. Solche Abweichungen wirken nicht nur in Ihren Berichten schlecht. Sie können Benutzern den Zugriff auf Microsoft 365 blockieren, Sicherheitsrisiken öffnen und eine Flut von Supportanfragen auslösen.

In diesem Leitfaden erhalten Sie klare Antworten darauf, warum diese Probleme entstehen, wie die Konformitätsengine von Intune tatsächlich arbeitet und was Sie tun können, wenn der Gerätestatus nicht zur Realität passt. Wir behandeln die Grundlagen, analysieren die Abhängigkeiten des Bedingten Zugriffs und gehen reale Beispiele durch. Außerdem zeigen wir bewährte Lösungen und moderne Überwachungsmethoden, mit denen Sie Probleme erkennen, bevor sie zum Ärgernis werden. Wenn Sie praktische Anleitung statt reiner Theorie suchen, sind Sie hier richtig.

Grundlagen der Intune-Gerätekonformität und Ursachen für Abweichungen

Haben Sie sich schon einmal gefragt, warum ein einwandfreies Gerät in Intune ohne ersichtlichen Grund auf „Nicht konform“ springt? Damit sind Sie nicht allein. Viele Organisationen stolpern genau hier, selbst wenn sie viel Aufwand in ihre Richtlinien und Kontrollen investiert haben. Das Problem: Die Intune-Konformität ist nicht nur ein Abgleich von Einstellungen. Entscheidend ist, wie die Microsoft-Engine Signale, Richtlinien und Auswertungszyklen gemeinsam betrachtet.

Im Kern ist die Gerätekonformität in Intune der Mechanismus von Microsoft, mit dem geprüft wird, ob Endpunkte wie Laptops, Smartphones und Tablets die Anforderungen Ihres Unternehmens erfüllen. Das System prüft alles von Verschlüsselung und Kennwörtern über Betriebssystem-Updates bis hin zur allgemeinen Sicherheitslage. Selbst bei sorgfältiger Konfiguration kann es aber zu falschen Meldungen „Nicht konform“ kommen, etwa durch Verzögerungen bei der Synchronisierung, veränderte Richtlinien oder schlicht unklare Zuweisungen.

Warum treten diese Abweichungen auf? Manchmal deckt eine einmal eingerichtete und dann vergessene Richtlinie nicht alle Geräte oder Benutzer ab. Andere Male liegt die Ursache tiefer: Benutzerkontexte, Synchronisierungslücken oder Standardeinstellungen des Mandanten verdrängen ein an sich gutes Setup. Wenn Sie diese Mechanismen verstehen, also die Konformitäts-Engine, die Standardrichtlinien und den entscheidenden Synchronisierungszeitplan, haben Sie eine echte Chance, die lästigen Abweichungen zu diagnostizieren und zu beheben. Die folgenden Abschnitte gehen genauer darauf ein, was all das steuert.

So funktioniert die Gerätekonformität in Intune in Microsoft-Umgebungen

Microsoft Intune setzt auf einen richtlinienbasierten Ansatz, um zu prüfen, ob registrierte Geräte Ihre Sicherheitsstandards erfüllen. Administratoren weisen Konformitätsrichtlinien Gruppen oder einzelnen Benutzern und Geräten zu. Diese Richtlinien können unter anderem BitLocker-Verschlüsselung, Mindestversionen des Betriebssystems oder die Durchsetzung komplexer Kennwörter verlangen.

Die Konformitäts-Engine bewertet den Gerätezustand, indem sie bei jeder Anmeldung des Geräts Signale erfasst. Dieser Vorgang ist kein einmaliges Ereignis: Bei jeder Synchronisierung bewertet Intune das Gerät gegen alle aktiven Konformitätsrichtlinien, die ihm zugewiesen sind. Unterstützt werden Windows, iOS/iPadOS, Android und macOS, jeweils mit eigenen Richtlinienoptionen und Auslösern.

Konformitätsstatus in Intune können „Konform“, „Nicht konform“ oder „Unbekannt“ sein. Ein Gerät gilt als „Konform“, wenn es alle zugewiesenen Richtlinienanforderungen erfüllt. Verfehlt es auch nur eine Anforderung, ist es „Nicht konform“. Hat Intune keine aktuellen Konformitätsdaten erhalten, etwa wegen Verbindungsproblemen oder Verzögerungen bei der Registrierung, wechselt der Status zu „Unbekannt“.

Konformitätsprüfungen werden durch Ereignisse ausgelöst, etwa durch Änderungen bei der Richtlinienzuweisung, manuelle Synchronisierungsanforderungen des Benutzers oder die regelmäßige geplante Geräteanmeldung. Jede Änderung des Konformitätsstatus wird an das Intune-Admin-Center zurückgemeldet und fließt in Bedingten Zugriff, Berichte und Warnmeldungen ein. Diesen Lebenszyklus zu kennen, ist entscheidend, wenn Sie herausfinden wollen, warum der gemeldete Status eines Geräts nicht dem entspricht, was Sie erwarten.

Standardkonformität und Mandanteneinstellungen in Intune erklärt

Intune enthält eine Standard-Konformitätsrichtlinie, die im Hintergrund alle Geräte steuert, die von keiner benutzerdefinierten Konformitätsrichtlinie ausdrücklich erfasst werden. Hat ein Gerät keine zugewiesene Richtlinie, greift standardmäßig die Standardrichtlinie. Sie markiert das Gerät so lange als „Nicht konform“, bis eine Richtlinie es abdeckt.

Diese integrierte Richtlinie dient als Sicherheitsnetz, kann aber auch zur Stolperfalle werden. Viele Administratoren übersehen sie und gehen davon aus, dass alle registrierten Geräte abgedeckt sind, nur weil sie Richtlinien eingerichtet haben. Tatsächlich gilt: Wenn Sie ein neues Gerät oder einen neuen Benutzer registrieren und die Richtlinienzuweisung vergessen, markiert die Standardrichtlinie dieses Gerät sofort als nicht konform.

Einstellungen auf Mandantenebene bestimmen, wie streng die Standard-Compliance-Richtlinie die Konformität durchsetzt. Sie können beispielsweise Einstellungen so anpassen, dass Geräte im Status „Nicht konform“ nicht sofort blockiert werden, oder Benachrichtigungen so konfigurieren, dass solche Sonderfälle frühzeitig erkannt werden. Klare Leitplanken und Konfigurationsrichtlinien auf Mandantenebene sind daher unverzichtbar. Wer hier den Überblick verliert, ist nur eine vergessene Gruppenzuweisung vom nächsten Problem entfernt.

Die Botschaft: Verlassen Sie sich niemals allein auf das Standardverhalten und gehen Sie nicht davon aus, dass Geräte von Haus aus konform sind. Ordnen Sie stattdessen Ihre Gruppenzuweisungen zu und prüfen Sie die Durchsetzungsoptionen auf Mandantenebene, besonders wenn Ihre Umgebung wächst.

Gültigkeitsdauer des Compliance-Status und Statussynchronisierung in Intune

Intune bewertet die Compliance von Geräten nach einem wiederkehrenden Zeitplan, bei den meisten Plattformen in der Regel alle 8 Stunden. Die tatsächliche Gültigkeitsdauer kann je nach Gerätetyp und letzter Synchronisierung jedoch variieren.

Wenn ein Gerät seine Compliance-Prüfung verpasst, etwa weil der Benutzer den Laptop zuklappt und ihn für einige Tage vergisst, kann Intune den zuletzt bekannten Compliance-Status verfallen lassen. In diesem Fall kann ein Gerät, das zuvor als „Konform“ angezeigt wurde, plötzlich auf „Nicht konform“ wechseln, nur weil es nicht rechtzeitig synchronisiert wurde.

Administratoren können über das Intune-Portal eine manuelle Synchronisierung auslösen oder Benutzer anweisen, über die App Unternehmensportal zu synchronisieren. Wer dieses Gültigkeitsfenster versteht, kann die scheinbar zufälligen Änderungen des Compliance-Status viel leichter diagnostizieren.

Diagnose des Status „Nicht konform“ bei Intune-Geräten

Geräte, die hartnäckig als „Nicht konform“ gekennzeichnet sind, sind häufiger, als man denkt, und das ist selten ein Zeichen von Nachlässigkeit der IT. Meist stecken Lücken in der Abdeckung, Abweichungen bei Benutzerzuordnungen oder Integritätssignale aus dem Backend dahinter, die die Statusbewertung stören. Selbst wenn die Richtlinieneinstellungen auf dem Papier korrekt aussehen, können kleine Fehler dazu führen, dass Geräte als nicht konform gelten und den Zugriff auf wichtige Microsoft 365-Dienste blockieren.

Dieser Abschnitt beleuchtet die Hauptursachen für solche Abweichungen. Sie erfahren, wie fehlende oder falsch zugewiesene Richtlinien Geräte ungeschützt lassen, untersuchen Szenarien, in denen der Benutzerkontext oder eine schleichende Abweichung bei den Zuweisungen einen falschen Status erzeugt, und prüfen, welchen Einfluss Sicherheitsfunktionen wie BitLocker und die Integritätsattestierung auf die gesamte Compliance-Lage haben.

Wenn Sie diese Ursachen klar im Blick haben, können Sie Fehler gezielter eingrenzen und schneller von Ratlosigkeit zur Lösung kommen. Die folgenden Unterabschnitte zeigen Ihnen, wo Sie suchen, wie Sie diagnostizieren und welche Fragen Sie stellen sollten, wenn sich das hartnäckige Kennzeichen „Nicht konform“ nicht ändern lässt.

Lücken bei Compliance-Richtlinienzuweisungen und Abdeckungsprobleme

• Fehlende Richtlinienzuweisungen: Wird ein Gerät oder eine Benutzergruppe nicht direkt von einer Compliance-Richtlinie erfasst, markiert Intune diese Geräte standardmäßig als „Nicht konform“. Prüfen Sie daher stets die Richtlinienzielgruppen, damit jedes Gerät von mindestens einer relevanten Richtlinie abgedeckt ist.
• Übersehene Zuweisungen über Gruppen: Wenn Richtlinien ausschließlich über Sicherheitsgruppen zugewiesen werden, können bestimmte Geräte unbeabsichtigt außen vor bleiben. Das gilt besonders, wenn die Gruppenmitgliedschaft nicht mehr mit Ihrer aktuellen Liste übereinstimmt oder Personalwechsel nicht abgeglichen wurden.
• Abweichung zwischen Benutzer- und Gerätezuweisung: Werden Richtlinien Benutzern zugewiesen, Geräte aber als gemeinsam genutzte Ressourcen registriert (oder umgekehrt), entstehen Lücken, in denen die Konformität nicht durchgesetzt wird. Das führt zu verwirrenden Statusmeldungen und zu Markierungen als „Nicht konform“.

Benutzerbedingte Ursachen und Konfigurationsabweichungen bei der Compliance

Konflikte bei der Compliance auf Benutzerebene entstehen häufig, wenn die zugewiesene Richtlinie und die tatsächliche Beziehung zwischen Gerät und Benutzer nicht zusammenpassen. Wenn der „Primären Benutzer“ eines Geräts in Intune nicht der realen Person entspricht, können Richtlinien möglicherweise nicht die richtige Person erfassen, und der Compliance-Status driftet von der Realität ab.

Abweichungen entstehen, wenn sich Rollen oder Zuständigkeiten von Benutzern ändern, Intune aber nicht entsprechend aktualisiert wird. Ein Laptop, der an einen neuen Mitarbeiter weitergegeben wird, trägt beispielsweise möglicherweise noch Compliance-Regeln für seinen früheren Benutzer und erfüllt neue Anforderungen nicht. So entstehen unbemerkte Lücken in Ihrer Abdeckung.

Szenarien mit gemeinsam genutzten Geräten, etwa bei Schichtarbeitern im Frontline-Bereich oder bei Kiosk-Bereitstellungen, können besonders heikel sein. Hier melden sich mehrere Benutzer an einem einzigen Gerät an, was häufig widersprüchliche Compliance-Signale auslöst. Richtlinien, die auf einzelne Benutzerkontexte abzielen, lassen sich auf gemeinsam genutzter Hardware oft nicht sauber anwenden. Dadurch wechselt das Gerät je nachdem, wer angemeldet ist oder wie Intune den Sitzungskontext auswertet, ständig zwischen konform und nicht konform.

Die hybride Azure AD-Verbindung bringt eine weitere Ebene an Komplexität mit sich. Geräte, die sowohl lokal als auch in Azure AD verbunden sind, können Verzögerungen bei der Auswertung oder widersprüchliche Richtlinienvererbung erleben. Die lokale Verzeichnissynchronisierung kann hinter Änderungen in Intune zurückbleiben, wodurch sich der Compliance-Status verzögert aktualisiert. Das passiert häufig in Organisationen, die Co-Management einführen oder den Mandanten wechseln, wenn Geräte- und Benutzerkontext schnell auseinanderlaufen.

BitLocker-Verschlüsselung und Auswirkungen der Integritätsbestätigung auf die Compliance

Signale zur BitLocker-Verschlüsselung und zur Integritätsbestätigung gehören in Intune-Compliance-Richtlinien oft zu den zentralen Anforderungen, besonders für Windows 10 und 11. Ist BitLocker deaktiviert, falsch konfiguriert oder hat seinen Status schlicht nicht korrekt gemeldet, wird das Gerät sofort als „Nicht konform“ eingestuft, auch wenn alles andere in Ordnung scheint.

Die Integritätsbestätigung prüft tiefere Geräteeigenschaften wie Secure Boot und den TPM-Status, und zwar anhand von Telemetriedaten, die das Gerät an den Intune-Dienst sendet. Kann das Gerät diese Telemetrie nicht senden oder darauf nicht zugreifen, etwa wegen eines fehlenden TPM, einer falschen BIOS-Konfiguration oder eines Fehlers bei der Berichterstattung, schlägt die Compliance-Auswertung fehl. Diese Signale im Blick zu behalten ist entscheidend. Wenn Sie Gerätezustandsdaten regelmäßig überprüfen und sie gegebenenfalls mit Sicherheitslösungen wie Microsoft Defender for Cloud verknüpfen (erfahren Sie hier mehr), erkennen Sie unerwartete Compliance-Fehler frühzeitig.

Auswirkungen der bedingten Zugriffssteuerung auf die Gerätekonformität

Die bedingte Zugriffssteuerung in Microsoft 365 ist direkt an den Compliance-Status der Geräte in Intune gekoppelt. Wechselt ein Gerät plötzlich in den Status „Nicht konform“, können Benutzer vom Zugriff auf E-Mail, Teams oder SharePoint ausgeschlossen werden, selbst wenn sich die eigentliche Gerätekonfiguration nicht geändert hat. Diese enge Kopplung macht aus kleinen Compliance-Problemen schnell große Produktivitäts- und Sicherheitsvorfälle, wenn Organisationen nicht sorgfältig vorgehen.

Die folgenden Abschnitte erläutern, wie bedingte Zugriffsrichtlinien Compliance-Signale in Echtzeit auswerten, warum Lücken bei der Durchsetzung oder Abweichungen unerwartete Zugriffsverweigerungen verursachen oder sogar kurzzeitig Sicherheitslücken öffnen können und wie Sie neue Regeln schrittweise einführen, ohne Benutzer mitten im Arbeitstag auszusperren. Richtlinien einzurichten und dann nicht weiter darum zu kümmern, reicht nicht aus. Die bedingte Zugriffssteuerung erfordert ein diszipliniertes Rollout-Vorgehen und eine kontinuierliche Überprüfung.

Möchten Sie tiefer in Vertrauensprobleme, Richtlinienwildwuchs und Durchsetzungsschleifen einsteigen? Dann lesen Sie praxisnahe Erfahrungen und einen sicheren Rollout-Leitfaden auf dieser Seite zur Strategie für die bedingte Zugriffssteuerung, oder erfahren Sie in dieser Episode, welche Risiken Identitätsschulden und fehlende Governance mit sich bringen und wie Sie Entra ID-Umgebungen praxisnah absichern.

Sicherheit durch bedingte Zugriffssteuerung in Microsoft 365 durchsetzen

• Zugriff nur für konforme Geräte erlauben: Richten Sie Regeln für die bedingte Zugriffssteuerung ein, die den Zugriff auf Apps wie Exchange, Teams und SharePoint blockieren oder einschränken, solange ein Gerät in Intune nicht als konform gemeldet wird. So lassen Sie nur sichere, aktuelle Endgeräte durch Ihre digitalen Tore.
• Inklusive statt übermäßig restriktiver Richtlinien entwickeln: Verzichten Sie auf endlose Ausnahmen und Sonderregelungen. Setzen Sie stattdessen auf breit angelegte Richtlinien mit gezielten, zeitlich begrenzten Ausnahmen, die ausschließlich der Fehlerbehebung dienen. So vermeiden Sie unsichtbare Lücken, die Angreifer ausnutzen könnten.
• Abweichungen bei Richtlinien und Lücken überwachen: Prüfen Sie Anmeldeprotokolle und Auditberichte regelmäßig auf fehlgeschlagene Zugriffe oder verdächtige Muster, die auf nicht übereinstimmende Compliance-Status oder falsch angewendete Zugriffsregeln hinweisen.

Bewährte Methoden für die Vorbereitung und Einführung der bedingten Zugriffssteuerung

Die bedingte Zugriffssteuerung sollten Sie schrittweise und strukturiert einführen, nicht mit einem plötzlichen Big-Bang-Rollout. Beginnen Sie mit einer kleinen Testgruppe, die verschiedene Benutzertypen, Plattformen und Anwendungsfälle in Ihrer Organisation abbildet. Dokumentieren Sie alles: welche Richtlinien für welche Gruppen gelten, welche Ausnahmen gemacht werden und warum.

Testen Sie Ihre Conditional-Access-Regeln zunächst im Modus „Nur Bericht“. So sehen Sie, welche Benutzer oder Geräte blockiert würden, bevor Sie die Richtlinien erzwingen, und unerwartete Überraschungen bleiben aus. Verfolgen Sie mit den Anmeldeprotokollen und den integrierten Dashboards jede Blockierung nach und passen Sie die Regeln bei Bedarf umgehend an.

Erweitern Sie die Einführung schrittweise, indem Sie weitere Benutzer oder Geräteplattformen hinzufügen, sobald Sie sich sicherer fühlen. Kommunizieren Sie Änderungen früh und regelmäßig, damit Benutzer verstehen, warum sie ein Gerät registrieren oder Probleme beheben müssen. Schulen Sie Ihren Helpdesk und Ihre IT-Mitarbeiter darin, Richtlinienprotokolle zu interpretieren und häufige Compliance-Probleme effizient zu lösen. Überprüfen Sie Ihre Regeln vierteljährlich, um veraltete Ausnahmen zu entfernen oder sie an neue Risikoszenarien anzupassen. Diesen Ansatz unterstreichen auch Experten in ihren Empfehlungen zu Best Practices für die Governance in Entra ID.

Pflegen Sie schließlich ein stets aktuelles Dokumentationsarchiv, das Ihre Conditional-Access-Richtlinien, deren Begründung und die geplanten Überprüfungstermine beschreibt. Das hilft Administratoren, Identity Debt abzubauen, vereinfacht Audits und unterstützt einen skalierbaren, sicheren Einführungsprozess.

Bewährte Lösungen und Workarounds bei Compliance-Abweichungen in Intune

Wenn sich der Compliance-Status in Intune nicht mit dem tatsächlichen Zustand eines Endpunkts deckt, brauchen IT-Teams konkrete, wiederholbare Lösungen. Gute Nachricht: Die meisten Abweichungen, ob durch verzögerte Synchronisierung, fehlende Zuweisungen oder veraltete Gerätedaten verursacht, lassen sich ohne drastische Maßnahmen beheben. Manchmal reicht eine manuelle Synchronisierung. In anderen Fällen muss der Richtlinienumfang angepasst oder das Gerät neu registriert werden.

Dieser Abschnitt zeigt erprobte Schritte, mit denen Sie Konflikte bei der Gerätekonformität schnell beheben. Wenn Standardmaßnahmen hartnäckige Probleme nicht lösen, finden Sie außerdem praktische Workarounds, damit Sie nicht in endlosen Support-Schleifen hängen bleiben. Der Fokus liegt auf Lösungen, die in dynamischen Umgebungen mit hohem Tempo funktionieren, auch wenn sie nicht immer den Lehrbuchantworten entsprechen.

Keine Organisation erlebt dieselbe Mischung aus Problemen, daher ist Flexibilität entscheidend. Wissen Sie, was Sie ausprobieren können, wann Sie eskalieren sollten und wo Sie die Erkennung automatisieren können, falls Muster immer wieder auftreten.

Behebung von Konflikten bei der Intune-Compliance in realen Umgebungen

1. Zuweisungen von Richtlinien auf Abdeckung prüfen: Stellen Sie sicher, dass jede Benutzer- und Gerätegruppe von einer Compliance-Richtlinie erfasst wird. Prüfen Sie, ob Änderungen an Sicherheitsgruppen oder an Gerätemitgliedschaften Lücken in der Richtlinienabdeckung verursacht haben.
2. Manuelle Gerätesynchronisierung auslösen: Bitten Sie Benutzer, die App Unternehmensportal zu öffnen und ihr Gerät manuell zu synchronisieren. Das zwingt Intune oft dazu, den Status neu zu bewerten, und behebt veraltete oder verzögerte Compliance-Zustände.
3. Primäre Benutzerzuweisungen prüfen und korrigieren: Wenn der Compliance-Status eines Geräts ständig wechselt, prüfen Sie, ob das Feld „Primärer Benutzer“ in Intune tatsächlich widerspiegelt, wer das Gerät täglich verwendet. Aktualisieren Sie die Zuweisungen bei Bedarf, um die Abweichung zu beseitigen.
4. Bestimmte Compliance-Richtlinieneinstellungen bewerten: Prüfen Sie alle Anforderungen in jeder zugewiesenen Richtlinie. Achten Sie auf kürzlich geänderte oder geerbte Einstellungen, die den Fähigkeiten eines Geräts widersprechen, zum Beispiel BitLocker-Einstellungen auf Hardware ohne TPM.
5. Hartnäckige Geräte neu registrieren oder zurücksetzen: Wenn alles andere fehlschlägt, entfernen Sie das Gerät aus der Verwaltung und registrieren Sie es erneut. Dadurch werden verwaiste Richtlinienzustände bereinigt und Intune führt eine frische Bewertung durch.

Workarounds bei anhaltenden Compliance-Abweichungen von Geräten

• Gerät entfernen und erneut registrieren: Ein Entfernen und erneutes Registrieren des Geräts behebt oft einen hartnäckigen Status „nicht konform“, wenn Standardmaßnahmen nicht greifen.
• Richtlinien-Layering: Weisen Sie der betroffenen Gerätegruppe vorübergehend eine weniger restriktive Compliance-Richtlinie zu, um zu prüfen, ob eine bestimmte Steuerung den Konflikt verursacht.
• Eskalation an den Microsoft-Support: Bei Problemen mit Telemetriefehlern, Verwirrung rund um die hybride Azure-AD-Beitritt oder Störungen in der Compliance-Engine eröffnen Sie ein Supportticket, um das Problem zu eskalieren.
• Abweichungserkennung automatisieren: Verwenden Sie Azure Monitor- oder Sentinel-Regeln, um benachrichtigt zu werden, wenn Geräte unerwartet die Compliance verlieren, bevor Benutzer Zugriffsprobleme bemerken.

Praxisbeispiele und tägliche Routinen für die Intune-Compliance

Manchmal muss man ein reales Szenario durchspielen sehen, um Compliance-Probleme wirklich zu verstehen: eine Mischung aus kleinen Fehltritten, versteckten Konfigurationseigenheiten und der ständigen Gefahr von Drift. Dieser Abschnitt ordnet die Theorie ein, indem er einen Vorfall beschreibt, bei dem eine subtile Falle zu einer Compliance-Abweichung führte. Danach folgen tägliche Routinen für Administratoren, mit denen Sie Probleme erkennen, bevor Benutzer sie bemerken.

Intune-Compliance ist kein „Einrichten und vergessen“. Echter Erfolg entsteht durch robuste Routinen, von der Protokollprüfung bis zur Synchronisierungskontrolle. Sie halten Ihre Abdeckung eng und lassen Sie nachts etwas ruhiger schlafen. Die folgende Fallstudie und Checkliste sind nicht nur Geschichten, sondern Handlungsanleitungen, die Sie unabhängig von Größe und Komplexität Ihrer Umgebung direkt einsetzen können.

Mit täglicher Wachsamkeit und etwas Detektivarbeit können Administratoren die Compliance auf Kurs halten, Unterbrechungen minimieren und Intune zu einem Werkzeug machen, dem Benutzer vertrauen, statt es zu fürchten.

Ein Praxisbeispiel: Eine versteckte Compliance-Falle beheben

Stellen Sie sich folgendes Szenario vor: Eine Reihe neu in Intune registrierter Laptops wird als „Nicht konform“ angezeigt, obwohl alle Sicherheitseinstellungen korrekt scheinen. Die Ursache: Die Compliance-Richtlinie verlangte BitLocker, das Gerätemodell verfügte aber über kein kompatibles TPM-Modul. Erschwerend kam hinzu, dass die Standard-Compliance-Richtlinie diese Geräte stillschweigend als nicht konform markierte, selbst nachdem der Administrator seine benutzerdefinierte Richtlinie zugewiesen hatte.

Die Fehlersuche begann mit der Prüfung der Anmeldeprotokolle in Intune und der Gerätezustandsberichte. Die Protokolle zeigten wiederholte Compliance-Fehler im Zusammenhang mit der BitLocker-Richtlinie, der Fehler war in der Hauptkonsole aber nicht eindeutig erkennbar. Bei genauerer Analyse stellte der Administrator fest, dass der Hardware die erforderliche TPM-Unterstützung fehlte. Ein übersehener Schritt bei der ursprünglichen Richtlinienzuweisung hatte zudem eine pauschale Richtlinie zugewiesen, die nicht zu diesen Endgeräten passte.

Die Lehre daraus: Eine gründliche Prüfung sowohl des Hardware-Inventars als auch der Richtlinienzuweisungen hat das Problem behoben. Die BitLocker-Anforderung wurde für diese Gerätegruppe entfernt, die Geräte wurden synchronisiert, und der Compliance-Status wechselte sofort. Nutzen Sie gerätespezifische Berichte, werten Sie Fehlerprotokolle aus und gleichen Sie Richtlinien immer mit den tatsächlichen Fähigkeiten der Endgeräte ab. Gehen Sie nicht davon aus, dass eine „Universallösung“ alle Geräte zufriedenstellt.

Tägliche Intune-Routinen, um Compliance-Drift zu vermeiden

• Compliance-Abdeckung prüfen: Kontrollieren Sie täglich die Compliance-Dashboards, um sicherzustellen, dass alle neuen und bestehenden Geräte von den richtigen Richtlinien erfasst werden und keine Lücken bestehen.
• Synchronisierungsaktivität überwachen: Erkennen Sie Geräte, die ihre geplante Compliance-Prüfung verpasst haben, und bitten Sie Benutzer bei Bedarf, manuell zu synchronisieren, um veraltete Werte zu erfassen.
• „Nicht konform“-Meldungen untersuchen: Analysieren Sie jedes neu als nicht konform gemeldete Gerät im Detail und ermitteln Sie die konkreten Einstellungen oder Anforderungen, die den Status auslösen.
• Aktuelle Richtlinienänderungen prüfen: Setzen Sie Compliance-Änderungen in Beziehung zu aktuellen Updates oder Rollouts. So erkennen Sie Konfigurationsdrift, bevor sie sich massenhaft auf Benutzer auswirkt.

Zusammenfassung und das Wichtigste in Kürze zu Compliance-Abweichungen bei Geräten

• Richtlinienabdeckung ist entscheidend: Stellen Sie immer sicher, dass jedes Gerät von mindestens einer Compliance-Richtlinie erfasst wird, um einen versehentlichen Standardstatus „Nicht konform“ zu vermeiden.
• Benutzerzuordnung und Gerätekontext sind wichtig: Halten Sie die Verknüpfungen zwischen Geräten und Benutzern korrekt und aktualisieren Sie die Felder für den primären Benutzer nach jeder Neuzuweisung eines Geräts.
• BitLocker, TPM und Integritätsnachweis sind häufige Stolperfallen: Prüfen Sie, ob Geräte die Hardwareanforderungen erfüllen, bevor Sie strenge Richtlinien erzwingen.
• Synchronisierungspläne nicht ignorieren: Stoßen Sie bei Bedarf regelmäßig manuelle Synchronisierungen an und achten Sie auf Geräte, die ihre Compliance-Prüfungen verpassen.
• Tägliche Überwachung und Automatisierung nutzen: Prüfen Sie Berichte kontinuierlich, untersuchen Sie Drift und richten Sie Warnmeldungen ein, damit Sie Compliance-Probleme früh erkennen und Ihre Umgebung sicher halten.

Weiterführende Informationen und empfohlene Lernpfade

• Microsoft 365 Compliance Drift Explained – Erfahren Sie, wie Richtlinien- und Verhaltensdrift in Cloud-Umgebungen entsteht, mit umsetzbaren Governance-Strategien.
• Lesen Sie Microsofts offizielle Intune-Dokumentation mit aktuellen Hinweisen zu Compliance und Conditional Access. Sie eignet sich für alle Administrationsebenen.
• Suchen Sie nach weiterführenden Sicherheitsschulungen, etwa den Microsoft-Learn-Pfaden, um Ihre praktischen Fähigkeiten zur Fehlerbehebung speziell für Intune- und Azure-Umgebungen zu vertiefen.
• Hören Sie sich Expertenpodcasts an und lesen Sie Analystenbeiträge, um praxisnahe Erfahrungen und Lektionen von Fachleuten zu erfahren, die Compliance im großen Maßstab verantworten.

Datenschutz respektieren und Microsoft 365 sicher halten

Die Balance zwischen einer strikten Durchsetzung der Gerätekonformität und dem Datenschutz der Benutzer ist in jeder Microsoft 365-Umgebung essenziell. Intune erfasst nur die Mindestdaten, die für die Konformitätsbewertung erforderlich sind, etwa die Betriebssystemversion, den Verschlüsselungsstatus und die Sicherheitseinstellungen. Auf persönliche Benutzerdateien oder detaillierte Aktivitätsprotokolle greift Intune dabei nicht zu.

Transparenz gegenüber den Benutzern darüber, was überwacht wird und warum, schafft Vertrauen und vermeidet Datenschutzbeschwerden. Kommunizieren Sie Richtlinien klar und erläutern Sie die geschäftlichen Gründe hinter der Geräteverwaltung. So schützen Sie Unternehmensdaten und wahren gleichzeitig die Grenzen der Mitarbeitenden. Das ermöglicht einen sichereren und produktiveren Arbeitsplatz für alle.

Diese Folgen sollten Sie ebenfalls hören

Wenn Sie sich mit Intune-Gerätekonformitätsabweichungen beschäftigen, bieten die folgenden Folgen praxisnahen Kontext zu Identität, Zusammenarbeit, Governance und dem sicheren Einsatz von KI.

• Conditional Access – Simply Explained — Verstehen Sie, wie Identität, Gerät, Standort und Risikosignale Zugriffsentscheidungen beeinflussen.
• Microsoft AI Agent Harness – Simply Explained — Erfahren Sie, mit welchen Kontrollmechanismen KI-Automatisierung zuverlässiger und besser nachvollziehbar wird.
• Microsoft Teams Governance – Simply Explained — Erfahren Sie, wie Eigentümerschaft und Lebenszyklusregeln die Zusammenarbeit nachhaltig gestalten.
• Microsoft Purview – Simply Explained — Verbinden Sie Zusammenarbeit und Identität mit Klassifizierung, Aufbewahrung und Compliance.

Diese Folgen helfen Ihnen, das technische Thema in praxisnahe Entscheidungen zu Einführung und Governance zu übersetzen.