Microsoft Intune im Mittelstand: die Geräteverwaltung, die Sie vermutlich schon bezahlt haben

Microsoft Intune ist die cloudbasierte Geräte- und App-Verwaltung von Microsoft für Windows, macOS, iOS, iPadOS und Android. Wer Microsoft 365 Business Premium einsetzt, besitzt sie bereits — Microsoft dokumentiert ausdrücklich, dass dieser Plan Intune Plan 1 enthält, zusammen mit Entra ID P1. Damit sind Geräteregistrierung, Richtlinien, Fernlöschen und bedingter Zugriff ohne Aufpreis nutzbar (Stand: 5. September 2026).

1. Sie haben Intune vermutlich schon

Die meisten Ratgeber zu Intune beginnen mit einer Definition. Diese Reihenfolge geht an der Praxis vorbei, denn die erste Frage im Betrieb lautet nicht „was ist das", sondern „was kostet es". Und die Antwort ist für viele Mittelständler überraschend: gar nichts extra.

Microsoft hält in der Dokumentation zu Microsoft 365 Business Premium wörtlich fest: „Business Premium includes Microsoft Intune Plan 1, a comprehensive device management solution that allows you to enroll, monitor, and manage devices." Und die Sicherheitsfragen zu demselben Plan ergänzen, dass Abonnentinnen und Abonnenten den vollen Funktionsumfang für iOS, Android, Mac und weitere Plattformen nutzen dürfen (Quelle: Microsoft Learn zur Geräteregistrierung und Microsoft Learn, Sicherheitsfragen, beide abgerufen am 5. September 2026 — öffnen in einem neuen Tab).

Die folgende Übersicht listet nur Pläne, für die wir am 5. September 2026 einen wörtlichen Beleg gefunden haben. Wo keiner vorlag, steht das ausdrücklich in der Tabelle — statt einer Vermutung.

Zwei Zeilen verdienen einen zweiten Blick. Erstens die 300-Plätze-Grenze: Microsoft schreibt, Organisationen dürften „höchstens 300 Plätze insgesamt über alle Pläne unserer Business-Familie" beziehen, also über Business Basic, Business Standard und Business Premium zusammen. Wer darüber hinauswächst, wechselt in die Enterprise-Pläne — dort ist Intune ebenfalls dabei, aber die Kostenrechnung ist eine andere.

Zweitens Entra ID P1. Diese Zeile ist die eigentliche gute Nachricht, denn Conditional Access — die Regel, die unsichere Geräte aussperrt — setzt genau P1 voraus. Business Premium liefert beide Bausteine mit. Sie brauchen also keine zusätzliche Lizenz, um Gerätekonformität und Zugriffskontrolle zu koppeln. Wie das im Detail wirkt, steht in Abschnitt 8. Wenn Sie noch vor der Plan-Entscheidung stehen, ordnet unser Beitrag zur Einführung von Microsoft 365 im Unternehmen die Pläne insgesamt ein.

2. Was Intune kostet — und wofür es keine Euro-Preise gibt

Hier wird es unangenehm ehrlich. Microsoft veröffentlicht auf der deutschen Preisseite Euro-Listenpreise ausschließlich für die sechs Zusatzmodule. Für Intune Plan 1 und die Intune Suite steht dort nur ein Dollarbetrag im Fließtext des Frage-und-Antwort-Bereichs — auf der deutschen Seite genauso wie auf der englischen. Wir rechnen diese Beträge nicht um: Ein umgerechneter Wechselkurswert wäre kein Listenpreis, und Microsoft weist ausdrücklich darauf hin, dass die Preise je nach Vertrag abweichen können.

Jedes der sechs Zusatzmodule setzt eine Plan-1-Lizenz voraus. Und die Pläne sind aufeinander aufgebaut, nicht gegeneinander: Microsoft ordnet die Funktionen drei Plänen zu und beschreibt sowohl Plan 2 als auch die Intune Suite ausdrücklich als additiv zu Plan 1. Ein Kauf der Suite ersetzt den Basisdienst also nicht, er ergänzt ihn (Quelle: Microsoft Learn zu den Intune-Lizenzplänen, abgerufen am 5. September 2026).

Eine Bewegung im Markt gehört noch dazu: Seit Juli 2026 rollt Microsoft nach eigener Aussage ausgewählte erweiterte Funktionen direkt in Microsoft 365 E3 und E5 aus — für E3 unter anderem Remotehilfe, Advanced Analytics und die Plan-2-Funktionen, für E5 zusätzlich Endpoint Privilege Management, Cloud PKI und Enterprise Application Management. Wichtig ist die Formulierung: Es wird ausgerollt, es ist nicht überall aktiv. Microsoft kündigt an, dass Mandanten dreißig Tage vorher eine Nachricht im Message Center erhalten. Prüfen Sie also den eigenen Mandanten, bevor Sie ein Add-on kaufen, das Sie inzwischen ohnehin bekommen.

3. Was Intune tut, was nicht — und wie es wirklich heißt

Intune verwaltet Endgeräte und die Apps darauf: Es nimmt Geräte in die Verwaltung auf, schreibt Einstellungen darauf, verteilt und aktualisiert Software, bewertet den Zustand eines Geräts und kann Firmendaten aus der Ferne entfernen. Es ist damit die Schicht zwischen der Identität, die anmeldet, und den Daten, auf die zugegriffen wird.

Drei Begriffe stiften dabei regelmäßig Verwirrung, und alle drei begegnen einem beim Recherchieren binnen weniger Minuten:

• „Microsoft Endpoint Manager" ist kein gültiger Name mehr. Microsoft hat ihn am 12. Oktober 2022 ausdrücklich verabschiedet: „The name Microsoft Endpoint Manager will no longer be used." Cloudverwaltung heißt seitdem Microsoft Intune, die lokale Verwaltung Microsoft Configuration Manager. Beiträge, die den alten Namen heute noch als aktuelle Produktarchitektur verkaufen, sind mindestens vier Jahre alt — auch wenn ihr Veröffentlichungsdatum jünger aussieht.
• „Microsoft Intune Core" gibt es nicht. Der Begriff kursiert, weil eine Microsoft-Seite mit „Core Features" überschrieben ist. Ein Plan oder eine kaufbare Produktvariante dieses Namens existiert nicht. Es gibt Plan 1, Plan 2 und die Intune Suite.
• Windows LAPS ist kein Intune-Feature. Die automatische Verwaltung lokaler Administratorkennwörter ist laut Microsoft „ein Windows-Feature" und in allen unterstützten Windows-Plattformen „kostenlos verfügbar". Intune ist einer der Wege, es auszurollen und zu steuern — aber es entsteht nicht durch Intune, und Sie kaufen es nicht mit Intune ein.

Und was Intune nicht tut: Es ersetzt weder Ihr Virenschutz-Konzept noch Ihre Datensicherung noch Ihre Identitätsverwaltung. Es liefert einen Gerätestatus und einen Steuerungsweg. Was Ihr Haus insgesamt an Schutz braucht, ordnet unser Überblick zur IT-Sicherheit im Mittelstand ein; wie die Anmeldung selbst abgesichert wird, steht in den Beiträgen zu Single Sign-On im Mittelstand und zu Passkeys im Unternehmen.

4. Compliance-Richtlinie gegen Konfigurationsprofil

Das ist die Verwechslung, die uns in Projekten am häufigsten begegnet — und sie kostet immer Zeit, weil sie das Ergebnis lautlos verfehlt. Beide Objekte heißen im Admin Center ähnlich, beide werden Gruppen zugewiesen, beide erzeugen Berichte. Aber sie tun grundverschiedene Dinge: Die eine bewertet, das andere setzt.

Praktisch heißt das: Sie brauchen beide, und zwar in dieser Reihenfolge. Das Konfigurationsprofil stellt den gewünschten Zustand her — etwa die Verschlüsselung des Datenträgers. Die Compliance-Richtlinie prüft, ob er tatsächlich vorliegt, und markiert die Geräte, bei denen er fehlt. Erst der dritte Baustein, Conditional Access, macht aus dieser Markierung eine Konsequenz. Wer nur Schritt zwei baut, bekommt eine ehrliche Liste — und sonst nichts.

5. Firmengerät oder Privatgerät: zwei getrennte Wege

Die zweite große Weiche, und im Mittelstand die politisch heiklere. Für Geräte, die dem Unternehmen gehören, ist die vollständige Verwaltung der naheliegende Weg. Für private Telefone ist sie es fast nie — weder rechtlich noch menschlich. Genau dafür gibt es einen zweiten Weg, den viele Häuser nicht auf dem Schirm haben: App-Schutzrichtlinien ohne Registrierung des Geräts.

Microsoft ist an dieser Stelle unmissverständlich. App-Schutzrichtlinien lassen sich „unabhängig von jeder Lösung zur Verwaltung mobiler Geräte" einsetzen, und für iOS, iPadOS und Android beschreibt die Dokumentation die App-Verwaltung ausdrücklich „ohne Registrierung der Geräte in Intune". Die Seite zu dieser Betriebsart nennt sie den üblichen Weg „für persönliche Geräte oder Bring your own device" (Quelle: App-Schutzrichtlinien im Überblick und App-Verwaltung für nicht registrierte Geräte, beide abgerufen am 5. September 2026).

Für den typischen Mittelständler ist die Kombination die richtige Antwort: Firmenlaptops und Firmentelefone werden registriert, private Telefone bekommen nur den App-Schutz. Das schützt die Firmenmail auf dem privaten Gerät wirksam, ohne dass jemand seinem Arbeitgeber das eigene Telefon übergibt. Und es entschärft die Betriebsratsdiskussion aus Abschnitt 9 erheblich, weil die Reichweite von vornherein begrenzt ist.

6. Geräte registrieren: je Plattform ein anderer Weg

Es gibt keinen einheitlichen Registrierungsknopf. Jede Plattform hat ihren eigenen Weg, und die Namen ändern sich schneller als die Anleitungen im Netz. Die folgende Übersicht führt die Bezeichnungen, die Microsoft am 5. September 2026 selbst verwendet.

Der praktische Unterschied zwischen den ersten beiden Zeilen und dem Rest ist die Beschaffung. Windows Autopilot und die automatisierte Registrierung bei Apple funktionieren nur, wenn die Geräte beim Kauf dem richtigen Mandanten zugeordnet werden. Das ist eine Absprache mit dem Händler, keine Einstellung im Admin Center. Wer diesen Schritt beim Einkauf überspringt, richtet jedes Gerät anschließend von Hand ein — und verliert genau den Effekt, wegen dem er Autopilot einführen wollte.

7. Fernlöschen: Firmendaten entfernen gegen Zurücksetzen

„Wir können das Gerät aus der Ferne löschen" ist der Satz, der in Betriebsversammlungen für Unruhe sorgt — und er ist ungenau. Intune kennt zwei grundverschiedene Aktionen plus einen Sonderfall, und der Unterschied ist genau der, der die Beschäftigten interessiert.

Microsoft stellt beide Aktionen selbst gegenüber: „Anders als die Aktion Wipe, die das Gerät auf Werkseinstellungen zurücksetzt, bleiben beim Entfernen der Firmendaten die Inhalte der Nutzerin erhalten." Und ergänzend, dass persönliche Daten dabei nicht vom Gerät entfernt werden (Quelle: Microsoft Learn zum Entfernen von Firmendaten und zum Zurücksetzen, beide abgerufen am 5. September 2026).

Die eine Ausnahme gehört ungeschminkt in jede Betriebsvereinbarung: Beim privaten Android-Gerät mit Arbeitsprofil entfernt die Aktion laut Microsoft „alle Daten, Apps und Einstellungen im Arbeitsprofil". Außerhalb des Arbeitsprofils bleibt alles unberührt — innerhalb bleibt nichts stehen. Wer das im Rollout mit „es wird nur die Firmenmail entfernt" beschreibt, beschreibt es falsch.

8. Conditional Access — das eigentliche Ziel

Alle vorherigen Abschnitte laufen auf diesen einen zu. Geräteverwaltung ist kein Selbstzweck: Ihr Nutzen entsteht erst, wenn der Zustand eines Geräts über den Zugriff entscheidet. Genau das leistet Conditional Access in Microsoft Entra. Die Compliance-Dokumentation sagt es direkt: Der Konformitätsstatus kann dazu verwendet werden, „den Zugriff auf Organisationsressourcen von diesem Gerät zu blockieren".

In der Praxis sieht die Regel so aus: Wer auf Firmendaten zugreifen will, tut das von einem Gerät, das als konform gilt. Ist das Gerät nicht verschlüsselt, veraltet oder gerootet, greift die Regel und der Zugriff bleibt aus. Das ist der Punkt, an dem eine Compliance-Richtlinie aufhört, ein Bericht zu sein.

Die Lizenzfrage dazu ist eindeutig belegt und wird trotzdem regelmäßig verwechselt:

• Conditional Access setzt Entra ID P1 voraus. Microsoft schreibt: „Using this feature requires Microsoft Entra ID P1 licenses."
• Business Premium reicht. Dieselbe Seite hält fest, dass Kundinnen und Kunden mit Microsoft-365-Business-Premium-Lizenzen die Funktionen ebenfalls nutzen können — passend dazu, dass P1 in diesem Plan enthalten ist.
• Risikobasierte Regeln brauchen mehr. Richtlinien, die Anmelde- oder Benutzerrisiko auswerten, setzen Entra ID Protection voraus, und das ist laut Microsoft eine Funktion von Entra ID P2.

Der praktische Rat dazu: Bauen Sie die risikobasierten Regeln nicht in Ihr erstes Konzept, wenn Sie P2 nicht haben. Eine gerätebasierte Regel auf Basis der Konformität deckt den Großteil des Nutzens ab und läuft mit der Lizenz, die im Haus ohnehin liegt (Quelle: Microsoft Learn zu Conditional Access, abgerufen am 5. September 2026).

Bevor Sie über Gerätezustände steuern, sollte der zweite Faktor stehen — sonst schützt die feinste Richtlinie ein Konto, das mit einem geleakten Passwort erreichbar ist. Der Einstieg dafür ist günstiger als oft angenommen: Security Defaults kosten keine Zusatzlizenz, und Microsoft Entra ID P1 als Voraussetzung für Conditional Access steckt laut Microsoft bereits in Microsoft 365 Business Premium und Microsoft 365 E3. Welche Stichtage Microsoft für die erzwungene MFA gesetzt hat und worauf beim Rollout zu achten ist, lesen Sie im Beitrag zu MFA im Unternehmen einführen.

9. Betriebsrat und Datenschutz

Dieser Abschnitt entscheidet häufiger über den Projekterfolg als jede technische Einstellung. Geräteverwaltung erhebt Daten über Geräte, die Menschen benutzen — und damit berührt sie die Mitbestimmung.

Das Betriebsverfassungsgesetz formuliert in § 87 Absatz 1 Nummer 6 ein Mitbestimmungsrecht bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen". Kommt zwischen Arbeitgeber und Betriebsrat keine Einigung zustande, entscheidet nach Absatz 2 die Einigungsstelle. Für mobiles Arbeiten enthält derselbe Absatz seit einiger Zeit zusätzlich Nummer 14 zur „Ausgestaltung von mobiler Arbeit, die mittels Informations- und Kommunikationstechnik erbracht wird" (Quelle: § 87 BetrVG bei gesetze-im-internet.de, abgerufen am 5. September 2026).

Ob eine konkrete Intune-Konfiguration unter diese Vorschrift fällt, ist eine Rechtsfrage und keine technische. Wir behaupten dazu nichts, was über den Gesetzeswortlaut hinausgeht — die Bewertung des Einzelfalls gehört in die Hände Ihrer Rechtsberatung und Ihres Betriebsrats. Was wir aus Projekten sagen können: Häuser, die früh und offen erklären, welche Daten erhoben werden und welche nicht, kommen deutlich schneller durch als solche, die den Rollout als reine IT-Maßnahme ankündigen.

Für private Geräte kommt die Trennung privater und dienstlicher Daten dazu. Genau hier zahlt sich die Weiche aus Abschnitt 5 aus: Wer auf Privatgeräten nur den App-Schutz einsetzt, hat technisch nie Zugriff auf das übrige Gerät — und muss das folglich auch nicht mühsam zusichern. Eine Betriebsvereinbarung sollte in beiden Fällen mindestens beschreiben, welche Daten Intune erhebt, wer sie einsehen darf, welche Fernaktionen zulässig sind und was beim Ausscheiden gelöscht wird. Für den Sonderfall des Android-Arbeitsprofils gilt der Hinweis aus Abschnitt 7.

Zur Einordnung in die IT-Sicherheitsregulierung: Für Unternehmen, die unter NIS2 fallen, zahlt eine belastbare Endpunktverwaltung auf die dort geforderten technischen und organisatorischen Maßnahmen ein. Welche Pflichten das im Einzelnen sind, wen sie treffen und ab wann, haben wir gesondert in unserem Beitrag zu den NIS2-Pflichten für Unternehmen aufgearbeitet; neue Pflichtenaussagen treffen wir an dieser Stelle bewusst nicht.

10. Der Rollout in fünf Schritten

Diese Reihenfolge hat sich in unseren Projekten bewährt. Sie ist bewusst so gebaut, dass jede Stufe für sich prüfbar bleibt — der häufigste Grund für zähe Intune-Einführungen ist nicht die Technik, sondern dass drei Ebenen gleichzeitig scharf gehen und niemand mehr weiß, welche gerade blockiert.

1. Lizenzstand und Gerätebestand klären: Prüfen Sie zuerst, welche Pläne in Ihrem Mandanten liegen — bei Business Premium ist Plan 1 bereits dabei. Danach zählen Sie ehrlich: Wie viele Firmengeräte gibt es, wie viele private Geräte greifen auf Firmenmail zu, welche Plattformen sind darunter? Diese Liste entscheidet über alles Weitere.
2. Zwei Wege festlegen statt eines: Firmengeräte werden registriert, private Geräte bekommen App-Schutz ohne Registrierung. Diese Trennung früh zu treffen erspart die zermürbende Diskussion, ob man Privatgeräte doch verwalten könnte. Halten Sie schriftlich fest, was in beiden Fällen sichtbar ist und was nicht.
3. Konfiguration und Bewertung getrennt aufbauen: Erst die Konfigurationsprofile, die Ihre Grundeinstellungen setzen, dann die Compliance-Richtlinien, die den Zustand bewerten. Beide zuerst in einem Pilotkreis aus wenigen Geräten, quer über alle Plattformen. Wer beides gleichzeitig auf alle ausrollt, kann Fehler nicht mehr zuordnen.
4. Mitbestimmung und Datenschutz abschließen: Vor dem Scharfschalten, nicht danach. Wo ein Betriebsrat besteht, gehört die Geräteverwaltung auf seinen Tisch; die Betriebsvereinbarung beschreibt, welche Daten erhoben werden, wer sie sieht und welche Fernaktionen zulässig sind. Für private Geräte gehört die Trennung privater und dienstlicher Daten ausdrücklich hinein.
5. Conditional Access zuletzt scharf schalten: Erst wenn die Geräte ihren Status zuverlässig melden, koppeln Sie den Zugriff daran. Beginnen Sie mit einer kleinen Gruppe, behalten Sie einen Notfallzugang außerhalb der Regel und beobachten Sie die Anmeldeprotokolle ein paar Tage, bevor Sie den Kreis erweitern.

Ein Wort zum Zeitrahmen: Wir nennen hier bewusst keine Wochenangabe. Wie lange eine Einführung dauert, hängt an der Zahl der Plattformen, am Zustand des bestehenden Mandanten und daran, wie schnell die Mitbestimmung abgeschlossen ist — nicht an der Technik. Jede pauschale Dauer wäre geraten.

Ein häufiger Auslöser für genau diese Inventur ist eine Fachanwendung mit klarer Betriebssystem-Anforderung. Die Systemvoraussetzungen von JTL-Wawi nennen für Arbeitsplätze inzwischen nur noch Windows 11 und begründen das mit Microsofts Supportende für Windows 10 am 14. Oktober 2025. Wie belastbar diese Angabe ist und welche JTL-Quellen davon abweichen, haben wir in JTL-Wawi Version 2.0 und seinen Systemvoraussetzungen geprüft.

Für Windows-10-Rechner, deren Nutzer mit einem Cloud-PC aus Windows 365 Enterprise arbeiten, gibt es die erweiterten Sicherheitsupdates ohne Aufpreis. Microsoft knüpft das an eine Richtlinie, die Sie über Intune oder eine andere Geräteverwaltung verteilen. Das Gerät muss außerdem in Microsoft Entra eingebunden sein, und der Nutzer meldet sich mindestens alle 22 Tage daran an. Wann sich dieser Weg lohnt, zeigt unser Beitrag zu Windows 10 ESU im Unternehmen.

11. Typische Fehler beim Rollout

Die folgende Übersicht trennt ausdrücklich zwei Arten von Aussagen: Fehler, die sich direkt aus der Microsoft-Dokumentation belegen lassen, und Beobachtungen aus unseren eigenen Projekten. Was Erfahrung ist, steht als Erfahrung da.

12. Fazit

Der eigentliche Hebel entsteht, wenn dieses Gerätesignal in eine Zugriffsentscheidung einfließt: Erst dann wird aus verwalteten Geräten eine Bedingung dafür, ob eine Anwendung überhaupt öffnet. Wie dieses Zusammenspiel als Architektur gedacht wird, beschreibt der Beitrag zu Zero Trust und SASE.

Für einen großen Teil des Mittelstands ist Intune keine Investitionsentscheidung, sondern eine Nutzungsentscheidung: Wer Microsoft 365 Business Premium einsetzt, hat Plan 1 und Entra ID P1 bereits im Haus. Die eigentliche Arbeit liegt nicht im Einkauf, sondern in drei sauberen Trennungen — zwischen dem, was bewertet, und dem, was setzt; zwischen Firmengerät und Privatgerät; zwischen dem Entfernen von Firmendaten und dem vollständigen Zurücksetzen.

Wer diese drei Unterscheidungen vor dem ersten Klick im Admin Center trifft, baut ein Konzept, das der Betriebsrat mittragen kann und das im Ernstfall genau das tut, was angekündigt war. Wer sie überspringt, baut eine Sammlung von Richtlinien, die viel melden und wenig entscheiden. Die Technik ist in beiden Fällen dieselbe.

Hinweis: Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung. Alle Produktangaben, Lizenzaussagen und Preise entsprechen dem Stand vom 5. September 2026 und wurden an der Dokumentation und den Preisseiten von Microsoft geprüft; sie können sich jederzeit ändern, und Microsoft weist selbst darauf hin, dass Preise je nach Vertrag abweichen. Maßgeblich sind Ihre Vertragsunterlagen und der Stand in Ihrem eigenen Mandanten. Ob eine konkrete Konfiguration der Mitbestimmung nach § 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz unterliegt und wie sie datenschutzrechtlich zu bewerten ist, klären Ihr Betriebsrat, Ihre Datenschutzbeauftragte und Ihre Rechtsberatung — nicht ein Blogbeitrag. Angaben ohne Gewähr.

13. Häufige Fragen zu Microsoft Intune

Was ist Microsoft Intune?

Intune ist der cloudbasierte Dienst von Microsoft, mit dem Sie Windows-, macOS-, iOS- und Android-Geräte zentral einrichten, konfigurieren und absichern. Sie verteilen Apps, erzwingen Einstellungen wie Verschlüsselung oder Bildschirmsperre, bewerten den Zustand eines Geräts und können Firmendaten aus der Ferne entfernen. Verwaltet wird alles im Microsoft Intune Admin Center.

Welche Lizenz brauche ich für Intune?

Für die Geräteverwaltung genügt Intune Plan 1. Microsoft dokumentiert ausdrücklich, dass Microsoft 365 Business Premium diesen Plan enthält; ebenso Microsoft 365 E3 und E5 sowie Enterprise Mobility und Security E3 und E5. Wer Business Premium einsetzt, besitzt die Geräteverwaltung also bereits. Stand: 5. September 2026.

Wie viel kostet Intune?

Wenn Ihre Lizenz Plan 1 enthält, kostet die Geräteverwaltung nichts zusätzlich. Einzeln nennt Microsoft für Plan 1 nur einen Dollarpreis von 8,00 USD je Benutzer und Monat, auch auf der deutschen Preisseite. Euro-Listenpreise gibt es dort ausschließlich für die sechs Zusatzmodule. Stand: 5. September 2026.

Was ist der Unterschied zwischen Compliance-Richtlinie und Konfigurationsprofil?

Eine Compliance-Richtlinie bewertet: Sie prüft Regeln und Bedingungen und stuft ein Gerät als konform oder nicht konform ein. Ein Konfigurationsprofil setzt: Es schreibt Einstellungen auf das Gerät, etwa ein WLAN-Profil oder eine Update-Regel. Das eine misst also den Zustand, das andere stellt ihn her.

Kann ich private Geräte einbinden, ohne sie zu verwalten?

Ja. App-Schutzrichtlinien wirken laut Microsoft unabhängig von jeder Geräteverwaltung und lassen sich auf iOS, iPadOS und Android ohne Registrierung des Geräts einsetzen. Geschützt wird dann nur, was innerhalb der Firmen-Apps passiert. Microsoft nennt diesen Weg ausdrücklich den üblichen für private Geräte und Bring your own device.

Kann mein Arbeitgeber mit Intune private Fotos löschen?

Bei der Aktion Firmendaten entfernen nicht: Microsoft schreibt, dass persönliche Daten dabei auf dem Gerät verbleiben. Ein vollständiges Zurücksetzen löscht dagegen alles. Eine Ausnahme ist das Android-Arbeitsprofil, bei dem sämtliche Daten, Apps und Einstellungen im Arbeitsprofil entfernt werden. Welche Aktion erlaubt ist, regelt Ihre Betriebsvereinbarung.

Wie registriere ich ein Gerät bei Intune?

Der Weg hängt von der Plattform ab. Neue Windows-Rechner laufen über Windows Autopilot, Apple-Geräte aus dem Firmenkauf über die automatisierte Geräteregistrierung mit Apple Business oder Apple School Manager. Android-Geräte kommen über Android Enterprise dazu, als vollständig verwaltetes Firmengerät oder als privates Gerät mit Arbeitsprofil.

Braucht die Einführung von Intune den Betriebsrat?

Wo ein Betriebsrat besteht, ist das ernst zu nehmen. Paragraf 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz gibt ihm ein Mitbestimmungsrecht bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung bestimmt sind. Ob eine konkrete Konfiguration darunter fällt, ist eine Rechtsfrage — klären Sie sie vor dem Rollout, nicht danach.

14. Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich auf die folgenden Quellen. Alle wurden am 5. September 2026 abgerufen und im Volltext gegengelesen — die zitierten Formulierungen stammen aus dem jeweiligen Dokument selbst, nicht aus einer Zusammenfassung. Externe Quellen öffnen in einem neuen Tab.

• Microsoft Learn — Geräteregistrierung in Microsoft 365 Business Premium — Die tragende Quelle des Beitrags. Hält wörtlich fest, dass Business Premium Microsoft Intune Plan 1 enthält, und beschreibt die App-Verwaltung ohne Registrierung der Geräte auf iOS, iPadOS und Android.
• Microsoft Learn — Sicherheitsfragen zu Microsoft 365 Business Premium — Belegt, dass Entra ID P1 in Business Premium enthalten ist und dass Abonnentinnen und Abonnenten den vollen Intune-Funktionsumfang für iOS, Android, Mac und weitere Plattformen nutzen dürfen.
• Microsoft Learn — Häufige Fragen zu Microsoft 365 Business Premium — Trägt die Platzgrenze: höchstens 300 Plätze über die gesamte Business-Familie aus Business Basic, Business Standard und Business Premium.
• Microsoft Learn — Gerätekonformitätsrichtlinien in Intune — Definiert Compliance-Richtlinien als Regel- und Bedingungssätze zur Bewertung verwalteter Geräte, nennt Beispielregeln wie Mindestversion des Betriebssystems und Jailbreak-Erkennung und beschreibt, wie Conditional Access den Konformitätsstatus zum Blockieren nutzt.
• Microsoft Learn — Geräteeinstellungen und Konfigurationsprofile — Belegt, dass Einstellungen und Funktionen Konfigurationsprofilen hinzugefügt werden, samt Beispielen von WLAN- und VPN-Profilen über die Steuerung von Softwareupdates bis zum Kioskbetrieb.
• Microsoft Learn — Firmendaten entfernen (Retire) — Belegt, dass die Aktion Firmendaten ohne vollständiges Löschen entfernt, dass persönliche Daten dabei auf dem Gerät bleiben — und den Sonderfall, dass beim privaten Android-Gerät mit Arbeitsprofil alle Daten, Apps und Einstellungen im Arbeitsprofil entfernt werden.
• Microsoft Learn — Geräte zurücksetzen (Wipe) — Beschreibt das Zurücksetzen auf Werkseinstellungen und dass dabei alle persönlichen und organisationsbezogenen Daten, Apps und Konfigurationen entfernt werden.
• Microsoft Learn — Häufige Fragen zur App-Verwaltung und zum App-Schutz — Nennt die drei Löschwege: vollständiges Zurücksetzen, selektives Löschen im verwalteten Betrieb und selektives Löschen der App-Daten. Hält außerdem fest, dass das selektive Löschen im verwalteten Betrieb persönliche Daten unberührt lässt.
• Microsoft Learn — App-Schutzrichtlinien im Überblick — Belegt, dass App-Schutzrichtlinien unabhängig von jeder Geräteverwaltungslösung eingesetzt werden können.
• Microsoft Learn — App-Verwaltung für nicht registrierte Geräte — Beschreibt diesen Weg als den üblichen für persönliche Geräte und Bring your own device und erklärt das Zusammenspiel mit App-Konfigurationsprofilen.
• Microsoft Learn — Microsoft Entra Conditional Access — Trägt die drei Lizenzaussagen dieses Beitrags: Conditional Access setzt Entra ID P1 voraus, Kundinnen und Kunden mit Microsoft 365 Business Premium dürfen es ebenfalls nutzen, und risikobasierte Richtlinien benötigen Entra ID Protection und damit P2.
• Microsoft Learn — Windows Autopilot im Überblick — Beschreibt Autopilot als Sammlung von Technologien, mit denen neue Geräte eingerichtet und vorkonfiguriert werden, damit sie produktiv einsatzbereit sind.
• Microsoft Learn — Automatisierte Geräteregistrierung für Apple-Geräte — Belegt die aktuelle Bezeichnung: eine Registrierungsmethode für Firmengeräte, die über Apple Business oder Apple School Manager gekauft wurden.
• Microsoft Learn — Leitfaden zur Android-Geräteregistrierung — Trägt die Registrierungsarten von Android Enterprise, darunter persönliche Geräte mit Arbeitsprofil, und die Abkündigung von Android Device Administrator für Geräte mit Zugriff auf Google Mobile Services.
• Microsoft Learn — Windows LAPS im Überblick — Belegt, dass LAPS ein Windows-Feature zur automatischen Verwaltung und Sicherung lokaler Administratorkennwörter ist und dass es in allen unterstützten Windows-Plattformen kostenlos zur Verfügung steht.
• Microsoft Learn — Intune-Lizenzpläne und -Optionen — Ordnet die Funktionen drei Plänen zu und hält fest, dass Plan 2 und die Intune Suite jeweils additiv zu Plan 1 sind, also keinen Ersatz für den Basisdienst darstellen.
• Microsoft — Intune-Preise (deutsche Seite) — Quelle aller Preisangaben dieses Beitrags, abgerufen am 5. September 2026: die sechs Euro-Listenpreise der Zusatzmodule je Benutzer und Monat bei jährlicher Abrechnung zzgl. MwSt. — und der Umstand, dass Plan 1 und die Intune Suite auch hier ausschließlich in US-Dollar ausgewiesen sind. Microsoft weist zudem darauf hin, dass die Preise je nach Vertrag abweichen können.
• Microsoft — Intune pricing (englische Seite, FAQ) — Trägt die Ankündigung, dass Microsoft ab Juli 2026 ausgewählte erweiterte Funktionen direkt in Microsoft 365 E3 und E5 ausrollt, und den Hinweis, dass Mandanten vorab eine Ankündigung mit dreißig Tagen Vorlauf im Message Center erhalten.
• Microsoft Tech Community — Einführung der Microsoft-Intune-Produktfamilie (12.10.2022) — Der Beleg für die Namensfrage: Microsoft hält hier fest, dass der Name Microsoft Endpoint Manager nicht mehr verwendet wird. Cloudverwaltung heißt seitdem Microsoft Intune.
• Betriebsverfassungsgesetz § 87 — Mitbestimmungsrechte — Absatz 1 Nummer 6 zur Einführung und Anwendung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung bestimmt sind; Nummer 14 zur Ausgestaltung mobiler Arbeit; Absatz 2 zur Einigungsstelle, wenn keine Einigung zustande kommt.

Eine Quelle haben wir bewusst nicht zitiert: Die deutsche Produktseite zu Microsoft 365 Business Premium lädt ihren Text per JavaScript nach und lieferte beim Abruf am 5. September 2026 keinen prüfbaren Fließtext. Die Kernaussage dieses Beitrags stützt sich deshalb ausschließlich auf die beiden Dokumentationsseiten bei Microsoft Learn, deren Wortlaut wir lesen konnten. Aus demselben Grund führt die Lizenz-Tabelle in Abschnitt 1 die Frontline-Pläne F1 und F3 nicht: Sie stehen auf denselben nicht auslesbaren Produktseiten.