Azure-Geräte in Intune registrieren: So gehen Sie vor

Für Unternehmen und Managed Service Provider (MSPs) ist die Registrierung von Azure-AD-Geräten (heute Microsoft Entra ID) in Microsoft Intune die Grundlage für modernes Endpunkt-Management. IT-Teams steuern damit zentral:

• Sicherheitsrichtlinien,
• Anwendungsbereitstellung,
• Compliance-Überwachung und
• Gerätezustand

Die Intune-Registrierung von Windows-Geräten unterstützt außerdem verschiedene Bereitstellungsmodelle, von unternehmenseigenen Azure AD-joined- und Hybrid-joined-Geräten bis hin zu privaten BYOD-Szenarien.

Wenn Sie wissen möchten, wie Sie Azure-Geräte in Intune registrieren, finden Sie in diesem Artikel mehrere Methoden: Schritte über die grafische Oberfläche, Kommandozeilen-Tools, Skripting-Ansätze und unternehmensweite Automatisierung per Gruppenrichtlinie.

Das sollten Sie vor der Intune-Registrierung von Windows-Geräten wissen

Zunächst ein wichtiger Hinweis: Für Windows 10 gilt seit dem 14. Oktober 2025 das End-of-Support, was Auswirkungen auf die Intune-Registrierung hat. Wenn Sie Windows-10-Geräte in Intune registrieren möchten, sollten Sie bedenken, dass nach diesem Datum Einschränkungen oder ein eingeschränkter Support auftreten können.

Laut der offiziellen Intune-Dokumentation von Microsoft wird „Windows 10 zu einer ‚zulässigen‘ Version in Intune. Geräte mit dieser Version können sich weiterhin in Intune registrieren und geeignete Funktionen nutzen, die Funktionalität wird jedoch nicht garantiert und kann variieren.“

Wir empfehlen daher, diese Geräte auf Windows 11 zu migrieren, um weitere Probleme und fehlende Funktionen bei der Intune-Registrierung zu vermeiden.

Methoden zur Registrierung von Azure-AD-Geräten in Intune

Es gibt mehrere Methoden mit unterschiedlichem Grad an Automatisierung und Benutzerinteraktion, abhängig vom Bereitstellungsszenario, der Unternehmensgröße und den Richtlinien für die Geräteverwaltung.

Hinweis: Dieser Leitfaden konzentriert sich auf Azure AD-joined- und Hybrid Azure AD-joined-Geräte und beschreibt verschiedene Methoden, um sie in Intune zu registrieren. Mehr zu diesen Gerätetypen finden Sie im Abschnitt „Die Registrierungszustände von Azure-Geräten im Überblick“.

Voraussetzungen:

• Aktiver Azure-AD-Tenant mit Intune-Lizenzen (einschließlich Microsoft 365 Business Premium, EMS E3/E5, M365 E3/E5, Microsoft Intune Suite und eigenständigen Intune-Plänen)
• Gerät mit Windows 10 oder 11 in der Pro-, Enterprise- oder Education-Edition (genauere Angaben zu den Builds finden Sie hier)
• Die Intune-MDM-Registrierung muss im Azure-Portal unter Mobilität (MDM und MAM) aktiviert sein
• AAD-Benutzerkonto mit den erforderlichen Berechtigungen
• Internetverbindung zu Microsoft-Endpunkten
• Lokaler Administratorzugriff (für manuelle Registrierung und Skripting)

Tipp: Sehen Sie sich vorab den Abschnitt Darauf sollten Sie achten an.

📌 Empfohlene Bereitstellungsstrategien:

Methode auswählen	💻 Ideal für einzelne Benutzer:innen	💻💻💻 Ideal für Unternehmen
Methode 1: Manuelle Registrierung über die Einstellungen (GUI)	✓
Methode 2: Registrierung über die Unternehmensportal-App	✓
Methode 3: Registrierung über die Eingabeaufforderung mit dsregcmd	✓
Methode 4: Registrierung per PowerShell über DeviceEnroller.exe		✓
Methode 5: Automatische Registrierung per Gruppenrichtlinie		✓

Methode 1: Manuelle Registrierung über die Einstellungen (GUI)

Benutzer:innen oder IT-Administrator:innen können Azure-/Entra-joined-Geräte über die integrierten Einstellungen des Geräts manuell registrieren und in Intune aufnehmen.

Anwendungsfälle: Kleine Bereitstellungen, Tests und einmalige Gerätebereitstellung

Voraussetzungen:

• Das Gerät darf nicht in eine Domäne eingebunden sein (weder in ein lokales Active Directory noch in Azure AD)
• Berechtigung der Benutzer:innen, Geräte in Azure AD einzubinden

1. Öffnen Sie die App „Einstellungen“. Drücken Sie Win + I.
2. Klicken Sie im linken Bereich auf Konten.
3. Suchen Sie im rechten Bereich den Eintrag „Auf Arbeits- oder Schulkonto zugreifen“ und klicken Sie daneben auf die Schaltfläche „Verbinden“.
4. Wählen Sie im Pop-up-Fenster Dieses Gerät mit Microsoft Entra ID verbinden aus (auf Geräten mit älteren Betriebssystemen heißt die Option möglicherweise Dieses Gerät mit Azure Active Directory verbinden).
5. Geben Sie die Anmeldeinformationen einer Microsoft-Entra-ID-Benutzerin bzw. eines -Benutzers mit Intune-Lizenz ein.
6. Folgen Sie den Anweisungen des Assistenten, um die Registrierung abzuschließen (inklusive Anmeldung mit Kennwort und Zustimmung zu den Nutzungsbedingungen).
7. Kehren Sie nach dem Beitritt zum Bereich Auf Arbeits- oder Schulkonto zugreifen zurück, klicken Sie auf das verbundene Konto und wählen Sie Info, um den Status der MDM-Registrierung zu prüfen.

Methode 2: Registrierung über die Unternehmensportal-App

Diese Methode richtet sich an BYOD- und private Windows-Geräte, die nicht vollständig in Azure AD eingebunden werden sollen und nur eingeschränkt verwaltet und kontrolliert werden. Benutzer:innen registrieren ihre eigenen Geräte über das Microsoft-Unternehmensportal. Es ist zudem die einzige Methode, die eine Registrierung unter Windows 11 Home unterstützt.

Anwendungsfälle: Unterstützung privater Geräte ohne Administratorrechte sowie Durchsetzung von MDM-Richtlinien bei gleichzeitigem Verbleib des Geräts im Besitz der Benutzer:innen

Voraussetzungen:

• In Azure AD registriertes Gerät (nicht eingebunden)
• MDM-Benutzerbereich in Azure AD auf „Einige“ oder „Alle“ gesetzt
• Den Benutzer:innen zugewiesene Microsoft-Intune-Lizenz

1. Laden Sie die App Unternehmensportal aus dem Microsoft Store herunter und installieren Sie sie.
2. Starten Sie die App und melden Sie sich mit den Azure-AD-Anmeldeinformationen des Unternehmens an.
3. Folgen Sie den Schritten auf dem Bildschirm, um die Geräteregistrierung und die MDM-Registrierung zuzulassen.

Methode 3: Registrierung über die Eingabeaufforderung mit dsregcmd

Diese Methode nutzt das integrierte Tool dsregcmd, um die Geräteregistrierung zu erzwingen oder bestehende Probleme beim Beitritt oder bei der Registrierung zu beheben.

Anwendungsfälle: Reparatur fehlgeschlagener oder unvollständiger Beitritte und manuelles Auslösen des Azure-AD-Beitritts ohne Neuinstallation

Voraussetzungen:

• Das Gerät muss in eine Domäne eingebunden und der SCP konfiguriert sein (für den Hybrid-Beitritt)
• Azure AD Connect muss Geräte aus dem lokalen AD synchronisieren
• Verbindung zum internen Netzwerk
• Lokale Administratorrechte oder Domänenadministratorrechte (für den Beitritt)

1. Öffnen Sie die Eingabeaufforderung als Administrator:in. Drücken Sie Win + R, geben Sie „cmd“ ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Kopieren Sie zum Auslösen der Registrierung diesen Befehl, fügen Sie ihn ein und drücken Sie dann die Eingabetaste (für Geräte, die in das lokale AD eingebunden sind und bei denen der SCP konfiguriert ist):

dsregcmd.exe /join

3. Kopieren Sie zum Prüfen des Registrierungsstatus diesen Befehl, fügen Sie ihn ein und drücken Sie dann die Eingabetaste:

dsregcmd.exe /status

4. Prüfen Sie den Gerätestatus, zum Beispiel:
   • AzureAdJoined: YES
   • MDM Enrollment: YES

Methode 4: Registrierung per PowerShell über DeviceEnroller.exe

Diese skriptfähige und remote ausführbare Methode löst per PowerShell die MDM-Registrierung für Geräte aus, die bereits in Azure AD eingebunden sind. So lassen sich Geräte in Intune sowie in MDM-Plattformen von Drittanbietern wie VMware Workspace ONE, MobileIron und IBM MaaS360 registrieren, die über die MDM-Bridge von Microsoft angebunden sind.

Anwendungsfälle: Standardisierung der MDM-Registrierung mit Tools für Remote-Skripting

Voraussetzungen:

• Das Gerät muss bereits in Azure AD eingebunden sein
• Für die Überprüfung werden unter Umständen Azure AD oder Microsoft Graph PowerShell-Module benötigt
• Administratorrechte

1. Öffnen Sie PowerShell als Administrator:in. Drücken Sie Win + R, geben Sie „powershell“ ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Kopieren Sie zum Starten der MDM-Registrierung diesen Befehl, fügen Sie ihn ein und drücken Sie dann die Eingabetaste:

Start-Process "C:\Windows\System32\DeviceEnroller.exe" -ArgumentList "/c /AutoEnrollMDM"

3. Kopieren Sie zum Überprüfen der MDM-Dienst-URLs diesen Befehl, fügen Sie ihn ein und drücken Sie dann die Eingabetaste:

Get-WmiObject -Namespace "root\cimv2\mdm\dmmap" -Class MDM_DevDetail_Ext01

4. Kopieren Sie zum Abfragen des Azure-AD-Geräteeintrags diesen Befehl, fügen Sie ihn ein und drücken Sie dann die Eingabetaste:

Get-MgDevice -Filter "displayName eq 'hostname'"

5. Schließen Sie PowerShell.

Methode 5: Automatische Registrierung per Gruppenrichtlinie

Diese Methode automatisiert die MDM-Registrierung für Hybrid Azure AD-joined-Geräte und nutzt Gruppenrichtlinien für domänengebundene Systeme, die mit Azure AD synchronisiert werden. Neben Intune eignet sie sich auch für andere MDM-Plattformen von Drittanbietern, die in Azure AD integriert sind.

Anwendungsfälle: Planung großer Unternehmensbereitstellungen und Durchsetzung der Richtlinien-Compliance in Unternehmen mit bestehender AD-Infrastruktur und domänengebundenen Windows-Geräten

Voraussetzungen:

• Geräte sind in das lokale AD eingebunden und werden über Azure AD Connect synchronisiert
• Das System Configuration Profile (SCP) muss im AD konfiguriert sein
• Zugriff auf GPOs

1. Öffnen Sie den Gruppenrichtlinien-Editor. Drücken Sie Win + R, geben Sie „gpedit.msc“ ein und drücken Sie die Eingabetaste.
2. Folgen Sie im linken Bereich diesem Pfad:

Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > MDM

3. Suchen Sie die Richtlinie Automatische MDM-Registrierung mit Azure AD-Standardanmeldeinformationen aktivieren und doppelklicken Sie darauf.
4. Setzen Sie die Richtlinie im Pop-up-Fenster auf Aktiviert und wählen Sie unter Optionen den gewünschten Typ der Geräteanmeldeinformationen aus.
5. Klicken Sie auf Übernehmen und OK.
6. Führen Sie diesen Befehl in einer Eingabeaufforderung oder PowerShell mit erhöhten Rechten aus, um eine Richtlinienaktualisierung zu erzwingen:

gpupdate /force

7. Nach einem Neustart und der Anmeldung der Benutzer:innen sollte die Intune-Registrierung erfolgen.

Darauf sollten Sie achten

Risiken	Mögliche Folgen	Gegenmaßnahmen
Vorzeitiger Azure-AD-Beitritt ohne aktivierte automatische Registrierung	Geräte bleiben möglicherweise unverwaltet Sicherheitsschwachstellen Abweichungen bei der Compliance	Aktivieren Sie die automatische MDM-Registrierung im Azure-AD-Portal unter Mobilität (MDM und MAM). Binden Sie das Gerät erneut ein, nachdem Sie es aus Azure AD entfernt haben.
Konflikt durch doppelten Status (Gerät ist sowohl in das lokale AD als auch in Azure AD eingebunden)	Das Gerät authentifiziert sich möglicherweise nicht konsistent oder wendet GPO-/MDM-Richtlinien nicht korrekt an Probleme bei der Benutzeranmeldung Das Gerät existiert in Azure AD möglicherweise als doppeltes Objekt	Entfernen Sie den Azure-AD-Beitritt mit dem Tool dsregcmd. Stellen Sie sicher, dass der Hybrid-Beitritt über Azure AD Connect konfiguriert ist. Lassen Sie Geräte automatisiert über den SCP in Azure AD beitreten, nicht manuell.
Fehlgeschlagene MDM-Registrierung durch falsch konfigurierte GPO	Die Geräte sind zwar in Azure AD sichtbar, werden aber nicht in Intune registriert Unverwaltete Geräte	Überprüfen und aktivieren Sie die GPO mit dem korrekten Geltungsbereich. Stellen Sie sicher, dass „Geräteanmeldeinformationen“ ausgewählt ist.

Die Registrierungszustände von Azure-Geräten im Überblick

Bevor Administrator:innen Geräte über Intune verwalten können, müssen sie das Gerät zunächst in Azure AD, heute Microsoft Entra ID, registrieren und es anschließend für die Steuerung per Mobile Device Management (MDM) in Intune aufnehmen. Die Registrierung kann in einem von drei Zuständen erfolgen, die jeweils zu bestimmten Eigentumsmodellen und Verwaltungsstrategien passen:

Registrierungszustand	Beschreibung	Anwendungsfall/Eigentumsmodell	Verwaltungsmöglichkeiten
In Azure AD registriert	Das Gerät ist mit einem Arbeitskonto verbunden, ohne vollständig in Azure AD eingebunden zu sein	BYOD und private Geräte	Eingeschränkte MDM-Kontrolle
In Azure AD eingebunden	Das Gerät ist mit Unternehmensanmeldeinformationen vollständig in Azure AD eingebunden (typischerweise in cloudnativen Umgebungen)	Unternehmenseigene Geräte (cloudverwaltet)	Vollständige MDM-Kontrolle über Intune
Hybrid in Azure AD eingebunden	Das Gerät ist in das lokale AD eingebunden und zusätzlich per Azure-AD-Connect-Synchronisierung in Azure AD registriert	Domänengebundene Umgebungen auf dem Weg zur Cloud-Verwaltung	Vollständiges MDM über Intune sowie Unterstützung für GPO und SCP

Weitere Faktoren für eine erfolgreiche Registrierung

• Stellen Sie sicher, dass die automatische Registrierung in den Einstellungen unter Azure AD > Mobilität (MDM und MAM) aktiviert ist (und setzen Sie den Benutzerbereich auf „Einige“ oder „Alle“).
• Prüfen Sie bei der Fehlersuche an Hybrid-Join-Geräten, ob der SCP im AD konfiguriert ist und Azure AD Connect die Geräte synchronisiert.
• Mit Windows Autopilot lassen sich Geräte vorab registrieren, sodass die Intune-Registrierung nahtlos während der OOBE erfolgt.
• Die Registrierungsstatusseite (ESP) zeigt in Echtzeit, wie Geräteeinrichtung und Richtlinienbereitstellung während der Intune-Registrierung voranschreiten. Nutzen Sie sie, um den Zugriff zu verzögern, bis das Gerät vollständig bereitgestellt ist. So ist die Compliance schon bei der ersten Anmeldung sichergestellt.
• Achten Sie in Umgebungen mit mehreren Benutzer:innen auf den korrekten Geltungsbereich der Registrierung (Benutzer- oder Geräteanmeldeinformationen), um Sicherheit und Konsistenz zu gewährleisten.

Fehlerbehebung bei der Geräteregistrierung in Intune

Das Gerät ist in Azure AD registriert, aber nicht in Intune

Prüfen Sie, ob die Benutzerin bzw. der Benutzer über eine gültige Intune-Lizenz verfügt, etwa EMS oder M365 E3. Sie können außerdem Azure AD > Mobilität (MDM und MAM) > Microsoft Intune > MDM-Benutzerbereich kontrollieren. Stellen Sie sicher, dass der Benutzerbereich auf „Alle“ gesetzt ist oder dass das zu registrierende Gerät bei der Einstellung „Einige“ in der ausgewählten Gruppe enthalten ist. Schlägt die Registrierung weiterhin fehl, entfernen Sie das Gerät aus Azure AD, starten Sie es neu und versuchen Sie die Registrierung erneut.

dsregcmd meldet einen Beitrittsfehler

Prüfen Sie auf einem Domain-Controller die SCP-Konfiguration in „Active Directory-Standorte und -Dienste“. Vergewissern Sie sich, dass der SCP vorhanden ist und die GUID sowie der Name des Azure-AD-Tenants korrekt sind. Kontrollieren Sie außerdem, ob die Synchronisierung über Azure AD Connect funktioniert.

Die automatische Registrierung schlägt stillschweigend fehl

Möglicherweise wird die Gruppenrichtlinie nicht angewendet oder ihr Geltungsbereich ist falsch gesetzt. Überprüfen Sie Ihre GPO-Einstellung und stellen Sie sicher, dass Geräteanmeldeinformationen ausgewählt ist.

Andere Fehler

Nutzen Sie die Ereignisanzeige, um während Registrierung und Fehlersuche detaillierte Fehlermeldungen zu sammeln. Navigieren Sie zu:

Ereignisanzeige > Anwendungs- und Dienstprotokolle > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider

Sie können die Protokolltypen filtern nach:

• Fehlgeschlagenen Registrierungen
• Discovery-Problemen
• Verzögerungen bei der Richtlinienanwendung
• MDM-Fehlern in der ESP-Phase (Autopilot)

Ebenso können Sie nach Ereignis-IDs filtern, etwa:

• 201, Start der Registrierung
• 301, Fehlgeschlagene Registrierung
• 404, Probleme bei der Richtlinienanwendung
• 7000er, ESP-Fortschrittsprotokolle

Alternativ können Sie das Device Registration Troubleshooter Tool von Microsoft nutzen, um das Registrierungsproblem und seine Lösung zu ermitteln.

NinjaOne-Services, die Azure-AD- und Intune-Registrierung optimieren

Microsoft stellt native Tools und die Infrastruktur für die Geräteregistrierung und die MDM-Registrierung in Intune bereit. IT-Teams und MSPs, die darüber hinaus leistungsfähigere Automatisierung, mehr Transparenz und zusätzliche Behebungsmöglichkeiten benötigen, unterstützt NinjaOne mit folgenden Funktionen:

NinjaOne-Funktion	Beschreibung	So optimiert sie die Azure-AD-/Intune-Registrierung
Skriptgesteuerte Agent-Aktionen	PowerShell-, Eingabeaufforderungs- oder Bash-Skripte remote auf verwalteten Endpunkten ausführen	Automatisiert das Auslösen von Geräteregistrierungen und Bereinigungen im großen Maßstab
Überwachung des Geräteinventars	Echtzeit-Einblick in Gerätemetadaten wie Beitrittstyp, Betriebssystem, Build und Registrierungsstatus	Hilft dabei, Lücken bei der Registrierung zu erkennen (z. B. nicht eingebunden, nicht registriert) und zu beheben
Tagging über benutzerdefinierte Felder	Weisen Sie Endpunkten eigene Status-Tags zu (z. B. „Azure AD Joined“, „Registrierung fehlgeschlagen“).	Ermöglicht gezielte Ansichten, Richtlinienzuordnung und regelbasierte Automatisierung je nach Registrierungsstatus
Alarmierungen in Echtzeit	Richten Sie Alarmierungen für Konfigurationsabweichungen oder fehlgeschlagene Registrierungen ein	Benachrichtigt Techniker:innen, wenn Geräte nicht registriert sind oder von der erwarteten MDM-Konfiguration abweichen
Unterstützung für Massenbereitstellungen	Nutzen Sie Bereitstellungsmodule, um Endpunkte in großer Zahl mit Skripten, Autopilot-Profilen oder GPO-konformen Konfigurationen einzurichten	Ideal für die Einarbeitung neuer MSP-Kunden oder den Rollout von Intune-Registrierungsrichtlinien über ganze Geräteflotten hinweg

Das Wichtigste zum Hinzufügen von Azure-AD-Geräten zu Intune

Wer Azure-AD-Geräte in Microsoft Intune registriert und aufnimmt, schafft die Basis für ein sicheres, richtlinienbasiertes Endpunkt-Management. Unabhängig vom Registrierungszustand stehen Administrator:innen verschiedene Methoden zur Verfügung, je nach Anforderungen, Zielen und Umgebung. Achten Sie nur darauf, dass alle Voraussetzungen erfüllt sind, die wesentlichen Faktoren berücksichtigt werden und Probleme proaktiv überwacht werden.

Verwandte Themen:

• Microsoft Azure: Vor- und Nachteile von Active Directory
• Verbindungsprüfungen für Microsoft Entra (Azure AD) mit PowerShell vereinfachen
• On-Premises und Cloud mit Microsoft Entra Hybrid Join verbinden
• Azure Active Directory vs. Active Directory: Worin liegt der Unterschied?