So führen Sie ein Bulk Enrollment von Geräten in Intune per PowerShell durch

Stellen Sie sich vor, Sie registrieren 100 neue Firmen-Laptops manuell in Intune: endlose Dialoge wegklicken, Tippfehler korrigieren, Stunden verlieren. Bulk Enrollment für Windows-Geräte löst dieses Problem, indem der gesamte Prozess per PowerShell automatisiert wird.

In diesem Leitfaden erfahren Sie, wie Sie Geräte reibungslos im großen Stil registrieren und einheitliche Richtlinien durchsetzen, egal ob Sie 20 oder 2.000 Geräte verwalten.

Direkt zu den empfohlenen Bereitstellungsstrategien:

Klicken Sie, um eine Methode zu wählen	💻 Am besten für einzelne Benutzer:innen	💻💻💻 Am besten für Unternehmen
PowerShell-Methode 1	✓	✓
PowerShell-Methode 2	✓	✓
PowerShell-Methode 3	✓	✓
Alternative 1: Eingabeaufforderung in Batch-Vorgängen	✓
Alternative 2: Gruppenrichtlinie		✓

Die Video-Übersicht So führen Sie ein Bulk Enrollment von Geräten in Intune per PowerShell durch zeigt alle drei PowerShell-Methoden.

Methoden für das Bulk Enrollment von Geräten mit PowerShell

Wenn Sie die Einarbeitung von Geräten per PowerShell automatisieren, können Sie mehrere Windows-10/11-Geräte in Minuten statt in Wochen einheitlich bereitstellen, konfigurieren und absichern.

Anwendungsfall: Dieser Ansatz eignet sich ideal für die Bereitstellung neuer Geräte oder für unternehmensweite Upgrades. Außerdem können Sie Geräte einrichten, ohne physisch darauf zugreifen zu müssen. So erhält jedes Gerät in Ihrer Domäne vom ersten Tag an identische Richtlinien und Anwendungen.

Voraussetzungen: Stellen Sie vor dem Start sicher, dass Folgendes vorhanden ist:

• Lizenzen: Microsoft Entra ID-Tenant (früher Azure AD) mit Lizenzen für Intune/Microsoft Endpoint Manager
• Berechtigungen: Rechte als Microsoft Entra Global Administrator oder Intune-Administrator
• Betriebssystem-Kompatibilität: Geräte mit Windows 10/11 Pro, Enterprise oder Education (für Windows 10 endete der Support am 14. Oktober 2025. Eine Registrierung ist weiterhin möglich, Microsoft garantiert jedoch keine volle Funktionalität, neue Bereitstellungen sollten daher auf Windows 11 abzielen.)
• Tools: PowerShell 5.1+ (oder PowerShell 7.x für moderne Funktionen) und das Microsoft Graph PowerShell SDK
• Optional:
  • Autopilot: für Zero-Touch-Enrollment konfiguriert
  • Microsoft Entra Hybrid Join: erfordert Microsoft Entra Connect-Synchronisierung und einen Service Connection Point (SCP)

Es empfiehlt sich, vorab den Abschnitt Worauf Sie achten sollten zu lesen.

Methode 1: Bulk Enrollment per manuellem PowerShell-Skript

Mit diesem praxisnahen Ansatz automatisieren Sie die Intune-Registrierung für ganze Gruppen bestehender Windows-11-Geräte. Er eignet sich für Geräte, die in Chargen oder per Imaging eingerichtet werden.

Anwendungsfall: Ideal, wenn Sie Geräte mit bereits installiertem Windows 10/11 neu bereitstellen, physischen Zugriff auf die Geräte haben und sie ohne Autopilot-Vorregistrierung registrieren müssen.

Schritt-für-Schritt-Anleitung:

1. Registrierung starten:
   • Öffnen Sie auf einem Unternehmensgerät PowerShell (als Administrator) und führen Sie dieses Skript aus:

Start-Process "C:\Windows\System32\DeviceEnroller.exe" -ArgumentList "/c /AutoEnrollMDM"

• • Dieser Befehl registriert das Gerät unbeaufsichtigt in Intune und nutzt dabei die vorhandene Microsoft Entra ID

2. Registrierungsstatus prüfen:
   • Führen Sie dieses Skript aus: $dsreg = dsregcmd /status
3. Microsoft Entra Join erzwingen (falls nötig):
   • Führen Sie dieses Skript aus: dsregcmd /join
4. Im großen Stil automatisieren:
   • Stellen Sie diese Skripte remote bereit, zum Beispiel mit:
     1. der Windows-Aufgabenplanung für lokale Geräte oder
     2. Bereitstellungs-Tools wie NinjaOne, um die Automatisierung domänenweit in Ihrem Unternehmensnetzwerk umzusetzen.

Dabei kommen die integrierten Windows-Tools (DeviceEnroller.exe/dsregcmd) zum Einsatz, um die Registrierung auszulösen. Nach der Registrierung werden Ihre Intune-Richtlinien und -Anwendungen zudem automatisiert angewendet.

Methode 2: Hardware-IDs für Autopilot per PowerShell manuell hochladen

Erfassen und registrieren Sie die Hardware-Fingerabdrücke der Geräte vorab, um ein echtes Zero-Touch-Bulk-Enrollment in Intune für neue Windows-11-Geräte zu ermöglichen.

Anwendungsfall: Ideal, wenn Sie neue Geräte direkt von den Herstellern erhalten. So lässt sich die Ersteinrichtung (Out-of-Box Experience, OOBE) vorbereiten, ohne dass die IT eingreifen muss.

Schritt-für-Schritt-Anleitung:

1. Umgebung vorbereiten:
   • Öffnen Sie auf einem Unternehmensgerät PowerShell (als Administrator) und führen Sie dieses Skript aus:

[Net.ServicePointManager]::SecurityProtocol =
[Net.SecurityProtocolType]::Tls12
New-Item -Type Directory -Path "C:\HWID"
strong>Set-Location -Path "C:\HWID"

2. Skript installieren und Hashes erfassen:
   • Führen Sie dieses Skript aus, um die Hardware-Hashes (bzw. Hardware-IDs) jedes Geräts in eine CSV-Datei zu exportieren:

$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

3. Hashes zusammenführen und hochladen:
   • Laden Sie alle CSV-Dateien manuell hoch über Intune-Portal > Geräte > Geräte registrieren > Importieren (Windows Autopilot).
4. Erfassung automatisieren:
   • Binden Sie das Skript ein in:
     1. Build-Pipelines: Ausführung während des Betriebssystem-Imagings (z. B. in MDT-/SCCM-Tasksequenzen).
     2. RMM-Tools: Nutzen Sie Bereitstellungs-Tools wie NinjaOne für Agent-Skripte.
     3. Einrichtung beim ersten Start: Ergänzen Sie Windows SetupComplete.cmd.

Dieses Vorgehen bindet alle Hardware-Hashes an Autopilot, sodass die Registrierung automatisiert startet, sobald Benutzer:innen ihr Gerät zum ersten Mal einschalten. Die manuelle Registrierung jedes einzelnen Geräts entfällt und der Schritt lässt sich gleich zu Beginn nach dem Auspacken erledigen.

Methode 3: Hardware-Hashes per PowerShell direkt nach Intune hochladen

Diese Methode erfasst Hardware-Hashes und lädt sie nach Intune hoch, ohne dass Sie pro Gerät eine CSV-Datei von Hand bearbeiten müssen.

Anwendungsfall: Dieses Vorgehen eignet sich ideal, um einzelne Geräte sofort zu registrieren.

Schritt-für-Schritt-Anleitung:

1. Umgebung vorbereiten und Autopilot-Modul installieren:
   • Öffnen Sie auf einem Unternehmensgerät PowerShell (als Administrator) und führen Sie dieses Skript aus:

[Net.ServicePointManager]::SecurityProtocol =
[Net.SecurityProtocolType]::Tls12
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutoPilotInfo -Force<

2. Hardware-Hashes erfassen:
   • Führen Sie dieses Skript aus, um die Hardware-Hashes (bzw. Hardware-IDs) zu exportieren und automatisiert nach Autopilot hochzuladen: Get-WindowsAutopilotInfo -Online

Hinweis: Stimmen Sie der Installation von NuGet aus der PSGallery zu, wenn Sie dazu aufgefordert werden.

Nach dem Ausführen dieses Befehls erscheint eine Anmeldeaufforderung für Microsoft Entra ID. Melden Sie sich mit einem Intune-Administratorkonto an.

• Nach erfolgreicher Anmeldung werden die Geräte-Hashes automatisiert hochgeladen.

3. Prüfen, ob der Hardware-Hash erfolgreich hochgeladen wurde:
   • Wählen Sie im Startbildschirm des Intune Admin Centers im linken Bereich Geräte aus.
     1. Wählen Sie unter Nach Plattform die Option Windows und gehen Sie dann so vor:
     2. Wählen Sie im Bildschirm der Windows-Geräte unter Geräte-Onboarding die Option Registrierung.
     3. Wählen Sie im Registrierungsbildschirm unter Windows Autopilot die Option Geräte.
     4. Wählen Sie im Bildschirm der Autopilot-Geräte in der Symbolleiste Synchronisieren.
     5. Warten Sie, bis die Synchronisierung abgeschlossen ist. Das kann einige Minuten dauern.

Ist die Synchronisierung abgeschlossen, erscheinen die Geräte in Intune in der Geräteliste im Bildschirm der Windows Autopilot-Geräte.

Alternative Methoden für das Bulk Enrollment von Geräten in Intune

Für großflächige Bereitstellungen, bei denen PowerShell nicht infrage kommt, vereinfachen diese bewährten Alternativen die Azure-Registrierung vieler Geräte in Intune mit nativen Microsoft-Tools.

Voraussetzungen: Stellen Sie vor dem Start sicher, dass Folgendes vorhanden ist:

• Lizenzen: Microsoft Entra ID-Tenant mit Lizenzen für Intune/Microsoft Endpoint Manager.
• Berechtigungen: Rechte als Microsoft Entra Global Administrator oder Intune-Administrator.
• Tools: Eingabeaufforderung und Gruppenrichtlinien mit für MDM konfigurierten Vorlagen
• Optional:
  1. Autopilot: für Zero-Touch-Enrollment konfiguriert.
  2. Microsoft Entra Hybrid Join: erfordert eine Synchronisierung über Microsoft Entra oder Azure AD Connect sowie einen Service Connection Point (SCP).

Alternative 1: Techniken mit der Eingabeaufforderung und dsregcmd in Batch-Vorgängen

Für schnelle Geräteprüfungen oder einfache Registrierungs-Trigger auf mehreren Windows-11-Rechnern sind Batch-Skripte eine schlanke Alternative zu PowerShell.

Anwendungsfälle: Ideal für Umgebungen mit älteren RMM-Tools, die Batch-Dateien bevorzugen. Ebenso hilfreich, um den Registrierungsstatus auf Geräten ohne PowerShell-Zugriff zu prüfen.

Schritt-für-Schritt-Anleitung:

1. Batch-Datei erstellen:
   • Öffnen Sie Notepad (Suchen Sie danach in der Taskleiste unten auf dem Desktop).
   • Fügen Sie den folgenden Befehl ein.
   • Speichern Sie die Datei und benennen Sie sie nach der Aktion, die sie ausführt.
     1. Achten Sie darauf, dass der Dateityp auf Alle Dateien eingestellt ist.
2. Eine Batch-Datei für die Statusabfrage (im großen Stil) erstellen:

• • Öffnen Sie die Eingabeaufforderung (als Administrator) und führen Sie diesen Befehl aus:

@echo off
FOR /F %%i IN (C:\Lists\hostnames.txt) DO (
PSEXEC \\%%i dsregcmd /status > \\SERVER\StatusLogs\%%i_status.txt
)

• • Damit erfassen Sie den Microsoft Entra ID-/Intune-Status aller Geräte aus Ihrer Hostnamen-Liste.

3. Microsoft Entra Join erzwingen:
   • Erstellen Sie Force_Join.bat: dsregcmd /join
   • Remote bereitstellen über:

PSEXEC @hostnames.txt -u ADMIN_USER -p PASSWORD cmd /c „dsregcmd /join“

4. Intune-Registrierung auslösen:
   • Direkt auf den Geräten ausführen:

start „“ "C:\Windows\System32\deviceenroller.exe" /c /AutoEnrollMDM

5. Auf allen Unternehmensgeräten bereitstellen:
   • Verteilen Sie die Batch-Dateien mit RMM-Tools auf die Geräte Ihrer Domäne.

Alternative 2: Gruppenrichtlinie für die automatische MDM-Registrierung in Hybrid-Umgebungen

Nutzen Sie Ihre vorhandene Active Directory-Infrastruktur, um das Bulk Enrollment in Intune für in die Domäne eingebundene Windows-11-Geräte zu automatisieren

Anwendungsfälle: Ideal für Unternehmen mit hybriden Microsoft Entra ID-Umgebungen, für das Staging großer Geräteflotten während der Betriebssystem-Bereitstellung und für die Durchsetzung unternehmensweiter Registrierungsrichtlinien.

Schritt-für-Schritt-Anleitung:

1. Gruppenrichtlinienverwaltung öffnen:
   • Starten Sie gpmc.msc auf Ihrem Domain-Controller.
2. Zu den MDM-Richtlinien navigieren:
   • Gehen Sie zu: Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > MDM
3. Automatische Registrierung aktivieren:
   • Klicken Sie mit der rechten Maustaste und wählen Sie Richtlinie bearbeiten:
     1. Aktivieren: Automatische MDM-Registrierung mit Standard-Anmeldeinformationen von Microsoft Entra.
     2. Anmeldeinformationstyp festlegen: Geräteanmeldeinformationen
4. Anwenden und Update erzwingen:
   • Verknüpfen Sie die Richtlinie mit der gewünschten Organisationseinheit (OU).
   • Erzwingen Sie das sofortige Update auf den Geräten, indem Sie diesen Befehl in der Eingabeaufforderung (als Administrator) ausführen: gpupdate /force
5. Tipp für die Massenbereitstellung:
   • Führen Sie diesen Befehl während des Imagings über die Eingabeaufforderung (als Administrator) aus:

FOR /F %i IN (device_list.txt) DO psexec \\%i gpupdate /force

⚠️ Worauf Sie achten sollten

Dieser Abschnitt zeigt mögliche Stolpersteine, die Sie bei diesem Leitfaden im Blick behalten sollten.

Risiken	Mögliche Folgen	Gegenmaßnahmen
1. Falsche Hardware-Hashes (Methode 2/3)	Geräte scheitern beim Autopilot-Enrollment Die Vorab-Bereitstellung durch den Erstausrüster (OEM) schlägt fehl	Hashes erneut auslesen mit Get-WindowsAutoPilotInfo. Ungültige Einträge im Intune-Portal löschen > erneut hochladen.
2. Überlastete DEM-Konten (alle Methoden)	Registrierung scheitert am Limit von 15 Geräten pro Benutzer:in Richtlinien werden falsch angewendet	Dedizierte DEM-Konten verwenden. Überwachen mit: Get-MgDeviceManagement ManagedDevice-Filter „enrollmentState eq ‚enrolled'“
3. Fehlkonfigurierte GPO (Gruppenrichtlinie)	Versehentliche unternehmensweite Registrierung Fehlgeschlagener Hybrid Join	GPOs vor dem Bearbeiten sichern. Zuerst die Test-OU isolieren. Zurücksetzen: gpupdate /force, anschließend Richtlinie deaktivieren
4. Beschädigte Registry (Eingabeaufforderung/PowerShell)	dsregcmd schlägt fehl Endlosschleifen beim Microsoft Entra ID Join	Registry exportieren: reg export HKLM\SYSTEM \CurrentControlSet\Services \dsregcmd backup.reg</strong Mit reg import wiederherstellen.
5. Nicht passendes Autopilot-Profil (Methoden 2-3)	Geräten werden falsche Anwendungen/Richtlinien zugewiesen Verstöße gegen die Sicherheitskonformität	Geräte in der CSV doppelt kennzeichnen. Profile neu zuweisen mit: Update-MgDeviceManagement WindowAutopilotDeployment ProfileAssignment
6. TPM-Probleme bei Windows 11 (alle Methoden)	Registrierung wird auf inkompatibler Hardware blockiert	TPM 2.0 prüfen: Get-Tpm Secure Boot vor dem Imaging im BIOS aktivieren.

Das sollten Sie beim Bulk Enrollment von Geräten in Intune beachten

Eine Registrierung im großen Stil zu automatisieren, erfordert sorgfältige Planung. Darauf sollten Sie für ein reibungsloses Bulk Enrollment für Windows-Geräte achten, insbesondere unter Windows 11.

Der Zugriff auf Microsoft-Endpunkte ist Pflicht

Geräte müssen während der Einrichtung wichtige Microsoft-URLs wie enterpriseregistration.windows.net und login.microsoftonline.com erreichen. Blockierte Endpunkte führen zu fehlgeschlagenen Registrierungen. Prüfen Sie die Konnektivität daher vor der Bereitstellung immer mit Test-NetConnection.

Autopilot ist auf Hardware-Hashes angewiesen

Jedes Gerät benötigt einen eindeutigen Hardware-Hash (erfasst mit Get-WindowsAutoPilotInfo), der in Ihrem Tenant vorregistriert ist. Für echtes Zero-Touch laden Sie die Hashes hoch, bevor die Geräte ausgeliefert werden. Bei Windows-11-Geräten müssen zusätzlich TPM 2.0 und Secure Boot aktiviert sein.

Dynamische Gruppen automatisieren Konfigurationen

Weisen Sie Richtlinien sofort zu, indem Sie dynamische Microsoft Entra ID-Gruppen mit Regeln wie (device.devicePhysicalIDs -contains “[ZTDId]”) anlegen. Neue Geräte erhalten bei der Registrierung automatisiert Anwendungen, Compliance-Richtlinien und Sicherheitseinstellungen.

Eine neuere Alternative: Windows Autopilot device preparation

Microsoft bietet außerdem Windows Autopilot device preparation an, einen richtlinienbasierten Bereitstellungsablauf für in Microsoft Entra eingebundene Windows-11-Geräte, bei dem Hardware-Hashes nicht vorab registriert werden müssen. Diese schlankere Option lohnt sich als Ergänzung zu den in diesem Leitfaden beschriebenen Hash-Methoden, deckt aber noch nicht jedes Szenario des klassischen Autopilot-Ablaufs ab.

So verbessern die Services von NinjaOne Ihr Bulk Enrollment

NinjaOne bringt die in diesem Leitfaden vorgestellten Bulk-Enrollment-Methoden auf das nächste Level und automatisiert PowerShell- und Batch-Workflows für Windows 11 im großen Stil.

• Skripte remote bereitstellen: Verteilen Sie genau die PowerShell-/Batch-Skripte aus den Methoden 1 bis 3 auf Tausende von Geräten, ganz ohne manuelle Ausführung.
• Wichtige Aufgaben planen und überwachen:
  • Automatisieren: Autopilot-Hash-Erfassung (Methode 2), dsregcmd-Statusprüfungen (Methode 1) und Synchronisierungen (Methode 3) inklusive Echtzeitberichten zu Erfolg und Fehlern.
• Lücken sofort erkennen: Sehen Sie, welche Geräte sich nicht registrieren konnten, kein TPM 2.0 haben oder das Limit der DEM-Konten überschreiten.
• Probleme automatisiert beheben: Lösen Sie Korrekturen aus, etwa die erneute Ausführung von DeviceEnroller.exe, das Erzwingen eines Microsoft Entra ID Join und Alarmierungen bei abweichenden Hashes.

Bulk Enrollment von Geräten in Intune mit PowerShell effizienter gestalten

Bulk Enrollment für Windows-Geräte macht aus Gerätechaos automatisierte Präzision. Sie haben jetzt alles an der Hand, um die Registrierung per PowerShell-Skript zu automatisieren, mit DEM-Konten und dynamischen Gruppen sicher zu skalieren und 20 bis 20.000 Windows-10/11-Geräte souverän bereitzustellen. Aus stundenlanger Handarbeit werden Minuten.

Verwandte Themen

• So registrieren Sie Azure-Geräte in Intune
• So fügen Sie ein Firmengerät zur Intune-Geräteverwaltung hinzu
• So fügen Sie ein BYOD-Gerät zur Intune-Geräteverwaltung hinzu
• So stellen Sie Anwendungen über das Microsoft Intune Admin Center bereit