So setzen Sie Compliance-Richtlinien mit der Intune-Karenzzeit durch, ohne Endbenutzer:innen auszusperren

IT-Teams stehen seit jeher vor der Herausforderung, Benutzererfahrung und Sicherheit in Einklang zu bringen. Ein Beispiel ist die sofortige Gerätesperrung: Auf den ersten Blick wirkt sie wie eine besonders robuste Sicherheitsstrategie. In der Praxis frustriert sie jedoch die Benutzer:innen und überflutet den Helpdesk mit Tickets, wenn sie schlecht umgesetzt wird.

Ein Mittel, mit dem IT-Teams diese Schwierigkeiten entschärfen, sind Intune-Compliance-Karenzzeiten. Eine durchdachte, mehrstufige Strategie aus schrittweiser Durchsetzung, stillen Behebungen und empathischer Kommunikation hält das Sicherheitsniveau hoch und sorgt gleichzeitig für zufriedene, produktive Benutzer:innen.

In diesem Blogbeitrag zeigen wir Ihnen bessere Wege, Compliance-Richtlinien durchzusetzen, ohne Endbenutzer:innen allzu sehr zu beeinträchtigen.

Eine visuelle Zusammenfassung finden Sie im Video „So setzen Sie Compliance-Richtlinien mit der Intune-Karenzzeit durch, ohne Endbenutzer:innen auszusperren“.

Auf einen Blick

Karenzzeiten für einen sanften Richtlinien-Rollout nutzen

📌 Anwendungsfall:

Ein bewusst eingeplanter Puffer beim Richtlinien-Rollout reduziert abrupte Unterbrechungen, besonders bei Compliance-Verstößen wie fehlenden Patches, deaktivierter Antivirus-Software oder unvollständiger Verschlüsselung.

Wenn Benutzer:innen ein Zeitfenster erhalten, bevor das System eine Sicherheitsrichtlinie durchsetzt, lassen sich Zufriedenheit und Systemschutz besser ausbalancieren. Microsoft Intune erlaubt es Techniker:innen, eine Karenzzeit festzulegen, bevor das System ein Gerät als nicht konform kennzeichnet. So bleibt Benutzer:innen oder Automatisierungs-Engines genug Zeit, Probleme zu beheben, bevor die Richtlinie greift.

Standardmäßig werden Geräte sofort als nicht konform markiert, was Blockierungen durch bedingten Zugriff auslöst. IT-Teams können in Intune jedoch Verzögerungen bei der Richtliniendurchsetzung konfigurieren, von wenigen Stunden bis zu mehreren Tagen, über das Admin Center oder mit noch feinerer Granularität über die Graph API.

Mehrstufige Durchsetzungsmaßnahmen festlegen

📌 Anwendungsfall:

Eine mehrstufige Strategie, bei der IT-Teams Maßnahmen in einer festen Reihenfolge durchsetzen, verschafft Endbenutzer:innen Zeit, während noch an einer Lösung gearbeitet wird.

Statt den Zugriff sofort zu blockieren, bietet Intune Konfigurationsoptionen, um Sicherheitsrichtlinien über eine abgestufte Abfolge von Maßnahmen durchzusetzen.

Diese Maßnahmen können Sie umsetzen:

Intune-Compliance-Richtlinien unterstützen zeitlich gestaffelte „Aktionen bei Nichtkonformität“, jeweils mit eigenem Zeitplan. Damit lassen sich Benachrichtigungen sowie Sperr- oder Außerbetriebnahme-Workflows ergänzen.

Übergänge zwischen Compliance-Zuständen überwachen

📌 Anwendungsfall:

Die Überwachung bestimmter Gerätestatus in Intune ermöglicht es IT-Teams, Helpdesk und Support, proaktiv zu handeln und auf Endbenutzer:innen zuzugehen, sobald ein Compliance-Verstoß auftritt.

Transparenz ist der Kern proaktiver Compliance. IT-Teams können die Ansichten zur Gerätekonformität in Intune nutzen, um Folgendes zu erkennen:

• In Karenzzeit: Geräte, die vorrangig für eine behutsame Kontaktaufnahme vorgesehen sind
• Nicht ausgewertet: Geräte, die möglicherweise veraltet oder neu sind
• Nicht konform: Geräte, die sofort eskaliert werden müssen

Über eine Integration können Sie Dashboards zu Compliance-Zuständen aufbauen oder Datenfeeds in Ihren proaktiven Support-Workflow exportieren. Der Blick in jede einzelne Kategorie erlaubt es IT-Teams, die Kontaktaufnahme mit Endbenutzer:innen gezielt zu planen, statt erst auf vollständige Compliance-Verstöße zu reagieren.

Stille Korrekturen mit Proactive Remediations ausrollen

📌 Anwendungsfall:

Korrekturen, die still im Hintergrund laufen, bringen Benutzererfahrung und Geschäftskontinuität in Einklang und adressieren gleichzeitig die Sicherheit.

Ein effizienter Weg, Störungen für Benutzer:innen zu vermeiden, ist die unauffällige Behebung von Problemen über Intune Remediations (früher Proactive Remediations). Mit dieser Funktion kann die IT Skriptpakete zur Erkennung und Behebung bereitstellen, die automatisiert im Hintergrund laufen.

So nutzen Sie Intune Remediations (PowerShell-basiert), um häufige Probleme zu erkennen und zu beheben, bevor Benutzer:innen etwas davon merken:

• Virenschutz prüfen: Das Behebungsskript prüft den Status der Antivirus-Software. So wird sichergestellt, dass der Virenschutz läuft und aktuell ist. Es kann den Virenschutz auch neu starten, wenn der Dienst beendet wurde.
• Windows-Updates erzwingen: So wird sichergestellt, dass dem System keine kritischen Sicherheitsupdates fehlen, indem Geräte dazu gebracht werden, verfügbare Updates zu erkennen und zu installieren.
• BitLocker aktivieren: Das Skript für diesen Vorgang prüft, ob BitLocker auf dem Gerät aktiviert ist. BitLocker verschlüsselt die Festplatte, um Daten auf verlorenen oder gestohlenen Geräten zu schützen.
• Registrierungsschlüssel zurücksetzen: Die Windows-Registrierung enthält Einstellungen, die für die Einhaltung von Unternehmensrichtlinien entscheidend sind. Die Behebung umfasst hier das Zurücksetzen compliance-relevanter Registrierungsschlüssel, damit die Geräte den Vorgaben entsprechen, an die sich das jeweilige Unternehmen strikt halten muss.

Sicherheitsaufgaben aus Defender for Endpoint einbinden

📌 Anwendungsfall:

Dieser Ansatz liefert Erkenntnisse zu Bedrohungen und Schwachstellen, um Behebungsaufgaben in Intune anzustoßen.

Die Kombination von Intune mit Microsoft Defender for Endpoint (MDE) ergänzt das Compliance-Management um eine intelligente, bedrohungsbewusste Ebene. IT-Teams können Defender for Endpoint nutzen, um Sicherheitsaufgaben zuzuweisen und zu verfolgen, die Compliance-Verstöße beheben. Dazu gehören:

• Updates anstoßen: Die durchgehende Installation wichtiger Sicherheitsupdates sorgt über wirksame Strategien wie Patch-Management dafür, dass Endpunkte weniger angreifbar sind.
• Bedrohungsscans ausführen: Diese Aufgabe hilft dabei, potenzielle Malware zu erkennen und zu entfernen, indem Intune Schnell- oder vollständige Scans auf den Geräten startet und Anomalien oder verdächtige Aktivitäten identifiziert.
• Risikobasierte Alarmierungen prüfen: Defender verfügt über eine Risiko-Engine, die wichtige Systeminformationen liefert, etwa Kompromittierungsindikatoren (IoCs), falsch konfigurierte Sicherheitseinstellungen oder erhöhte Berechtigungen. IT-Teams können damit nach Risikostufe priorisierte Alarmierungen überwachen, schnell Gegenmaßnahmen ergreifen, die Compliance sicherstellen und die gesamte Angriffsfläche verkleinern.

Empathisch und proaktiv kommunizieren

📌 Anwendungsfall:

Wer Endbenutzer:innen sachlich informiert, verhindert Panik, beseitigt Verwirrung, schafft Vertrauen, vermeidet unnötige Tickets und entlastet die Kanäle des Support-Teams.

Vermeiden Sie kryptische oder alarmistische Meldungen. Gute Kommunikation sollte:

• klar erklären, was nicht stimmt und was zu tun ist
• Schritte oder Links zur Selbsthilfe bereitstellen
• Support-Kontaktdaten nennen, bevor eskaliert wird
• einfache Sprache und, wo möglich, den geschäftlichen Kontext nutzen

Beispiel für eine Benachrichtigung:

„Ihr Laptop hat seit 7 Tagen kein Sicherheitsupdate mehr erhalten. Bitte starten Sie Ihr Gerät neu, um das Update abzuschließen. Wird das Problem nicht innerhalb von 12 Stunden behoben, wird der Zugriff auf E-Mails möglicherweise vorübergehend ausgesetzt. Melden Sie sich, wenn Sie Hilfe benötigen.“

Regelmäßig nachjustieren und überprüfen

📌 Anwendungsfall:

Wöchentliche oder monatliche Audits sorgen dafür, dass Compliance wirksam, reibungsarm und vertrauensbasiert bleibt.

Nutzen Sie regelmäßige Überprüfungen, um folgende Kennzahlen zu optimieren:

• Nicht konforme Geräte: Anteil der Geräte in der Karenzzeit oder im Status „nicht konform“
• Erfolgsquote der Skripte: Wirksamkeit der Behebung über die Behebungsskripte (wie viele Fälle sich selbst lösen und wie viele eine Eskalation brauchen)
• Wirksamkeit der Benachrichtigungen: Effizienz und Wirkung der zugestellten kritischen Alarmierungen (z. B. wie viele Benutzer:innen vor der Eskalation reagiert haben)
• Volumen der Support-Tickets: Anzahl der compliance-bezogenen Meldungen, die beim Support-Team eingehen.

Diese Kennzahlen können IT-Teams anschließend nutzen für:

• Neukonfiguration der Karenzzeit: Dauer der Karenzzeit an die Reaktionsbereitschaft der Benutzer:innen anpassen.
• Steuerung der Eskalationsfristen: Den Eskalationszeitplan für eine bessere Balance verändern.
• Abdeckung der Behebungsskripte anpassen: Den Umfang der Skripte erweitern, um wiederkehrende Probleme abzudecken.

Compliance-Richtlinien ohne Störungen umsetzen

Endbenutzer:innen sind oft genauso beschäftigt wie IT-Teams, vielleicht sogar noch mehr. Ihre Erfahrung in den Vordergrund zu stellen, ohne Sicherheit und Compliance zu gefährden, gelingt mit mehreren störungsarmen Methoden der Richtliniendurchsetzung.

Dazu gehören:

• mehrstufige Durchsetzungsmaßnahmen, um plötzlichen Zugriffsverlust zu vermeiden
• Intune Remediations, um Probleme zu beheben, bevor Benutzer:innen sie bemerken
• Defender-Aufgaben für eine priorisierte, risikobasierte Behebung
• klare Kommunikation, um Verwirrung und ausufernde Ticketmengen zu verhindern
• laufende Überprüfung, damit Richtlinien wirksam bleiben, ohne Reibung zu erzeugen

Mit diesen Strategien fördern Sie eine positive Erfahrung für Endbenutzer:innen und sichern gleichzeitig die Geschäftskontinuität durch eine proaktive Durchsetzung von Compliance-Richtlinien mit minimalen Störungen.

Verwandte Themen:

• Was ist MEM (Microsoft Endpoint Manager)?
• Was ist MEM (Microsoft Endpoint Manager)? (Video)
• Was ist Endpunkt-Sicherheit und wie funktioniert sie?
• Alarmierung zum Virenschutz-Status
• Kompletter Leitfaden: Compliance-Richtlinien und bedingter Zugriff in Intune