Umfassender Leitfaden: Compliance-Richtlinien und bedingter Zugriff in Intune

Mit einer Intune-Compliance-Richtlinie können Unternehmen und MSPs Sicherheitsstandards effizient im gesamten IT-Netzwerk durchsetzen. In manchen Szenarien lässt sich Microsoft Intune ergänzend zu einem RMM oder als Alternative dazu einsetzen, auch wenn die Skalierbarkeit begrenzt ist. Dieser Leitfaden dient als Einstieg, um Richtlinien mit Intune und Azure AD (Entra ID) einzurichten und zu verwalten.

Gerätebasierte und app-basierte Compliance im Vergleich

Bei BYOD-Modellen (Bring Your Own Device) können private Geräte, die nicht in Intune MDM registriert sind, in der Regel keinen vollständigen Compliance-Status melden. Dadurch erfüllen sie keine Richtlinien für bedingten Zugriff, die ein „als konform markiertes Gerät“ voraussetzen. In solchen Fällen sollten Unternehmen auf Intune App Protection Policies (MAM) in Kombination mit app-basiertem bedingtem Zugriff setzen. So werden Unternehmensdaten auf App-Ebene geschützt, ohne dass die Geräte vollständig registriert werden müssen.

Gerätebasierte Compliance-Richtlinien setzen dagegen voraus, dass Geräte über Intune registriert und verwaltet werden. Intune erfasst dann Compliance-Daten wie Betriebssystemversion, Verschlüsselungsstatus oder Virenschutzkonfiguration und übergibt diese Informationen an Microsoft Entra ID, damit der bedingte Zugriff Entscheidungen in Echtzeit treffen kann.

Sie möchten lieber eine visuelle Zusammenfassung? Dann sehen Sie sich unser Video Umfassender Leitfaden: Compliance-Richtlinien und bedingter Zugriff in Intune an.

Methoden zum Erstellen und Verwalten von Intune-Richtlinien

Die folgende Tabelle hilft Ihnen bei der Entscheidung, ob Intune-Compliance-Richtlinien oder bedingter Zugriff besser zu Ihren Anforderungen passen. Zunächst einige Voraussetzungen, die Sie berücksichtigen sollten:

• Den Zielbenutzer:innen sind Intune-Lizenzen zugewiesen.
• Microsoft 365-Mandant mit Entra ID.
• Die Geräte müssen in Intune registriert sein (Windows, Android, iOS/iPadOS, macOS).
• Zugriff auf das Microsoft Endpoint Manager Admin Center und das Entra ID-Blade für bedingten Zugriff ist erforderlich.

Sie können auch direkt zum Abschnitt Worauf Sie achten sollten springen, um Ihren Aktionsplan zu optimieren und Risiken zu steuern.

Methode 1: Compliance-Richtlinie über Intune erstellen

Sie können Compliance-Richtlinien direkt in Microsoft Intune erstellen, damit nur sichere und freigegebene Geräte auf Unternehmensressourcen zugreifen können.

1. Rufen Sie intune.microsoft.com auf.
2. Navigieren Sie zu Geräte → Verwaltete Geräte → Compliance → Richtlinie erstellen.
3. Wählen Sie eine Plattform aus (z. B. Windows 10/11, iOS, Android Enterprise).
4. Für den Anfang hier einige Beispiele für Einstellungen, die Sie festlegen können:
   • Passwortanforderungen: Komplexität, Länge und Ablauf erzwingen.
   • Verschlüsselung: BitLocker (Windows) oder FileVault (macOS) als Pflicht festlegen.
   • Firewall: Sicherstellen, dass sie aktiviert und aktiv ist.
   • Defender Antivirus und Antispyware: Echtzeitschutz, Antispyware und Virenschutz müssen aktiviert und aktuell sein.
   • Mindestversion des Betriebssystems: Veraltete oder nicht unterstützte Betriebssystemversionen verhindern.
   • Jailbreak-/Root-Erkennung (für Mobilgeräte): Kompromittierte Mobilgeräte blockieren.
5. Unter „Aktionen bei Nichtkonformität“ können Sie Folgendes konfigurieren:
   • Kulanzzeitraum festlegen (z. B. 1 bis 30 Tage, bevor Maßnahmen greifen).
   • Das Gerät sofort oder nach Ablauf des Kulanzzeitraums als nicht konform markieren.
   • Benachrichtigungs-E-Mails an Benutzer:innen oder Admins senden.
   • Gerät per Fernzugriff sperren oder löschen (bei Integration mit Richtlinien für bedingten Zugriff).
6. Weisen Sie die Richtlinie den gewünschten Geräten oder Benutzergruppen zu bzw. filtern Sie entsprechend, und schließen Sie die Erstellung ab.

Nach der Bereitstellung prüft die Compliance-Richtlinie jedes registrierte Gerät anhand der definierten Kriterien und trägt so zu einem sicheren und konformen IT-Netzwerk bei.

Methode 2: Richtlinien für bedingten Zugriff in Entra AD erstellen

Richtlinien für bedingten Zugriff lassen sich gemeinsam mit Compliance-Richtlinien bereitstellen, um Zugriffskontrollen auf Endpunkten durchzusetzen. Diese Methode eignet sich besonders für standortweite Rollouts.

1. Navigieren Sie zu Entra ID → Sicherheit → Schützen → Bedingter Zugriff → Neue Richtlinie erstellen.
2. Wählen Sie die Benutzer:innen oder Gruppen aus, für die die neue Richtlinie gelten soll.
3. Wählen Sie die betreffenden Cloud-Apps aus (z. B. Exchange Online, SharePoint Online).
4. Definieren Sie Bedingungen wie:
   • Geräteplattform (z. B. iOS, Android, Windows)
   • Filter für den Konformitätsstatus: nur konforme Geräte zulassen
   • Optional: nach Anmelderisiko, Standort oder Client-App filtern
5. Unter Zugriffssteuerung können Sie festlegen, dass der Zugriff nur gewährt wird, wenn das Gerät als konform markiert ist. Optional lässt sich zusätzlich MFA (Multi-Factor Authentication) für mehr Sicherheit verlangen.
6. Testen Sie die Richtlinie mit einer Pilotgruppe, bevor Sie sie flächendeckend ausrollen, um Zugriffsprobleme zu vermeiden.

Eine Kombination aus bedingtem Zugriff und Intune-Compliance-Richtlinien stärkt Ihre Sicherheitsprotokolle und die Zugriffssteuerung im gesamten Netzwerk.

So prüfen und überprüfen Sie Compliance und Richtliniendurchsetzung

Dieser Abschnitt zeigt praktische Methoden, mit denen Sie bestätigen können, dass Geräte die Compliance-Anforderungen erfüllen und Richtlinien in Ihrer Umgebung korrekt angewendet und durchgesetzt werden.

Folgende Methoden stehen Ihnen zur Bewertung Ihrer Richtlinien zur Verfügung:

1. Prüfung über die Eingabeaufforderung und dsregcmd
2. Richtliniendurchsetzung über die Registry prüfen
3. PowerShell für Überwachung und Auswertung nutzen
4. Gruppenrichtlinien-Konfiguration für Co-Management-Umgebungen sicherstellen

1. Compliance lokal über die Eingabeaufforderung und dsregcmd prüfen

Mit dem folgenden Befehl prüfen Sie, ob ein Windows-Gerät wie vorgesehen in Entra ID eingebunden und in Intune registriert ist.

1. Öffnen Sie über die Suche 🔎 das Terminal → Eingabeaufforderung → Als Administrator ausführen.
2. Führen Sie den folgenden Befehl aus: dsregcmd /status.
3. Achten Sie in der Ausgabe auf diese zentralen Indikatoren:
   • EntraIDJoined: YES, bestätigt, dass das Gerät in Entra ID eingebunden ist
   • MDMUrl: sollte eine Intune-Registrierungs-URL anzeigen, bestätigt die MDM-Registrierung
   • DeviceCompliancePolicyReceived: YES, zeigt an, dass Compliance-Richtlinien empfangen wurden
   • ComplianceState: Compliant, bestätigt, dass sich das Gerät aktuell in einem konformen Zustand befindet

Diese Methode eignet sich gut für eine schnelle lokale Prüfung des Entra ID- und Intune-Compliance-Status eines Geräts, insbesondere bei der Fehlerbehebung oder bei Kontrollen vor dem Rollout.

2. Richtliniendurchsetzung über die Windows-Registry prüfen

Zur Erinnerung: Intune schreibt Einstellungen über CSPs (Configuration Service Providers), die sich nur im Registry-Pfad PolicyManager einsehen lassen.

1. Drücken Sie Win + R, geben Sie regedit ein und klicken Sie auf OK, um den Registrierungs-Editor zu öffnen.
2. Navigieren Sie zu folgendem Pfad oder kopieren Sie ihn in die Adressleiste der Registry. Ist der Pfad unvollständig, legen Sie den erforderlichen Schlüssel an.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\

3. Sehen Sie sich die Schlüssel an (z. B. SecurityKeys, BitLocker, Defender), um zu prüfen, ob Intune die Richtlinien wie vorgesehen durchgesetzt hat.

Warnung: Änderungen an der Datenbank können Systemprobleme verursachen. Erstellen Sie ein Registry-Backup, bevor Sie fortfahren.

3. PowerShell zur Compliance-Überwachung und Auswertung des bedingten Zugriffs nutzen

Für die folgenden Skripte benötigen Sie die passenden Graph-API-Berechtigungen (z. B. Administratorzugriff).

1. Öffnen Sie über die Suche 🔎 das Terminal → PowerShell → Als Administrator ausführen.
2. Um sich zu authentifizieren und auf Geräteverwaltungsdaten zuzugreifen, stellen Sie mit folgendem Skript eine Verbindung mit den nötigen Scopes her:

Connect-MgGraph -Scopes "DeviceManagementConfiguration.Read.All", "Policy.Read.All", "DeviceManagementManagedDevices.Read.All"

3. Rufen Sie eine Liste der Compliance-Richtlinien ab mit:

Get-MgDeviceManagementCompliancePolicy.

4. Prüfen Sie anschließend bestimmte Richtlinienzuweisungen mit:

Get-MgDeviceManagementCompliancePolicyAssignment -CompliancePolicyId<ID>

Ersetzen Sie <ID> durch die ID der Richtlinie aus dem vorherigen Befehl.

5. Sehen Sie sich zum Schluss die Compliance-Status der Geräte an mit:

Get-MgDeviceManagementManagedDevice | Select DisplayName, ComplianceState

Diese Daten lassen sich außerdem filtern oder exportieren (z. B. als CSV für Audits oder mandantenweite Übersichten) und so für Berichterstattung und Analysen nutzen. Besonders hilfreich sind diese Skripte für IT-Admins in Unternehmen, die Berichterstattung, Richtlinienprüfung oder Compliance-Durchsetzung im großen Maßstab automatisieren möchten.

Dieses Skript kann ohne Bestätigung oder Rückmeldung ausgeführt werden oder fehlschlagen. Prüfen Sie die entsprechenden Registry-Schlüssel oder Systemeinstellungen, um zu bestätigen, dass die Änderungen erfolgreich übernommen wurden.

4. Gruppenrichtlinien-Konfiguration für Co-Management-Umgebungen sicherstellen

Wenn Sie Microsoft Endpoint Configuration Manager (ConfigMgr/SCCM) im Co-Management mit Intune einsetzen, können Sie über Gruppenrichtlinien die automatisierte MDM-Registrierung für Windows-Geräte auslösen.

Verwenden Sie dafür unbedingt einen in die Domäne eingebundenen Verwaltungsrechner.

1. Drücken Sie Win + R, geben Sie gpmc.msc ein und klicken Sie auf OK, um die Gruppenrichtlinienverwaltungskonsole zu öffnen.
2. Navigieren Sie zu Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → MDM.
3. Suchen Sie die Richtlinie Automatische MDM-Registrierung mit Standardanmeldeinformationen von Microsoft Entra ID aktivieren, aktivieren Sie sie und wählen Sie Geräteanmeldeinformationen als Option für die Anmeldeinformationen.
4. Wenden Sie die Richtlinie an und führen Sie gpresult /h report.html aus, um die Anwendung zu überprüfen.

Öffnen Sie zur Kontrolle Ihrer Konfiguration die Datei report.html in einem Browser und prüfen Sie, ob die MDM-Richtlinie erfolgreich angewendet wurde.

Worauf Sie beim Konfigurieren von Richtlinien in Intune achten sollten

Fehlt noch etwas? Die folgenden Szenarien und Tipps helfen Ihnen, Fehler zu beheben, Systemprobleme zu vermeiden und Richtlinien konsequent durchzusetzen.

Zur Erinnerung: Es ist wichtig, ein System zu haben, das Compliance-Änderungen über die Zeit hinweg überwacht, damit Lücken mit jedem Update mitbehoben werden. Planen Sie regelmäßige Berichterstattung und Alarmierungen über die Graph API oder das Intune-Berichtsdashboard, um Ihre Sicherheitslage im Blick zu behalten.

Diese NinjaOne-Services und -Funktionen ergänzen Ihre Intune-Richtlinien

Die Durchsetzung und Überwachung der Endpunkt-Compliance kann für IT-Teams in Unternehmensumgebungen sehr aufwendig sein. Wie lässt sich das im großen Maßstab umsetzen? Genau hier spielen die Lösungen von NinjaOne Endpoint Management® in den Händen von MSPs und IT-Administrator:innen ihre Stärken aus.

Überwachung der Richtliniendurchsetzung

NinjaOne bietet leistungsstarke Funktionen, um Alarmierungen und Behebungsschritte zu automatisieren, wenn verwaltete Endpunkte aus der Intune-Compliance fallen. Routineaufgaben und Überwachung lassen sich nahtlos automatisieren, sodass sich Admins auf dringendere Aufgaben konzentrieren können.

Darüber hinaus kann NinjaOne Ihren Helpdesk entlasten, da die IT bereits automatisiert alarmiert wird, bevor manche Situationen eskalieren und den Betrieb stören.

Einheitlicher Überblick über alle Endpunkte

NinjaOne MDM™ bietet eine Reihe von Lösungen für dynamische IT-Netzwerke oder verteilte Endpunkte. So behalten Sie beispielsweise konforme und nicht konforme Geräte über alle Mandanten und Betriebssysteme hinweg im Blick und unter Kontrolle.

Individuelle Compliance-Skripte

Eine der besten Einsatzmöglichkeiten von NinjaOne RMM® ist das Bereitstellen und Planen von PowerShell- oder Eingabeaufforderungs-Skripten, die lokale Konfigurationsprobleme erkennen und beheben, die über die Sichtbarkeit und Kontrolle von Intune hinausgehen.

Zusätzlich gibt Ihnen NinjaOne mit individuellen Skripten und Bereitstellungsstrategien eine feinere Kontrolle über das Netzwerk. In der NinjaOne-Skriptbibliothek finden Sie einsatzbereite Skripte, die NinjaOne-Benutzer:innen bei Bedarf bereitstellen können.

So stellen Sie Intune-Compliance-Richtlinien am besten bereit

Compliance-Richtlinien mit bedingtem Zugriff in Intune zu kombinieren, ist ein ausgezeichneter Ansatz, um die Grundlage für ein Zero-Trust-Sicherheitsmodell zu schaffen. Allerdings stößt Microsoft Intune allein mitunter an seine Grenzen, auch bei der Skalierung. Für eine umfassendere und zukunftssichere Strategie sollten Sie Intune mit NinjaOne kombinieren, um die Sichtbarkeit zu erhöhen und die Behebung auf allen Endpunkten zu automatisieren.

Verwandte Themen:

• Intune vs. RMM: Kann Microsoft Intune ein RMM ersetzen?
• Bietet Microsoft Intune Patch-Management?
• Die 12 besten Alternativen und Wettbewerber zu Microsoft Intune
• So konfigurieren Sie Richtlinien für bedingten Zugriff in Azure AD