So standardisieren Sie Workflows für Geräte-Reset und Neuzuweisung beim Austritt von Benutzer:innen

Ein unsauberes Offboarding von Geräten kann zu Datenverlust, Enrollment-Konflikten und Sicherheitslücken führen. Ein einheitlicher Workflow sorgt dafür, dass Teams keine Bereinigungsschritte übersehen. Funktionen wie der Befehl Intune Gerät zurücksetzen helfen zusätzlich dabei, den Prozess zu standardisieren.

Dieser Leitfaden beschreibt einen strukturierten, dokumentierten Prozess mit Microsoft Intune und PowerShell, der sichere und effiziente Neuzuweisungen ermöglicht.

Workflows für Zurücksetzen und Neuzuweisung von Geräten standardisieren

Die Standardisierung von Geräte-Resets und Workflows zur Neuzuweisung umfasst sechs Schritte: die passende Reset-Methode wählen, ein strukturiertes Runbook für Reset und Neuzuweisung erstellen, Enrollment-Artefakte per PowerShell bereinigen, Namenskonventionen anwenden, eine Governance-Checkliste pflegen sowie Schulungen und Reviews einplanen.

Hinweis: Die Beispiele und Skripte in diesem Leitfaden gelten für Windows-Geräte, die über Microsoft Intune und Autopilot verwaltet werden. Ähnliche Prinzipien lassen sich für macOS oder andere Betriebssysteme mit den jeweiligen MDM-Plattformen übertragen.

Schritt 1: Die passende Reset-Methode wählen

Die folgende Tabelle hilft IT-Teams dabei, die passende Reset-Art anhand des Gerätezustands und der geschäftlichen Anforderungen auszuwählen. So entsteht das richtige Gleichgewicht zwischen Geschwindigkeit, Sicherheit und Verwaltbarkeit.

Anwendungsfall: Verlässt eine beschäftigte Person das Unternehmen und wird ihr Laptop an eine neue Person übergeben, kann das IT-Team einen Autopilot-Reset wählen, um Enrollment und Provisionierung zu erhalten, statt die Daten vollständig zu löschen.

Reset-Art	Beschreibung	Anwendungsfall
Vollständiges Löschen	Setzt das Gerät auf die Werkseinstellungen zurück und entfernt alle Daten sowie das Enrollment	Gestohlene, verlorene oder vollständig ausgemusterte Geräte
Fresh Start	Entfernt vorinstallierte Software des Erstausrüsters (OEM) und behält das MDM-Enrollment bei	Interne Geräte mit überladener Einrichtung
Autopilot-Reset	Entfernt Benutzerdaten, behält jedoch Enrollment und Provisionierung bei	Neuverteilung beim selben Kunden oder im selben Team

Wichtig: Die falsche Reset-Art kann zu unnötigen Verzögerungen bei der Neuverteilung führen. (Mehr dazu unter: Worauf Sie achten sollten)

Schritt 2: Ein strukturiertes Runbook für Reset und Neuzuweisung aufbauen

In diesem Schritt wird ein strukturierter Workflow für Reset und Neuzuweisung dokumentiert, damit jedes Gerät denselben Lebenszyklus durchläuft, vom Austritt der nutzenden Person bis zur Bereitschaft für die Neuverteilung.

Anwendungsfall: Ein Unternehmen arbeitet mehrere Auftragnehmer:innen ein und wickelt gleichzeitig das Offboarding von Festangestellten ab. Die Geräte der ausscheidenden Beschäftigten sollen an die neuen Mitarbeiter:innen gehen. Dieser Schritt stellt sicher, dass jedes Gerät gelöscht, deregistriert und nachverfolgt wird, bevor es übergeben wird.

Aufgabe	Beschreibung
1. Benutzer:in und zugehörige Geräte identifizieren.	Prüfen Sie über Plattformen wie Intune oder NinjaOne, welche Geräte den ausscheidenden Benutzer:innen zugeordnet sind, damit kein Gerät übersehen wird.
2. Reset-Methode auswählen.	Nutzen Sie die obige Entscheidungstabelle, um die Reset-Aktion an den geschäftlichen Kontext anzupassen und Sicherheit, Effizienz und Bereitschaft zur Neuverteilung in Einklang zu bringen.
3. Reset über Intune oder RMM auslösen.	Starten Sie die gewählte Reset-Aktion über Intune oder NinjaOne. Ein zentral ausgelöster Reset sorgt für Transparenz und Einheitlichkeit.
4. Gerät nach dem Reset umbenennen oder taggen.	Aktualisieren Sie den Gerätenamen oder vergeben Sie ein Tag, damit sich Geräte in der Berichterstattung leicht filtern lassen und keine Unklarheit über den Status entsteht.
5. Gerät aus Azure AD, Autopilot und Intune entfernen.	Deregistrieren Sie das Gerät, damit es sich nicht erneut unter alten Profilen anmeldet und künftige Konflikte vermieden werden. Dieser Schritt ist entscheidend für ausgemusterte Geräte, die außerhalb des ursprünglichen Teams neu zugewiesen werden.
6. PSA- oder Asset-Tracking-System aktualisieren.	Dokumentieren Sie Reset, Status der Neuzuweisung und weitere Informationen direkt in der PSA- oder Asset-Management-Plattform. So entsteht ein Audit-Trail und IT, HR und Compliance-Teams bleiben auf demselben Stand.
7. Neuverteilung vorbereiten.	Melden Sie wiederverwendete Geräte mit der passenden Basiskonfiguration erneut an, damit neue Benutzer:innen vom ersten Tag an ein sicheres, vollständig provisioniertes Gerät erhalten.

Schritt 3: Windows-Autopilot-Identitäten mit PowerShell und Microsoft Graph entfernen

Beim Ausmustern oder Umwidmen von Hardware ist es oft notwendig, Geräte aus Windows Autopilot zu entfernen, damit sie sich nicht automatisiert erneut unter alten Profilen registrieren.

Anwendungsfall: Eine IT-Administration bereitet nach einer Hardware-Erneuerung eine Charge Laptops für den Weiterverkauf vor. Ein vollständiges Löschen über Intune sichert zwar die Daten, doch bleiben die Geräte in Autopilot registriert, würden sie während der Einrichtung automatisiert wieder Unternehmensprofile anwenden.

Voraussetzungen:

• Aktives Intune-Abonnement und eine Rolle mit der Berechtigung, Autopilot-Geräte zu löschen (z. B. Intune Administrator).
• PowerShell 7+.
• Installiertes Microsoft.Graph PowerShell SDK.
• Anmeldung bei Graph mit DeviceManagementServiceConfig.ReadWrite.All.

1. Drücken Sie Win, geben Sie PowerShell ein und klicken Sie auf Als Administrator ausführen.
2. Kopieren Sie das folgende Skript in die Eingabeaufforderung und drücken Sie die Eingabetaste:

$ErrorActionPreference="Stop" if(-not (Get-Command Connect-MgGraph -ErrorAction SilentlyContinue)){Install-Module Microsoft.Graph -Scope CurrentUser -Force -AllowClobber} Connect-MgGraph -Scopes "DeviceManagementServiceConfig.ReadWrite.All" -NoWelcome $sn=(Get-CimInstance Win32_BIOS).SerialNumber $id=(Invoke-MgGraphRequest -Uri "https://graph.microsoft.com/v1.0/deviceManagement/windowsAutopilotDeviceIdentities?`$top=999").value | Where-Object {$_.serialNumber -eq $sn} | Select-Object -First 1 -ExpandProperty id if(-not $id){Write-Host "No Autopilot identity for serial $sn"; return} Invoke-MgGraphRequest -Method DELETE -Uri "https://graph.microsoft.com/v1.0/deviceManagement/windowsAutopilotDeviceIdentities/$id" Write-Host "Deleted Autopilot identity for $sn"

Hinweis: Sie benötigen in Microsoft Graph die Berechtigung DeviceManagementServiceConfig.ReadWrite.All. Stellen Sie sicher, dass das angemeldete Konto über Intune-Administratorrechte oder gleichwertige Rechte verfügt.

Wichtig: Bevor Sie die Einstellungsänderung auf verschiedenen Endpunkten ausrollen, sollten Sie sie zunächst auf einem lokalen Rechner testen. (Mehr dazu unter: Worauf Sie achten sollten)

Schritt 4: Tags oder Namenskonventionen für die Statusverfolgung einsetzen

Dieser Schritt sorgt dafür, dass Geräte exakt nachverfolgt werden und die Berichterstattung den tatsächlichen Status widerspiegelt.

Anwendungsfall: Ein Gerät wurde gelöscht und ist für die Neuverteilung vorgesehen. Statt es manuell nachzuhalten, können IT-Teams das Tag STATUS-WipedReady vergeben. NinjaOne erkennt es, löst Validierungsskripte aus und verschiebt das Gerät in eine Inventaransicht „bereit zur Neuzuweisung“.

STATUS-WipedReady

Dieses Tag zeigt an, dass ein Gerät für die Neuverteilung verfügbar ist, und wird nach Abschluss eines Resets oder Löschvorgangs vergeben. STATUS-WipedReady kann bedingte Automatisierungen wie Skripte für das erneute Enrollment auslösen oder das Asset in eine Warteschlange für die Neuzuweisung verschieben.

STATUS-InUse

Dieses Tag hilft dabei, Inventarberichte auf Geräte zu filtern, die Benutzer:innen zugewiesen sind, und wird an aktive, ausgerollte Endpunkte vergeben. Es ermöglicht ein aktives Flottenmanagement und eine schnellere Fehlersuche.

STATUS-DecomPending

Dieses Tag ist schließlich für Geräte gedacht, die ausgemustert oder weiterverkauft werden sollen. Automatisierungen können diese Geräte von Richtlinien-Rollouts ausnehmen, während sie in Berichtsansichten bis zum Abschluss der Ausmusterung sichtbar bleiben.

Schritt 5: Eine Governance-Checkliste pflegen

Dieser Schritt ermöglicht es IT-Teams, Compliance einzuhalten, Sicherheitsrisiken zu senken und Lücken zu schließen.

Anwendungsfall: Eine langjährige beschäftigte Person verlässt das Unternehmen und ihr Laptop geht an eine auftragnehmende Person. Das IT-Team arbeitet dabei eine Governance-Checkliste ab, die einen sicheren Geräte-Reset gewährleistet.

Aktion	Beschreibung
1. Aus Intune entfernen.	Stellen Sie sicher, dass das Gerät aus Intune abgemeldet ist, damit es bei der Neuzuweisung nicht zu doppeltem Enrollment kommt. Dabei werden auch alte Compliance-Baselines entfernt.
2. Aus Microsoft Entra ID (früher Azure AD) entfernen.	Wird das Gerät aus Azure Active Directory entfernt, erscheint es nicht länger als vertrauenswürdiger Unternehmens-Endpunkt. Außerdem werden verbliebene Authentifizierungswege geschlossen.
3. Autopilot-Profil löschen.	Entfernen Sie bei ausgemusterten oder weiterverkauften Geräten das zugehörige Autopilot-Profil, damit das Gerät nicht versucht, sich mit veralteten Konfigurationen automatisiert anzumelden.
4. Reset auslösen.	Führen Sie anhand der obigen Tabelle die passende Reset-Aktion aus, um Benutzerdaten zu entfernen und ein sauberes, sicheres Gerät zu erhalten.
5. Asset-Datensatz aktualisieren.	Dokumentieren Sie die Reset-Aktion, den aktuellen Lebenszyklusstatus und Notizen zu Neuzuweisung oder Ausmusterung im Asset-Management-System. So bleibt die Verantwortlichkeit nachvollziehbar und es entsteht ein belastbarer Audit-Trail.
6. Neues Benutzerprofil oder neue Konfiguration zuweisen.	Spielen Sie die passende Basiskonfiguration auf oder setzen Sie das Gerät für die Neuverteilung neu auf. Bei einer Neuzuweisung verknüpfen Sie es mit dem Profil der neuen Person, damit Inventar und Compliance korrekt nachverfolgt werden.

Warnung: Werden Schritte übersprungen oder die Checkliste nicht aktuell gehalten, können Sicherheitsschwachstellen entstehen oder Geräte melden sich mit veralteten Konfigurationen erneut an. (Mehr dazu unter: Worauf Sie achten sollten)

Schritt 6: Schulungen und vierteljährliche Prozess-Reviews einplanen

Dieser Schritt macht aus einem einmaligen Projekt eine dauerhafte Governance-Praxis, denn regelmäßige Schulungen und Review-Zyklen geben Techniker:innen Sicherheit bei der Umsetzung.

Anwendungsfall: Ein IT-Manager plant eine vierteljährliche Schulung, um die Entscheidungsmatrix mit den Techniker:innen durchzugehen, die aktualisierte Dokumentation zu besprechen und die Kennzahlen des letzten Quartals auszuwerten.

Techniker:innen zu Reset-Arten, werkzeugspezifischen Schritten und Dokumentationsorten schulen

So verstehen die Beschäftigten die Unterschiede zwischen vollständigem Löschen, Fresh Start und Autopilot-Reset sowie den jeweils richtigen Einsatzzeitpunkt. Die Schulung kann außerdem die Ausführung in den einzelnen Werkzeugen abdecken und zeigen, wo unterstützende Dokumentation oder Logs zu finden sind.

Reset-Kennzahlen vierteljährlich auswerten

Analysieren Sie Leistungsindikatoren und prüfen Sie Engpässe, übersehene Schritte oder wiederkehrende Probleme, die Prozessanpassungen erfordern könnten.

Runbooks aktualisieren

Vierteljährliche Reviews bieten die Gelegenheit, Runbooks zu aktualisieren, damit Techniker:innen korrekte Anleitungen haben. Denn Intune und RMM-Plattformen entwickeln sich schnell weiter und bringen neue Reset-Optionen mit.

Worauf Sie achten sollten

Risiken	Mögliche Folgen	Gegenmaßnahmen
Falsche Reset-Art gewählt	Möglicherweise unnötige Verzögerungen bei der Neuverteilung, verlorene Konfigurationen oder nicht vollständig gelöschte Daten	Schulen Sie die Beschäftigten anhand der Entscheidungsmatrix, verlangen Sie bei Sonderfällen eine Freigabe durch die Leitung und dokumentieren Sie den Weg zur Wiederherstellung.
Kein Test auf einem lokalen Rechner	Ein ungetestetes Skript kann dazu führen, dass Geräte abstürzen, etwa wegen inkompatibler Registry-Schlüssel.	Wenden Sie die gewünschten Änderungen zunächst auf einem lokalen Rechner an und prüfen Sie, ob die Konfiguration das beabsichtigte Ergebnis liefert.
Schritte der Checkliste überspringen oder die Checkliste nach Plattformänderungen nicht aktualisieren	Sicherheitslücken, nicht bestandene Audits und doppeltes Enrollment können Probleme verursachen.	Erzwingen Sie das vollständige Abarbeiten der Checkliste über das Ticketing-System und verlangen Sie eine Freigabe, bevor ein Gerät neu verteilt wird.

NinjaOne-Funktionen für standardisierte Geräte-Resets

Wenn Sie den oben beschriebenen Prozess in die Automatisierungs- und Berichts-Workflows von NinjaOne einbetten, sinkt die Varianz und die Sicherheitslage verbessert sich. Folgende Funktionen der Plattform helfen Ihnen dabei, den Workflow mit NinjaOne abzubilden:

Skriptbibliothek

In der Skriptbibliothek von NinjaOne können IT-Teams PowerShell-Skripte speichern und verwalten, die sie im Offboarding-Workflow einsetzen. Nach einem Reset über Intune können diese Skripte automatisiert weitere Schritte ausführen, etwa ein Gerät aus Windows Autopilot deregistrieren.

Werden Skripte an einem zentralen Ort standardisiert, können Unternehmen sicherstellen, dass alle Techniker:innen demselben Prozess folgen. Das senkt Varianz und Risiko der manuellen Arbeit.

Automatisierungsrichtlinien

Mit Richtlinien wenden Sie Systemeinstellungen automatisiert an, erzwingen Konfigurationen oder lösen Skriptaktionen aus, sobald Geräte bestimmte Bedingungen oder Compliance-Zustände erfüllen.

Benutzerdefinierte Gerätefelder

Mit den benutzerdefinierten Gerätefeldern von NinjaOne können Teams zusätzliche Informationen festhalten, etwa die zuletzt zugewiesene Person, Notizen zur Neuzuweisung oder Wartungstermine.

Das verbessert die Qualität der Dokumentation, unterstützt die Compliance-Nachverfolgung und gibt der IT einen klaren Überblick über die Historie jedes Geräts.

Tag-basierte Berichterstattung

Mit strukturierten Tags können IT-Teams Geräte filtern, die für die Neuverteilung vorbereitet sind, und entsprechende Berichte erstellen. Das ermöglicht Massenaktionen, etwa die Zuordnung von Geräten zu neuen Einarbeitungs-Workflows.

Dokumentationsfelder

Betten Sie Runbook-Links, Reset-Protokolle oder Bestätigungen von Intune-Löschvorgängen in den Asset-Datensatz ein. So erhalten künftige Techniker:innen einen klaren Audit-Trail und Zugriff auf die Offboarding-Checkliste.

Ticketing-Integration

Die Ticketing-Integration von NinjaOne sorgt für präzise und effiziente Offboarding-Aufgaben. NinjaOne erstellt automatisiert ein Ticket mit einer vordefinierten Schritt-Checkliste. Das Ticket kann Links zur Dokumentation, Platz für Logs und Kontrollpunkte für jeden Prozessschritt enthalten.

Fehler vermeiden durch standardisierte Reset- und Neuzuweisungsprozesse

Standardisierte Prozesse für Reset und Neuzuweisung verhindern Fehler, schützen Daten und beschleunigen Gerätewechsel über alle Kunden hinweg. Bereinigungsskripte, Dokumentation und Lebenszyklus-Tags sorgen dafür, dass Übergaben einheitlich und auditfähig ablaufen. Die Automatisierungs- und Berichts-Workflows von NinjaOne reduzieren zusätzlich die Varianz.

Verwandte Themen:

• So verbessern Sie Ihren Onboarding- und Offboarding-Prozess für neue Benutzer:innen
• Remote Wipe auslösen: Kritische Szenarien, die entschlossenes Handeln von IT-Teams erfordern
• So löschen Sie eine Windows-Festplatte sicher mit PowerShell
• Endpoint Lifecycle Management: Übersicht