Windows-10-PC von Azure AD trennen: So geht’s

Um Geräte in die cloudbasierte Identitätsinfrastruktur eines Unternehmens einzubinden, werden sie über Azure Active Directory (Azure AD) Join verbunden. So erhalten die verbundenen Geräte Zugriff auf wichtige Produktivitätsdienste wie Microsoft 365 sowie auf Tools für Geräteverwaltung und Überwachung wie Intune.

In Unternehmensumgebungen ist ein solches Netzwerk durchaus sinnvoll. Es gibt jedoch Situationen, in denen ein Windows-10-Gerät von Azure AD getrennt werden muss, etwa bei einem Besitzerwechsel oder beim Ausscheiden aus einem Unternehmen.

In diesem Artikel erklären wir, wie Sie Ihren Windows-10-PC von Azure AD trennen.

Schritt für Schritt: PC von Azure AD trennen

Stellen Sie sicher, dass Sie mit einem lokalen Konto oder einem Administratorkonto angemeldet sind (nicht mit einem Azure-AD-Konto, das anschließend ungültig wird). Ein lokales Konto ist an Ihr Gerät gebunden, während ein Azure-AD-Konto mit dem cloudbasierten Identitätssystem Ihres Unternehmens verknüpft ist.

Prüfen Sie vor der Durchführung der folgenden Anleitung, ob diese Voraussetzungen erfüllt sind:

• Berechtigung: Lokaler Administratorzugriff auf dem Gerät.
• Internetverbindung: Das Gerät muss mit dem Internet verbunden sein.
• Konto: Melden Sie sich möglichst mit einem lokalen Konto oder einem Administratorkonto an (nicht mit einem Azure-AD-Konto, das ungültig wird).

Schritt 1: Einstellungen öffnen

Drücken Sie Win + I auf Ihrer Tastatur, um die App Einstellungen zu öffnen.

Schritt 2: Zu Konten > Auf Arbeits- oder Schulkonto zugreifen wechseln

Navigieren Sie zu: Einstellungen > Konten > Auf Arbeits- oder Schulkonto zugreifen

In diesem Bereich werden alle Unternehmenskonten angezeigt, die mit Ihrem Gerät verknüpft sind.

Schritt 3: Azure-AD-Konto auswählen

• Suchen Sie den Eintrag mit der Bezeichnung Verbunden mit Azure AD von <Unternehmen>.
• Klicken Sie auf den Eintrag, um die zugehörigen Optionen einzublenden.

Schritt 4: Konto trennen

• Klicken Sie auf die Schaltfläche Verbindung trennen. Es erscheint eine Bestätigungsabfrage:
  • „Möchten Sie dieses Konto wirklich entfernen?“
• Klicken Sie auf Ja, um fortzufahren. Möglicherweise müssen Sie sich zusätzlich als Administrator:in authentifizieren.

Schritt 5: Bestätigen und neu starten

• Nach der Bestätigung meldet Windows Sie ab und startet das Gerät neu.
• Nach dem Neustart ist das Gerät nicht mehr in Azure AD eingebunden.
• Unter Windows 11 sind die Schritte weitgehend identisch, die Oberfläche kann sich jedoch leicht unterscheiden. Orientieren Sie sich am aktualisierten Aufbau der Einstellungen in Windows 11, dort ist der Ablauf noch etwas direkter.

Gründe für das Trennen von Azure AD

Diese Gründe können es erforderlich machen, einen Windows-10-PC von Azure AD zu trennen:

• Außerbetriebnahme oder Neuverwendung eines Firmengeräts.
• Umstieg auf eine andere Identitätsplattform (z. B. lokales Active Directory oder Arbeitsgruppe).
• Behebung von Problemen bei der Geräteregistrierung oder erneute Registrierung in Azure AD.
• Vorbereitung des Geräts für eine Neuzuweisung oder den Weiterverkauf.

Das sollten Sie vor dem Trennen von Azure AD bedenken

So wichtig der Schritt in den oben genannten Situationen ist: Das Trennen Ihres Windows-10-PCs von Azure AD hat auch Folgen:

• Das Gerät wird aus Azure AD entfernt.
• Benutzer:innen können sich nicht mehr mit Azure-AD-Anmeldeinformationen anmelden.
• Unternehmensdaten, Apps und Verwaltungsrichtlinien werden möglicherweise entfernt.
• Wird das Gerät über Intune verwaltet, wird auch seine Registrierung dort aufgehoben.
• Durch das Trennen von Azure AD wird sichergestellt, dass Unternehmensdaten, Zugriffsrechte und Richtlinien vom Gerät entfernt werden. Achten Sie jedoch darauf, dass Ihr Gerät mit lokalen Anmeldeinformationen geschützt ist und keine sensiblen Daten ungeschützt zurückbleiben.

Das passiert nach dem Trennen

Sobald Sie die Verbindung zu Azure AD trennen, werden mehrere Konfigurationsänderungen sofort wirksam, zum Beispiel:

• Alle Azure-AD-Benutzer:innen werden vom lokalen Rechner entfernt.
• Der Zugriff auf Unternehmensressourcen (verbundene Laufwerke, E-Mail usw.) wird aufgehoben.
• Intune- bzw. MDM-Richtlinien werden entfernt (sofern vorhanden).
• Das System greift wieder auf lokale Benutzerkonten zurück (falls vorhanden) oder fordert bei der nächsten Anmeldung zum Erstellen eines neuen Kontos auf.
• Wird Ihr Gerät über Intune verwaltet, wird die Registrierung beim Trennen aufgehoben. Sie können das Gerät auch manuell über das Intune-Portal abmelden oder per Remote-Löschung über Endpoint Manager sicherstellen, dass Unternehmensdaten entfernt werden.

Alternativen und verwandte Szenarien

Hier sind gängige Anwendungsfälle, in denen das Trennen von Azure AD Teil eines größeren Prozesses ist:

Hinweise und Empfehlungen

• Sichern Sie vor dem Trennen alle wichtigen Dateien, darunter Dokumente, Fotos und anwendungsspezifische Daten, um einen versehentlichen Datenverlust zu vermeiden.
• Stellen Sie sicher, dass vor dem Trennen mindestens ein lokales Administratorkonto vorhanden ist.
• Um den aktuellen Verbindungsstatus des Geräts zu prüfen, führen Sie Folgendes in der Eingabeaufforderung aus:
  • dsregcmd /status
• Für das Trennen vieler Geräte oder das Offboarding im Unternehmen bieten sich Windows Autopilot Reset oder eine Remote-Löschung über Intune an.

Fehlerbehebung

Hier sind einige der häufigsten Probleme, die beim Trennen eines Windows-10-PCs von Azure AD auftreten können.

Ein Windows-10-Gerät von Azure AD trennen

Über die Einstellungen von Windows 10 lässt sich die Verbindung zu Azure Active Directory unkompliziert trennen. So stellen Sie sicher, dass Unternehmensdaten, Zugriffsrechte und Richtlinien vollständig vom Gerät entfernt werden. Das Trennen von AD ist ein entscheidender Schritt im Lebenszyklusmanagement von Geräten, besonders in hybriden oder reinen Cloud-Umgebungen.

So einfach der Vorgang auch ist: Es gibt wichtige Punkte, die Sie vor dem Trennen Ihres Windows-10-Geräts von Azure AD beachten sollten. Prüfen Sie zunächst immer, ob ein Backup vorliegt und der Kontozugriff gesichert ist. Administrator:innen sollten anschließend den Geräteeintrag aus Azure AD und, falls nötig, aus allen MDM-Systemen entfernen. Denken Sie nach dem Trennen daran, das Gerät aus dem Azure-AD-Portal und allen zugehörigen Verwaltungssystemen wie Intune zu löschen, damit Ihre Umgebung aufgeräumt und sicher bleibt.