Geräte & Endpoint-Management
Über die direkte Microsoft-Intune-Anbindung zeigt das Portal Ihre verwalteten Geräte in zwei Bereichen: Endpoints (Gerätebestand, Risiken, Updates) und Compliance (Richtlinien-Einhaltung und Verschlüsselung). Beide Bereiche sehen alle Leserollen; Endanwender sehen sie nicht.1. Gerätebestand (Endpoints)
- Geräteliste mit Gerätename, Benutzer, Modell, Betriebssystem, letzter Kontakt (heute, vor 1–14 Tagen, veraltet ab 14 Tagen — abgeleitet aus der letzten Intune-Synchronisierung, kein Online-Status), Compliance, Verschlüsselung, Besitzertyp und letzter Synchronisierung — durchsuchbar und als Tabelle exportierbar.
- Gerätedetails aufklappen: Stammdaten des Geräts und die installierten Apps mit Version und Größe (App-Suche je Gerät).
- Endpoint Health (vorausschauende Hinweise): Das Portal zählt Geräte mit knappem Speicherplatz, fehlender BitLocker-Verschlüsselung, Compliance-Problemen, lange ausbleibender Synchronisierung, auslaufendem Betriebssystem-Support und alter Hardware und nennt je Gerät den Grund.
- Gerät verloren: Portal-Admins stellen über den Knopf Gerät verloren in der Gerätezeile einen Notfall-Antrag (siehe Gerät verloren oder gestohlen).
- Gerätesync: Portal-Admins stoßen für ein auffälliges Gerät mit Intune Remote-Sync eine sofortige Richtlinienabfrage an. Das ist die einzige Aktion, die das Portal hier ohne Freigabe selbst ausführt. Für die übrigen Hinweise (Speicher aufräumen, Betriebssystem aktualisieren, Verschlüsselung erzwingen, Compliance herstellen, Hardware tauschen) zeigt das Portal nur den Hinweis ohne Knopf — beauftragen Sie die Maßnahme per Ticket.
2. Compliance
Der Bereich Compliance zeigt, wie viele Geräte Ihre Intune-Konformitätsrichtlinien erfüllen:- Compliance-Rate und Status je Gerät (konform, nicht konform, nicht bewertet, Fehler).
- Verschlüsselung: Anteil verschlüsselter Geräte (BitLocker, FileVault bzw. Geräteverschlüsselung).
- Plattform-Verteilung: Windows, macOS, iOS/iPadOS, Android und Linux.
Geräte-Standard (OpenIntuneBaseline)
Ihr Geräte-Standard ist die OpenIntuneBaseline (OIB), eine frei verfügbare Sammlung bewährter Intune-Sicherheitsrichtlinien für Windows, macOS, Windows 365 und private Mobilgeräte (App-Schutz). Ihr Profil legt fest, welche Pakete twisb für Ihr Unternehmen vorsieht (Stufe, Plattformen, Zielgruppen). Das Profil ändert twisb; Änderungswünsche stellen Sie bitte als Ticket. Der Tab Geräte-Standard hat vier Ansichten: Übersicht. Beantwortet „Sind unsere Geräte sicher eingestellt?“: der Geräteschutz aus Unser Standard mit allen Bausteinen (die Karte unter Sicherheit › Sicherheitslage zeigt dafür nur eine Zusammenfassung mit Link hierher) (Pflicht: BitLocker, Windows LAPS und der Windows-Basisschutz; empfohlen: Compliance, erweiterte Härtung, macOS, Windows 365 und App-Schutz für private Mobilgeräte), dazu die Zahl offener Änderungen und das Datum der letzten Sicherung. Soll & Status.- Status: Jede Nacht prüft twisb Einstellung für Einstellung, ob Ihre Richtlinien dem Profil entsprechen: entspricht, weicht ab, fehlt, Ausnahme oder nicht vorgesehen (ausgegraut, keine Lücke). Je Plattform zeigt eine Kuppel die Übereinstimmung in Prozent, je Richtlinie die installierte und die aktuelle Version.
- Abweichungen: Aufklappbar je Richtlinie mit der betroffenen Einstellung. Ist- und Sollwert sehen Portal-Admins.
- Ausnahmen (nur Portal-Admins): Eine bewusst andere Einstellung können Portal-Admins als Ausnahme festhalten, mit Begründung und Ablaufdatum (höchstens ein Jahr). Sie wirkt sofort, ändert aber nichts in Intune.
- Vorprüfung: Zeigt auf Klick, was ein Ausrollen der aktuellen Version anlegen würde, was schon vorhanden ist und wo es Überschneidungen mit Ihren eigenen Richtlinien gibt.
- Ausrollen: nur als Antrag im 4-Augen-Verfahren. Die Richtlinien werden zuerst ohne Zuweisung angelegt, dann einer Pilotgruppe und erst danach den Zielgruppen Ihres Profils zugewiesen.
- Wer hat geändert: Alle Rollen mit Lesezugriff sehen, ob die Änderung von einem Admin in Ihrem Unternehmen, von twisb oder von unbekannt kam. Den Namen des Kontos sehen nur Portal-Admins.
- Vergleich: Ein Klick auf eine Änderung klappt die geänderten Einstellungen auf. Die Werte vorher und nachher sehen Portal-Admins.
- Zur Kenntnis genommen (nur Portal-Admins): Bestätigt, dass Sie eine Änderung gesehen haben. Hoch eingestufte Änderungen, die niemand zur Kenntnis genommen hat, zeigt die Startseite sieben Tage lang als Hinweis. Die Änderung bleibt in der Zeitachse, die Bestätigung steht im Audit-Log.
- Diese Version wiederherstellen (nur Portal-Admins): Stellt einen Antrag, die Richtlinie auf den Stand vor der Änderung zurückzusetzen oder als Kopie anzulegen. Ein zweiter Portal-Admin (bzw. twisb bei „Verwaltet durch twisb“) gibt frei; vorher ändert sich nichts.
- Versionen: Je Richtlinie sehen Sie die gesicherten Stände mit Datum. Ältere Versionen werden nach 400 Tagen entfernt, die letzten zehn je Richtlinie bleiben immer erhalten.
- Inhalt und Vergleich (nur Portal-Admins): Portal-Admins können den Inhalt einer Version öffnen und zwei Versionen vergleichen (Einstellung vorher und nachher). Jeder Abruf wird im Audit-Log vermerkt.
- Export (nur Portal-Admins): Lädt die neueste Version aller vorhandenen Richtlinien als JSON-Datei herunter.
- Geheimnisse neu eintragen: Kennwörter, WLAN-Schlüssel, Zertifikate und Zugangsdaten in Skripten werden nicht gesichert; sie stehen als „(geheim)“ in der Sicherung. Bei einer Wiederherstellung müssen sie neu eingetragen werden.
- Wiederherstellungsprobe: Einmal pro Woche prüft twisb stichprobenartig, ob sich die Sicherungen lesen lassen. Datum und Ergebnis stehen neben „Wiederherstellungsprobe“.
Firmeneigene iPhones, iPads und Android-Geräte (Geräteverwaltung statt App-Schutz) deckt die OpenIntuneBaseline derzeit nicht ab. Ihre Konformitätsrichtlinien dafür richtet twisb bei Bedarf separat ein; das Ergebnis sehen Sie oben unter Compliance.
3. Updates & Lebenszyklus
Die Ansicht „Updates & Lebenszyklus“ (Geräte › Geräte & Updates) zeigt, welche Windows-Geräte noch Sicherheitsupdates von Microsoft bekommen und wie Ihre Update-Ringe und Feature-Update-Profile eingerichtet sind. Die Anzeige liest nur; Änderungen sind ausschließlich über die Anträge zu Windows Autopatch möglich.- Windows Autopatch: Oben in der Karte steht, ob der twisb-Standard eingerichtet ist (eingerichtet, teilweise, nicht eingerichtet), welche Gruppe als „alle Geräte“ gilt und je Ring, ob die Richtlinie zugewiesen ist und welche Gruppen darin sind.
- Kennzahlen und Build-Verteilung: Anzahl der Windows-Geräte je Produkt, Version und Build mit dem Support-Ende laut Microsoft.
- Geräteliste (aufklappbar): Der Umschalter wählt zwischen Nur Handlungsbedarf (Geräte ohne Support oder mit bald endendem Support, Standard) und Alle Geräte. Je Gerät stehen Benutzer, Windows-Version, Build, Status, Support-Ende, Restlaufzeit, Windows-11-Fähigkeit und letzter Kontakt mit Intune. Ein Klick auf die Spaltenköpfe Gerät, Build, Status, Support-Ende oder Letzter Kontakt sortiert die Liste, ein zweiter Klick dreht die Richtung (auch per Tastatur mit Enter oder Leertaste). Standard ist „dringlichste zuerst“; Geräte ohne Angabe stehen immer am Ende.
- Update-Ringe: Aufschub für Qualitäts- und Feature-Updates, Pausen, Zuweisungen und der Anteil der Geräte, auf denen der Ring nicht angewendet wurde (Fehler oder Konflikt).
- Feature-Update-Profile: Zielversion und deren Support-Ende.
- Windows-11-Fähigkeit: Für Windows-10-Geräte zeigt die Spalte „Win11-fähig“ (ja / nein / —), ob das Gerät die Hardware-Anforderungen erfüllt, und nennt die Blocker (z. B. TPM, Secure Boot, Prozessor). Die Kennzahl „Windows 10 ohne Win11-Fähigkeit“ und ein gelber Befund zeigen, wie viele Geräte ersetzt statt aktualisiert werden müssen. Die Daten stammen aus Endpoint Analytics; ist es nicht aktiviert, bleibt die Spalte leer (—).
Hinweise:
- 90-Tage-Schwelle: „Läuft bald aus“ heißt, das Support-Ende liegt höchstens 90 Tage entfernt — etwa ein Upgrade-Zyklus.
- Edition angenommen: Enterprise- und Education-Editionen haben bei manchen Versionen ein Jahr länger Support als Home/Pro. Kann die Edition nicht ermittelt werden, rechnet das Portal vorsichtig mit der Home/Pro-Frist und markiert das Gerät mit „Edition angenommen“.
- Windows-10-ESU wird nicht erkannt: Haben Sie Extended Security Updates für Windows 10 gebucht, erscheinen diese Geräte trotzdem als „ohne Support“.
- Zustimmung ausstehend: Fehlt eine Berechtigung in Microsoft Graph, bleibt nur der betroffene Teil leer; die übrigen Teile werden angezeigt.
4. Autopilot
Die Ansicht „Autopilot“ (Geräte › Geräte & Updates) zeigt, welche Geräte in Windows Autopilot registriert sind und ob sie schon eingerichtet wurden. So sehen Sie auf einen Blick, ob neu gelieferte Geräte startklar sind.- Kennzahlen: registriert, eingerichtet, nicht eingerichtet und fehlgeschlagen, dazu eine Gesamt-Ampel.
- Registrierte Geräte: Seriennummer, Hersteller und Modell, Group-Tag, Status, letzter Kontakt zum Autopilot-Dienst (Datum, genaue Uhrzeit beim Überfahren; „—“ = noch kein Kontakt), zugewiesener Nutzer und das zugehörige Gerät in Intune. Der Filter „Nur nicht eingerichtete“ zeigt die Geräte, die registriert, aber noch nicht eingerichtet sind.
- In Intune, nicht in Autopilot (aufklappbar): Windows-Firmengeräte, die Intune verwaltet, die aber in Autopilot fehlen. Nach einem Zurücksetzen richten sie sich nicht automatisch neu ein.
- Bereitstellungsprofile: Autopilot-Profile und wie vielen Gruppen sie zugewiesen sind. Ein Profil ohne Zuweisung wirkt auf kein Gerät.
- „Neu prüfen“ fragt Microsoft Intune erneut ab (höchstens einmal pro Minute). Sonst bleiben die Daten 15 Minuten zwischengespeichert.
- Geräte importieren: Laden Sie eine CSV-Datei im Intune-Format hoch (
Device Serial Number,Windows Product ID,Hardware Hash[,Group Tag][,Assigned User]). Die Datei erzeugtGet-WindowsAutopilotInfoauf dem Gerät, oder Sie bekommen sie vom Händler. Die Datei wird nur im Browser gelesen. Die Spalte „Windows Product ID“ wird nicht übertragen. Pro Antrag sind höchstens 25 Geräte möglich. Bereits registrierte Geräte werden übersprungen. - Nutzer zuweisen: Weist einem registrierten Gerät einen Mitarbeiter zu, damit die Einrichtung für diese Person vorbereitet ist. Gäste können nicht zugewiesen werden.
- Aus Autopilot entfernen: Nur für Geräte, die nicht in Intune eingeschrieben sind. Eingeschriebene Geräte entfernen Sie zuerst in Intune.
- Hardware-Hash nötig: Mit der Seriennummer allein kann nur der Hersteller oder Ihr Händler ein Gerät registrieren. Über das Portal geht es nur mit Hardware-Hash.
- Zustimmung ausstehend: Autopilot braucht die Berechtigung
DeviceManagementServiceConfig.ReadWrite.All. Das gilt schon für das Anzeigen. Fehlt die Zustimmung, zeigt die Sektion „Zustimmung ausstehend“ und Portal-Admins können keine Anträge stellen. Siehe Microsoft-Berechtigungen. - Datenschutz: Die Übersicht zeigt keine Anmeldenamen, keine Produktschlüssel und keine Hardware-Hashes. Der Antrag speichert Seriennummern, Hashes und die Objekt-ID des Nutzers, aber keine Namen.
- Demo-Modus: In Demo-Mandanten ist die Sektion nicht verfügbar.
5. Nutzererlebnis (Endpoint Analytics)
Der Bereich „Geräte-Gesundheit (Intune & Endpoint Analytics)“ in der Ansicht „Geräte“ (Geräte › Geräte & Updates) zeigt zusätzlich drei Kacheln aus Microsoft Intune Endpoint Analytics. Jede Kachel zählt die Geräte, die eine Schwelle überschreiten. Die Werte je Gerät stehen in der aufgeklappten Gerätezeile.
Ein Wert genau auf der Schwelle (90 Sekunden, 3 Abstürze, 60 %) löst noch keinen Hinweis aus. Für Geräte ohne Messwert ändert sich nichts an der Bewertung. Die Hinweise zu diesen drei Werten sind Empfehlungen und haben keinen Aktionsknopf; Maßnahmen wie Treiber- oder Akkutausch planen Sie über ein Ticket.
Endpoint Analytics aktivieren: Zeigt das Portal statt der Kacheln einen Hinweis, ist Endpoint Analytics für Ihren Mandanten noch nicht eingeschaltet. Im Microsoft Intune Admin Center unter Berichte → Endpoint Analytics → Einstellungen die Intune-Datensammlung für Windows-Geräte aktivieren. Die ersten Daten erscheinen nach bis zu 24 Stunden. Anleitung von Microsoft: Endpoint Analytics für Intune-Geräte aktivieren. Eine zusätzliche Berechtigung für theway ist nicht nötig.
Weitere Hinweise im Kachelbereich:
- Zustimmung ausstehend: Die Berechtigung in Microsoft Graph fehlt; der Rest des Tabs funktioniert weiter.
- Lizenz erforderlich: Der Mandant hat keine passende Intune-Lizenz für Endpoint Analytics.
- Nutzererlebnis-Daten nicht abrufbar: Microsoft hat nicht rechtzeitig oder mit einem Fehler geantwortet. „Telemetrie aktualisieren“ fragt erneut an (höchstens einmal pro Minute).
Datenschutz und Mitbestimmung
Startzeit, App-Abstürze und Akku-Kapazität sind technische Gerätedaten. Im Portal stehen sie aber neben dem Anzeigenamen der Person, der das Gerät zugeordnet ist — genau wie die übrige Geräte-Telemetrie. Wer die Werte einer Person zuordnen kann, kann damit unter Umständen auch Rückschlüsse auf deren Arbeitsweise ziehen. Die Auswertung kann deshalb in Deutschland als technische Einrichtung zur Überwachung von Verhalten oder Leistung unter § 87 Abs. 1 Nr. 6 BetrVG fallen. theway begrenzt das so weit wie möglich:- Keine Rangliste: Das Portal sortiert und vergleicht keine Personen; die Kacheln zählen nur Geräte.
- Kein Verlauf: Angezeigt wird der aktuelle Stand aus Microsoft Intune, keine Entwicklung über die Zeit.
- Keine Speicherung: theway speichert die Messwerte nicht, weder in einer Datenbank noch im Audit-Log. Sie werden höchstens eine Stunde zwischengespeichert, damit Microsoft Graph nicht bei jedem Aufruf erneut abgefragt wird.
- Datensparsam: Übernommen werden nur Geräteschlüssel und die drei Messwerte. Seriennummern, Anmeldenamen und die Namen einzelner Anwendungen aus Endpoint Analytics verwirft theway.
6. Windows Autopatch per Antrag
Haben Sie noch keine geordnete Update-Steuerung, richtet das Portal einen erprobten Standard für Windows Autopatch (Modus „Autopatch-Richtlinien“) in Intune ein. Ein Portal-Admin beantragt ihn in der Karte Updates & Lebenszyklus über Autopatch einrichten; ein zweiter Portal-Admin gibt ihn im Approval Center frei und führt ihn damit aus. Was angelegt wird (alle Objekte beginnen mit „twisb Autopatch“):
Dazu kommen ein Feature-Update-Profil (Zielversion Windows 11 25H2) und ein Treiber- und Firmware-Profil (automatische Freigabe nach 7 Tagen). Fristen: 2 Tage bis zur Installation plus 2 Tage Karenz; Nutzungszeit 8–17 Uhr; 30 Tage Rückkehrmöglichkeit nach Feature-Updates.
Zielgruppe „alle Geräte“: Im Antrag wählen Sie, ob das Portal die dynamische Gruppe „twisb Autopatch - Alle Windows-Geräte“ anlegt oder ob eine vorhandene Sicherheitsgruppe (z. B. Ihre Gruppe „Alle Windows-Geräte“) verwendet wird. Für diese Gruppe gelten Ring Breit, Feature- und Treiberprofil.
Gruppen je Ring: Welche Geräte zuerst (Test), im Pilot oder zuletzt (Kritisch) Updates bekommen, legen Sie über Gruppen ändern in der jeweiligen Ringzeile fest: Gruppen auswählen oder entfernen, kurz begründen — ein zweiter Portal-Admin gibt frei. Eine Gruppe gehört in genau einen Ring; Geräte ohne Ring-Gruppe bleiben im Ring Breit. Die Änderung wirkt mit der nächsten Intune-Synchronisierung der Geräte.
Das Portal richtet Autopatch über Intune-Richtlinien ein (Modus „Autopatch-Richtlinien“). Eine „Autopatch-Gruppe“ unter Mandantenverwaltung → Windows Autopatch im Intune Admin Center ist dafür nicht nötig und bleibt dort leer. Bitte legen Sie zusätzlich keine Autopatch-Gruppe an — sonst erhalten Geräte doppelte Update-Ringe.
- Das Portal legt nur an. Vorhandene Objekte mit gleichem Namen werden wiederverwendet und nicht verändert; fremde Richtlinien bleiben unberührt. Im Approval Center sieht der Freigebende, ob es bereits eigene Update-Richtlinien gibt, die sich mit dem Standard überschneiden könnten.
- Der Antrag gilt 24 Stunden und wird genau so ausgeführt, wie er beantragt wurde.
- Kein Schritt wird automatisch wiederholt. Antwortet Microsoft unklar, erscheint das Ergebnis als „unklar — bitte prüfen“; ein neuer Antrag setzt dort fort, wo der letzte aufgehört hat.
Voraussetzung sind die Microsoft-Berechtigungen für Intune-Konfiguration und das Anlegen von Gruppen, siehe Microsoft-Berechtigungen. Die dynamische Gruppe „Alle Windows-Geräte“ setzt Entra ID P1 voraus.
7. Notfall-Antrag bei Verlust oder Diebstahl
Ein verlorenes Notebook oder Handy melden Portal-Admins in zwei Minuten: Knopf Gerät verloren in der Gerätezeile, Schritte wählen, kurz beschreiben, was passiert ist. Eine zweite Person mit Portal-Admin-Rolle gibt im Approval Center frei und führt damit genau diese Schritte aus (im Modus „Verwaltet durch twisb“ gibt twisb frei). Gibt es bei Ihnen keine zweite Person, sendet der Dialog den Verlust stattdessen als Ticket mit Priorität hoch an twisb.- Löschen nur mit Bestätigung: Zum Löschen bzw. Entfernen der Firmendaten tippen Sie den Gerätenamen ein. Private Geräte werden nie vollständig gelöscht — dort entfernt das Portal nur Firmen-Apps und -Daten.
- Erneute Prüfung vor dem Ausführen: Direkt vor dem Sperren bzw. Löschen prüft das Portal das Gerät noch einmal. Ist es inzwischen kein Firmengerät mehr, hat sich die Plattform geändert oder ist es nicht lesbar, wird der Schritt nicht ausgeführt und im Ergebnis mit Grund angezeigt.
- Ergebnis je Schritt: Nach der Freigabe zeigt das Approval Center je Schritt erledigt, fehlgeschlagen oder unklar. Unklar heißt: Microsoft hat nicht eindeutig geantwortet — das Portal wiederholt nichts, der Service Desk prüft den Zustand in Intune.
- Ticket und Meldung: Nach der Ausführung entsteht automatisch ein Ticket mit Priorität hoch (verlinkt im Antrag), die Portal-Admins erhalten eine Sicherheitsmeldung, und jeder Schritt steht im Audit-Log. Prüfen Sie, ob eine Datenschutzmeldung nötig ist (Art. 33 DSGVO, 72 Stunden).
- Berechtigung: Sperren und Löschen brauchen die Microsoft-Berechtigung
DeviceManagementManagedDevices.PrivilegedOperations.All. Fehlt die Zustimmung, sagt der Dialog das direkt; melden Sie den Verlust dann per Ticket und lassen Sie die Zustimmung erneuern (Microsoft-Berechtigungen). - Mitarbeiter ohne Admin-Rolle melden den Verlust unter Mein Arbeitsplatz mit Mein Gerät ist weg — das erzeugt nur ein Ticket mit Priorität hoch.