Microsoft Intune

In vielen Unternehmen werden Notebooks und Smartphones heute über Microsoft Intune verwaltet. Das ist praktisch im Alltag – und wichtig beim Abschied von einem Gerät. Denn wer es vor dem Verkauf nicht korrekt aus Intune und Autopilot entfernt, gibt es mit Firmenbindung weiter.

Was macht Microsoft Intune?

Intune ist in mehreren Microsoft-365-Lizenzpaketen enthalten, auch einzeln erhältlich und arbeitet eng mit Microsoft Entra ID, dem früheren Azure Active Directory, zusammen. Ein Gerät, das in Intune registriert ist, erhält automatisch die Vorgaben des Unternehmens: Passwortregeln, BitLocker-Verschlüsselung, WLAN-Profile, Apps und Updates.

Intune deckt zwei Bereiche ab. Beim Mobile Device Management (MDM) verwaltet das Unternehmen das ganze Gerät. Beim Mobile Application Management (MAM) nur die Firmen-Apps und deren Daten, etwa auf privaten Smartphones.

Fernaktionen und was sie bedeuten

Aktion in Intune	Was passiert	Geeignet für
Zurücksetzen (Wipe)	Setzt das Gerät auf Werkseinstellungen zurück und entfernt Firmen- und Benutzerdaten	Firmengeräte vor Weitergabe oder bei Verlust
Abkoppeln (Retire)	Entfernt nur Firmendaten, Apps und Profile; persönliche Daten bleiben	Private Geräte (BYOD)
Löschen (Delete)	Entfernt den Geräteeintrag aus der Intune-Konsole	Aufräumen nach dem Zurücksetzen
Autopilot-Zurücksetzung	Setzt ein Windows-Gerät für einen neuen Nutzer im selben Unternehmen zurück	Weitergabe im eigenen Haus, nicht Verkauf

Wichtig: Ein Wipe aus Intune ist eine Fernaktion ohne Löschzertifikat je Datenträger. Er setzt das Gerät zurück, ersetzt aber keine nachweisbare Löschung mit Protokoll.

Was beim Ausmustern zu beachten ist

1. Daten sichern und Gerät zurücksetzen: Benutzerdaten sichern, dann das Gerät zurücksetzen oder an einen Dienstleister zur zertifizierten Löschung geben.
2. Aus Intune und Entra ID entfernen: Den Geräteeintrag löschen, damit keine Richtlinien mehr greifen.
3. Autopilot-Registrierung entfernen: Windows-Geräte, die über Windows Autopilot registriert sind, melden sich sonst beim nächsten Einrichten wieder bei Ihrem Unternehmen an. Für den Käufer ist das Gerät dann praktisch unbrauchbar.
4. BitLocker-Schlüssel beachten: Wird ein verschlüsseltes Laufwerk ohne Löschung übergeben, hängt der Schutz am Schlüssel. Details im Eintrag BitLocker.

Die Reihenfolge der Schritte beim Austritt von Mitarbeitenden zeigt unsere Offboarding-Checkliste.

Intune-Geräte und Second IT

Second IT löscht Notebooks, PCs und Mobilgeräte mit Blancco, auch versteckte Bereiche wie HPA und DCO, und stellt für jedes Gerät ein digital signiertes Löschzertifikat aus. Damit haben Sie einen Nachweis, den eine Fernaktion allein nicht liefert. Mehr zur zertifizierten Datenlöschung.

Häufige Fragen zu Microsoft Intune

Was ist der Unterschied zwischen Wipe und Retire in Intune?

Wipe setzt das ganze Gerät auf Werkseinstellungen zurück. Retire entfernt nur die Firmendaten und Verwaltungsprofile und lässt persönliche Inhalte unberührt. Für Firmengeräte vor einem Verkauf ist Retire nicht ausreichend.

Reicht ein Intune-Wipe vor dem Verkauf?

Technisch setzt er das Gerät zurück. Als Nachweis für die DSGVO fehlt aber ein Protokoll je Datenträger. Außerdem muss das Gerät aus Intune, Entra ID und gegebenenfalls Autopilot entfernt werden.

Warum meldet sich ein verkauftes Notebook beim alten Unternehmen an?

Meist ist es noch im Windows-Autopilot-Dienst des alten Unternehmens registriert. Beim Einrichten erkennt Windows die Registrierung und leitet zur Firmenanmeldung um. Abhilfe schafft nur das Entfernen der Registrierung durch den alten Besitzer.