Wer darf was — und mit welchem Gerät? So bekommst du es endlich in den Griff.
Stell dir vor: Ein Mitarbeiter verliert sein iPhone in der U-Bahn. Du wischst die Firmendaten remote vom Gerät. Eine Praktikantin will von ihrem privaten Laptop auf SharePoint zugreifen — sie kann es, aber nur unter Bedingungen, die du vorher festgelegt hast. Ein neuer Mitarbeiter packt am ersten Tag seinen Laptop aus, gibt einmal seine Mail-Adresse ein, und alles ist da: Apps, Drucker, WLAN, Firmendaten.
Das ist Microsoft Entra ID + Intune. Die Cloud-Identität deines Unternehmens und die zentrale Geräteverwaltung — die zwei Bausteine, die dafür sorgen, dass du Sicherheit und Komfort nicht gegeneinander abwägen musst. Ich richte das für dich so ein, dass es niemanden im Team nervt — aber alles abdeckt, was du brauchst.
Entra ID — die Identität
Das Gehirn deiner Cloud — wer ist wer, wer darf was, mit welcher Stärke der Anmeldung?
- Single-Sign-On für 1.000+ Cloud-Apps
- Multi-Faktor-Authentifizierung (MFA)
- Conditional Access & PIM
- SCIM-Provisionierung aus HR-System
Intune — die Geräte
Die Hände deiner IT — Geräte einrichten, sichern, updaten, im Notfall löschen.
- Windows, Mac, iOS, Android
- Autopilot für neue Geräte
- Compliance-Richtlinien
- App-Schutz für BYOD
Was sich für dich konkret ändert
Theorie ist langweilig. Hier sind sechs Situationen aus dem Alltag, in denen Entra + Intune wirklich einen Unterschied machen — sortiert nach Häufigkeit, mit der ich diese Themen bei Kunden in München treffe.
Neuer Mitarbeiter, erster Tag
Laptop aus der Box, einmal Mail eingeben, fertig. Alle Apps installiert, Drucker konfiguriert, WLAN aktiv. Statt 4 Stunden manuell nur 20 Minuten Wartezeit — und das ohne dass jemand vor Ort sein muss. Stichwort: Windows Autopilot.
Handy verloren in der U-Bahn
Du ploppst in dein Intune-Portal, klickst auf „Wipe" — die Firmen-Mails und SharePoint-Daten sind in 30 Sekunden vom Gerät weg. Private Fotos bleiben erhalten, falls es sich um ein BYOD-Gerät handelt.
Mitarbeiter im Urlaub auf Bali
Ungewöhnliche Login-Region? Conditional Access verlangt eine zusätzliche MFA-Bestätigung — der echte Mitarbeiter bestätigt schnell, ein Angreifer scheitert. Sicherheit, ohne dass es nervt.
Externer auf SharePoint
Eine Steuerberaterin braucht kurzzeitig Zugriff auf einen Teams-Kanal. Mit External ID läuft das sauber: zeitlich begrenzt, dokumentiert, kein eigener Mailbox-Aufwand, nach Ablauf automatisch entfernt.
BYOD im Büro
Mitarbeiter wollen ihr eigenes iPhone für Mails nutzen. Mit App-Schutzrichtlinien (MAM) bleiben Firmendaten in der Outlook-App geschützt, ohne dass du das ganze Gerät verwaltest. Privates bleibt privat.
Admin-Konto für 2 Stunden
Mit Privileged Identity Management (PIM) bekommt dein Admin nur dann erhöhte Rechte, wenn er sie wirklich braucht — mit Begründung und Zeitlimit. Standardmäßig läuft alles mit normalen Rechten. Hacker, die ein Konto übernehmen, finden nichts Brauchbares.
Die Regeln, die im Hintergrund deine IT bewachen
Conditional Access ist der „Bouncer" deines Unternehmens. Vor jedem Login prüft er: Wer? Von wo? Mit welchem Gerät? Wie hoch ist das Risiko? Und entscheidet auf Basis deiner Regeln. Hier sind die Standard-Policies, die ich bei jedem Kunden einrichte:
Multi-Faktor-Authentifizierung für jeden Login — außer aus dem Firmennetz mit gemanagtem Gerät.
Admin-Konten bekommen MFA ohne Ausnahme. Bei Bedarf zusätzlich PIM-Genehmigung.
Zugriff auf SharePoint und Mail nur von Geräten, die Intune als „regelkonform" eingestuft hat.
Erhöhtes Login-Risiko (neue Region, Tor, ungewöhnlicher Login)? Zusätzliche MFA-Anforderung.
Alte Authentifizierungsmethoden (POP, IMAP, SMTP-Auth) werden gesperrt — Hauptangriffsvektor.
Zwei Notfall-Konten ohne MFA, die nur im Ernstfall benutzt werden — überwacht und gemeldet.
Funktioniert mit allem, was dein Team nutzt
Intune ist nicht nur für Windows. Egal ob dein Team mit Macbook, iPhone oder Android-Tablet arbeitet — alles kommt in eine zentrale Verwaltung.
Autopilot, BitLocker, LAPS, Update-Ringe, Compliance
ABM-Enrollment, Gatekeeper, FileVault, Compliance
ADE-Enrollment, App-Schutz, per-App-VPN, Mail-Profile
Work Profile (BYOD) oder Fully Managed (Firmengerät)
In drei Phasen zur fertigen Lösung
Analyse & Konzept
Was hast du heute? Was brauchst du? Wie sehen die Risiken aus?
- Bestand AD / Entra / Intune
- Risiko- & Compliance-Anforderungen
- Backup- & Recovery-Plan
- Break-Glass-Konzept
Umsetzung
Schrittweiser Aufbau mit Pilot vor Rollout — keine Big-Bang-Migration.
- Conditional Access Policies
- Autopilot & App-Pakete
- SCIM-Provisionierung
- PIM für Admin-Rollen
- Pilot mit 5–10 Usern
Betrieb & Übergabe
Klare Doku, Schulung deines IT-Teams oder optional Managed Service.
- Monitoring (Defender/Intune)
- Reports & Runbooks
- Schulung für IT-Verantwortliche
- Optional: laufende Betreuung
Was gut dazu passt
Identity & Device-Management ist die Basis für viele weitere Sicherheitsbausteine. Diese Themen kombiniere ich am häufigsten mit Entra + Intune:
E-Mail-Sicherheit
Conditional Access schützt den Login. SPF/DKIM/DMARC schützen den Inhalt deiner E-Mails. Beides gehört zusammen.
Active Directory & PKI
Wenn Geräte über Zertifikate authentifizieren sollen (z.B. fürs WLAN), brauchst du eine eigene PKI. Die liefere ich dazu.
Microsoft 365 Migration
Du bist noch nicht in der Microsoft-Cloud? Erst kommt die Migration, dann der Identity-/Device-Aufbau. Gerne aus einer Hand.
Was Kunden mich oft fragen
Was ist der Unterschied zwischen Entra ID und lokalem Active Directory?
Brauchen wirklich alle Mitarbeiter MFA?
Wie sieht es mit privaten Handys aus, die fürs Büro genutzt werden?
Funktioniert Autopilot auch ohne Internet?
Wie aufwändig ist der Aufbau für 20 Mitarbeitende?
Welche Microsoft-Lizenzen brauche ich?
Schauen wir uns deine IT-Sicherheit gemeinsam an
15–30 Minuten Erstgespräch, kostenlos. Wir sprechen über deinen aktuellen Stand und ich sage dir ehrlich, wo die größten Lücken sind und welche Bausteine bei dir wirklich Priorität haben.