Jede Branche hat ihre eigenen Stolpersteine. Wir kennen sie, weil wir sie in der Region täglich sehen.
- ProduktionMaschinennetze trennen, Hallen-WLAN, Wiederanlauf
- LogistikScanner, mehrere Standorte, Erreichbarkeit
- HandelKassensysteme, Filialen, Shop-Anbindung
- ArztpraxenVertraulichkeit belegen, Praxissoftware, TI
- KanzleienRechtssichere Archivierung, Mandantentrennung
- Kommunen & StadtwerkeNIS2, Netztrennung, Nachweise für die Aufsicht
- DienstleisterMobiles Arbeiten, Cloud, Zusammenarbeit
Eigene Leute an drei Standorten in Mittelfranken – deshalb sind wir im Notfall noch am selben Tag bei Ihnen.
Hand in Hand
Alles rund um Ihre IT – aus einer Hand
Von der Leitung im Serverraum bis zur KI im Arbeitsalltag: zwölf Bereiche, für jeden davon eigene Spezialisten. Was BES nicht selbst macht, übernimmt ein Haus der L&S Unternehmensgruppe – abgestimmt, nicht weitergereicht.
Microsoft Intune einführen und betreiben – Geräteverwaltung, die im Alltag wirklich greift
Intune ist in Ihrer Microsoft-365-Lizenz wahrscheinlich längst enthalten. Der Unterschied zwischen „ist lizenziert“ und „verwaltet Ihre Geräte tatsächlich“ sind ein sauberes Richtlinienkonzept, Autopilot und jemand, der die Meldungen liest. Genau das übernehmen wir – für Notebooks, PCs, Smartphones und Tablets, vom ersten Pilotgerät bis zum laufenden Betrieb.
Was Microsoft Intune leistet
Microsoft Intune ist der Cloud-Dienst, mit dem Sie Geräte und Apps zentral verwalten – ohne Domänenbeitritt, ohne VPN, ohne dass ein Gerät je im Büro gewesen sein muss. Verwaltet wird über das Internet: Ein Notebook im Homeoffice bekommt dieselben Richtlinien wie der PC am Schreibtisch, ein Smartphone im Außendienst dieselben Sicherheitsvorgaben wie das Tablet im Lager. Der Dienst hieß zwischenzeitlich Microsoft Endpoint Manager und trägt seit 2022 wieder den Namen Intune.
Praktisch bedeutet das: Sie legen einmal fest, wie ein Arbeitsplatz aussehen soll – welche Apps, welche Verschlüsselung, welche Update-Kadenz, welche Zugriffsregeln – und Intune setzt das auf jedem Gerät durch und meldet, wo es nicht durchgesetzt werden konnte. Der zweite Teil ist der wichtigere: Ein Bericht, in den niemand schaut, ist kein Sicherheitskonzept.
Was wir mit Intune für Sie einrichten
- Windows Autopilot: Neue Geräte werden beim Händler registriert und richten sich beim ersten Anmelden selbst ein – ohne Techniker, ohne Image, auch beim Mitarbeitenden zu Hause.
- Konfigurationsprofile: BitLocker-Verschlüsselung, Windows-Firewall, Defender-Einstellungen, WLAN- und VPN-Profile, Drucker und Energieoptionen – zentral definiert statt am Einzelgerät geklickt.
- App-Verteilung: Microsoft 365 Apps, Branchenanwendungen, PDF-Reader, Browser – installiert, aktualisiert und bei Bedarf wieder entfernt. Mitarbeitende holen Freigegebenes selbst über das Unternehmensportal.
- Update-Ringe: Gestaffelte Windows- und Office-Updates über Windows Update for Business – erst eine kleine Testgruppe, dann der Rest. Damit ein fehlerhaftes Update nicht alle 80 Geräte gleichzeitig trifft.
- Compliance-Richtlinien und bedingter Zugriff: Nur ein Gerät, das verschlüsselt, aktuell und virengeschützt ist, kommt an Ihre Unternehmensdaten. Durchgesetzt über Conditional Access in Microsoft Entra ID.
- Mobile Geräte und BYOD: Firmen-Smartphones vollständig verwaltet, private Geräte nur auf App-Ebene – Unternehmensdaten getrennt und aus der Ferne löschbar, private Fotos bleiben unangetastet.
- Betrieb und Auswertung: Wir prüfen die Compliance-Berichte, gehen Abweichungen nach und halten das Regelwerk aktuell, wenn Microsoft Einstellungen ändert.
Autopilot: auspacken, anmelden, arbeiten
Der sichtbarste Gewinn einer Intune-Einführung ist die Gerätebereitstellung. Klassisch wandert ein neues Notebook zuerst zum IT-Dienstleister, wird aufgesetzt, mit Software bestückt, getestet und dann ausgeliefert – zwei bis vier Stunden Arbeit pro Gerät, plus Versand oder Abholung.
Mit Windows Autopilot registriert der Händler die Gerätekennung direkt bei der Bestellung in Ihrem Tenant. Das versiegelte Gerät geht an die Adresse, die Sie angeben. Die Person packt es aus, verbindet es mit dem WLAN, meldet sich mit der Firmenkennung an – und das Gerät zieht Richtlinien, Verschlüsselung und Anwendungen selbstständig. Nach 20 bis 40 Minuten ist es arbeitsbereit, in einem Zustand, der für alle Geräte identisch ist.
Für Sie heißt das vor allem: Ein neuer Mitarbeiter in Erlangen oder ein Ersatzgerät nach einem Defekt kostet keinen Vor-Ort-Termin mehr.
Intune oder klassische Gruppenrichtlinien?
Viele Betriebe in Mittelfranken verwalten ihre Windows-Rechner noch über einen Domaincontroller im Haus und Gruppenrichtlinien. Das funktioniert – solange die Geräte im Firmennetz stehen. Sobald regelmäßig im Homeoffice, beim Kunden oder unterwegs gearbeitet wird, greifen die Richtlinien nur noch sporadisch.
| Kriterium | Gruppenrichtlinien (Active Directory) | Microsoft Intune |
|---|---|---|
| Voraussetzung | Domaincontroller im Haus, Gerät muss das Firmennetz erreichen | Internetverbindung, Microsoft-365-Konto – sonst nichts |
| Homeoffice und mobiles Arbeiten | Richtlinien greifen nur mit VPN oder im Büro | Überall gleich, ohne VPN |
| Neues Gerät einrichten | Manuell oder per Image, mehrere Stunden | Autopilot, ohne Techniker vor Ort |
| Smartphones und Tablets | Nicht abgedeckt | iOS und Android mitverwaltet |
| Nachweis für Versicherer und Audits | Manuell zusammengetragen | Compliance-Bericht je Gerät auf Knopfdruck |
| Serverhardware | Domaincontroller, Wartung, Strom, Ersatz | Keine eigene Hardware nötig |
| Grenzen | Sehr feingranular, bei Altanwendungen oft alternativlos | Nicht jede AD-Einstellung hat ein Gegenstück; Mischbetrieb ist möglich |
Unsere ehrliche Antwort lautet in den meisten Fällen: nicht entweder oder. Wo eine Fachanwendung zwingend einen Domaincontroller braucht, bleibt der stehen, und die Arbeitsplätze wandern trotzdem in die Intune-Verwaltung. Ein Umstieg auf einen Schlag ist selten nötig und selten klug.
Was Intune kostet
Die Lizenz haben die meisten Unternehmen bereits. Intune Plan 1 ist in Microsoft 365 Business Premium sowie in Microsoft 365 E3 und E5 enthalten – wer eine dieser Lizenzen nutzt, zahlt für die Geräteverwaltung keinen Cent extra und hat sie in aller Regel trotzdem nicht im Einsatz. Für Business Standard oder Business Basic lässt sich Intune einzeln hinzubuchen. Zusatzfunktionen wie Remote Help oder Endpoint Privilege Management liegen in der kostenpflichtigen Intune Suite; für den Mittelstand ist das selten nötig.
Der eigentliche Aufwand liegt in der Einführung: Richtlinienkonzept, Pilotgruppe, Rollout und Dokumentation. Wir machen das zum Festpreis nach Gerätezahl und Ausgangslage – Sie bekommen die Zahl vorab schriftlich, nicht als Stundenschätzung. Der laufende Betrieb ist in unseren Managed-Service-Paketen und im Managed Workplace bereits enthalten.
Drei Fehler, die Intune-Projekte teuer machen
Alles auf einmal ausrollen. Richtlinien, die ungetestet auf alle Geräte gehen, sperren im Zweifel die halbe Belegschaft aus. Wir fahren immer erst eine Pilotgruppe aus zwei bis fünf Geräten – und zwar mit Menschen, die Rückmeldung geben, nicht mit Reservegeräten im Schrank.
Verschlüsselung ohne Schlüsselsicherung. BitLocker per Richtlinie zu aktivieren ist schnell gemacht. Wenn die Wiederherstellungsschlüssel dabei nicht zuverlässig in Entra ID landen, ist das erste defekte Gerät auch das erste unwiederbringlich verlorene.
Einführen und liegen lassen. Intune meldet zuverlässig, welches Gerät aus der Reihe fällt – veraltet, unverschlüsselt, ohne Virenschutz. Diese Meldungen muss jemand lesen. Ohne festen Zuständigen ist nach sechs Monaten wieder ein Drittel der Flotte außerhalb der Vorgaben, nur dass es diesmal dokumentiert ist.
So läuft die Einführung
1. Bestandsaufnahme: Welche Lizenzen liegen vor, welche Geräte gibt es, was hängt noch an Active Directory, welche Fachanwendungen sind im Spiel. 2. Richtlinienkonzept: Wir schreiben auf, was gelten soll – Verschlüsselung, Updates, Zugriff, Apps – und stimmen es mit Ihnen ab, bevor irgendetwas geklickt wird. 3. Pilot: Zwei bis fünf Geräte, zwei Wochen Alltag, Nachjustierung. 4. Rollout: Abteilungsweise, neue Geräte direkt per Autopilot, bestehende Geräte über die Einschreibung. 5. Betrieb: Monatliche Prüfung der Compliance-Berichte, Pflege des Regelwerks, fester Ansprechpartner.
Für ein Unternehmen mit 30 bis 80 Arbeitsplätzen liegen Konzept und Pilot erfahrungsgemäß bei zwei bis drei Wochen, der Rollout je nach Gerätetausch bei vier bis acht Wochen.
Häufige Fragen
Was ist Microsoft Intune eigentlich?
Intune ist Microsofts Cloud-Dienst für die Verwaltung von Endgeräten und Apps – im Fachjargon Unified Endpoint Management. Sie legen zentral fest, wie Windows-PCs, Notebooks, iPhones, iPads und Android-Geräte konfiguriert, geschützt und mit Software versorgt werden, und Intune setzt das über das Internet auf jedem Gerät durch. Der Dienst hieß einige Jahre Microsoft Endpoint Manager.
Brauchen wir für Intune eine zusätzliche Lizenz?
Meistens nicht. Intune Plan 1 ist in Microsoft 365 Business Premium, E3 und E5 enthalten. Bei Business Standard oder Business Basic lässt sich Intune als Zusatz buchen. Was in Ihrem Tenant lizenziert ist, sehen wir im Erstgespräch in wenigen Minuten.
Können wir private Smartphones einbinden, ohne sie zu kontrollieren?
Ja. Für private Geräte nutzen wir App-Schutzrichtlinien statt vollständiger Geräteverwaltung: Outlook, Teams und OneDrive werden abgesichert, Unternehmensdaten lassen sich getrennt löschen, auf den privaten Teil des Geräts greift niemand zu. Das ist arbeitsrechtlich der saubere Weg und wird von Mitarbeitenden deutlich besser angenommen.
Müssen wir unseren Server abschaffen?
Nein. Intune und ein vorhandener Domaincontroller schließen sich nicht aus. Wo Fachanwendungen Active Directory brauchen, bleibt der Server stehen, die Arbeitsplätze werden trotzdem über Intune verwaltet. Ein vollständiger Abschied vom Server ist eine eigene Entscheidung und kein Zwang aus der Intune-Einführung.
Was passiert mit Geräten, die nicht regelkonform sind?
Das legen Sie fest. Üblich ist eine Stufenfolge: Das Gerät wird als nicht konform markiert, die Person bekommt eine Meldung mit Frist, und erst danach greift der bedingte Zugriff und sperrt den Weg zu Unternehmensdaten. So wird niemand mitten in einer Kundenpräsentation ausgesperrt.
Wie lange dauert die Einführung?
Bei 30 bis 80 Arbeitsplätzen rechnen wir mit zwei bis drei Wochen für Konzept und Pilot und weiteren vier bis acht Wochen für den Rollout. Bestehende Geräte lassen sich einschreiben, ohne sie neu aufzusetzen; neue Geräte kommen ab dem ersten Tag über Autopilot.
Betreut BES auch Unternehmen außerhalb von Schwabach?
Ja. Intune wird ohnehin über das Internet verwaltet, die Betreuung ist damit standortunabhängig. Vor Ort sind wir von unseren Standorten Schwabach, Nürnberg und Weißenburg in ganz Mittelfranken unterwegs.
Schauen wir gemeinsam in Ihren Tenant
In 30 Minuten sehen wir, was lizenziert ist, was bereits läuft und was davon tatsächlich greift. Danach wissen Sie, ob sich eine Intune-Einführung für Sie lohnt – und was sie kostet.