Von Gruppenrichtlinien zu Intune — Ein Leitfaden zur Gerätemanagement-Migration für kleine und mittlere Unternehmen

„Das Supportfenster des Servers ist um, daher planen wir eine Ablösung. Aber wir haben das Vertrauen verloren, dass wir einen weiteren AD-Server kaufen und Domäne und Gruppenrichtlinie noch einen Zyklus (fünf Jahre) betreiben sollten.“ „Die Gruppenrichtlinie, die wir im Büro beschlossen haben, gilt nie für die Laptops, die für Remote-Arbeit genutzt werden. Wenn sie nur gilt, wenn sie sich mit dem VPN verbinden, können wir wirklich sagen, dass wir sie verwalten?“ — In den letzten Jahren haben Anfragen dieser Art von Kunden kleiner und mittlerer Unternehmen stetig zugenommen.

Der Hintergrund ist ein Wandel der Arbeitsweise. On-Premises Active Directory (AD) und Gruppenrichtlinie (GPO) sind ein Mechanismus, der voraussetzt, „der PC ist im Unternehmens-LAN und kann immer einen Domänencontroller erreichen“. Jetzt, da Mitnahme-PCs und Remote-Arbeit die Norm sind, ist genau diese Annahme gebrochen. Darüber hinaus wurde WSUS — lange der Standard für Updateverwaltung — im September 2024 abgekündigt,¹ und der Schwerpunkt der Geräteverwaltung von Microsoft hat sich zu Entra ID plus Intune (MDM) verschoben.

flowchart TB
    accTitle: Die gebrochene Annahme und die Verschiebung des Schwerpunkts
    accDescr: AD und GPO setzen voraus, dass der PC im Unternehmens-LAN ist und immer einen Domänencontroller erreichen kann, aber Mitnahme-PCs und Remote-Arbeit als Norm haben diese Annahme gebrochen, und mit der Abkündigung von WSUS hat sich der Verwaltungsschwerpunkt zu Entra ID und Intune verschoben
    adgpo["On-Prem-AD und GPO"] -.-> premise["Annahme: der DC ist immer erreichbar"]
    work["Mitnahme-PCs und Remote-Arbeit als Norm"] --> broken["Es ist die Annahme, die gebrochen ist"]
    premise --> broken
    wsus["WSUS ist abgekündigt"] --> shift["Schwerpunkt wandert zu Entra ID+Intune"]
    broken --> shift

Abbildung 1: Die AD+GPO-Annahme „der PC ist im Unternehmens-LAN“ brach, als sich die Arbeitsweisen änderten, und der Verwaltungsschwerpunkt wanderte zu Entra ID+Intune.

Gleichwohl ist Migration kein Alles-oder-nichts. PCs, die mit Entra join plus Intune verwaltet werden, und PCs, die AD-domänenverbunden plus GPO sind, können im selben Unternehmen koexistieren,² und eine gestufte Migration ist möglich: AD für den Dateiserver stehen lassen und neue PCs auf Intune-Verwaltung umstellen. An IT-Personal und Geschäftsleitung kleiner und mittlerer Unternehmen gerichtet, ordnet dieser Artikel — gestützt auf Primärquellen wie Microsoft Learn Stand August 2026 — die Unterschiede der Funktionsweise von GPO und MDM, die Voraussetzungs-Konfigurationen, Lizenzen, wie aktuelle GPOs inventarisiert werden, ein gestuftes Migrationsszenario und die Fallstricke.

1. Zuerst die Kernaussage

• GPO wird angewendet, wenn der PC mit dem Domänennetz verbunden ist; Intune (MDM) synchronisiert über das Internet. Das Problem „Einstellungen erreichen einen Heim-PC nie“ entsteht bei MDM strukturell nicht. Die Dauerbetrieb-Synchronisierung ist etwa alle 8 Stunden, und bei einer Richtlinienänderung läuft auch eine benachrichtigungsgetriebene Synchronisierung.³
• Migration ist kein Alles-oder-nichts; eine gestufte Migration, die Koexistenz voraussetzt, ist die realistische Antwort. Microsoft selbst empfiehlt, neue PCs per Entra beitreten zu lassen und bestehende domänenverbundene PCs als hybrid join zu belassen und sie im Hardware-Erneuerungszyklus zu ersetzen.²
• Sie können Intune allein abonnieren, aber für kleine und mittlere Unternehmen ist der realistische Weg, den in Microsoft 365 Business Premium enthaltenen Intune Plan 1 zu nutzen (Stand August 2026). Die Planzusammensetzung ändert sich weiter, daher prüfen Sie vor der Unterschrift immer Primärquellen.⁴⁵
• Um aktuelle GPOs zu inventarisieren, nutzen Sie das in Intune eingebaute Group Policy analytics. Importieren Sie einen GPO-XML-Export, und jede Einstellung wird danach klassifiziert, ob sie migrieren kann; Einstellungen mit Gegenstück können in eine Einstellungskatalog-Richtlinie umgewandelt werden.⁶
• Die Hauptarbeiten der GPO-Ära haben fast alle ein Intune-Gegenstück. Administrative Templates entsprechen dem Einstellungskatalog,⁷ WSUS Windows Update for Business, BitLocker-Wiederherstellungsschlüssel der Speicherung in Entra ID,⁸ lokale Administratorkennwörter Windows LAPS,⁹ und App-Bereitstellung Win32-Apps (.intunewin)¹⁰ und Microsoft-Store-Apps (winget-basiert).¹¹
• Die Klassiker, die nicht unverändert wandern, sind Anmeldeskripte, Laufwerkszuordnungen und Druckerbereitstellung. Sie ersetzen sie durch PowerShell-Skriptbereitstellung,¹² Remediations (früher Proactive remediations),¹³ indem Sie die Arbeit in eine App verwandeln, oder durch „diese Praxis einstellen“.
• Stellen Sie dieselbe Einstellung nicht sowohl von GPO als auch von MDM bereit. Standardmäßig gewinnt GPO einen Konflikt. MDMWinsOverGP auf 1 zu setzen, lässt MDM gewinnen, gilt aber nur für Policy-CSP-Einstellungen.¹⁴
• Domänenverbundene Maschinen und Entra-joined-Maschinen können koexistieren, und eine Entra-joined-Maschine kann auf einen On-Premises-Dateiserver zugreifen. Die sofortige Außerbetriebnahme von AD ist keine Bedingung der Migration.²

In einem Satz: die Frage „sollen wir den AD-Server für einen weiteren Zyklus ersetzen“ sollte umformuliert werden in „womit werden wir in den nächsten fünf Jahren PCs verwalten, die außerhalb des Büros sitzen“ und auf dieser Grundlage entschieden werden.

flowchart LR
    accTitle: Die Frage umformulieren, die Sie entscheiden sollten
    accDescr: Die Frage, ob der AD-Server für einen weiteren Zyklus ersetzt werden soll, sollte umformuliert werden in die Frage, womit Sie in den nächsten fünf Jahren Außendienst-PCs verwalten
    q1["Den AD-Server für einen weiteren Zyklus ersetzen?"] -->|Umformulieren| q2["Womit werden in den nächsten 5 Jahren Außendienst-PCs verwaltet?"]

Abbildung 2: Formulieren Sie die Serverablöse-Frage um in „womit werden wir in den nächsten fünf Jahren PCs verwalten, die außerhalb des Büros sitzen“ und entscheiden Sie auf dieser Grundlage.

2. Wie sich GPO und MDM unterscheiden — Die Anwendungsmechanismen vergleichen

Vergleichen Sie zuerst die beiden auf demselben Feld. Der GPO-Mechanismus selbst (die LSDOU-Anwendungsreihenfolge, wie Sie mit gpupdate/gpresult prüfen) wird ausführlich in „Praktischer Leitfaden für Gruppenrichtlinien (GPO) — Funktionsweise, Überprüfung der Anwendung und Abgrenzung zu Intune“ behandelt, daher beschränken wir uns hier auf die Unterschiede, die für die Migrationsentscheidung zählen.

Die wichtigsten Zeilen für die Migrationsentscheidung sind die erste und die dritte. Dass GPO einen Heim-PC nicht erreicht, ist kein Fehler — es ist, dass die Entwurfsannahme „der PC sitzt dort, wo er einen Domänencontroller erreichen kann“ nicht mehr zur heutigen Arbeitsweise passt. Sie können GPO am Leben halten, indem Sie Always-on-VPN für jeden Beschäftigten erzwingen, aber das ist auch die Entscheidung, eine separate Infrastruktur zu warten: die VPN-Plattform.

flowchart TB
    accTitle: Die Wahl zwischen GPO am Leben halten und zu MDM migrieren
    accDescr: Dass GPO einen Heim-PC nicht erreicht, kommt daher, dass die Entwurfsannahme nicht mehr zur heutigen Arbeitsweise passt, und der Weg, Always-on-VPN zu erzwingen, um GPO am Leben zu halten, ist die Entscheidung, eine separate Infrastruktur zu warten, die VPN-Plattform
    gap["Die Entwurfsannahme passt nicht mehr zur Arbeitsweise"] --> sel{"Wie reagieren Sie?"}
    sel -->|Mit Always-on-VPN am Leben halten| vpn["GPO fortsetzen"]
    sel -->|Zu MDM migrieren| mdm["Über das Internet verwalten"]
    vpn --> cost["Sie übernehmen die Wartung anderer Infrastruktur"]

Abbildung 3: Der Weg, GPO mit Always-on-VPN am Leben zu halten, ist auch die Entscheidung, eine separate Infrastruktur zu warten: die VPN-Plattform.

Andererseits ist das MDM-Synchronisierungsintervall (etwa 8 Stunden) grober als die periodische GPO-Aktualisierung (etwa 90 Minuten), und das Gefühl „bereitstellen und es gilt sofort“ überträgt sich nicht. Wenn Sie eine Richtlinie zuweisen oder ändern, wird eine Benachrichtigung an das Gerät gesendet und es synchronisiert verhältnismäßig prompt,³ aber Steuerungen, die Unmittelbarkeit verlangen (eine Notsperre und Ähnliches), müssen um das Synchronisierungsintervall herum entworfen werden.

flowchart TB
    accTitle: Wie GPO und MDM Richtlinie anwenden
    accDescr: GPO gilt nur, wenn der PC sich mit einem internen Domänencontroller verbinden kann, daher hängt ein Heim-PC vom VPN ab; Intune synchronisiert über das Internet etwa alle 8 Stunden und synchronisiert auch bei einer Benachrichtigung, wenn sich die Richtlinie ändert, sodass es einen PC erreicht, wo immer er ist
    officepc["Ein interner PC"] --> dc["Domänencontroller"]
    officepc -.-> when["Start und Anmeldung"]
    when -.-> when2["plus periodische Aktualisierung"]
    homepc["Ein Heim-PC"] --> vpn{"DC über VPN erreichen?"}
    vpn -->|Ja| dc
    vpn -->|Nein| miss["Richtlinie kommt nie an"]
    anypc["Ein PC, wo immer er ist"] --> intune["Intune-Dienst"]
    anypc -.-> every["Sync etwa alle 8 h"]
    intune -.-> notify["Benachrichtigungsgetriebene Änderung"]
    dc ~~~ homepc
    miss ~~~ anypc

Abbildung 4: GPO gilt nur, wenn der PC einen Domänencontroller erreichen kann; Intune synchronisiert über das Internet unabhängig vom Standort.

3. Die Voraussetzungen klären — Die drei Formen: Domain Join, Hybrid Join und Entra Join

Es gibt drei Formen, „wie ein Windows-PC dem Unternehmen beitritt“, und welche Sie wählen, bestimmt, welche Verwaltungswerkzeuge Sie nutzen können.²

Hybrid join ist eine Form, „einem bestehenden domänenverbundenen PC eine Cloud-Identität zu geben“, und sie lässt Sie Intune und Conditional Access nutzen, während bestehende Assets bleiben. Microsoft empfiehlt jedoch, hybrid join nicht zum Endziel zu machen und neue und Ersatz-PCs per Entra beitreten zu lassen.²

Hier ist eine Einschränkung mitzunehmen. Es gibt keinen von Microsoft unterstützten Weg, einen bestehenden domänenverbundenen PC (einschließlich hybrid join) in Entra join zu konvertieren; ein Windows-Reset (Wipe) ist erforderlich. Deshalb empfiehlt Microsoft auch, bei Hardware-Erneuerung oder OS-Neuinstallation zu Entra join zu wechseln.²

flowchart TB
    accTitle: Die drei Beitrittsformen und die Migrationspfade
    accDescr: Ein nur AD-domänenverbundener PC kann zusätzlich in Entra ID registriert werden und hybrid join werden, aber es gibt keinen Weg, ihn direkt in Entra join zu konvertieren, und ein Wipe ist erforderlich, daher wird empfohlen, neue und Ersatz-PCs per Entra beitreten zu lassen
    adonly["Nur AD-Domänenbeitritt （GPO）"] -->|Auch in Entra ID registrieren| hybrid["hybrid join （GPO und Intune）"]
    hybrid -.->|Kein direkter Konvertierungspfad| wipe["Ein Wipe （Reset） ist erforderlich"]
    wipe --> entra["Entra join （Intune）"]
    newpc["Neue und Ersatz-PCs"] -->|Empfohlen| entra

Abbildung 5: Es gibt keinen unterstützten Weg, eine bestehende domänenverbundene Maschine in Entra join zu konvertieren; das etablierte Muster ist, von neuen und Ersatz-PCs umzustellen.

Aus dem Vorstehenden lässt sich ein realistisches Ziel für ein kleines oder mittleres Unternehmen so fassen.

1. Neue und Ersatz-PCs mit Entra join plus Intune verwalten
2. Bestehende domänenverbundene PCs in Ruhe lassen und sie im Hardware-Erneuerungszyklus natürlich ersetzen lassen
3. AD vorerst für verbleibende Rollen wie Dateiserverauthentifizierung stehen lassen und den Inhalt von GPO stufenweise leeren

flowchart TB
    accTitle: Eine Koexistenzkonfiguration während der gestuften Migration
    accDescr: Entra-joined-Maschinen und domänenverbundene Maschinen können in derselben Unternehmensumgebung koexistieren; erstere werden mit Intune und letztere mit GPO verwaltet, während AD für verbleibende Rollen stehen bleibt und nur der Inhalt von GPO stufenweise geleert wird
    env["Dieselbe Unternehmensumgebung"] --> ejoin["Entra-joined-Maschinen"]
    env --> djoin["Domänenverbundene Maschinen"]
    ejoin --> intune["Mit Intune verwaltet"]
    djoin --> gpo["Mit GPO verwaltet"]
    gpo -.-> shrink["Den Inhalt stufenweise leeren"]
    env -.-> ad["AD für verbleibende Rollen lassen"]

Abbildung 6: Entra-joined-Maschinen und domänenverbundene Maschinen können in derselben Unternehmensumgebung koexistieren, und AD bleibt vorerst für verbleibende Rollen stehen.

Entra-joined-Maschinen und domänenverbundene Maschinen können in derselben Umgebung koexistieren, und eine Entra-joined-Maschine kann auf interne Assets wie einen On-Premises-Dateiserver zugreifen.² Diese einmalige Anmeldung hat jedoch zwei Voraussetzungen. (1) Der Benutzer ist eine Hybrididentität, die mit Entra Connect (oder Cloud Sync) von On-Prem-AD synchronisiert wird (ein Benutzer, der nur in der Cloud existiert, kann keine AD-Kerberos/NTLM-Anmeldeinformationen erhalten), und (2) der PC hat Netzwerkerreichbarkeit zu einem Domänencontroller (von außerhalb ist VPN oder Ähnliches erforderlich).¹⁵ Bestätigen Sie im Migrationsplan zuerst, dass es keine Benutzer oder Nutzungsszenarien gibt, die an diesen zwei Punkten scheitern.

flowchart TB
    accTitle: Voraussetzungen für SSO von einer Entra-joined-Maschine zu On-Premises-Assets
    accDescr: Um von einer Entra-joined-Maschine auf einen On-Premises-Dateiserver zuzugreifen, müssen zwei Voraussetzungen erfüllt sein: eine mit Entra Connect oder Ähnlichem synchronisierte Hybrididentität und Erreichbarkeit eines Domänencontrollers
    pc["Entra-joined-Maschine"] --> cond1{"Hybrididentität?"}
    cond1 -->|Ja| cond2{"Kann sie einen DC erreichen?"}
    cond1 -->|Nein| ng1["Kann keine AD-Anmeldeinformationen erhalten"]
    cond2 -->|Ja| ok["SSO zum Dateiserver"]
    cond2 -->|Nein| ng2["Von außerhalb ist VPN oder Ähnliches erforderlich"]

Abbildung 7: SSO von einer Entra-joined-Maschine zu On-Premises-Assets hat zwei Voraussetzungen: eine Hybrididentität und Erreichbarkeit eines Domänencontrollers.

4. Lizenzen und Kosten — Welche Pläne Intune enthalten (Stand August 2026)

Die Basis-Intune-Lizenz ist Microsoft Intune Plan 1, sowohl als eigenständiges Abonnement als auch in verschiedenen Microsoft-365-Plänen gebündelt angeboten.⁴

Was für kleine und mittlere Unternehmen zählt, ist, dass Microsoft 365 Business Premium für bis zu 300 Benutzer Intune Plan 1 enthält.⁵ Business Premium enthält auch Microsoft Entra ID P1 und Microsoft Defender for Business, sodass die später beschriebene Konfiguration Compliancerichtlinie plus Conditional Access innerhalb dieses Plans vollständig ist. Business Standard/Basic enthalten dagegen kein Intune. Wenn Sie von einem nur-Mail-und-Office-Vertrag in die Geräteverwaltung treten, ist die Upgrade-Kosten zu Business Premium die effektive Einführungskosten von Intune.

flowchart TB
    accTitle: Wie KMU-Pläne zu Intune stehen
    accDescr: Business Premium für bis zu 300 Benutzer enthält Intune Plan 1, Entra ID P1 und Defender for Business und ist bis Conditional Access vollständig, aber Business Standard/Basic enthalten kein Intune
    bp["Business Premium"] -.-> cap["Bis 300 Benutzer"]
    bp --> intune["Intune Plan 1"]
    bp --> p1["Entra ID P1"]
    bp --> dfb["Defender for Business"]
    p1 --> ca["Vollständig bis Conditional Access"]
    dfb ~~~ std["Business Standard/Basic"]
    std --> noint["Enthält kein Intune"]

Abbildung 8: Business Premium enthält Intune Plan 1 und Entra ID P1; Business Standard/Basic enthalten kein Intune.

Es gibt zwei Warnhinweise.

• Die Planzusammensetzung ändert sich häufig. Auch ins Jahr 2026 hinein waren Änderungen im Gange, die Intune-Suite-Funktionen in höhere Microsoft-365-Pläne (E3/E5 und Ähnliches) umverteilen, und Überprüfungen dessen, was gebündelt ist, dauern an.⁴ Behandeln Sie diesen Abschnitt als Stand August 2026 und prüfen Sie vor der Unterschrift immer die neuesten Informationen auf den Lizenz- und Preisseiten von Microsoft.
• Manche Funktionen, die Sie aus der Intune-Oberfläche öffnen können, erfordern eine gesonderte Lizenz. Das typische Beispiel ist Remediations, später beschrieben: es erfordert eine Lizenz der Klasse Windows Enterprise E3/E5 (gebündelt in Microsoft 365 E3/E5 und Ähnlichem) und ist im Umfang von Business Premium nicht verfügbar.¹³

Der Kostenvergleich ist nicht „Intune-Abonnementkosten“ versus „null“. Auf der GPO-Seite zahlen Sie bereits für AD-Server-Hardwareersatz, Windows-Server-Lizenzen und CALs, Aufbaukosten, fünf Jahre Wartung, Sicherung und Incident Response. Der richtige Vergleich ist, das Serverablöse-Angebot neben fünf Jahre Business Premium zu legen und dann den Fähigkeitsunterschied „erreicht Verwaltung Außendienst-PCs“ einzurechnen.

flowchart TB
    accTitle: Die richtige Art, den Kostenvergleich zu denken
    accDescr: Die GPO-Seite verursacht ebenfalls Kosten wie AD-Server-Ersatz, Lizenzen und fünf Jahre Wartung, daher legen Sie das Serverablöse-Angebot neben fünf Jahre Business Premium und entscheiden dann mit dem Fähigkeitsunterschied, ob Verwaltung Außendienst-PCs erreicht
    gpocost["Kosten, GPO fortzusetzen"] --> hw["Serverersatz, Lizenzen, CALs"]
    gpocost --> ops["Aufbau, Wartung, Sicherung"]
    bpcost["Kosten, nach Intune zu migrieren"] --> sub["Fünf Jahre Business Premium"]
    hw --> diff["Den Fünfjahresunterschied nebeneinanderlegen"]
    ops --> diff
    sub --> diff
    diff --> ability["Einrechnen, ob Verwaltung Außendienst-PCs erreicht"]

Abbildung 9: Legen Sie das Serverablöse-Angebot neben fünf Jahre Business Premium und entscheiden Sie mit dem Fähigkeitsunterschied, Außendienst-PCs zu verwalten.

5. Wie Sie in Intune tun, was Sie früher mit GPO taten

Für jede der Hauptarbeiten des GPO-Betriebs ist das Intune-Gegenstück in einer Zuordnungstabelle gezeigt.

Einige Hinweise.

• Der Einstellungskatalog ist ein Bildschirm, der „der Cloud-Ausgabe des GPO-Editors“ entspricht, und Microsoft selbst positioniert ihn als „das natürliche Migrationsziel, wenn Sie ebenso fein wie eine On-Premises-GPO konfigurieren wollen“. Er enthält ADMX-gestützte Richtlinien (die MDM-Ausgabe von in ADMX definierten Einstellungen), und es gibt auch eine (Preview-)Funktion zum Importieren von Drittanbieter-ADMX.⁷
• Compliancerichtlinie plus Conditional Access ist eine Idee, die GPO nicht hatte. Sie definieren Compliancebedingungen wie „BitLocker an, OS aktuell, Defender läuft“ und können Microsoft-365-Zugriff von Geräten sperren, die sie nicht erfüllen. Conditional Access ist eine Entra-ID-P1-Funktion und in Business Premium enthalten.¹⁶
• Remediations wurde von Proactive remediations umbenannt. Es ist ein Mechanismus, der periodisch ein Erkennen-Skript plus Beheben-Skript-Paar ausführt, und er kann die Art von GPO-Betrieb ersetzen, die „bei jeder Anmeldung etwas repariert“, erfordert aber wie erwähnt eine Lizenz der Klasse Windows Enterprise E3/E5.¹³ Im Umfang von Business Premium ist der realistische Ersatz, Plattformskripte (laufen, wenn sich das Skript oder die Zuweisung ändert, und bei Fehler wiederholt)¹² mit Win32-App-Erkennungsregeln zu kombinieren.
• Die detaillierten Wahlmöglichkeiten der Updateverwaltung (die Entscheidung zwischen WUfB, Autopatch und WSUS fortzusetzen) werden in „Windows Update-Verwaltung nach der WSUS-Abschaffung — Wie Sie zwischen WUfB, Autopatch und Intune wählen“ behandelt, und der Entwurf von BitLocker und LAPS jeweils in „BitLocker-Praxisleitfaden — Laufwerksverschlüsselung, die mit der Verwaltung des Wiederherstellungsschlüssels beginnt“ und „Windows LAPS in der Praxis — Schluss mit dem für alle PCs gleichen lokalen Administratorkennwort“.

flowchart TB
    accTitle: Der Fluss einer Compliancerichtlinie und Conditional Access
    accDescr: Eine Compliancerichtlinie beurteilt nur den Compliancezustand eines Geräts gegen die Compliancebedingungen; erst wenn eine Conditional-Access-Richtlinie ein konformes Gerät verlangt, werden konforme Geräte zugelassen und nicht konforme gesperrt
    policy["Compliancebedingungen definieren"] -.-> cond["BitLocker an, OS aktuell und Ähnliches"]
    policy --> state["Den Compliancezustand des Geräts beurteilen"]
    state --> ca["Conditional Access verlangt Compliance"]
    ca -->|Konform| allow["Microsoft-365-Zugriff erlaubt"]
    ca -->|Nicht konform| block["Zugriff gesperrt"]

Abbildung 10: Den Compliancezustand zu beurteilen ist die Aufgabe einer Compliancerichtlinie; zu sperren ist die Aufgabe von Conditional Access. Erst in Kombination wirkt die Sperre.

6. Aktuelle GPOs inventarisieren — Mit Group Policy analytics sortieren

Die erste echte Arbeit eines Migrationsplans ist die Inventarisierung aktueller GPOs. Intune hat eine eigene Funktion, Group Policy analytics, die pro Einstellung klassifizieren kann „kann MDM dies ersetzen“, ohne dass Sie GPOs von Hand lesen müssen.⁶

Die Schritte sind die folgenden.⁶

1. Öffnen Sie die Gruppenrichtlinienverwaltungskonsole (GPMC.msc) auf einem Domänencontroller oder Ähnlichem, klicken Sie mit der rechten Maustaste auf die Ziel-GPO → Save Report und exportieren Sie sie als XML-Datei (4 MB oder weniger pro Datei)
2. Gehen Sie im Intune-Admin-Center zu Devices → Group Policy analytics und importieren Sie das XML (Mehrfachauswahl ist erlaubt)
3. Nach automatischer Analyse zeigt jede GPO einen MDM-Unterstützungsprozentsatz (den Anteil der Einstellungen, die ein Äquivalent in Intune haben)
4. Bestätigen Sie im Bericht Group policy migration readiness die Klassifikation pro Einstellung: Ready for migration / Not supported / Deprecated
5. Ready-for-migration-Einstellungen können unverändert in eine Einstellungskatalog-Richtlinie umgewandelt und bereitgestellt werden

flowchart TB
    accTitle: Der Inventarfluss mit Group Policy analytics
    accDescr: Exportieren Sie GPOs als XML aus GPMC und importieren Sie sie in Intune; der MDM-Unterstützungsprozentsatz und die Migrationsbereitschaft pro Einstellung werden angezeigt, und Ready-for-migration-Einstellungen können in eine Einstellungskatalog-Richtlinie umgewandelt werden
    export["GPOs als XML aus GPMC exportieren"] --> import["In Intune importieren"]
    import --> rate["MDM-Unterstützungsprozentsatz wird angezeigt"]
    rate --> report["Migrationsbereitschaftsbericht"]
    report --> ready["Ready for migration"]
    report --> notsup["Not supported"]
    report --> dep["Deprecated"]
    ready --> convert["In eine Einstellungskatalog-Richtlinie umwandeln"]

Abbildung 11: Vom XML-Export über Import, Klassifikation pro Einstellung und Umwandlung in den Einstellungskatalog — das ist der Group-Policy-analytics-Fluss.

In japanischen Umgebungen gibt es einen wichtigen Hinweis. Die Analyse von Nicht-ADMX-Einstellungen in Group Policy analytics ist nur auf Englisch; der Import einer GPO, die Einstellungen in einer anderen Sprache als Englisch enthält, kann den MDM-Unterstützungsprozentsatz ungenau machen.⁶ Behandeln Sie den Unterstützungsprozentsatz als groben Referenzwert und treffen Sie das Endurteil aus der Liste pro Einstellung.

flowchart TB
    accTitle: Ein Hinweis bei der Analyse einer japanischen GPO
    accDescr: Die Analyse von Nicht-ADMX-Einstellungen in Group Policy analytics ist nur auf Englisch, daher kann eine GPO mit japanischen Einstellungen den MDM-Unterstützungsprozentsatz ungenau machen; behandeln Sie den Prozentsatz als grobe Referenz und treffen Sie das Endurteil aus der Liste pro Einstellung
    jgpo["Eine GPO mit japanischen Einstellungen"] --> limit["Nicht-ADMX-Analyse ist nur auf Englisch"]
    limit --> rate["Der Unterstützungsprozentsatz kann ungenau sein"]
    rate --> use1["Den Prozentsatz als grobe Referenz behandeln"]
    rate --> use2["Das Endurteil aus der Liste pro Einstellung treffen"]

Abbildung 12: In einer japanischen GPO kann der MDM-Unterstützungsprozentsatz ungenau sein, daher treffen Sie das Endurteil aus der Liste pro Einstellung.

In der Praxis teilen Sie die Klassifikationsergebnisse in drei Stapel.

1. Einstellungen zum Verwerfen — Einstellungen der Internet-Explorer-Ära, Einstellungen für außer Betrieb genommene Systeme, Einstellungen, deren Grund niemand erklären kann. Der größte Gewinn der Inventarisierung ist tatsächlich, diesen Stapel wegwerfen zu können. Eine GPO, die zehn Jahre gelaufen ist, hat eine beträchtliche Menge Altlasten aufgeschichtet.
2. Einstellungen, die nach Intune wandern — jene unter Ready for migration, die Sie weiter brauchen. Wandeln Sie sie in den Einstellungskatalog um und validieren Sie mit einer Pilotgruppe.
3. Einstellungen, für die Sie einen Ersatz entwerfen — jene unter Not supported, die Sie weiter brauchen. Typische Beispiele und Ersatzrichtungen sind die folgenden.

flowchart TB
    accTitle: Die drei Stapel der Inventarergebnisse
    accDescr: Inventarergebnisse werden als drei Stapel behandelt: Einstellungen zum Verwerfen, Einstellungen, die nach Intune wandern und validiert werden, und Einstellungen ohne Gegenstück, für die Sie einen Ersatz entwerfen
    result["Klassifikationsergebnisse"] --> discard["Einstellungen zum Verwerfen"]
    result --> more{"Wandern oder ersetzen?"}
    more --> move["Nach Intune wandern"]
    more --> alt["Einen Ersatz entwerfen"]
    discard -.-> legacy["Die Altlast entsorgen"]
    move --> pilot["Einstellungskatalog"]
    pilot -.-> pilotN["dann validieren"]
    alt --> design["Skript oder zur App machen"]

Abbildung 13: Teilen Sie Inventarergebnisse in die drei Stapel „verwerfen“, „nach Intune wandern“ und „einen Ersatz entwerfen“.

7. Ein gestuftes Migrationsszenario — Fünf Stufen und Exit-Kriterien

Teilen Sie das Ganze in fünf Stufen und setzen Sie auf jede ein Exit-Kriterium. Im Voraus zu entscheiden „wann können wir sagen, das ist fertig“ ist der Trick, der eine Ein-Personen-IT-Migration am Steckenbleiben hindert.

flowchart TB
    accTitle: Ein fünfstufiges Migrationsszenario
    accDescr: Schreiten Sie in Stufen vom Pilot über Basisrichtlinie, App-Bereitstellung, Ersetzen bestehender PCs im Hardware-Erneuerungszyklus und Verkleinern der Rolle von AD vor und bringen Sie schließlich über GPO bereitgestellte Einstellungen auf null
    s1["（1） Pilot"] --> s2["（2） Basisrichtlinie"]
    s2 --> s3["（3） App-Bereitstellung"]
    s3 --> s4["（4） Natürlicher Ersatz bestehender PCs"]
    s4 --> s5["（5） Die Rolle von AD verkleinern"]
    s5 -.-> goal["Über GPO bereitgestellte Einstellungen sind null"]

Abbildung 14: Schreiten Sie die Migration in fünf Stufen vom Pilot bis zum Verkleinern der Rolle von AD vor und legen Sie das Exit-Kriterium jeder Stufe im Voraus fest.

Die Kernpunkte jeder Stufe.

• (1) Pilot beginnt mit einem PC, den Sie sowieso kaufen wollten — der nächste Neueinstellungs-PC, ein Break/Fix-Ersatz und Ähnliches. Von einer neuen Maschine zu starten hat den Vorteil, dass Sie mit null Extra-Investition beginnen können, und wenn es scheitert, können Sie wipen und neu anfangen. Sobald die Zahl wächst, erwägen Sie Windows Autopilot, um von OOBE (Ersteinrichtung) bis Entra join plus Intune-Einschreibung zu automatisieren.²
• In (2) Basisrichtlinie zielen Sie nicht darauf, jede GPO-Einstellung zu reproduzieren. Engen Sie zuerst auf die fünf Update, Verschlüsselung, Defender, Bildschirmsperre und LAPS ein und visualisieren Sie den Compliancezustand mit einer Compliancerichtlinie. „Nur konforme Geräte“ in Conditional Access zu aktivieren kommt, nachdem Sie bestätigt haben, dass es im Pilot keine Fehlalarme gibt.¹⁶
• (3) App-Bereitstellung ist kontinuierlich mit der Automatisierung des Provisionings. Wenn Sie bereits ein winget-basiertes Verfahren haben („PC-Kitting mit winget + PowerShell automatisieren — Aus dem Handbuch ein ausführbares Skript machen“), kann dieses Asset fast unverändert als Store-App (new) oder als Win32-App-Hülle wiederverwendet werden.¹¹
• (4) Bestehende PCs haben, wie Kapitel 3 sagte, keinen Konvertierungspfad zu Entra join, daher ist das Prinzip natürlicher Ersatz. Organisationen, die noch einen Windows-10-Ersatzplan haben („Praktische Optionen nach dem Support-Ende von Windows 10 — Eine Entscheidungstabelle für ESU, LTSC und Ersatz“), können die Arbeit nicht zweimal tun, indem sie diesen Ersatz gleichzeitig mit (4) vorantreiben.
• In (5) Die Rolle von AD verkleinern bedeutet GPO zu leeren nicht unbedingt, dass AD sofort unnötig ist. Wenn Dateiserverauthentifizierung, LDAP-Abfragen aus Legacy-Apps und Ähnliches bleiben, läuft AD in verkleinerter Form als „Authentifizierungsserver“ weiter. Diese zu inventarisieren und Fristen zu setzen ist die Aufgabe dieser Stufe.

flowchart TB
    accTitle: Was mit AD zu tun ist, nachdem GPO leer ist
    accDescr: Selbst nachdem GPO leer ist, läuft AD, wenn Dateiserverauthentifizierung oder LDAP-Abfragen aus Legacy-Apps bleiben, in verkleinerter Form als Authentifizierungsserver weiter, und verbleibende Rollen zu inventarisieren und Fristen zu setzen ist die Aufgabe der letzten Stufe
    gpoempty["GPO ist leer"] --> remain{"Welche verbleibenden Rollen gibt es?"}
    remain -->|Dateiserverauthentifizierung| keep["In verkleinerter Form als Authentifizierungsserver fortsetzen"]
    remain -->|Legacy-LDAP-Abfragen| keep
    remain -->|Keine verbleibenden Rollen| retire["Die Außerbetriebnahme von AD selbst erwägen"]
    keep --> task["Inventar und Fristsetzung durchziehen"]

Abbildung 15: Selbst nachdem GPO leer ist, läuft AD, wenn verbleibende Rollen existieren, in verkleinerter Form als Authentifizierungsserver weiter.

8. Die Fallstricke

8.1. Doppelanwendung von GPO und MDM — Standardmäßig gewinnt GPO

Während der Migrationszeit werden sowohl GPO als auch Intune Einstellungen auf denselben PC bereitstellen (eine hybrid-joined-Maschine). Hier gewinnt bei einem Konflikt derselben Einstellung standardmäßig die Gruppenrichtlinie. MDMWinsOverGP von Policy CSP auf 1 zu setzen, lässt die MDM-seitige Einstellung gewinnen und blockiert die entsprechende GPO-Einstellung, aber dieser Mechanismus gilt nur für Einstellungen unter Policy CSP und nicht für Einstellungen, die in anderen CSPs wie Defender CSP definiert sind. Microsoft selbst stellt fest, dass Sie, wenn Sie eine Einstellung, die nicht unter MDMWinsOverGP steht, sowohl von GPO als auch von MDM konfigurieren, in einen Konfliktzustand geraten und es keine Garantie gibt, welche gewinnt.¹⁴

flowchart TB
    accTitle: Vorrang, wenn GPO und MDM kollidieren
    accDescr: Wenn Sie dieselbe Einstellung sowohl von GPO als auch von MDM bereitstellen, gewinnt GPO standardmäßig; MDMWinsOverGP auf 1 zu setzen, lässt MDM nur für Einstellungen unter Policy CSP gewinnen, und für Einstellungen in anderen CSPs gibt es keine Garantie, welche gewinnt
    both["Dieselbe Einstellung von GPO und MDM bereitstellen"] --> flag{"MDMWinsOverGP=1?"}
    flag -->|Nein| gpowin["GPO gewinnt （Standard）"]
    flag -->|Ja| csp{"Eine Einstellung unter Policy CSP?"}
    csp -->|Ja| mdmwin["MDM gewinnt"]
    csp -->|Nein| unknown["Keine Garantie, welche gewinnt"]
    both -.-> avoid["Das Prinzip ist, nicht von beiden bereitzustellen"]

Abbildung 16: Standardmäßig gewinnt GPO, und MDMWinsOverGP gilt nur unter Policy CSP. Das Prinzip ist, Doppelbereitstellung zu vermeiden.

Das praktische Prinzip ist einfach. Verlassen Sie sich nicht auf Vorrangsteuerung; stellen Sie dieselbe Einstellung nicht von beiden bereit. Für eine Einstellung, die Sie nach Intune verschoben haben, setzen Sie die entsprechende GPO-seitige Konfiguration auf „Not configured“ zurück oder heben Sie die GPO-Verknüpfung ganz auf. Die migrierte Liste aus Kapitel 6 ist auch das Hauptbuch dafür.

8.2. Abhängigkeit von On-Premises-Assets — Netzwerklaufwerke und Drucker

Viele der Stellen, an denen eine Migration stecken bleibt, sind nicht Intune-Funktionen, sondern Konnektivität zu On-Premises-Assets. Der Zugriff selbst von einer Entra-joined-Maschine auf einen On-Premises-Dateiserver ist möglich,² aber wenn Laufwerkszuordnungen und Druckerbereitstellung von einem GPO-Anmeldeskript abhingen, verschwindet dieses Bereitstellungsmittel zuerst. Entscheiden Sie während des Pilots, ob Sie eine Freigaben-Migration nach OneDrive/SharePoint oder einen Ersatz durch Universal Print in Stufe (3) einfalten oder vorerst mit Skriptbereitstellung überbrücken.¹²

flowchart TB
    accTitle: Bereitstellungen ersetzen, die von On-Premises-Assets abhängen
    accDescr: Wenn Laufwerkszuordnungen und Druckerbereitstellung von einem GPO-Anmeldeskript abhängen, verschwindet dieses Bereitstellungsmittel in der Migration zuerst, daher entscheiden Sie während des Pilots, ob Sie mit einer Freigaben-Migration nach OneDrive oder SharePoint, einem Ersatz durch Universal Print oder vorerst Skriptbereitstellung antworten
    dep["Abhängigkeit von einem Anmeldeskript"] --> lost["Das Bereitstellungsmittel verschwindet in der Migration"]
    lost --> share["Nach OneDrive/SharePoint migrieren"]
    lost --> print["Durch Universal Print oder Ähnliches ersetzen"]
    lost --> script["Mit Skriptbereitstellung überbrücken"]
    share --> decide["Den Ansatz während des Pilots entscheiden"]
    print --> decide
    script --> decide

Abbildung 17: Bereitstellungen, die von einem Anmeldeskript abhängen, verlieren ihr Mittel in der Migration zuerst, daher entscheiden Sie den Ersatz während des Pilots.

8.3. Provisioning neu entwerfen — Autopilot ist nicht „erforderlich“

Manchmal wird Ihnen geraten, Windows Autopilot als Set mit einer Intune-Migration einzuführen, aber bei einem Beschaffungsmaßstab von wenigen bis einem Dutzend Maschinen pro Jahr schadet es nicht wirklich, sich bei OOBE mit einem Arbeitskonto anzumelden und Entra von Hand beitreten zu lassen. Autopilot beginnt sich zu lohnen, wenn die Beschaffungszahl wächst und unbeaufsichtigte Einrichtung ab dem Auspacken Wert hat oder wenn Sie Geräteregistrierung auf der Händlerseite nutzen können. Es später hinzuzufügen, nachdem (2) und (3) stehen, ist in Ordnung; es ist keine Voraussetzung der Migration.

flowchart TB
    accTitle: Die Autopilot-Einführungsentscheidung
    accDescr: Bei einem Beschaffungsmaßstab von wenigen bis einem Dutzend Maschinen pro Jahr schadet Entra-Beitritt von Hand bei OOBE nicht wirklich; fügen Sie Autopilot später hinzu, wenn die Beschaffungszahl gewachsen ist und unbeaufsichtigte Einrichtung Wert hat
    scale{"Wie groß ist der jährliche Beschaffungsmaßstab?"} -->|Wenige bis ein Dutzend| manual["Manueller Entra-Beitritt bei OOBE"]
    scale -->|Sobald die Zahl wächst| ap["Unbeaufsichtigt mit Autopilot"]
    ap -.-> later["Hinzufügen, nachdem （2） und （3） stehen"]

Abbildung 18: Solange der Beschaffungsmaßstab klein ist, reicht manueller Entra-Beitritt; Autopilot kann später hinzugefügt werden.

8.4. Der Irrtum, „es ist nichts wert, solange nicht alles in Intune ist“

Das Letzte ist kein technisches Problem, sondern ein Annahmenproblem. Die Koexistenz von Entra-joined-Maschinen und domänenverbundenen Maschinen ist eine offiziell unterstützte Konfiguration,² und „AD ist noch da = die Migration ist gescheitert“ ist nicht wahr. Unternehmen, die jahrelang mit ein paar noch in GPO belassenen Einstellungen laufen, sind nicht selten, und selbst dann hat der Zustand „jeder neue PC ist cloud-verwaltet, und Steuerung funktioniert auch außerhalb“ großen Wert. Ziehen Sie kleine, umkehrbare Fortschritte der Schönheit einer vollständigen Migration vor.

flowchart TB
    accTitle: Der Wert, parallel zu laufen, ohne auf eine vollständige Migration zu bestehen
    accDescr: Dass AD bleibt, ist keine gescheiterte Migration; selbst wenn Sie jahrelang parallel mit noch in GPO liegenden Einstellungen laufen, hat der Zustand großen Wert, in dem jeder neue PC cloud-verwaltet ist und Steuerung außerhalb funktioniert
    miscon["Dass AD bleibt, bedeutet, die Migration ist gescheitert?"] -->|Nein| run["Jahrelang parallel mit noch vorhandener GPO laufen"]
    run --> value["Neue PCs sind auch außerhalb unter Kontrolle"]
    value -.-> forward["Kleine Fortschritte vorziehen"]

Abbildung 19: Selbst beim parallelen Betrieb mit noch vorhandenem AD hat der Zustand, in dem jeder neue PC cloud-verwaltet ist, großen Wert.

9. Eine realistische Antwort für Ein-Personen-IT

Schließlich eine Zusammenfassung der Betriebsgestaltung in einem Unternehmen, in dem die verantwortliche Person eine ist (oder die Rolle nebenbei hat).

• Engen Sie die Verwaltungsgegenstände von Anfang an ein. Wenn Sie jede Einstellung der GPO-Ära hereinholen wollen, erschöpfen Sie sich schon an der Inventarisierung. Starten Sie von den fünf aus Kapitel 7 (2) (Update, Verschlüsselung, Defender, Bildschirmsperre, LAPS) und machen Sie daraus ein „Subtraktionsdesign“, das eine Einstellung nur hinzufügt, wenn der Bedarf entsteht. Der Einstellungskatalog bietet Tausende von Einstellungen,⁷ aber Sie sind nicht verpflichtet, sie zu nutzen.
• Entscheiden Sie sich für ein Standard-PC-Abbild. Halten Sie nur einen Standard: „ein PC in diesem Unternehmen ist dieses Richtlinienset und dieses App-Set“. Abteilungsausnahmen können mit Gruppen und Filtern ausgedrückt werden, aber je mehr Ausnahmen wachsen, desto weniger kann eine Person mithalten.
• Bitten Sie einen externen Partner um Entwurf und Vorlagen; behalten Sie den Tagesbetrieb intern. Die Intune-Migrationsauslagerung, die leicht scheitert, ist der Fall, in dem Sie den Aufbau über die Mauer werfen und in einem Zustand enden, in dem „niemand versteht, was die Admin-Bildschirme bedeuten“. Bitten Sie außen um den Erstentwurf, das Templating von Richtlinien und ein Resonanzbrett für Migrationsentscheidungen, und machen Sie das Ziel zu einem Zustand, in dem Sie täglich selbst einen PC hinzufügen und eine Richtlinie anpassen können. Anders gesagt sollten Sie einen Partner wählen, der so weit übergibt.
• Ändern Sie jeweils eine Sache. Nehmen Sie Richtlinienänderungen einzeln vor und gehen Sie erst weiter, nachdem Sie das Ergebnis in Intune-Berichten bestätigt haben (Richtlinienanwendungszustand und Zuweisungsfehler). Die MDM-Synchronisierung läuft in einem etwa-8-Stunden-Zyklus,³ und die meisten „es hat nicht gegolten“ sind eine Frage der Zeit, kein Fehler.

flowchart TB
    accTitle: Der Betriebszyklus einer Richtlinienänderung
    accDescr: Nehmen Sie Richtlinienänderungen einzeln vor und gehen Sie erst zur nächsten Änderung, nachdem Sie den Anwendungszustand in Intune-Berichten bestätigt haben. Die meisten Fälle von Nichtanwendung lösen sich, indem Sie den etwa 8-stündigen Synchronisierungszyklus abwarten
    change["Nur eine Richtlinienänderung vornehmen"] --> report["Anwendungszustand in Berichten bestätigen"]
    report --> next["Wenn kein Problem, zur nächsten Änderung"]
    next --> change
    report -.-> wait["Die meisten Nichtanwendungen warten auf Sync"]

Abbildung 20: Nehmen Sie Richtlinienänderungen einzeln vor und gehen Sie erst weiter, nachdem Sie das Ergebnis in Berichten bestätigt haben.

10. Zusammenfassung

• GPO ist ein Mechanismus, der Erreichbarkeit eines Domänencontrollers voraussetzt, und er erreicht Außendienst-PCs strukturell nicht. Intune (MDM) synchronisiert über das Internet und löst dieses Problem daher an der Wurzel.
• Migration ist kein Alles-oder-nichts. Entra-joined-Maschinen und domänenverbundene Maschinen können koexistieren, und eine gestufte Migration, die neue PCs auf Entra join plus Intune umstellt, ist die realistische Antwort für kleine und mittlere Unternehmen. Es gibt keinen Konvertierungspfad für bestehende Maschinen, daher ist Ersatz im Hardware-Erneuerungszyklus das etablierte Muster.
• Für kleine und mittlere Unternehmen ist der Einstieg in Intune mit Microsoft 365 Business Premium (Intune Plan 1 plus Entra ID P1) realistisch. Die Planzusammensetzung ändert sich jedoch weiter, und manche Funktionen wie Remediations erfordern eine höhere Lizenz, daher nehmen Sie diesen Artikel vom August 2026 nicht als Evangelium; prüfen Sie Primärquellen.
• Die Inventarisierung aktueller GPOs kann mit Group Policy analytics automatisiert werden. Wandeln Sie Ready-for-migration-Einstellungen in den Einstellungskatalog um und ersetzen Sie Anmeldeskripte und Druckerbereitstellung ohne Gegenstück durch Skriptbereitstellung, indem Sie die Arbeit in eine App verwandeln, oder indem Sie die Praxis einstellen. Beachten Sie, dass in einer japanischen GPO der Unterstützungsprozentsatz ungenau sein kann.
• Schreiten Sie die Migration in den fünf Stufen „Pilot → Basisrichtlinie → App-Bereitstellung → natürlicher Ersatz bestehender PCs → Verkleinern der Rolle von AD“ vor und legen Sie zuerst das Exit-Kriterium jeder Stufe fest.
• Einen Doppelanwendungs-Konflikt gewinnt standardmäßig GPO. MDMWinsOverGP ist ein nur-Policy-CSP-Mechanismus, daher lautet das Prinzip „dieselbe Einstellung nicht von beiden bereitstellen“.
• Wenn ein Serverablöse-Angebot landet, ist der beste Zeitpunkt, diese Migration zu erwägen. Bevor „noch ein Zyklus AD“ denken Sie darüber nach, wo die PCs der nächsten fünf Jahre genutzt werden.

Weiterführende Artikel

• Praktischer Leitfaden für Gruppenrichtlinien (GPO) — Funktionsweise, Überprüfung der Anwendung und Abgrenzung zu Intune
• Windows Update-Verwaltung nach der WSUS-Abschaffung — Wie Sie zwischen WUfB, Autopatch und Intune wählen
• Praktische Optionen nach dem Support-Ende von Windows 10 — Eine Entscheidungstabelle für ESU, LTSC und Ersatz
• PC-Kitting mit winget + PowerShell automatisieren — Aus dem Handbuch ein ausführbares Skript machen
• BitLocker-Praxisleitfaden — Laufwerksverschlüsselung, die mit der Verwaltung des Wiederherstellungsschlüssels beginnt
• Windows LAPS in der Praxis — Schluss mit dem für alle PCs gleichen lokalen Administratorkennwort

Zugehörige Beratungsfelder

KomuraSoft LLC übernimmt den Entwurf einer gestuften Migration von einer AD+GPO-Umgebung zu Entra ID+Intune (Inventarisierung aktueller GPOs, eine Politik zur Reproduktion von Einstellungen, ein Pilotplan), den Vergleichs-Review von Serverablöse versus Cloud-Umzug und Beratungen, die bestehende Geschäftsanwendungen und Provisioning-Assets wiederverwenden. Vom Stadium „sollen wir einen weiteren AD-Server kaufen“ gemeinsam zu überlegen, ist in Ordnung.

• Technische Beratung und Design-Review
• Migration bestehender Assets
• Kontakt

Quellen

Verwandte Artikel

Aktuelle Artikel mit denselben Schlagwörtern führen zu verwandten Themen weiter.

Verwandte Themen

Diese Seiten ordnen den Artikel in einen größeren Leistungs- und Entscheidungskontext ein.

Leistungen zu diesem Thema

Dieser Artikel ist direkt mit den folgenden Leistungen verbunden.

Häufige Fragen

Fragen, die in Beratungen zu diesem Artikelthema häufig gestellt werden.

Wenn wir von GPO nach Intune migrieren, können wir jede Gruppenrichtlinieneinstellung reproduzieren, die wir heute nutzen?

Sie können nicht alle reproduzieren. Der Intune-Einstellungskatalog hat Tausende von Windows-Einstellungen, einschließlich solcher, die aus ADMX kommen, und die meisten Sicherheitseinstellungen und Einschränkungen können verschoben werden, aber manches — Laufwerkszuordnungen über Anmeldeskripte, Massenbereitstellung von Druckern — hat keine entsprechende MDM-Einstellung. Wenn Sie einen XML-Export Ihrer aktuellen GPOs in Intunes Group Policy analytics importieren, wird jede Einstellung als Ready for migration, Not supported oder Deprecated klassifiziert. Für Einstellungen ohne Gegenstück decken Sie sie ab, indem Sie ein PowerShell-Skript bereitstellen, die Arbeit in eine App verwandeln oder diese Einstellung einfach einstellen.

Welche Lizenz brauchen wir, um Intune zu nutzen?

Die Basis ist Microsoft Intune Plan 1. Sie können ihn allein abonnieren, aber in kleinen und mittleren Unternehmen ist es üblich, ihn als Teil von Microsoft 365 Business Premium (bis 300 Benutzer) zu nutzen. Business Premium enthält auch Entra ID P1, sodass Sie bis zur Kombination von Compliancerichtlinien mit Conditional Access gehen können. Manche Funktionen, etwa Remediations, erfordern gesondert eine Lizenz der Klasse Windows Enterprise E3/E5. Die Planzusammensetzung ändert sich häufig, daher prüfen Sie die neuesten Details auf den offiziellen Lizenzseiten von Microsoft, bevor Sie unterschreiben (dieser Artikel gilt Stand August 2026).

Müssen wir den AD-Server sofort außer Betrieb nehmen?

Nein. PCs, die mit Entra join plus Intune verwaltet werden, und PCs, die mit AD-Domänenbeitritt plus GPO verwaltet werden, können im selben Unternehmensnetz koexistieren. Eine gestufte Migration — AD für Dateiserverauthentifizierung und bestehende Geschäftssysteme stehen zu lassen und nur neue PCs per Entra beitreten zu lassen — ist realistisch. Umgekehrt gibt es keinen unterstützten Weg, einen bestehenden domänenverbundenen PC in Entra join zu „konvertieren“; ein Wipe (Zurücksetzen) ist erforderlich, daher ist das etablierte Muster, bestehende Maschinen im Hardware-Erneuerungszyklus zu ersetzen. Es genügt, die Außerbetriebnahme von AD zu erwägen, nachdem die GPOs leer sind und Sie die verbleibenden Rollen inventarisiert haben.

Warum gilt Gruppenrichtlinie nicht für PCs, die für Remote-Arbeit genutzt werden?

Weil GPO abgerufen und angewendet wird, wenn der PC einen Domänencontroller erreichen kann. Ein PC außerhalb des Büros kann die neueste Richtlinie nur empfangen, wenn er einen Domänencontroller über VPN oder Ähnliches erreichen kann, und ein Heim-PC ohne VPN bekommt sie im Wesentlichen nie. Intune (MDM) synchronisiert Richtlinie über das Internet, sodass Sie einen PC verwalten können, wo immer er ist; das Problem, Außendienst-PCs zu verwalten, wird durch die Struktur von MDM gelöst. Zusätzlich zu einer periodischen Synchronisierung von etwa alle 8 Stunden läuft bei einer Richtlinienänderung auch eine benachrichtigungsgetriebene Synchronisierung.

Wenn wir dieselbe Einstellung sowohl von GPO als auch von Intune bereitstellen, welche gewinnt?

Standardmäßig gewinnt bei einer konfliktierenden Einstellung die Gruppenrichtlinie. MDMWinsOverGP auf 1 zu setzen, lässt die MDM-Seite (Intune) gewinnen, aber dieser Mechanismus gilt nur für Einstellungen unter Policy CSP; er gilt nicht für Einstellungen, die in anderen CSPs wie Defender CSP definiert sind. Sich auf Vorrangsteuerung zu verlassen, macht das Verhalten schwer vorhersehbar, daher ist in der Praxis das Prinzip „dieselbe Einstellung nicht über beide Kanäle bereitstellen“, und sobald eine Einstellung nach Intune gewandert ist, löschen Sie sie aus der ursprünglichen GPO, um Doppelverwaltung zu vermeiden.

Autorenprofil

Profilseite des Artikelautors.

Go Komura

Geschäftsführer von KomuraSoft LLC

Spezialisiert auf Windows-Softwareentwicklung, technische Beratung und Fehleranalyse, insbesondere bei bestehenden Systemen und schwer reproduzierbaren Störungen.