Microsoft Intune Endpoint-Sicherheit Schulung: Geräte härten

Endpunktsicherheit in Intune einordnen

• Knoten Endpunktsicherheit im Intune Admin Center: Richtlinientypen und Plattformen
• Endpunktsicherheit, Einstellungskatalog, Baselines und Gruppenrichtlinien: wer bei Konflikten gewinnt
• Rolle Endpoint Security Manager, eigene Rollen und Bereichsmarkierungen für das Sicherheitsteam
• Genehmigung durch mehrere Admins für Skripte, App-Bereitstellungen und Löschaktionen
• Ausgangslage erheben: Microsoft Secure Score und Empfehlungen im Defender-Portal als Arbeitsliste
• Lizenzen: was Intune Plan 1 abdeckt, was Defender for Endpoint P1/P2 und die Suite-Funktionen (EPM seit Juli 2026 in M365 E5) ergänzen

Sicherheitsbaselines

• Verfügbare Baselines: Windows, Defender for Endpoint, Microsoft Edge, Microsoft 365 Apps, Windows 365
• Baseline-Profil anlegen, Standardwerte lesen und Abweichungen mit Begründung dokumentieren
• Neue Baseline-Version mit der alten vergleichen und Profile kontrolliert umstellen
• Baseline und eigene Endpunktsicherheitsrichtlinie ohne doppelt gesetzte Einstellungen kombinieren
• Status je Einstellung auswerten: konform, Konflikt, Fehler, nicht anwendbar

Datenträgerverschlüsselung mit BitLocker und FileVault

• BitLocker-Richtlinie: Verschlüsselungsmethode XTS-AES, TPM-Schutz, Systemstart-PIN abwägen
• Stille Verschlüsselung ohne Benutzerinteraktion auf Geräten mit Microsoft-Entra-Join
• Wiederherstellungsschlüssel in Microsoft Entra ID sichern, Abruf berechtigen und protokollieren
• Schlüssel per Geräteaktion rotieren und Self-Service-Abruf für Benutzer:innen steuern
• FileVault auf Macs erzwingen, persönlichen Wiederherstellungsschlüssel in Intune hinterlegen
• Verschlüsselungsbericht: Status, TPM-Version und Gründe für nicht verschlüsselte Geräte

Windows LAPS und Kontoschutz

• Windows LAPS per Kontoschutzrichtlinie: Sicherung in Entra ID oder Active Directory, Komplexität, Alter
• Aktionen nach der Verwendung: Kennwort zurücksetzen, abmelden oder Gerät neu starten
• Kennwort im Intune Admin Center abrufen, per Geräteaktion rotieren, Leserechte eng vergeben
• Automatische Kontoverwaltung von Windows LAPS ab Windows 11 24H2: verwaltetes Konto anlegen, umbenennen, deaktivieren
• Mitgliedschaft der lokalen Gruppe Administratoren per Richtlinie festlegen statt dauerhafter Adminrechte
• Windows Hello for Business und Credential Guard über Kontoschutzrichtlinien einführen
• Endpoint Privilege Management als Weg zu Standardkonten mit Rechteerhöhung im Einzelfall

Firewall und Verringerung der Angriffsfläche

• Windows-Firewall-Richtlinie für Domänen-, privates und öffentliches Profil, lokale Regeln unterbinden
• Firewallregeln zentral pflegen, wiederverwendbare Einstellungsgruppen (Vorschau) für Adressbereiche
• macOS-Firewall und Tarnmodus über Endpunktsicherheitsrichtlinien aktivieren
• ASR-Regeln gegen Office-Makros, verschleierte Skripte und Diebstahl von Anmeldedaten aus LSASS
• ASR-Regeln im Überwachungsmodus einführen, Treffer auswerten, Ausschlüsse eng fassen
• Exploit-Schutz, Netzwerkschutz und Gerätesteuerung für USB-Datenträger
• App Control for Business mit verwaltetem Installer: nur zugelassene Anwendungen ausführen

Microsoft Defender for Endpoint anbinden

• Dienstverbindung zwischen Intune und Defender for Endpoint im Microsoft Defender-Portal aktivieren
• Geräte per EDR-Richtlinie onboarden und den Onboardingstatus kontrollieren
• Antivirusrichtlinie: Echtzeitschutz, Cloudschutz, Manipulationsschutz und sparsame Ausschlüsse
• Plattform-, Modul- und Signaturupdates von Defender gestaffelt über Updatekanäle verteilen
• Sicherheitseinstellungsverwaltung: Defender-Richtlinien auch für Server ohne Intune-Registrierung
• Defender for Endpoint auf iOS und Android als Mobile Threat Defense verteilen
• Sicherheitsaufgaben aus dem Schwachstellenmanagement in Intune annehmen und abarbeiten

Konformität und bedingter Zugriff

• Konformitätsrichtlinien aus Sicherheitssicht: BitLocker, Secure Boot, Codeintegrität, Firewall, Antivirus
• Risikobewertung des Geräts aus Defender for Endpoint als Konformitätsbedingung
• Benutzerdefinierte Konformität mit PowerShell-Erkennungsskript und JSON-Regeln
• Mandanteneinstellungen: Geräte ohne Richtlinie als nicht konform werten, Gültigkeitszeitraum
• Aktionen bei Nichtkonformität: Benachrichtigung, Karenzzeit, Gerät später zurückziehen
• Konformes Gerät als Bedingung im bedingten Zugriff – Überblick, Richtliniendesign in M365 Sicherheit

App-Schutzrichtlinien für mobile Geräte

• Datenschutzframework für App-Schutz: Stufen 1 bis 3 für Basisschutz bis hohen Schutzbedarf
• Datenübertragung steuern: Kopieren, Speichern unter, Drucken, Öffnen in nicht verwalteten Apps
• Bedingter Start: Jailbreak oder Root, Mindestversion, App-PIN und Bedrohungsstufe des Geräts
• App-Schutz ohne Geräteregistrierung für private Smartphones, App-Schutz als Zugriffsbedingung
• App-Schutz für Microsoft Edge unter Windows auf nicht verwalteten privaten PCs
• Selektives Löschen und Bericht zum App-Schutzstatus je Benutzer:in

Berichte, Überwachung und Reaktion auf Vorfälle

• Sicherheitsberichte: Status des Antivirus-Agents, erkannte Schadsoftware, Firewallstatus
• Geräteaktionen: Schnell- und vollständige Überprüfung, Signaturupdate, Remotesperre
• Im Vorfall: Gerät im Defender-Portal isolieren, in Intune zurücksetzen oder zurückziehen
• Nach dem Vorfall: BitLocker-Schlüssel und LAPS-Kennwort rotieren, Konformität neu bewerten
• Diagnosedaten vom Gerät sammeln und Überwachungsprotokolle der Admin-Aktionen auswerten
• Sicherheitsstatus regelmäßig mit Microsoft Graph PowerShell exportieren und vergleichen

Copilot in Intune für Sicherheitsrichtlinien

• Einstellungen in Antivirus-, Firewall- und ASR-Richtlinien von Copilot erläutern lassen
• Richtlinien und Gerätezustand zusammenfassen lassen, wenn ein Gerät nicht konform ist
• Fehlercode analysieren lassen und ein fehlerhaftes mit einem funktionierenden Gerät vergleichen
• Agent zur Behebung von Schwachstellen (Vorschau): Vorschläge prüfen, bevor daraus Richtlinien werden
• Voraussetzungen: Security Copilot mit Compute Units (in Microsoft 365 E5 enthalten) und Rollen; Antworten mit Berichten abgleichen

Praxisprojekt: Härtung der Geräte eines Stadtwerks mit Leitwarte und Außendienst

• Baseline, BitLocker mit Schlüsselsicherung und Windows LAPS für die Büro-Notebooks einführen
• ASR-Regeln für die Leitwarte zwei Wochen im Überwachungsmodus auswerten und dann aktivieren
• Monteur-Smartphones mit App-Schutz und Defender-Risikostufe in der Konformität absichern
• Ablaufplan für ein kompromittiertes Notebook: isolieren, untersuchen, Schlüssel rotieren, neu aufsetzen

Lernziele

• Sie wählen für jede Schutzmaßnahme den passenden Richtlinientyp in Intune und lösen Konflikte zwischen Baselines und Profilen auf.
• Sie verschlüsseln Windows- und macOS-Geräte und sichern Wiederherstellungsschlüssel nachvollziehbar.
• Sie ersetzen gemeinsame lokale Administratorkennwörter durch Windows LAPS und begrenzen lokale Adminrechte.
• Sie führen Firewall- und ASR-Regeln mit Überwachungsmodus ein und binden Defender for Endpoint an Intune an.
• Sie nutzen Konformität, App-Schutz und Geräteaktionen, um auf einen Sicherheitsvorfall strukturiert zu reagieren.

Zielgruppe

• Endpoint-Administrator:innen mit Intune-Grundkenntnissen, die Geräte systematisch härten wollen
• IT-Sicherheitsverantwortliche, die Sicherheitsvorgaben über Intune und Defender for Endpoint durchsetzen
• Administrator:innen, die eine bestehende Intune-Umgebung vor einem Audit prüfen