Geräte, die niemand kennt, mit Ständen, die niemand prüft.
Notebooks mit lokalen Adminrechten, private Handys mit Firmenpostfach, Update-Stände, die niemand belegen kann – bis ein Audit oder der Versicherungsfragebogen nach dem Patch-Prozess fragt. Gleichzeitig richtet Ihre IT jedes Gerät von Hand ein, und der Support kämpft mit Geräten, von denen keines dem anderen gleicht. Wir geben Ihnen ein Betriebsmodell, das beides beendet: Geräte richten sich selbst ein, halten ihren Standard automatisch – und der Zugriff auf Firmendaten kennt den Gerätezustand.
Bekannte Geräte, geprüfte Stände: Externe Treiber.
„Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen“ (§ 30 Abs. 2 Nr. 9 BSIG) sowie „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen“ (§ 30 Abs. 2 Nr. 5 BSIG; EU: Art. 21 Abs. 2 lit. i und e). Geräteinventar, verwaltete Standards und ein Update-Modell mit Fristen zahlen auf beide Anforderungen ein.
Sicherheit der Verarbeitung (Art. 32 Abs. 1): Das Notebook im Zug und das Handy mit Firmenpostfach verarbeiten personenbezogene Daten. Verschlüsselung, Sperrregeln und Fernlöschung der Firmendaten sind technische und organisatorische Maßnahmen dafür – ein Gerätestandard macht sie prüfbar.
Endpunktschutz auf allen Geräten und Fristen für kritische Patches sind Standardfragen im Risikofragebogen – oft mit der Nachfrage, wie Ausnahmen behandelt werden. Ein Update-Modell mit gestaffelten Ringen – Updates erreichen erst eine Testgruppe, dann alle Geräte –, mit Fristen und Berichten liefert die Antworten.
Unsere technische Basis.
Angepasst an Ihre Umgebung und Lizenzen.
01 · Zielsysteme
Ihre Geräteflotte – Notebooks, Smartphones und Tablets, firmeneigen oder privat: Dort gelten die Standards. Microsoft Entra ID führt jedes Gerät, das Firmendaten erreicht – bei privaten endet der Einblick am geschützten Firmenbereich.
02 · Durchführung & Self-Service
Microsoft Intune konfiguriert, aktualisiert und prüft automatisiert. Neue Geräte werden über Windows Autopilot schon beim Kauf für Ihren Tenant registriert: Der Nutzer packt aus und meldet sich an, das Gerät holt sich Profil, Apps und Regeln selbst – die IT richtet nichts mehr von Hand ein. Microsoft Defender for Endpoint liefert die Sicherheitssignale für Zugriffsentscheidungen.
03 · Prozess-Dokumentation & Ablauf
Jeder Geräteantrag wird ein Vorgang, jede Standard-Änderung ein Change mit Spur – festgehalten in Jira Service Management.
Vom ersten Einschalten bis zur Aussonderung: jedes Gerät in einem bekannten, geprüften Zustand.
Der Zuschnitt folgt Ihrer Ausgangslage und Lizenzsituation – der Kern ist in jedem Projekt derselbe. Sie nutzen andere Tools? Wir prüfen, wie sich unser Konzept am besten bei Ihnen abbilden lässt.
Gerätebefund
Plattformen, Verwaltungsstand, lokale Adminrechte, Update-Rückstände und Geräte ohne Verwaltung auf einen Blick – priorisiert nach Risiko.
Geräte- & Zugriffs-Standard
Wenige Geräteprofile mit Mindestanforderungen für Konfiguration, Schutz und Apps – firmeneigene Geräte voll verwaltet, private mit geschütztem Firmenbereich; der Zugriff auf Daten folgt dem Gerätezustand: Intune prüft laufend, ob ein Gerät den Standard einhält – und Entra ID lässt bei der Anmeldung nur solche Geräte zu. Ein unbekanntes oder veraltetes Gerät kommt nicht an die Daten.
Update- & Ausnahme-Prozess
Update-Ringe mit Testgruppe und Fristen, Konformitätsregeln mit definierten Ausnahmen – Abweichungen erzeugen automatisch Meldung und Vorgang.
Pilot & Umsetzung
Das erste Geräteprofil geht produktiv: konfigurierte Intune-, Defender- und Zugriffs-Bausteine, erprobte Supportabläufe – dann Rollout Gruppe für Gruppe.
Fragen vor dem Start.
Welche Lizenzen brauchen wir dafür?
Geräteverwaltung mit Microsoft Intune steckt in vielen Microsoft-365-Plänen bereits drin – etwa Business Premium und E3. Zugriffsregeln nach Gerätezustand setzen nach Microsoft-Dokumentation mindestens Microsoft Entra ID P1 voraus, in diesen Plänen enthalten. Der Endpunktschutz hängt an der Planstufe: In Business Premium steckt Microsoft Defender for Business, Defender for Endpoint Plan 2 kommt erst mit E5 oder als Zusatzlizenz. Was Ihre Lizenz hergibt und wo eine Stufe fehlt, wird am Projektanfang geprüft – vor dem Design.
Müssen private Handys dafür komplett verwaltet werden?
Nein. Für private Geräte reicht in den meisten Szenarien ein geschützter Firmenbereich in den Apps: Firmendaten darin sind verschlüsselt, kopiergeschützt und aus der Ferne löschbar – private Fotos und Chats bleiben außen vor. Volle Verwaltung ist firmeneigenen Geräten vorbehalten; die Trennlinie legt der Gerätestandard fest.
Was passiert mit den Geräten, die schon im Einsatz sind?
Sie bleiben im Dienst. Der Befund zeigt, welche Geräte ohne Verwaltung oder mit alten Ständen unterwegs sind – die kommen zuerst unter Verwaltung. Der Rest wechselt gruppenweise in die neuen Profile; für Nutzer heißt das im Regelfall: einmal anmelden, weiterarbeiten.
Wüssten Sie heute, welche Geräte auf Ihre Daten zugreifen?
30 Minuten Ausgangslage besprechen: Sie schildern Stand und Schmerzpunkte – etwa Geräteanzahl und Verwaltungsstand –, Loptr ordnet ein.
Der passende Einstieg ist manchmal ein anderer.
Gerätefragen sind oft das Symptom eines Nachbarthemas – vier typische Fälle: