Intune kann immer noch kein Bare-Metal-Image eines Geräts erstellen, und andere Dinge, die niemand der IT gesagt hat

Das Mandat kam von der Führung, nicht von der IT

Fast jeder Administrator, der derzeit eine hybride Umgebung verwaltet, hat dieselbe Frage gehört: „Warum sind wir noch nicht vollständig zu Intune migriert?“ Meist geht damit die unausgesprochene Annahme einher, dass die Verzögerung auf Trägheit zurückzuführen ist oder auf ein IT-Team, das sich mit einem alten Tool wohlfühlt und ungern ein neues lernt.

So läuft es nicht. Administratoren, die monatelang Intune als vollständigen Ersatz für Gruppenrichtlinien getestet haben, kommen immer wieder zu demselben Schluss: Intune ist noch nicht soweit. Es hat echte Stärken, aber als eins-zu-eins-Ersatz für Gruppenrichtlinien ist es einfach noch nicht ausgereift.

Was Intune immer noch nicht kann

Keine Bare-Metal-Abbildung.

Gruppenrichtlinien in Kombination mit Tasksequenzen ermöglichen es Administratoren, ein Gerät zu löschen und ein sauberes Betriebssystem von Grund auf neu zu laden, einschließlich komplexer, mehrstufiger Installationen, die dazwischen Neustarts erfordern. Autopilot ersetzt dies nicht. Es stellt ein Gerät bereit, das bereits ein Betriebssystem hat. Administratoren berichten, dass sie "saubere" Geräte an Endbenutzer versenden, die immer noch mit Hersteller-Bloatware geladen sind, weil es keine Entsprechung einer Tasksequenz gibt, um diese zuerst zu entfernen.

Server waren nie im Umfang enthalten, und das ist in Ordnung.

Intune verwaltet Client-Geräte. Es wurde nie dafür entwickelt, Windows Server zu verwalten, daher enden Richtlinien für bedingten Zugriff und Compliance-Durchsetzung absichtlich am Arbeitsplatz, nicht zufällig. Das ist keine Lücke im Fahrplan; es ist eine bewusst gezogene Grenze.

Der Grund, warum dies in der Praxis selten Probleme bereitet, ist, dass hybride Umgebungen die Serververwaltung bereits anderswo abdecken. SCCM übernimmt weiterhin das Patchen von Windows Servern vor Ort und die Bare-Metal-Installationen. Azure Arc erweitert die Durchsetzung von Richtlinien und Compliance auf Server, egal wo sie sich befinden, vor Ort oder in einer anderen Cloud. VMware vSphere übernimmt die Bereitstellung und Abbildung über Vorlagen und Klonen. Ansible (oder AWX Tower) übernimmt die fortlaufende Konfigurationsdurchsetzung, die früher von der Gruppenrichtlinie verwaltet wurde. Hier fehlt nichts, es ist nur auf eine Handvoll Tools verteilt, die die meisten Infrastrukturteams bereits nutzen.

Weniger Hierarchie, mehr Umgehungslösungen.

Die OU-Struktur von Active Directory ermöglicht es Administratoren, die Organisation eines Unternehmens nach Abteilung, Standort oder Gerätestufe abzubilden, Ausnahmen sauber zu verschachteln und Administratorrechte auf jeder Ebene zu delegieren. Entra ID-Gruppen können ebenfalls verschachtelt werden, aber die Microsoft-eigene Anleitung rät davon ab: Das Verschachteln einer großen Gruppe innerhalb eines Intune-Ziels zwingt Intune dazu, jede darunterliegende Gruppe und Mitgliedschaft neu zu synchronisieren, wodurch eine kleine Ausnahme zu einem Leistungsproblem wird, anstatt ein sauberes Vererbungsmodell zu sein.

Zuweisungsfilter und Bereichstags übernehmen einen Teil dessen, was die auf OU basierende Delegation früher tat, indem sie Sichtbarkeit und Zielgruppen ohne vollständige Verschachtelung eingrenzen. Keines von beiden stellt eine echte Vererbung dar, aber die delegationsartige Steuerung ist näher dran, als es auf den ersten Blick scheint.

Dynamische Gruppierung gibt es in Intune weiterhin, allerdings in einem engeren Rahmen als das, was Gruppenrichtlinien-Administratoren gewohnt sind. Entra ID dynamische Gerätegruppen können nach Attributen wie Hersteller und Modell filtern, und Intune-Zuweisungsfilter fügen Geräteeigenschaften wie Betriebssystemversion und CPU-Architektur hinzu. Was fehlt, ist die dynamische Gruppierung oder Filterung basierend auf installierter Software, eine routinemäßige Abfrage in Gruppenrichtlinienumgebungen, die heute in Intune keine native Entsprechung hat.

Abdeckung, die näher ist, aber nicht vollständig.

Gruppenrichtlinien unterstützen etwa 4.000 ADMX-Einstellungen. Der Einstellungskatalog von Intune umfasst jetzt über 18.000 Einstellungen auf allen Plattformen, und allein die Administrativen Vorlagen, die direkte Übernahme von GPO, machen etwa 2.500 davon aus. Die reinen Zahlen sind nicht mehr die eigentliche Geschichte. Übrig bleibt eine Reihe spezifischer GPO-Verhalten, für die es noch keine saubere Entsprechung in Intune gibt: Gruppenrichtlinienpräferenzen, bestimmte ältere skriptbasierte Konfigurationen und Einstellungen, die von Funktionen abhängen, die das CSP-basierte Modell von Intune noch nicht bereitstellt. Diese Lücke wird durch Skripte und manuelle Konfigurationsprofile geschlossen, indem man von Hand rekonstruiert, was früher ein Kontrollkästchen war.

Gruppenrichtlinienpräferenzen haben kein Zuhause.

Zuordnungen von Laufwerken, Druckeranschlüsse und die Dutzenden kleinen Voreinstellungseinstellungen, die GPP automatisch verwaltete, erfordern jetzt Skripting oder Drittanbieter-Tools zur Replikation.

Langsame, unvorhersehbare Anwendung von Richtlinien.

Während Gruppenrichtlinien Änderungen in Sekunden anwenden, verlässt sich Intune auf den Windows Notification Service, um Richtlinien an Geräte weiterzuleiten, und diese Pipeline ist effektiv eine Blackbox. Administratoren haben Synchronisationszeiten von sofort bis zu 72 Stunden für dieselbe Richtlinie dokumentiert, ohne eine zuverlässige Möglichkeit, sie durchzusetzen, wenn eine Frist real ist.

Die Fehlerbehebung holt auf, ist aber noch nicht abgeschlossen.

Gruppenrichtlinien verfügen über RSoP und gpupdate, Werkzeuge, die speziell entwickelt wurden, um in Minuten die Frage „Warum wird das nicht angewendet?“ zu beantworten. Intune hat jetzt grobe Äquivalente: Synchronisieren erzwingt eine On-Demand-Richtlinienüberprüfung, und der Richtlinienstatus pro Einstellung zeigt, welche Richtlinien auf ein Gerät angewendet wurden und warum. Copilot in Intune fügt darüber hinaus einen Fehlercode-Analysator und einen nebeneinander Vergleich von Geräten hinzu, und ab Mitte 2026 ist dies in Microsoft 365 E5 enthalten, keine separate Lizenz erforderlich.

Was noch fehlt, ist die Reife, nicht das Konzept. Diese Werkzeuge sind neuer, und Administratoren berichten von inkonsistenten Ergebnissen bei allem, was über die Grundlagen hinausgeht. Der 20-jährige Vorsprung der Gruppenrichtlinie bei „Warum wird das nicht angewendet“ ist noch nicht vollständig geschlossen, aber die Lücke ist enger als sie scheint.

Keine native Bandbreitensteuerung.

Gruppenrichtlinienumgebungen, die SCCM ausführen, können Bereitstellungen mit BranchCache oder PeerCache planen, sodass ein einzelner Standort eine langsame WAN-Verbindung nicht durch wiederholtes Herunterladen desselben Inhalts belastet. Intune lädt pro Gerät aus dem Internet, ohne Peer-to-Peer-Caching, um diese Last auf einen Standort zu verteilen. Für bandbreitenbeschränkte Standorte bedeutet das langsamere Rollouts und in einigen Fällen vollständige Ausfälle ohne native Lösung.

Anwendungskontrollen, die rohe SIDs und Tools von Drittanbietern erfordern.

Feinkörnige Anwendungs-Whitelist, wie sie Gruppenrichtlinien-Umgebungen mit AppLocker handhaben, ist in Intune aufwändiger. Das Verweisen auf Sicherheitsprinzipale bedeutet oft, rohe SIDs statt freundlicher Namen anzugeben, und Drittanbieter-Patching für alles außerhalb von Windows-Updates erfordert ein separates Tool.

Intune ist in Ordnung, wenn Sie cloud-first sind

Das alles bedeutet nicht, dass Intune ein schlechtes Produkt ist. Es ist wirklich gut geeignet für einfache, cloud-first Umgebungen. Die Infrastruktur von Microsoft zur Bereitstellung monatlicher Betriebssystem-Updates ist ausgezeichnet. Das Problem ist enger und spezifischer: Als vollständiger, direkter Ersatz für alles, was Gruppenrichtlinien gemacht haben, ist Intune noch nicht da, und so zu tun, als ob, verschiebt den Schmerz nur von einer Roadmap-Folie in eine Helpdesk-Warteschlange.

Genau deshalb beschreiben so viele Organisationen ihre Intune-Einführung als „hybrid für ein paar Jahre mehr“ statt als „abgeschlossen“. Es ist kein Personalproblem. Es ist eine Werkzeuglücke, die Netwrix PolicyPak schließen soll.

Wie PolicyPak das erweitert, was Group Policy bereits gut macht

PolicyPak verlangt von Teams nicht, die Gruppenrichtlinie zu entfernen und von vorne zu beginnen. Es setzt auf der bereits vorhandenen Infrastruktur auf und erweitert dieselbe Richtlinienlogik auf jeden Endpunkt, egal ob dieser der Domäne angehört, remote ist oder bereits in Intune registriert ist.

• Volle ADMX-Tiefe, kein Teilbereich: Der Admin-Vorlagen-Manager basiert auf ADMX, sodass die Tausenden granularer Einstellungen, die von Gruppenrichtlinien unterstützt werden, verfügbar bleiben, anstatt manuell als Skripte neu erstellt zu werden.
• Gruppenrichtlinien-Einstellungen, weiterhin automatisiert: Der GPP-Manager verwaltet weiterhin zugeordnete Laufwerke, Drucker und andere Einstellungen, die die Desktops stillschweigend konsistent hielten, ohne dass Skripte erforderlich sind.
• Echte Hierarchie und Konsolidierung: Umfangreiche GPOs werden konsolidiert, um Aufblähungen zu reduzieren und die Leistung zu verbessern, während das auf OU basierende Zielmodell erhalten bleibt, das Administratoren bereits verstehen.
• Compliance-Berichte, die die Durchsetzung nachweisen: Die Gruppenrichtlinien-Compliance-Berichterstattung bietet Teams eine Möglichkeit, zu zeigen, was in der gesamten Umgebung durchgesetzt wird, nicht nur, was konfiguriert ist, was sowohl für eine Prüfung als auch für eine Fehlerbehebung am Dienstagnachmittag wichtig ist.
• Abdeckung, die dem Endpunkt folgt, nicht der Domäne: Für Geräte, die niemals einen Domänencontroller berühren, übertragen PolicyPak Cloud und sein GPO Export Manager dieselben Richtlinien auf Endpunkte, die über Intune oder andere MDM- und UEM-Plattformen verwaltet werden. Ein remote in Intune registriertes Laptop erhält dieselben Least-Privilege-Regeln und die gleiche Desktop-Konfiguration wie ein Gerät in einem domänenverbundenen Büro.
• Für den Endpunkt entwickelte Sicherheitskontrollen: Lokale Administratorrechte entfallen, während Standardbenutzer weiterhin sichere, spezifische Erhöhungspfade erhalten. Eine auf dem Dateibesitzer basierende Positivliste blockiert nicht vertrauenswürdige Anwendungen und Skripte mit einer einzigen Richtlinie, und der DLL-Hijack-Schutz adressiert eine häufige Schwachstellenklasse in älterer Desktop-Software. Anwendungs-, Browser-, Java- und Wechseldatenträgerkontrollen runden den Schutz ab, alles verwaltet von einer einzigen Konsole.
• Vereinfachte Bereitstellung und Patchen: Softwarebereitstellung, automatisches Patchen und Entfernung laufen über Windows, WinGet und webbasierte Quellen und schließen die Lücke bei Drittanbieter-Patches, die Intune nur für Windows-Updates lässt.
• Minimalrechte, die nicht nur für Windows gelten: Der Least Privilege Manager erweitert die Admin-Freigabe- und Ordnerberechtigungskontrollen auf Mac, nicht nur auf Windows, sodass hybride Endpunktumgebungen die Verwaltung von Minimalrechten über eine Konsole erhalten, anstatt ein Windows-Tool plus einen separaten Mac-Prozess zu verwenden.

Was PolicyPak nicht sein will

Um direkt auf die Grenze einzugehen: PolicyPak führt kein Bare-Metal-Imaging oder Task-Sequencing durch und ist kein Ersatz für das Tool, das derzeit das OSD verwaltet. Was es tut, ist sicherzustellen, dass, sobald ein Gerät existiert, egal ob es abgebildet, Autopilot-gesteuert oder über Intune registriert wurde, es konfiguriert, gesperrt und mit derselben Richtlinien-Engine und dem gleichen Vertrauensniveau der Teams berichtsfähig ist.

Teams müssen sich nicht zwischen der Reife von Gruppenrichtlinien und der Reichweite von Intune entscheiden. PolicyPak behält die Hierarchie, Granularität und Berichtstiefe bei, die 20 Jahre zum Aufbau benötigten, und erweitert sie auf jeden Endpunkt, den Intune jetzt verwaltet. Sehen Sie, wie es in Ihre aktuelle Umgebung passt.