Moderne Arbeitsplätze sind ohne ein durchdachtes Endpoint-Management kaum noch beherrschbar. Unter dem Begriff Microsoft Endpoint fasst man heute das Zusammenspiel aus Microsoft Intune (ehemals Microsoft Endpoint Manager), Configuration Manager und Microsoft Defender for Endpoint zusammen. Diese Plattformen liefern gemeinsam das Rückgrat für Verwaltung, Absicherung und Monitoring von Clients und mobilen Endgeräten – On-Premises, in der Cloud und hybrid.
Begriffserklärung & Einleitung
Der Begriff Microsoft Endpoint bezeichnet kein einzelnes Produkt, sondern ein Ökosystem von Diensten und Tools im Microsoft-365- und Azure-Umfeld, mit denen Unternehmen ihre Endgeräte und Anwendungen zentral verwalten und absichern. Im Kern stehen dabei:
- Microsoft Intune / Intune Suite als cloudbasierte Unified-Endpoint-Management-(UEM)-Lösung
- Microsoft Configuration Manager (ConfigMgr / MECM) als etablierte On-Premises-Managementplattform
- Microsoft Defender for Endpoint als EDR- und Endpunktsicherheitslösung
Microsoft Intune ist eine vollständig cloudbasierte UEM-Plattform, über die sich Windows-, macOS-, Linux-, iOS- und Android-Geräte aus einer Konsole verwalten und absichern lassen. Intune wird zunehmend durch die Intune Suite ergänzt, die zusätzliche Funktionen wie Advanced Analytics, Endpoint Privilege Management, Remote Help und Cloud PKI bereitstellt, um Endpoint Management und Security enger zu verzahnen.
Der Microsoft Endpoint-Ansatz ist damit ein zentraler Baustein moderner Zero-Trust-Architekturen, in denen Identität, Gerätezustand und Compliance-Richtlinien über Zugriffsentscheidungen auf Unternehmensressourcen bestimmen.
Funktionsweise & technische Hintergründe
Architektur des Microsoft-Endpoint-Ökosystems
Technisch lässt sich Microsoft Endpoint grob in drei Schichten gliedern:
- Management- und Steuerungsebene (Control Plane)
Cloudbasiert über Microsoft Intune (inkl. Intune Suite); On-Premises über Configuration Manager mit optionalem Co-Management; enge Integration in Microsoft Entra ID (ehemals Azure AD) und Microsoft 365. - Security- und Telemetrie-Ebene
Microsoft Defender for Endpoint als EDR/XDR-Komponente; Integration in Microsoft Defender XDR und Microsoft Sentinel; Nutzung von Threat Intelligence, Machine Learning und Verhaltensanalysen. - Endpunkte (Endpoints)
Klassische Windows-Clients und -Server, mobile Geräte (iOS, Android), macOS- und Linux-Systeme sowie teils IoT-Szenarien.
Microsoft Intune und Unified Endpoint Management
Microsoft Intune ist heute die zentrale UEM-Plattform im Microsoft-Universum. Sie ermöglicht unter anderem:
- Geräteeinschreibung (MDM) und App-Schutzrichtlinien (MAM) für Windows, iOS, Android, macOS
- Konfigurationsprofile (z. B. Hardening, BitLocker, Firewall, WLAN/VPN)
- Compliance-Richtlinien mit Verknüpfung zu Conditional Access
- Verteilung von Anwendungen (Win32, MSIX, Store-Apps, Web-Apps)
- Software-Updates und Feature-Upgrade-Strategien
- Zusatzfunktionen der Intune Suite wie Remote Help, Endpoint Privilege Management oder Advanced Analytics
Damit wird Microsoft Endpoint zu einer einheitlichen Steuerzentrale für alle Geräteklassen – unabhängig davon, ob die Nutzer im Büro, im Homeoffice oder mobil arbeiten.
Configuration Manager für On-Premises und Hybrid
Configuration Manager ist ein langjähriger Standard für On-Premises-Systemmanagement (und heute Teil der Intune-Familie). Typische Einsatzbereiche sind:
- Betriebssystemverteilung (OSD) und Imaging
- Patch-Management für Server und Clients
- Inventarisierung von Hardware und Software
- Verteilung von Softwarepaketen in großen Netzwerken
Über Co-Management lässt sich Configuration Manager mit Intune verbinden, sodass Workloads sukzessive in die Cloud verlagert werden können – ein realistischer Migrationspfad für gewachsene Enterprise-Umgebungen.
Endpoint-Sicherheit mit Microsoft Defender for Endpoint
Microsoft Defender for Endpoint ist eine cloudnative Endpoint-Security-Plattform mit Funktionen für:
- Next-Generation-Antivirus und Attack Surface Reduction
- Endpoint Detection and Response (EDR)
- Threat & Vulnerability Management
- Automatisierte Investigation und Response (AIR)
- Integration in Microsoft Defender XDR und Sentinel
Unterstützt werden Windows, macOS, Linux, Android, iOS und teils IoT-Geräte. Telemetriedaten der Endpunkte werden in der Cloud korreliert, um Angriffe frühzeitig zu erkennen und Reaktionen zu automatisieren.
Rolle des Endpoint Administrators (MD-102)
Mit Exam MD-102: Endpoint Administrator definiert Microsoft ein klares Rollenprofil: Endpoint-Administratoren planen, implementieren und betreiben moderne Endpoint-Umgebungen im Microsoft-365-Kontext. Laut offizieller Prüfungsbeschreibung umfasst dies unter anderem:
- Bereitstellung von Windows-Clients (z. B. Windows Autopilot, MDT)
- Verwaltung von Identität und Compliance
- Schutz, Wartung und Überwachung von Geräten
- Verwaltung und Verteilung von Anwendungen
Damit wird deutlich: Microsoft Endpoint ist nicht nur Technologie, sondern auch ein eigenes Skill-Set.
Automatisierung mit PowerShell und Microsoft Graph
Praktisch relevant ist Automatisierung über Microsoft Graph und PowerShell. Ein vereinfachtes Beispiel, um verwaltete Geräte aus Intune abzufragen:
# Install-Module Microsoft.Graph -Scope CurrentUser
Connect-MgGraph -Scopes "DeviceManagementManagedDevices.Read.All"
$devices = Get-MgDeviceManagementManagedDevice -All
$devices | Select-Object DeviceName, OperatingSystem, ComplianceState
Solche Skripte helfen, Massenänderungen durchzuführen, Reports zu generieren oder wiederkehrende Aufgaben zu standardisieren.
Anwendungsbeispiele in der Praxis
1. Modern Workplace & Remote Work
In vielen Unternehmen werden heute Windows-Laptops, iOS-/Android-Smartphones und Tablets parallel betrieben. Ein typisches Szenario für Microsoft Endpoint:
- Neue Windows-Geräte werden per Windows Autopilot direkt vom Hersteller an die Mitarbeitenden geliefert.
- Bei der ersten Anmeldung werden sie automatisch in Intune eingeschrieben, erhalten Richtlinien, Applikationen und Defender-Konfigurationen.
- Mobile Geräte laufen als BYOD oder Corporate-Owned mit MDM/MAM-Richtlinien, die Unternehmensdaten trennen und schützen.
- Compliance-Status der Endpunkte steuert per Conditional Access den Zugriff auf Microsoft-365- und Unternehmensressourcen.
2. Behörden und regulierte Branchen
Öffentliche Verwaltung, Finanzdienstleister oder Healthcare-Einrichtungen haben hohe Anforderungen an Compliance und Nachvollziehbarkeit. Typische Patterns:
- Kiosk- und Spezialarbeitsplätze (z. B. Bürgerterminals, Diagnosesysteme) werden per Intune restriktiv konfiguriert.
- Defender for Endpoint liefert zentrale Transparenz über Angriffsversuche, Schwachstellen und Sicherheitszustände.
- Über Intune Suite-Funktionen wie Endpoint Privilege Management werden lokale Adminrechte minimiert, ohne die Nutzerproduktivität zu stark einzuschränken.
3. Schrittweise Migration von klassischem zu modernem Management
Viele große Organisationen betreiben nach wie vor Configuration Manager für Softwareverteilung und OS-Deployment. Ein realistischer Weg in Richtung modernem Microsoft Endpoint Management:
- Co-Management zwischen ConfigMgr und Intune einrichten.
- Einzelne Workloads (z. B. Compliance, Updates, Endpoint Protection) schrittweise in Intune verschieben.
- Neue Hardware ausschließlich über Autopilot und Intune ausrollen.
- Langfristig das klassische Imaging zurückfahren und den Fokus auf „modern deployment“ legen.
Vorteile und Herausforderungen
Zentrale Vorteile von Microsoft Endpoint
- Einheitliche Verwaltung (UEM)
Intune bietet einen einheitlichen Management-Stack für Windows, macOS, Linux, iOS und Android – inklusive Policies, App-Verteilung und Security-Settings. - Starke Sicherheitsintegration
Defender for Endpoint bringt EDR, Vulnerability Management und automatisierte Reaktionen auf eine gemeinsame Plattform und ist eng in Microsoft Defender XDR und Microsoft 365 integriert. - Cloudnative & skalierbar
Durch die Cloudarchitektur ist keine aufwendige On-Prem-Hardware mehr nötig; Rollouts für verteilte und remote arbeitende Belegschaften werden deutlich einfacher. - Advanced Analytics & Automatisierung
Funktionen der Intune Suite liefern erweiterte Telemetrie, nutzerfreundliche Remote-Support-Optionen und fein granular steuerbare Privilegienmodelle. - Zero-Trust-Enabler
Gerätezustand, Identität und Kontext fließen in Zugriffsentscheidungen ein – eine wichtige Voraussetzung für moderne Zero-Trust-Sicherheitsarchitekturen.
Herausforderungen und Risiken
- Komplexität der Plattform
Die Vielzahl an Komponenten (Intune, ConfigMgr, Defender, Entra ID, Conditional Access, Intune Suite) erfordert ein klares Architekturdesign, Rollenmodell und Governance. - Lizenzierung & Kosten
Erweiterte Funktionen (z. B. Intune Suite, bestimmte Defender-Pläne) sind oft an höherwertige Lizenzbündel gebunden. Eine saubere Lizenzstrategie ist Pflicht. - Schnelle Produktentwicklung
Neue Features und Änderungen kommen in hoher Frequenz. Ohne kontinuierliche Weiterbildung laufen Teams Gefahr, wichtige Neuerungen nicht zu nutzen oder Fehlkonfigurationen zu riskieren. - Betriebsrisiken durch Bugs
Wie jede große Plattform ist auch Defender for Endpoint nicht frei von Fehlern. Ein aktuelles Beispiel ist ein Bug, bei dem Defender auf bestimmten Dell-Geräten fälschlicherweise veraltete BIOS-Versionen meldete, obwohl diese aktuell waren. Solche Situationen unterstreichen die Notwendigkeit eines sorgfältigen Monitorings und eines kontrollierten Rollout-Prozesses für Sicherheitsfunktionen.
Alternative Lösungen
Alternativen zu Microsoft Endpoint existieren sowohl im UEM- als auch im EDR-Umfeld, zum Beispiel:
- UEM-Plattformen wie VMware Workspace ONE, Ivanti Neurons, HCL BigFix oder spezialisierte Lösungen wie Jamf (Apple-Fokus)
- EDR/XDR-Lösungen wie CrowdStrike, SentinelOne oder Trend Micro für Organisationen, die bewusst auf einen Multi-Vendor-Ansatz setzen
Diese Lösungen können sinnvoll sein, wenn bereits starke Investments in Nicht-Microsoft-Plattformen bestehen, bestimmte Betriebssysteme oder Spezialgeräte im Fokus stehen oder regulatorische beziehungsweise strategische Vorgaben eine herstellerneutrale Strategie verlangen.
In Microsoft-365-zentrierten Umgebungen bietet Microsoft Endpoint allerdings häufig den geringsten Integrationsaufwand und die engste Verzahnung mit vorhandenen Diensten.
Fazit mit kritischer Bewertung
Microsoft Endpoint steht für eine leistungsfähige Kombination aus UEM, klassischem Systemmanagement und moderner Endpoint-Sicherheit. Intune, Configuration Manager und Defender for Endpoint bilden gemeinsam ein Ökosystem, das von der Gerätebereitstellung über Konfiguration und Compliance bis hin zur Angriffserkennung und -abwehr reicht.
- Für Architekt:innen bietet Microsoft Endpoint eine robuste Plattform, um Zero-Trust-Strategien, Hybrid-Management und Cloud-Security in einer konsistenten Architektur umzusetzen.
- Für Administrator:innen und Endpoint-Teams ist die Plattform Chance und Herausforderung zugleich: Viele Aufgaben lassen sich zentralisieren und automatisieren, gleichzeitig steigen die Anforderungen an Know-how (PowerShell, Graph, Security, Cloud).
- Für Entscheider:innen ist Microsoft Endpoint strategisch attraktiv, wenn bereits Microsoft 365, Entra ID und Azure im Einsatz sind – die Integrationstiefe und die Sicherheitsfunktionen sprechen für einen konsolidierten Ansatz, der Tool-Wildwuchs reduziert.
Kritisch bleibt: Ohne klare Governance, saubere Rollenverteilung und ausreichende Schulung kann die Komplexität der Plattform zum Risiko werden. Wer Microsoft Endpoint erfolgreich einführen oder weiterentwickeln will, sollte Investitionen in Weiterbildung genauso ernst nehmen wie die eigentliche Technologieeinführung.
Microsoft Endpoint Schulungen & Weiterbildungsempfehlungen
Wenn Sie Microsoft Endpoint in der Praxis gezielt einsetzen möchten, empfehlen wir Ihnen unsere Trainings bei www.IT-Schulungen.com.
Wir bieten sowohl offene Schulungen in unseren Schulungszentren oder online als auch maßgeschneiderte Firmenseminare mit individuell abgestimmten Inhalten und Terminen.
Ausgewählte Seminare zu diesem Thema sind u. a.:
- Microsoft Defender Solutions und Endpoint Management (2 Tage)
In diesem Training lernen Sie, die verschiedenen Microsoft-Defender-Lösungen gezielt im Endpoint-Kontext einzusetzen – von der Architektur über die Integration in Intune bis hin zu EDR-Use-Cases und Incident Response. Die Schulung ist ideal für Security- und Endpoint-Teams, die Microsoft Endpoint als Sicherheitsplattform strategisch ausbauen möchten. - Microsoft Configuration Manager (MCM) (3 Tage)
Diese Schulung vermittelt fundierte Kenntnisse zum Microsoft Endpoint Configuration Manager (ehemals SCCM), inklusive Softwareverteilung, Inventarisierung, Patch-Management und Integration in Co-Management-Szenarien mit Intune. Sie richtet sich vor allem an Administrator:innen, die bestehende On-Prem-Infrastrukturen professionell betreiben und schrittweise in Richtung Cloud erweitern wollen. - MD-102 Microsoft 365 Endpoint Administrator (MD-102T00) (5 Tage)
Dieses fünftägige Training bereitet systematisch auf die Rolle des Endpoint Administrators und die MD-102-Zertifizierung vor. Behandelt werden moderne Deployment-Strategien (z. B. Windows Autopilot), Identitäts- und Compliance-Management, Schutz und Überwachung von Geräten sowie die Integration von Defender und Intune in eine ganzheitliche Endpoint-Strategie.
Möglicher Lernpfad für Microsoft-Endpoint-Rollen
Ein sinnvoller Lernplan für Organisationen, die Microsoft Endpoint strategisch etablieren möchten, könnte wie folgt aussehen:
- MD-102 Microsoft 365 Endpoint Administrator
Einstieg in das Gesamtbild von modernem Endpoint-Management, Rollenverständnis und Prüfungszertifizierung. - Microsoft Configuration Manager (MCM)
Vertiefung für Umgebungen mit bestehendem ConfigMgr-Fokus und zur Planung von Co-Management-Architekturen. - Microsoft Defender Solutions und Endpoint Management
Spezialisierung auf Security, EDR und den sicheren Betrieb der Endpunkte entlang einer Zero-Trust-Strategie.
Damit entsteht ein abgestimmter Lernpfad, der von grundlegenden Endpoint-Administrator-Skills bis hin zu Spezialwissen in On-Premises-Management und Security alle wesentlichen Facetten von Microsoft Endpoint abdeckt.
Autor
Michael Deinhard
Artikel erstellt: 10.12.2025
Artikel aktualisiert: 11.12.2025
