Was Intune Automation in der Praxis bedeutet – und wo das Admin Center an seine Grenzen stößt
Intune Automation bedeutet, Aufgaben der Geräteverwaltung in Microsoft Intune über Skripte und Workflows statt manuell im Admin Center auszuführen. Hinter Aktionen wie „Sync“, „Retire“ oder „Wipe“ stehen Aufrufe der Microsoft Graph API. Was ein Administrator anklicken kann, lässt sich grundsätzlich auch per Skript ausführen. Über ein Anfrageformular wie im au2mator Self-Service Portal können diese Aktionen sogar Personen ohne eigene Intune-Rolle auslösen.
Microsoft dokumentiert die verfügbaren Remote-Geräteaktionen auf Microsoft Learn – vom Autopilot Reset über die Rotation eines BitLocker-Schlüssels bis zu „Retire“ und „Wipe“. Im Admin Center braucht es dafür einige Klicks pro Gerät; im Skript genügt oft eine Zeile mit der Geräte-ID. Entscheidend ist nicht die Aktion selbst, sondern wer sie auslösen darf und welche Berechtigungen dafür nötig sind.
Intune automatisiert bereits vieles selbst, etwa dynamische Gruppen, Compliance-Richtlinien, Remediation-Skripte und Autopilot. Manuell bleiben einzelne Anfragen, bei denen jemand eine Entscheidung treffen muss: Ein Gerät nach dem Austritt eines Mitarbeiters aus der Verwaltung entfernen, bei einer fehlenden App eine Synchronisierung anstoßen oder nach einem Supporteinsatz den BitLocker-Schlüssel rotieren. Diese Anfragen landen im Ticketsystem. Genau hier setzt die Automatisierung mit deinen Skripten und au2mator an.
Warum die Intune-Geräteverwaltung weiterhin Helpdesk-Tickets erzeugt
Microsoft setzt dafür auf die rollenbasierte Zugriffskontrolle (RBAC), mit der Intune-Rollen Administratorgruppen zugewiesen werden. Die integrierte Rolle „Help Desk Operator“ erlaubt Remote-Aufgaben für Benutzer und Geräte. Benutzerdefinierte Rollen können den Zugriff auf einzelne Aktionen wie „Sync“ beschränken; Bereichstags und Bereichsgruppen begrenzen die betroffenen Geräte, wie die RBAC-Dokumentation auf Microsoft Learn erläutert. Für besonders kritische Vorgänge verlangt „Multi Admin Approval“ eine zweite administrative Freigabe, bevor ein Gerät gelöscht, zurückgesetzt oder aus der Verwaltung entfernt wird.
In der Praxis bleiben drei Lücken: Jeder Helpdesk-Mitarbeiter mit einer Rolle arbeitet weiterhin im Admin Center und muss geschult, überprüft und gegebenenfalls lizenziert werden. Freigaben betreffen nur bestimmte Aktionen und erfolgen zwischen Administratoren – nicht durch Teamleitungen oder Geräteverantwortliche, die den Vorgang fachlich beurteilen können. Außerdem dokumentiert das Audit-Log den Klick, aber nicht unbedingt, wer die Anfrage aus welchem Grund gestellt hat. Deshalb leiten viele Teams die Tickets weiterhin an Administratoren weiter. Eine Self-Service-Ebene wie au2mator ersetzt diese Weiterleitung, ohne zusätzliche Intune-Rollen zu vergeben.
Vier Möglichkeiten, Intune zu automatisieren
Automatisierung bedeutet hier: Eine Geräteaktion wird anhand definierter Eingaben ausgeführt – jedes Mal mit denselben Prüfungen und einer nachvollziehbaren Protokollierung. Dafür gibt es vier Ansätze, die sich miteinander kombinieren lassen.
| Ansatz | Funktionsweise | Voraussetzungen | Typischer Einsatz |
|---|---|---|---|
| Integrierte Intune-Funktionen | Dynamische Gruppen, Compliance-Richtlinien, Filter, Remediation-Skripte und Autopilot übernehmen regelbasierte Abläufe. | Intune-Lizenzen sowie gut konzipierte Gruppen und Richtlinien | Grundlage für jeden Intune-Tenant |
| Eigene Graph-PowerShell-Skripte | Skripte rufen die Intune-Endpunkte von Microsoft Graph auf, um Geräte zu synchronisieren, zurückzusetzen, umzubenennen oder Gruppenzuordnungen zu ändern – auf PowerShell, Azure Automation oder System Center Orchestrator. | Kenntnisse in Graph PowerShell, App-Registrierung oder Managed Identity mit Intune-Berechtigungen sowie eine Ausführungsumgebung | Teams, die Entra ID und Active Directory bereits mit Skripten automatisieren |
| Eigene Skripte plus au2mator Self-Service Portal | Vor denselben Skripten liegt ein Webformular: Helpdesk oder Teamleitung stellen eine Anfrage, Verantwortliche geben sie bei Bedarf frei und ein Dienstkonto führt das Skript über eine der drei von au2mator unterstützten Ausführungsumgebungen aus. | Vorhandene Skripte, au2mator und ein Dienstkonto mit Intune-Berechtigungen | Organisationen, die Geräteaktionen durch den Helpdesk ohne eigene Intune-Rollen ermöglichen möchten |
| RMM- und Endpoint-Management-Suiten | Remote-Monitoring- und Management-Plattformen ergänzen Intune um eigene Agents, Konsolen und Workflow-Engines. | Plattformprojekt, Agent-Rollout und Lizenzierung pro Gerät | Managed Service Provider und sehr große Gerätebestände mit vielen Nicht-Microsoft-Systemen |
Viele Organisationen im Microsoft-Ökosystem nutzen die ersten beiden Ansätze. Der dritte entscheidet, ob Skripte Tickets wirklich vermeiden oder lediglich verkürzen. Denn solange nur Administratoren die Skripte starten können, bleibt der Helpdesk von ihnen abhängig.
PowerShell als Grundlage der Intune Automation
Das aktuelle Werkzeug ist das Microsoft Graph PowerShell SDK, das das frühere Intune-spezifische Modul abgelöst hat. Mit Connect-MgGraph stellst du die Verbindung her, mit Get-MgDeviceManagementManagedDevice liest du Geräte aus. Aktionen führst du beispielsweise mit Sync-MgDeviceManagementManagedDevice, Invoke-MgRetireDeviceManagementManagedDevice oder Clear-MgDeviceManagementManagedDevice („Wipe“) aus. Die Dokumentation zum Retire-Cmdlet und zur Wipe-API auf Microsoft Learn beschreibt die verfügbaren Optionen, etwa zum Beibehalten von Registrierungs- oder Benutzerdaten.
Bei den Berechtigungen passieren die meisten Fehler. Zum Lesen von Geräten ist DeviceManagementManagedDevices.Read.All nötig. Für Remote-Aktionen wie Synchronisieren, „Retire“, „Wipe“ oder Neustart wird DeviceManagementManagedDevices.PrivilegedOperations.All benötigt – eine besonders weitreichende Berechtigung, für die eine Administratorzustimmung erforderlich ist. Für unbeaufsichtigte Ausführungen in Azure Automation empfiehlt sich eine Managed Identity mit genau den erforderlichen Anwendungsberechtigungen und zusätzlich User.Read.All für die folgende Benutzerprüfung. So müssen keine Client-Secrets in Variablen gespeichert werden. Ein produktives Skript validiert die Eingabe, prüft eine Schutzbedingung, führt die Aktion aus und protokolliert das Ergebnis. Ein verkürztes Retire-Skript für das Privatgerät einer ausgeschiedenen Person könnte so aussehen:
param([string]$DeviceName, [string]$Reason)
Connect-MgGraph -Identity -NoWelcome
$device = Get-MgDeviceManagementManagedDevice -Filter "deviceName eq '$DeviceName'"
if (@($device).Count -ne 1) { throw "Expected exactly one device named $DeviceName" }
$user = Get-MgUser -UserId $device.UserId -Property AccountEnabled
if ($user.AccountEnabled) { throw "Primary user is still active, retire refused" }
Invoke-MgRetireDeviceManagementManagedDevice -ManagedDeviceId $device.Id
Write-Output "Retired $($device.DeviceName), reason $Reason"Die Schutzbedingung macht aus dem Skript eine verbindliche Regel: Das Gerät wird nicht aus der Verwaltung entfernt, solange das zugeordnete Benutzerkonto noch aktiv ist. Das Skript arbeitet gleich, unabhängig davon, ob ein Zeitplan, ein CSV-Import oder eine Person den Aufruf auslöst. Die Ticketwarteschlange verschwindet erst, wenn auch die anfragende Person den Prozess selbst starten kann.
Wie au2mator dem Helpdesk Intune-Aktionen ohne Intune-Rolle ermöglicht
Hier liegt eine Lücke vieler Intune-Automatisierungsanleitungen: Für das Retire-Skript sind zwei Angaben erforderlich, die dem Helpdesk bereits vorliegen – das Gerät und der Grund. Ohne Intune-Rolle muss der Mitarbeiter diese Informationen per Ticket an einen Administrator weitergeben, der sie in die Skriptparameter übernimmt. Das Skript spart Klicks, aber keine Wartezeit.
Das au2mator Self-Service Portal schließt diese Lücke. Entscheidend ist: Es bringt keine eigene Ausführungs-Engine und keinen eigenen Intune-Connector mit, sondern nutzt bestehende Skripte und stellt vorgefertigte PowerShell-Skripte als Ausgangspunkt bereit. Ein Service in au2mator ist dein PowerShell-Skript, Azure Automation Runbook oder System Center Orchestrator Runbook, das einmal mit seinen Parametern registriert wird. Der Skriptcode bleibt unverändert. Ein Helpdesk-Mitarbeiter öffnet das Portal, wählt „Gerät aus Verwaltung entfernen“, füllt die Parameterfelder aus und sendet die Anfrage ab. Falls nötig, gibt der Geräteverantwortliche sie frei. Ein Dienstkonto mit den Graph-Berechtigungen führt das Skript aus; der Helpdesk benötigt keine Intune-Rolle.
So sieht ein Intune-Geräteservice in au2mator aus
Als Service dient dein vorhandenes Graph-PowerShell-Skript oder eines der mit au2mator bereitgestellten Skripte, das einmal mitsamt seinen Parametern veröffentlicht wird. Jeder Parameter erscheint als Formularfeld. Das Gerät wird aus den verwalteten Geräten ausgewählt statt frei eingegeben; für den Anfragegrund gibt es ein Dropdown mit den gewünschten Audit-Werten. Eine Wipe-Option erscheint nur bei einem dafür vorgesehenen Service. Berechtigungen steuern die Sichtbarkeit: First-Level-Mitarbeiter sehen etwa „Gerät synchronisieren“ und „BitLocker-Schlüssel rotieren“, der Second Level zusätzlich „Gerät aus Verwaltung entfernen“. Das Admin Center bleibt für sie unzugänglich. Freigaben lassen sich pro Service festlegen: beispielsweise keine für eine Synchronisierung, eine durch den Geräteverantwortlichen für „Retire“ und eine durch die zuständige Gruppe für „Wipe“. Alle Ausführungen sind nachvollziehbar protokolliert.
Gerätelebenszyklus automatisieren: von der Registrierung bis zur Ausmusterung
Einzelne Aktionen sind nur die sichtbare Seite der Intune Automation. Für dauerhaft gepflegte Bestände ist der gesamte Gerätelebenszyklus von der Registrierung bis zur Ausmusterung entscheidend. Gerade die Übergänge erfordern oft manuelle Arbeit. Sie folgen dem gleichen Joiner-Mover-Leaver-Prinzip, das wir für Benutzerkonten in unserem Artikel zur User Provisioning Automation beschreiben.
Neue Mitarbeiter erhalten ein Gerät in der passenden Autopilot-Gruppe und eine Benutzerzuordnung, sobald ihr Konto angelegt ist. Bei einem Abteilungswechsel kommt das Gerät in die Gruppen für die neuen Apps und Richtlinien. Das private Gerät eines ausscheidenden Mitarbeiters wird am Tag der Kontodeaktivierung aus der Verwaltung entfernt. Ein zurückgegebenes Firmennotebook wird dagegen per Wipe oder Autopilot Reset für die nächste Person vorbereitet. In au2mator sind dies Services auf derselben Ausführungsumgebung, die HR, Teamleitungen oder der Helpdesk anfordern können – jeweils mit Protokollierung.
FAQ: Intune Automation
Intune Automation bezeichnet die Ausführung von Microsoft-Intune-Aufgaben über Skripte, geplante Jobs oder Anfrage-Workflows statt über Klicks im Admin Center. Da hinter den Geräteaktionen Microsoft-Graph-API-Aufrufe stehen, lassen sich Vorgänge von der Synchronisierung bis zum Entfernen eines Geräts aus der Verwaltung per PowerShell, Azure Automation oder Self-Service-Anfrage ausführen und protokollieren.
Installiere das Microsoft Graph PowerShell SDK, stelle die Verbindung mit Connect-MgGraph und den benötigten Scopes her und verwende die Geräteverwaltungs-Cmdlets: etwa Get-MgDeviceManagementManagedDevice zum Suchen und Invoke-MgRetireDeviceManagementManagedDevice zum Entfernen aus der Verwaltung. Für unbeaufsichtigte Abläufe nutzt du eine App-Registrierung oder Managed Identity mit Anwendungsberechtigungen statt einer Benutzeranmeldung.
Zum Lesen von Geräten benötigst du DeviceManagementManagedDevices.Read.All. Remote-Aktionen wie Sync, Retire, Wipe, Neustart oder Remote Lock erfordern DeviceManagementManagedDevices.PrivilegedOperations.All. Diese besonders weitreichende Berechtigung benötigt eine Administratorzustimmung und gehört auf eine dedizierte Dienstidentität. In au2mator führt diese Identität das Skript aus, während die anfragende Person selbst keine Graph-Berechtigungen besitzt.
Nicht direkt mit Intune allein. Auch mit der Rolle „Help Desk Operator“ oder einer benutzerdefinierten Rolle für einzelne Remote-Aktionen wird der Mitarbeiter zum Intune-Administrator im Admin Center. Eine Alternative ist ein Self-Service-Portal wie au2mator: Der Helpdesk füllt ein Formular aus, bei Bedarf wird die Anfrage freigegeben und ein Dienstkonto führt dein unverändertes Skript über PowerShell, Azure Automation oder System Center Orchestrator aus.
„Retire“ entfernt ein Gerät aus der Intune-Verwaltung und entfernt Unternehmensdaten, Apps und Richtlinien; persönliche Daten bleiben erhalten. „Wipe“ setzt ein Gerät auf Werkseinstellungen zurück. Dabei gibt es Optionen zum Beibehalten bestimmter Registrierungs- oder Benutzerdaten. „Retire“ eignet sich typischerweise für Privatgeräte ausgeschiedener Mitarbeiter; „Wipe“ oder Autopilot Reset bereiten Firmenhardware für die nächste Person vor oder schützen verlorene Geräte.
Azure Automation eignet sich für reine Cloud-Intune-Skripte mit Managed Identity zur Authentifizierung und Zeitplänen für wiederkehrende Jobs. PowerShell-Hosts oder System Center Orchestrator sind sinnvoll, wenn derselbe Workflow auch lokales Active Directory einbezieht. au2mator unterstützt alle drei Varianten, sodass die Entscheidung von deiner IT-Umgebung abhängt.
Fazit: Bei Intune Automation geht es darum, wer die Aktion auslösen darf
Microsoft Intune stellt die Geräteaktionen und die API bereit, Graph PowerShell die Skripte und Azure Automation die Ausführungsumgebung. Was dabei offenbleibt, ist der Übergang von einer Anfrage zur konkreten Aktion. Hier entstehen Tickets, zu weitreichende Helpdesk-Rechte und Lücken in der Nachvollziehbarkeit. Das bewährte Muster ist für Identitäts- und Geräteaufgaben gleich: Ein Skript setzt die Regeln um, ein Dienstkonto führt es aus und ein vorgeschaltetes Formular ermöglicht den Start ohne Intune-Administratorrechte.
Möchtest du sehen, wie sich deine bestehenden Intune-Skripte in Self-Service-Anfragen für den Helpdesk verwandeln lassen – mit Freigaben, minimalen Berechtigungen und vollständigem Audit-Trail? Dann vereinbare ein 30-minütiges Gespräch mit Michael Seidl, Microsoft MVP und Gründer von au2mator, und bring die Geräte-Tickets mit, die dein Team am meisten aufhalten.
