Windows-Geräteverwaltung

Unter Windows-Geräteverwaltung versteht man die Art und Weise, wie IT-Teams Windows-Endgeräte unternehmensweit über eine einzige Verwaltungskonsole – und nicht mehr einzeln auf jedem Rechner – konfigurieren, sichern, überwachen und warten. Wenn Sie für einen Bestand an Windows-Geräten verantwortlich sind und sich mit der Auswahl der richtigen Tools, der Durchsetzung von Richtlinien oder der Verbesserung Ihrer Sicherheitslage befassen, finden Sie in diesem Leitfaden alles, was Sie wissen müssen.

Was die Windows-Geräteverwaltung tatsächlich umfasst

Der Begriff wird oft recht weit gefasst verwendet, daher ist es hilfreich, genau zu definieren, was darunter fällt. Die Windows-Geräteverwaltung umfasst vier Kernfunktionen:

• Konfigurationsmanagement: Das Übertragen von Betriebssystemeinstellungen, Netzwerkprofilen, Anwendungskonfigurationen und Sicherheitsrichtlinien auf Geräte.
• Anwendungsverwaltung: Bereitstellung, Aktualisierung und Entfernung von Software, ohne jeden Rechner einzeln anzusprechen.
• Durchsetzung von Sicherheitsrichtlinien: Vorgabe von Festplattenverschlüsselung (BitLocker), Durchsetzung von Firewall-Regeln, Kontrolle von Wechseldatenträgern und Festlegung von Bildschirmsperrzeiten.
• Bestandsübersicht und Compliance-Transparenz: Erfassung, welche Geräte in Ihrem Netzwerk vorhanden sind, welche Betriebssystemversion sie ausführen und ob sie Ihre Sicherheitsanforderungen erfüllen.

Wenn Sie einen umfassenderen Überblick darüber wünschen, wie diese Funktionen zusammenwirken, lesen Sie den Artikel „So funktioniert die Geräteverwaltung“.

Die Kernprotokolle hinter Windows-MDM

Die moderne Windows-Geräteverwaltung basiert auf dem MDM-Protokollstack von Microsoft, der auf OMA-DM (Open Mobile Alliance Device Management) aufbaut. Wenn sich ein Windows 10- oder Windows 11-Gerät bei einer MDM-Lösung anmeldet, richtet es einen Verwaltungskanal ein, über den der Server CSP-Nutzdaten (Configuration Service Provider) übermittelt.

CSPs sind der eigentliche Mechanismus zur Änderung von Geräteeinstellungen. Es gibt CSPs für die Durchsetzung von Richtlinien (Policy CSP), die Bereitstellung von Zertifikaten (CertificateStore CSP), die Installation von Anwendungen (EnterpriseModernAppManagement CSP) und Dutzende weiterer Funktionen. Dies zu verstehen ist wichtig, da es darüber entscheidet, was ein MDM-Tool eines Drittanbieters auf einem Windows-Gerät im Vergleich zu einem Tool, das Microsofts eigene APIs nutzt, leisten kann und was nicht.

Für Unternehmen, die in einer Active-Directory-Umgebung auch Gruppenrichtlinienobjekte (GPOs) verwalten, gibt es einen wichtigen Unterschied: GPOs werden bei der Anmeldung oder im Rahmen eines Aktualisierungszyklus verarbeitet und erfordern eine Verbindung zur Domäne. MDM-Richtlinien werden kontinuierlich über das Internet übertragen und funktionieren auch auf Geräten, die nie einer Domäne beigetreten sind. Die Dokumentation von Microsoft zur Koexistenz von Mobile Device Management und Gruppenrichtlinien beschreibt, wie Konflikte gelöst werden, wenn beide auf dasselbe Gerät angewendet werden.

Windows-Registrierungsoptionen

Wie Geräte in die Verwaltung gelangen, ist ebenso wichtig wie die Frage, was Sie anschließend damit tun. Windows unterstützt mehrere Registrierungswege:

1. Windows Autopilot: Geräte werden direkt an die Benutzer ausgeliefert, starten hoch und registrieren sich automatisch in Ihrem MDM- und Azure Active Directory-Tenant (jetzt Microsoft Entra ID). Es ist kein manueller Eingriff durch die IT erforderlich.

2. Massenregistrierung: Verwenden Sie ein mit dem Windows Configuration Designer erstelltes Provisioning-Paket (PPKG), um eine große Anzahl von Geräten auf einmal zu registrieren.

3. Azure AD-Beitritt: Benutzer melden sich während der OOBE (Out of Box Experience) mit einem Arbeitskonto an, und das Gerät wird automatisch registriert, sofern Ihr Mandant dafür konfiguriert ist.

4. Hybrider Azure AD-Beitritt: Geräte werden sowohl dem lokalen Active Directory als auch Microsoft Entra ID hinzugefügt – nützlich für Unternehmen mit Abhängigkeiten von älterer Infrastruktur.

5. Manuelle Registrierung: Benutzer navigieren zu „Einstellungen“ und registrieren sich selbst. Dies eignet sich für BYOD-Szenarien, bietet Ihnen jedoch weniger Kontrolle über den Registrierungsvorgang.

Für Unternehmen, die eine Mischung aus unternehmensgeeigneten und privat genutzten Windows-Geräten verwalten, lohnt es sich, die Überlegungen zur BYOD-Geräteverwaltung hinsichtlich des Geltungsbereichs von Richtlinien und der Datentrennung separat zu prüfen.

Konfiguration der Sicherheits-Baseline für Windows-Endpunkte

Ein frisch registriertes Windows-Gerät ist noch kein gesichertes Windows-Gerät. Sie müssen eine Konfigurationsbasislinie übertragen, bevor Benutzer mit der Arbeit beginnen. Die Microsoft-Sicherheitsbasislinie (die für jede Windows-Version veröffentlicht wird) und die CIS-Benchmarks für Windows bieten Ihnen einen Ausgangspunkt, doch die meisten Unternehmen müssen zusätzliche Kontrollen einführen.

Wichtige Einstellungen, die über MDM-Richtlinien durchgesetzt werden müssen:

• BitLocker-Verschlüsselung: Verschlüsselung auf allen fest installierten Laufwerken vorschreiben. Speichern Sie Wiederherstellungsschlüssel in Microsoft Entra ID oder Ihrer MDM-Plattform.
• Windows Defender Antivirus: Stellen Sie sicher, dass der Echtzeitschutz aktiviert ist und die Signaturen auf dem neuesten Stand sind. Verhindern Sie, dass Benutzer das Programm deaktivieren können.
• Windows-Firewall: Erzwingen Sie die Verwendung von Domänen-, privaten und öffentlichen Profilen. Protokollieren Sie verworfene Pakete für die SIEM-Erfassung.
• Credential Guard: Schützen Sie abgeleitete Domänenanmeldedaten mithilfe virtualisierungsbasierter Sicherheit.
• Regeln zur Reduzierung der Angriffsfläche (ASR): Verhindern Sie, dass Office-Makros untergeordnete Prozesse erstellen, beugen Sie dem Diebstahl von Anmeldeinformationen aus LSASS vor und schränken Sie die Skriptausführung von verdächtigen Standorten ein.
• Richtlinie für Software-Updates: Legen Sie aktive Zeiten fest, konfigurieren Sie Update-Fristen und verhindern Sie, dass Benutzer Patches auf unbestimmte Zeit verschieben.

Für einen umfassenden Ansatz zur Absicherung von Endgeräten über die Standardeinstellungen hinaus behandelt der Leitfaden zur Endgeräteabsicherung zusätzliche Kontrollmaßnahmen, die für Windows- und plattformübergreifende Geräteflotten relevant sind.

Patch-Management und Sicherheitslücken

Ungepatchte Windows-Systeme gehören durchweg zu den häufigsten Angriffsvektoren. Microsoft veröffentlicht Patches am zweiten Dienstag jedes Monats (Patch Tuesday), mit außerplanmäßigen Veröffentlichungen für kritische Zero-Day-Schwachstellen. Ihre MDM-Lösung muss Update-Fristen durchsetzen und Ihnen Transparenz darüber verschaffen, welche Geräte im Rückstand sind.

Das Patch-Management unter Windows umfasst mehr als nur das Betriebssystem selbst. Patches für Anwendungen von Drittanbietern, Treiber-Updates und Firmware-Updates erfordern jeweils eine separate Behandlung. Viele Unternehmen stellen fest, dass sie zwar eine hervorragende Compliance bei Betriebssystem-Patches aufweisen, aber 40–60 % ihrer Anwendungsschwachstellen unberücksichtigt bleiben, da ihr MDM-Tool nur Windows Update abdeckte.

Für Teams, die mit einem großen CVE-Rückstand zu kämpfen haben, hilft ein strukturierter Ansatz zur Priorisierung und Behebung von CVEs dabei, die Bemühungen auf die Schwachstellen zu konzentrieren, die am ehesten ausgenutzt werden, anstatt jeder veröffentlichten CVE hinterherzulaufen.

Microsoft Intune vs. MDM-Tools von Drittanbietern

Microsoft Intune ist für die meisten Windows-orientierten Unternehmen die erste Wahl – und das aus gutem Grund. Es lässt sich nativ in Microsoft Entra ID, Microsoft Defender for Endpoint und den übrigen Microsoft 365-Stack integrieren. Richtlinien für den bedingten Zugriff in Entra ID können den Zugriff eines nicht konformen Geräts auf Microsoft 365-Apps vollständig blockieren – ein leistungsstarker Durchsetzungsmechanismus.

Wo Intune Schwächen aufweist:

• Plattformübergreifende Verwaltung: Teams, die macOS, iOS, Android und Windows über eine einzige Konsole verwalten, empfinden die Unterstützung von Nicht-Windows-Systemen durch Intune oft als weniger leistungsfähig als die Windows-Unterstützung.
• Komplexität der Richtlinien: Der Einstellungs-Katalog von Intune ist erheblich gewachsen, doch die Navigation darin und die Sicherstellung, dass Einstellungen in der richtigen Reihenfolge angewendet werden, ist nicht immer einfach.
• Berichterstellung: Die standardmäßige Compliance-Berichterstellung funktioniert, doch das Erstellen benutzerdefinierter Ansichten erfordert oft einen Export nach Log Analytics oder Power BI.

MDM- und Unified-Endpoint-Management-Plattformen von Drittanbietern bündeln in der Regel die Windows-Verwaltungsfunktionen von Intune über Co-Management oder nutzen direkt den OMA-DM-Kanal, während sie gleichzeitig eine einheitlichere Benutzererfahrung über verschiedene Betriebssystemplattformen hinweg bieten.

Compliance-Rahmenwerke und Windows-Geräteverwaltung

Für Unternehmen, die den Rahmenwerken SOC 2, ISO 27001, HIPAA oder anderen unterliegen, ist die Windows-Gerätekonfiguration direkt mit den Prüfungsnachweisen verknüpft. Prüfer möchten Folgendes sehen:

• Nachweis, dass die Verschlüsselung auf allen Endgeräten durchgesetzt wird
• Nachweis, dass Betriebssystem- und Anwendungs-Patches innerhalb definierter SLAs installiert werden
• Protokolle, die den Status der Richtlinieneinhaltung im Zeitverlauf zeigen
• Dokumentation Ihrer MDM-Konfiguration und der dadurch durchgesetzten Kontrollen

Die Einstellungen der Geräteverwaltung entsprechen spezifischen Kontrollmaßnahmen in den jeweiligen Rahmenwerken. SOC 2 CC6.1 (logische und physische Zugriffskontrollen) verlangt den Nachweis, dass der Zugriff auf Geräte eingeschränkt und verschlüsselt ist. Die technischen Sicherheitsanforderungen der HIPAA in Bezug auf Zugriffskontrollen und Audit-Kontrollen umfassen beide Durchsetzungspunkte auf Geräteebene.

Die manuelle Erfassung von Nachweisen für diese Anforderungen ist zeitaufwändig. Hier spart die Integration von Gerätemanagementdaten in eine Compliance-Plattform bei Audits erheblich Zeit.

Wie Iru die Windows-Geräteverwaltung angeht

Iru Endpoint unterstützt neben macOS, iOS und Android auch die Windows-Geräteverwaltung und bietet IT-Teams damit eine einzige Plattform für die plattformübergreifende Geräteflottenverwaltung, anstatt separate Toolketten pro Betriebssystem pflegen zu müssen.

Speziell für Windows nutzt Iru das OMA-DM-Protokoll, um Konfigurations-Baselines durchzusetzen, Anwendungen zu verwalten und den Compliance-Status anzuzeigen, ohne dass Geräte einer Domäne angehören oder ausschließlich über den Microsoft-Stack verwaltet werden müssen. Dies ist wichtig für Unternehmen mit gemischten Geräteflotten, in denen die IT-Abteilung eine einheitliche Durchsetzung von Richtlinien und Berichterstattung unabhängig vom zugrunde liegenden Betriebssystem benötigt.

Die Compliance-Automatisierungsschicht von Iru verknüpft Daten zum Gerätestatus direkt mit den Kontrollen des Compliance-Frameworks. Wenn ein Windows-Gerät die Patch-Compliance nicht mehr erfüllt oder sich der BitLocker-Status ändert, wird dieses Signal an Iru Compliance weitergeleitet und aktualisiert automatisch die entsprechenden Kontrollnachweise. Das bedeutet weniger Zeitaufwand für den manuellen Export von Berichten vor einem SOC-2-Audit und mehr Sicherheit, dass Ihr Compliance-Status die tatsächliche Situation auf den Endgeräten widerspiegelt.

Für Geräteverwaltungs- und Sicherheitsteams, die die Wirksamkeit von Kontrollen kontinuierlich und nicht nur zu einem bestimmten Zeitpunkt nachweisen müssen, ist diese Echtzeitverbindung zwischen dem Endpunktstatus und den Compliance-Nachweisen der entscheidende praktische Unterschied bei der Audit-Bereitschaft.

Die Wahl des richtigen Ansatzes für Ihre Windows-Geräteflotte

Die Verwaltung von Windows-Geräten ist keine einmalige Produktentscheidung. Es handelt sich um eine fortlaufende betriebliche Fähigkeit, die mit Ihrer Geräteanzahl, Ihren Compliance-Verpflichtungen und Ihrer Bedrohungslage Schritt halten muss. Unternehmen, die dies als einmaliges Bereitstellungsprojekt behandeln, sehen sich in der Regel mit Konfigurationsabweichungen, wachsendem Patch-Rückstand und Compliance-Lücken konfrontiert, die im ungünstigsten Moment zutage treten.

Die Wahl der richtigen Tools hängt davon ab, ob Sie ausschließlich Windows verwalten oder eine gemischte Betriebssystemumgebung betreiben, wie eng Sie mit dem Microsoft 365-Ökosystem verbunden sind und ob Sie den Gerätestatus direkt in Compliance-Workflows einspeisen müssen.

Wenn Sie Ihre aktuelle Konfiguration evaluieren oder die Windows-Verwaltung von Grund auf neu aufbauen, vereinbaren Sie eine Demo, um zu sehen, wie Iru Endpoint die Durchsetzung von Windows-Richtlinien, die Anwendungsverwaltung und die Compliance-Berichterstattung neben Ihren anderen Plattformen handhabt.