Microsoft Intune ist die Antwort auf eine Frage, die immer mehr Mittelständler beschäftigt: Wie verwalten wir Laptops, Smartphones und Tablets unserer Mitarbeiter sicher — ohne eine große IT-Mannschaft? Mit Intune, dem cloudbasierten Endpoint-Management-Werkzeug aus der Microsoft-365-Familie, lassen sich alle Unternehmensgeräte zentral steuern, schützen und mit Richtlinien versehen. Ob Homeoffice-Notebook, Firmenhandy oder privates Gerät im BYOD-Betrieb — Intune gibt Ihnen die Kontrolle zurück. Für Unternehmen im Mittelstand wird das Thema 2026 besonders dringlich: Wachsende Gerätezahlen, steigende Compliance-Anforderungen durch NIS2 und geänderte Lizenzmodelle bei Microsoft machen strukturiertes Endpoint-Management zum Wettbewerbsvorteil. Dieser Leitfaden erklärt, wie Intune funktioniert, was es kostet — und wie ein Rollout in einem Unternehmen ohne große IT-Abteilung in der Praxis gelingt.

Was ist Microsoft Intune — und warum brauchen KMU es jetzt?

Microsoft Intune ist ein cloudbasierter Dienst für Mobile Device Management (MDM) und Mobile Application Management (MAM). Einfach gesagt: Sie legen zentral fest, welche Sicherheitsregeln auf allen Geräten Ihres Unternehmens gelten — und Intune setzt diese Regeln automatisch durch. Kein Mitarbeiter muss manuell konfiguriert werden, kein Techniker muss physisch zum Gerät fahren. Intune läuft vollständig über Microsoft Azure und ist direkt aus dem Browser verwaltbar. Unterstützt werden Windows, iOS, Android und macOS — egal ob Firmengerät oder Privatgerät.

Drei Entwicklungen machen Microsoft Intune im Mittelstand 2026 zum Pflichtthema: Erstens arbeiten laut Microsoft Work Trend Index 2026 über 70 Prozent der Mitarbeiter in deutschen KMU hybrid oder vollständig remote — Geräte außerhalb des Firmennetzwerks sind damit Normalzustand, nicht Ausnahme. Zweitens verlangen NIS2 und die verschärfte DSGVO-Praxis nachweisbares Endpoint-Management als messbaren Teil der IT-Sicherheitsstrategie. Drittens hat Microsoft seine Lizenzmodelle 2025 und 2026 mehrfach angepasst — wer jetzt prüft, stellt häufig fest, dass Intune in den bereits gebuchten Paketen enthalten ist, aber nie aktiviert wurde.

MDM oder MAM: Welche Intune-Variante passt zu Ihrem Unternehmen?

Intune bietet zwei grundlegende Verwaltungsansätze — die Wahl zwischen ihnen entscheidet über Datenschutz-Akzeptanz und Rollout-Geschwindigkeit.

MDM (Mobile Device Management) bedeutet: Das Gerät wird vollständig eingeschrieben und zentral verwaltet. Ideal für Firmengeräte. Sie können Passwortrichtlinien durchsetzen, Verschlüsselung erzwingen, Apps remote installieren und im Verlustfall das Gerät vollständig aus der Ferne löschen (Remote Wipe). Compliance-Status jedes Geräts ist jederzeit im Admin Center einsehbar.

MAM (Mobile Application Management) bedeutet: Nur die Unternehmens-Apps auf einem Gerät werden verwaltet — nicht das Gerät selbst. Perfekt für BYOD. Der Mitarbeiter behält die volle Kontrolle über sein Privatgerät. Unternehmensdaten in Outlook, Teams oder SharePoint werden durch App-Schutzrichtlinien abgesichert. Microsoft hat dabei technisch keinen Zugriff auf private Fotos, Kontakte oder persönliche Apps — dies ist vertraglich im Datenverarbeitungsvertrag (DPA) geregelt und wurde von unabhängigen Datenschutzbehörden bestätigt.

Für die meisten Mittelständler empfiehlt sich ein hybrider Ansatz: MDM für Firmengeräte, MAM für private Endgeräte. Das maximiert die Sicherheit, ohne den Widerstand der Belegschaft zu provozieren — erfahrungsgemäß der häufigste Grund, warum Intune-Projekte ins Stocken geraten.

Microsoft Intune einrichten: Der Rollout in 4 Phasen

Ein Intune-Rollout muss kein Großprojekt sein. Unsere Erfahrung aus zahlreichen Mittelstandsprojekten zeigt: Bei 30 bis 80 Geräten ist ein vollständiger Rollout in vier bis sechs Wochen realistisch — sofern die Lizenz- und Infrastruktur-Voraussetzungen vorab geklärt sind.

1. Analyse & Lizenzcheck (Woche 1): Welche Geräte und Betriebssysteme sind im Einsatz? Welche M365-Lizenzen bestehen bereits — und ist Intune darin enthalten? Läuft noch ein Configuration Manager on-premises? Windows-Home-Geräte identifizieren (sie können nicht eingeschrieben werden und müssen auf Pro upgegradet werden).
2. Grundkonfiguration & Policies (Woche 2–3): Compliance-Richtlinien definieren (Passwortlänge, Verschlüsselung, OS-Mindestversion), Entra ID für automatisches Enrollment einrichten, erste Gerätekonfigurationsprofile anlegen. Für Conditional Access: Entra ID Premium P1 aktivieren.
3. Pilotgruppe & Autopilot (Woche 3–4): 5 bis 10 Testgeräte einschreiben, Policies validieren. Windows Autopilot konfigurieren: Neue Geräte konfigurieren sich ab sofort beim ersten Einschalten automatisch — ohne dass ein IT-Techniker physisch eingreifen muss. Ein Gerät kann direkt vom Hersteller ans Homeoffice des Mitarbeiters geliefert werden.
4. Rollout & Mitarbeiter-Kommunikation (Woche 5–6): Alle Geräte schrittweise einschreiben. Mitarbeiter proaktiv über BYOD-Datenschutz informieren. Monitoring-Dashboards einrichten. Compliance-Report für Geschäftsführung aufsetzen.

Sonderfall On-Premise-Infrastruktur: Unternehmen, die noch Active Directory oder System Center Configuration Manager (SCCM) betreiben, müssen nicht sofort alles umstellen. Intune bietet Co-Management: Beide Systeme laufen parallel, Workloads werden schrittweise in die Cloud verlagert — ohne Betriebsunterbrechung und ohne harten Schnitt.

Vorteile für Unternehmen im Mittelstand

Kosten senken ohne Funktionsverlust: Intune Plan 1 ist in Microsoft 365 Business Premium, M365 E3 und E5 bereits enthalten — für viele KMU also ohne Mehrkosten nutzbar. Verglichen mit klassischen MDM-Lösungen wie Jamf oder VMware Workspace ONE entfallen Server-Hardware, Wartungsverträge und aufwändige Versions-Updates. Separate MDM-Lizenzen kosten oft 8 bis 15 Euro pro Gerät und Monat — dieser Posten entfällt, wenn Intune im bestehenden M365-Paket bereits lizenziert ist.

IT-Aufwand drastisch reduzieren: Der greifbarste Einspareffekt entsteht durch Windows Autopilot. Ohne Autopilot benötigt die manuelle Einrichtung eines neuen Laptops — Image spielen, Software installieren, Konto einrichten — erfahrungsgemäß zwei bis vier Stunden IT-Zeit. Mit Autopilot reduziert sich der technische Aufwand auf unter 30 Minuten: Das Gerät wird direkt vom Händler an den neuen Mitarbeiter geliefert und konfiguriert sich beim ersten Start selbstständig. Bei einem KMU, das jährlich zehn neue Geräte in Betrieb nimmt, entspricht das einer Einsparung von 15 bis 35 IT-Stunden — zu üblichen Stundensätzen ein dreistelliger bis vierstelliger Betrag pro Jahr.

DSGVO-konform und EU-sicher: Microsoft hat die EU Data Boundary im Februar 2025 vollständig umgesetzt. Alle Intune-Daten — inklusive Gerätekonfigurationen, Compliance-Logs und Diagnosedaten — werden innerhalb der Europäischen Union gespeichert und verarbeitet. Microsoft agiert als Datenverarbeiter nach Art. 28 DSGVO; der Datenverarbeitungsvertrag ist im M365-Admin-Center direkt abrufbar. Zertifizierungen: ISO 27001, 27017, 27018, ISO 27701 und SOC 2 Type 2.

Zero-Trust-Fundament legen: Intune ist der technische Unterbau für Conditional Access: Nur Geräte, die den definierten Compliance-Anforderungen entsprechen, erhalten Zugriff auf Unternehmensressourcen — unabhängig davon, ob der Mitarbeiter im Büro, im Homeoffice oder unterwegs arbeitet. Dieser Ansatz ist direkt verknüpft mit unserer Identity-&-Access-Management-Strategie und bildet das Fundament einer belastbaren Zero-Trust-Architektur.

Typische Fehler — Was Unternehmen dabei falsch machen

Intune ist leistungsfähig — aber nur, wenn Lizenz, Technik und Kommunikation stimmen. Diese vier Fehler begegnen uns in Projekten regelmäßig.

Falsche Lizenz, doppelte Kosten: Intune ist nicht in allen M365-Plänen enthalten. Wer mit M365 Business Basic oder Business Standard arbeitet, hat keine Intune-Lizenz — nutzt den Dienst aber unter Umständen trotzdem, weil ein Vorgänger ihn eingerichtet hat. Das ist lizenzrechtlich heikel. Umgekehrt zahlen manche KMU Intune als Standalone-Add-on, obwohl es im bereits gebuchten Business Premium bereits enthalten wäre. Ein Lizenz-Audit zahlt sich fast immer aus.

Windows Home übersehen: Windows-Home-Editionen können nicht in Intune eingeschrieben werden. Besonders bei Unternehmen, die Consumer-Hardware nutzen oder Mitarbeitern erlauben, eigene Geräte zu verwenden, tauchen Home-Editionen häufig auf. Das Upgrade auf Windows Pro kostet zwischen 50 und 100 Euro pro Gerät — ein Posten, der in der Projektkalkulation oft fehlt.

Entra ID Premium nicht eingeplant: Für Conditional Access und automatisches Geräte-Enrollment ist Entra ID Premium P1 erforderlich. Es ist in M365 Business Premium enthalten, aber nicht in allen Enterprise-Plänen. Fehlt P1, sind zentrale Sicherheitsfunktionen von Intune schlicht nicht nutzbar — was viele erst nach dem Go-live bemerken.

Mitarbeiter nicht mitgenommen: Bei BYOD-Projekten scheitert Intune häufig nicht an der Technik, sondern an der Kommunikation. Mitarbeiter befürchten, dass der Arbeitgeber ihr Privatgerät überwacht. Wer im Vorfeld transparent erklärt, dass MAM ausschließlich Unternehmens-Apps schützt und keinerlei Zugriff auf private Inhalte besteht, erzielt deutlich höhere Akzeptanz und vermeidet Konflikte mit dem Betriebsrat.

Was AURUM für Sie übernimmt

Als Microsoft Gold Partner mit Sitz in Nürnberg begleitet AURUM Mittelstandsunternehmen durch den gesamten Intune-Lebenszyklus — von der ersten Bestandsaufnahme bis zum laufenden Betrieb. Wir starten mit einem Lizenz-Audit: Wir prüfen, welche Intune-Funktionen in Ihren bestehenden M365-Lizenzen bereits enthalten sind, und identifizieren, wo Lücken oder unnötige Doppelkosten entstehen. Im Anschluss konfigurieren wir Compliance-Policies und Gerätekonfigurationsprofile, richten Windows Autopilot für Zero-Touch-Deployments ein und begleiten die Pilotphase bis zum vollständigen Rollout. Für Unternehmen mit vorhandener On-Premise-Infrastruktur planen wir den Übergang ins Intune-Co-Management — ohne Betriebsunterbrechung. Die Integration mit Entra ID und Conditional Access stellen wir so sicher, dass Intune nahtlos in Ihre bestehende Microsoft-Umgebung passt.

Mehr zu unseren Cloud-Security-Lösungen, unserer Arbeit rund um Identity & Access Management und unserem Microsoft-365-Portfolio finden Sie in unserem Leistungsbereich.

Häufige Fragen zu Microsoft Intune

Ist Microsoft Intune für kleine Unternehmen geeignet?

Ja. Intune ist skalierbar und eignet sich bereits ab fünf Mitarbeitern. Gerade für KMU ohne eigene IT-Abteilung ist der cloudbasierte Ansatz ideal: kein eigener Server, keine aufwändige Wartung, alles über den Browser verwaltbar. Die Einrichtung grundlegender Compliance-Policies ist auch ohne tiefes technisches Know-how möglich — oder wird einmalig von einem Dienstleister wie AURUM durchgeführt.

In welchen Microsoft-365-Plänen ist Intune bereits enthalten?

Intune Plan 1 ist enthalten in: Microsoft 365 Business Premium, M365 E3, M365 E5, M365 F1 und F3 sowie Enterprise Mobility + Security E3 und E5. Seit Mitte 2026 erhalten M365-E5-Kunden zusätzlich die vollständige Intune Suite ohne Aufpreis. In M365 Business Basic und Business Standard ist Intune nicht enthalten — hier ist ein Upgrade oder eine Einzellizenz erforderlich.

Kann ich mit Intune auch private Geräte meiner Mitarbeiter verwalten?

Ja — über App-Schutzrichtlinien (MAM, Mobile Application Management). Dabei werden ausschließlich Unternehmens-Apps wie Outlook, Teams oder SharePoint abgesichert. Microsoft hat technisch keinen Zugriff auf private Fotos, Kontakte oder persönliche Apps. Das Gerät selbst bleibt vollständig unter Kontrolle des Mitarbeiters. Die Trennung zwischen privatem und beruflichem Bereich ist vertraglich im Datenverarbeitungsvertrag geregelt.

Kosten, Voraussetzungen und Besonderheiten

Was kostet Microsoft Intune als Einzellizenz?

Intune Plan 1 kostet als Standalone-Lizenz 8,00 USD pro Nutzer und Monat bei Jahreszahlung (Stand: September 2026). In vielen Microsoft-365-Business-Bundles ist Intune jedoch bereits enthalten — vor dem Kauf einer Einzellizenz lohnt sich daher immer ein Lizenz-Audit. Intune Plan 2 (für erweiterte Funktionen wie Microsoft Tunnel) kostet zusätzlich 4,00 USD als Add-on zu Plan 1.

Welche technischen Voraussetzungen brauche ich für Intune?

Sie benötigen Microsoft-Entra-ID-Konten für alle Nutzer. Für Conditional Access und automatisches Geräte-Enrollment ist zusätzlich Entra ID Premium P1 erforderlich (in M365 Business Premium enthalten). Windows-Geräte müssen mindestens Windows 10 Pro ausführen — Windows Home wird nicht unterstützt und muss vorab upgegradet werden. Unternehmen mit vorhandenem Configuration Manager (SCCM) können über Co-Management schrittweise migrieren.

Fazit: Mit Intune sicher und schlank aufgestellt

Microsoft Intune gibt mittelständischen Unternehmen die Kontrolle über ihre Gerätelandschaft zurück — ohne eigene Serverinfrastruktur, ohne große IT-Mannschaft und ohne hohe Zusatzkosten bei den richtigen Lizenzen. Wer heute auf strukturiertes Endpoint-Management setzt, legt gleichzeitig das Fundament für Zero Trust, NIS2-Compliance und reibungslose Zusammenarbeit im Homeoffice. Wie ein Rollout bei Ihnen konkret aussehen kann, besprechen wir gerne persönlich.