Microsoft MD-102: Anwendungsverwaltung und Bereitstellung — Lernleitfaden

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Teil des Microsoft Endpoint Administrator Associate MD-102 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Die Anwendungsverwaltung in Microsoft Intune konzentriert sich auf die Auswahl des richtigen App-Typs, die korrekte Vorbereitung von Paketen, die gezielte Zuweisung mit der richtigen Absicht und die Schichtung von app-spezifischer Konfiguration und Schutz. Win32-Apps bieten die umfangreichsten Steuerelemente für die Bereitstellung, einschließlich Erkennung, Ablösung und Abhängigkeiten. Microsoft 365 Apps bietet eine erstklassige Bereitstellungserfahrung mit Unterstützung für Office Configuration XML. App-Konfigurationsrichtlinien und App-Schutzrichtlinien (MAM) erweitern die Verwaltbarkeit auf registrierte und nicht registrierte Geräte und ermöglichen sicheres BYOD durch MAM ohne Registrierung.

App-Typen und Zuweisungsabsichten

Intune unterstützt mehrere App-Typen, die jeweils für bestimmte Plattformen und Verteilungsmodelle optimiert sind:

Win32-Apps: Benutzerdefinierte Windows-Installationsprogramme (EXE, MSI und Setups mit mehreren Dateien), die als .intunewin-Datei gepackt werden. Diese unterstützen Erkennungsregeln, Anforderungen, Rückgabecodes, Abhängigkeiten und Ablösung. Wählen Sie Win32, wenn Sie Steuerung über die Installation, benutzerdefinierte Installationslogik oder die Sequenzierung von Apps benötigen.
Microsoft Store-Apps: Der App-Typ „Microsoft Store-App (neu)“ integriert sich mit dem Windows Package Manager (winget) und ersetzt den veralteten Store for Business. Diese Apps werden aus dem Store-Katalog erkannt, über den Store-Client aktualisiert und erfordern keine benutzerdefinierte Paketierung oder Erkennungsregeln. Verwenden Sie diesen Typ für aus dem Store bereitgestellte UWP/gepackte MSIX-Inhalte und die moderne Store-Wartung.
Branchenspezifische (Line-of-Business, LOB) Apps: Native Plattformpakete, die nicht aus einem öffentlichen Store stammen:
- Windows: MSI (für einfache MSI-Bereitstellungen ohne erweiterte Win32-Funktionen)
- iOS/iPadOS: .ipa
- macOS: .pkg
- Android: Typischerweise über Managed Google Play verwaltet; klassische .apk-Dateien werden für Legacy-Szenarien mit Geräteadministrator unterstützt.
Web-Apps: URL-Verknüpfungen, die über Intune verteilt werden. Unter Windows wird eine Verknüpfung hinzugefügt; unter iOS/iPadOS wird ein app-ähnlicher Webclip erstellt; unter Android wird eine genehmigte Web-App über Managed Google Play hinzugefügt. Das Authentifizierungsverhalten wird durch die Ziel-Web-App und Conditional Access gesteuert; die Durchsetzung moderner Authentifizierung verwendet typischerweise eine Richtlinie für bedingten Zugriff mit der Bedingung „Client-Apps“.
Integrierte Apps: Kuratierte Erstanbieter-Apps, die direkt in Intune verfügbar gemacht werden (z. B. Company Portal, Microsoft Edge, Microsoft Defender, OneDrive, Teams). Unter iOS/iPadOS kann die Auswahl für integrierte Apps auch Apps aus dem Apple App Store hinzufügen, ohne Metadaten manuell eingeben zu müssen.

Zuweisungsabsichten für Apps definieren das Bereitstellungsverhalten:

Erforderlich: Intune installiert die App automatisch auf den zugewiesenen Geräten/Benutzern. Bei Win32 können Sie Verfügbarkeits- und Stichtagszeiten festlegen und Toleranzperioden für Neustarts konfigurieren.
Verfügbar: Veröffentlicht die App im Unternehmensportal für eine benutzerinitiierte Installation. Wird typischerweise an Benutzergruppen zugewiesen, um Apps im Portal bereitzustellen.
Deinstallieren: Stellt die Entfernung sicher, wenn sich Zuweisungen oder Gruppenmitgliedschaften ändern. Bei Win32 muss der Deinstallationsbefehl bereitgestellt und getestet werden.

Verwenden Sie Zuweisungsfilter und Einschluss-/Ausschlussgruppen, um die Bereitstellung für gemischte Gerätepopulationen (z. B. Betriebssystemversion, Gerätehersteller, Registrierungstyp, Prozessorarchitektur) präzise zu steuern.

Win32-Paketierung, Erkennung, Ablösung und Abhängigkeiten

Die Win32-Paketierung konvertiert Ihre Installationsquelle mithilfe des IntuneWinAppUtil in eine einzelne .intunewin-Datei:

Inhalt vorbereiten: Legen Sie Setup-Dateien, Transformationen und Skripte in einem Quellordner ab. Führen Sie IntuneWinAppUtil aus, geben Sie die Setup-Datei, den Quellordner und den Ausgabepfad an, um die .intunewin-Datei zu generieren.
App-Metadaten und Befehle: Laden Sie in Intune die .intunewin-Datei hoch, geben Sie Installations- und Deinstallationsbefehle an (z. B. msiexec-Befehle oder unbeaufsichtigte EXE-Schalter), legen Sie das Installationsverhalten (System oder Benutzer) fest und aktivieren Sie optional „Als 32-Bit ausführen“ auf 64-Bit-Clients, falls von der App benötigt.
Anforderungen: Definieren Sie Voraussetzungen wie Betriebssystemversion/-build, Architektur, Arbeitsspeicher, Festplattenspeicher und benutzerdefinierte skriptbasierte Prüfungen, um fehlerhafte Zielzuweisungen und fehlgeschlagene Installationen zu verhindern.
Rückgabecodes: Ordnen Sie die Exit-Codes des Installationsprogramms den Zuständen Erfolg, Soft-Neustart, Hard-Neustart und Wiederholen zu. Eine korrekte Zuordnung stellt sicher, dass Intune die Ergebnisse genau interpretiert und abhängige Apps entsprechend sequenziert.

Erkennungsregeln bestätigen, ob die App installiert ist, und verhindern eine erneute Installation:

MSI: Verwenden Sie den MSI-Produktcode für eine zuverlässige Erkennung; Intune kann diesen beim Hochladen einer MSI-basierten Win32-App automatisch ausfüllen.
Datei: Prüfen Sie die Existenz, Version oder das Datum einer Datei oder eines Ordners. Achten Sie auf den System- vs. Benutzerkontext und die 32-Bit-Umleitung auf 64-Bit-Betriebssystemen.
Registrierung: Gleichen Sie einen Schlüssel/Wert und optional einen Wertvergleich ab. Stellen Sie sicher, dass die Auswahl des Hives (HKLM/HKCU) mit dem gewählten Installationskontext übereinstimmt.
Benutzerdefiniertes Skript: Geben Sie den Exit-Code 0 zurück, wenn die App erkannt wird; einen Wert ungleich null, wenn sie nicht erkannt wird.

Ablösung und Abhängigkeiten orchestrieren die Installationsreihenfolge und Upgrades:

Abhängigkeiten: Konfigurieren Sie „App2 hängt von App1 ab“, sodass Intune automatisch zuerst App1 installiert. Verwenden Sie dies, um Voraussetzungen wie Runtimes oder Frameworks zu erzwingen. Abhängigkeiten können eine Mischung aus erforderlichen/verfügbaren Zuweisungen sein, aber die tatsächliche Installation erfolgt nur für erforderliche Abhängigkeiten von erforderlichen Apps.
Ablösung: Definieren Sie Ersetzungsbeziehungen, um ältere Win32-Apps zu aktualisieren oder zu ersetzen. Sie können wählen, ob die vorherige App vor oder nach der Installation der neuen deinstalliert werden soll. Verwenden Sie die Ablösung, um von App v1 auf App v2 zu wechseln, ohne komplexe Erkennungslogik oder separate Entfernungsaufgaben erstellen zu müssen. Nur Win32-Apps unterstützen die Ablösung in Intune.

Gängige Design-Praktiken:

Testen Sie die Installation/Deinstallation und die Erkennung immer auf sauberen und bereits genutzten Systemen.
Verwenden Sie den Systemkontext für computerweite Installationen und HKLM-basierte Erkennung. Reservieren Sie den Benutzerkontext für benutzerspezifische Apps mit HKCU-Erkennung.
Bevorzugen Sie die MSI-Erkennung für MSI-Payloads; verwenden Sie Datei/Registrierung für EXE-basierte Installationsprogramme.
Sequenzieren Sie Voraussetzungen mit Abhängigkeiten; verwenden Sie Ablösung für Upgrades und die Außerbetriebnahme veralteter Versionen.

Bereitstellung von Microsoft 365 Apps mit Intune

Intune bietet einen speziellen App-Typ für Microsoft 365 Apps, der die meiste Komplexität abstrahiert und sowohl GUI- als auch XML-gesteuerte Konfigurationen unterstützt:

Grundlagen der Konfiguration: Wählen Sie die Suite (Microsoft 365 Apps for enterprise), die Architektur, den Updatekanal (Current, Monthly Enterprise, Semi-Annual Enterprise), ein- oder ausgeschlossene Apps (Word, Excel, PowerPoint, Outlook, OneDrive, Teams, Access, Visio Viewer) und die Sprachen aus.
Updates und Lizenzierung: Konfigurieren Sie automatische Updates, die Kanal-Angleichung und die Shared Computer Activation für Szenarien mit mehreren Benutzern (z. B. VDI oder gemeinsam genutzte Kiosks).
Koexistenz und Entfernung: Aktivieren Sie „Alle MSI-Versionen von Office deinstallieren“, um ältere MSI-basierte Office-Versionen vor der Installation von Microsoft 365 Apps Click-to-Run zu entfernen. Dies verhindert Side-by-Side-Konflikte.
Office Customization Tool (OCT): Nutzen Sie den integrierten Assistenten für allgemeine Einstellungen (App-Auswahl, Updatekanal, Installationsoptionen). Für erweiterte Kontrolle können Sie eine Office Configuration XML bereitstellen oder importieren.
XML-Steuerung: XML ermöglicht granulare Einstellungen wie App-Sprachen, ausgeschlossene Apps, SCL (SharedComputerLicensing), AutoActivate, gerätebasierte Lizenzierung (Education) und Steuerelemente für App-Updates. Intune speichert die XML-Datei und stellt sie bereit, um das Installationsverhalten von Office zu steuern.
macOS: Verwenden Sie den App-Typ Microsoft 365 Apps for macOS für eine optimierte Bereitstellung mit automatischen Updates und vereinfachter Auswahl.

Die Zuweisung folgt den gleichen Absichten (Erforderlich, Verfügbar, Deinstallieren). Zielen Sie bei Windows-Bereitstellungen auf Gerätegruppen für einen breiten Rollout ab; nutzen Sie Verfügbarkeitsfenster und Fristen, um die Bandbreitennutzung und die Auswirkungen auf die Benutzer zu koordinieren.

App-Konfiguration und -Schutz (MAM und MAM-WE)

App-Konfigurationsrichtlinien liefern Schlüssel-Wert-Paare und app-spezifische Einstellungen:

Verwaltete Geräte (MDM-Kanal): Einstellungen werden an registrierte Geräte übermittelt und von der Ziel-App angewendet. Dies ist üblich für Android Enterprise- und iOS/iPadOS-Apps, die App-Konfiguration unterstützen (z. B. Startseite/URL-Blockierung für Microsoft Edge, Kontoeinrichtung für Outlook, Konfiguration der bekannten Ordnerverschiebung von OneDrive auf Mobilgeräten). Gerätebasierte App-Konfiguration erfordert, dass das Gerät registriert ist und die Plattformvoraussetzungen erfüllt.
Verwaltete Apps (MAM-Kanal): Die Konfiguration wird an Apps übermittelt, die das Intune SDK oder das App Wrapping Tool integrieren, unabhängig von der Geräteregistrierung. Dies zielt auf die Benutzeridentität ab und ist ideal für BYOD. Zum Beispiel das Vorkonfigurieren des Posteingangs mit Relevanz von Outlook oder das Einschränken von Add-Ins von Drittanbietern auf persönlichen Geräten ohne MDM.

Verwenden Sie separate App-Konfigurationsrichtlinien pro Plattform und pro Kanal (MDM vs. MAM), um Konflikte zu vermeiden und eine ordnungsgemäße Bereitstellung sicherzustellen. Nicht alle Apps unterstützen beide Kanäle; konsultieren Sie die App-Konfigurationsdokumentation von Microsoft für unterstützte Schlüssel.

App-Schutzrichtlinien (MAM) setzen den Datenschutz auf der App-Ebene durch:

Datenschutz: Verschlüsseln Sie Unternehmensdaten im Ruhezustand (at rest) innerhalb des verwalteten App-Containers, beschränken Sie Ausschneiden/Kopieren/Einfügen und Speichern-unter auf richtlinienverwaltete Apps, blockieren Sie Backups auf nicht genehmigten Speicher und kontrollieren Sie den Datentransfer zwischen Konten.
Zugriffsanforderungen: Fordern Sie eine PIN oder biometrische Daten zum Öffnen geschützter Apps, legen Sie die PIN-Komplexität und das Timeout fest und erfordern Sie moderne Authentifizierung. Diese Kontrollen verhindern beiläufige Datenlecks und unbefugten Zugriff, wenn ein Gerät geteilt wird oder verloren geht.
Bedingter Start: Blockieren bei Jailbreak-/Root-Status, Erzwingen von minimalen App-/Betriebssystemversionen, Integrieren der Gerätebedrohungsstufe mit Microsoft Defender for Endpoint oder Mobile Threat Defense-Partnern und Definieren von Offline-Toleranzperioden. Verstöße können eine Warnung auslösen, Unternehmensdaten in der App löschen oder den Zugriff blockieren.

Mobile Application Management ohne Registrierung (MAM-WE) ermöglicht sicheres BYOD:

Geltungsbereich: Nur iOS/iPadOS und Android. Keine Geräteregistrierung erforderlich. Benutzer melden sich mit ihrer Unternehmensidentität in unterstützten Apps an (z. B. Outlook, Teams, OneDrive, Edge).
Durchsetzung: Kombinieren Sie Conditional Access mit der Gewährungssteuerung „Require app protection policy“, sodass der Zugriff auf die Unternehmens-Cloud nur von genehmigten Apps mit angewendeter MAM-Richtlinie erlaubt ist. Fügen Sie optional „Require approved client app“ hinzu, um die Einstiegspunkte weiter zu verschärfen.
Selektives Löschen: Wenn ein Benutzer deprovisioniert wird, den Zugriff verliert oder ein Administrator eine Löschung auslöst, werden Unternehmensdaten, Schlüssel und Zugriffstoken aus dem verwalteten App-Container entfernt, während persönliche Daten intakt bleiben.
Unternehmensportal: Für die Durchsetzung von MAM-WE nicht erforderlich, kann aber bei der App-Ermittlung helfen. Die Kern-Durchsetzung basiert auf den Intune SDK-Fähigkeiten in der App und Conditional Access in Entra ID.

Design-Leitfaden:

Verwenden Sie gerätebasierte MDM-App-Konfiguration und erforderliche App-Installationen für unternehmenseigene und konforme Geräte.
Verwenden Sie MAM-App-Konfiguration und App-Schutz für persönliche/BYOD-Geräte, unterstützt durch Conditional Access, um moderne Authentifizierung und das Vorhandensein von Richtlinien zu erzwingen.
Halten Sie App-Konfigurationen minimal und zielgerichtet; koppeln Sie MAM-Richtlinien gegebenenfalls mit Ausschlüssen für Notfallkonten (Break-Glass-Accounts) und Dienstprinzipale.

Praktisches Problemszenario

Die Contoso Ltd., ein globaler Hersteller, standardisiert Windows 11 für 5.000 Geräte und ermöglicht gleichzeitig sicheren mobilen Zugriff für 2.000 BYOD-Benutzer auf iOS und Android. Sie müssen drei Windows-Anwendungen (eine .NET-Laufzeit als Voraussetzung, einen ERP-Client und ein Browser-Plug-in) bereitstellen, Microsoft 365 Apps mit einem bestimmten Update-Kanal ausrollen, Outlook auf Mobilgeräten vorkonfigurieren und Datenlecks auf persönlichen Geräten verhindern, ohne diese zu registrieren.

Windows-Anwendungen paketieren und sequenzieren

Aktion: Paketieren Sie den ERP-Client und das Browser-Plug-in als Win32-Apps mit IntuneWinAppUtil. Verwenden Sie die Hersteller-MSI für die .NET-Laufzeit ebenfalls als Win32-App. Konfigurieren Sie den ERP-Client so, dass er von der .NET-Laufzeit abhängt, und das Browser-Plug-in so, dass es vom ERP-Client abhängt. Legen Sie „Erforderlich“-Zuweisungen für Gerätegruppen mit Verfügbarkeit und Fristen fest.
Warum: Win32 bietet Installations-/Deinstallationsbefehle, Datei-/Registrierungserkennung, Rückgabecode-Zuweisung und Abhängigkeitsreihenfolge, um sicherzustellen, dass die .NET-Laufzeit und der ERP-Client vor dem Plug-in konsistent auf jedem Gerät installiert werden.

Upgrades für den ERP-Client implementieren

Aktion: Wenn eine neue ERP-Version veröffentlicht wird, erstellen Sie eine neue Win32-App und konfigurieren Sie die Ersetzung (Supersedence), um die alte ERP-App zu ersetzen und die vorherige Version zu deinstallieren.
Warum: Die Ersetzung (Supersedence) führt saubere Upgrades in großem Maßstab durch, ohne manuelle Entfernungsaufgaben oder komplexe Erkennungsänderungen.

Microsoft 365 Apps mit Update-Governance bereitstellen

Aktion: Fügen Sie die App „Microsoft 365 Apps for enterprise“ in Intune hinzu, wählen Sie den „Monthly Enterprise“-Kanal, schließen Sie Access aus, aktivieren Sie „Alle MSI-Versionen von Office deinstallieren“ und importieren Sie eine angepasste Office Configuration XML, die die „Shared Computer Activation“ für gemeinsam genutzte PCs ermöglicht.
Warum: Der App-Typ „Office Suite“ und die XML-Datei ermöglichen eine deterministische Kontrolle über Komponenten, Lizenzierung und Update-Kadenz mit minimalem Paketierungsaufwand.

App-Konfiguration für verwaltete Geräte bereitstellen

Aktion: Erstellen Sie für unternehmenseigene Windows- und Android Enterprise-Geräte App-Konfigurationsrichtlinien, die auf Microsoft Edge (Startseite, erlaubte/blockierte Seiten) und Outlook (Hinweise zur Kontoeinrichtung) über den Kanal für verwaltete Geräte abzielen. Weisen Sie diese den Geräte-/Benutzergruppen entsprechend der Eigentümerschaft zu.
Warum: Die App-Konfiguration über den Gerätekanal wendet Einstellungen auf der vom Betriebssystem verwalteten Ebene an und gewährleistet so eine konsistente Erfahrung auf registrierten, unternehmenseigenen Geräten.

Sicheres BYOD mit MAM-WE ermöglichen

Aktion: Erstellen Sie App-Schutzrichtlinien für iOS/iPadOS und Android, die eine PIN/Biometrie erfordern, Daten im Ruhezustand (at rest) verschlüsseln, Kopieren/Einfügen auf richtlinienverwaltete Apps beschränken und „Speichern unter“ nur in OneDrive for Business erlauben. Veröffentlichen Sie eine MAM-App-Konfiguration für Outlook (Posteingang mit Relevanz und Standardeinstellungen für verwaltete Konten).
Warum: MAM-WE schützt Unternehmensdaten innerhalb von Apps ohne Geräteregistrierung und erfüllt so die Datenschutz-Erwartungen bei persönlichen Geräten.

Zugriff mit Conditional Access erzwingen

Aktion: Erstellen Sie in Entra ID Conditional Access Richtlinien, die auf Microsoft 365-Dienste abzielen und sowohl moderne Authentifizierung als auch „Require app protection policy“ für mobile Plattformen erfordern. Fügen Sie eine separate Regel hinzu, um Legacy-Clients über die Bedingung „Client-Apps“ einzuschränken.
Warum: CA stellt sicher, dass nur genehmigte, richtlinienkonforme Apps auf Unternehmensressourcen zugreifen, blockiert Legacy-Authentifizierungspfade und garantiert die Durchsetzung der MAM-Richtlinie.

Selektives Löschen und Problembehebung operationalisieren

Aktion: Schulen Sie den Helpdesk, damit er bei Geräteverlust oder Ausscheiden eines Benutzers eine selektive Löschung auf Benutzerebene von Intune aus auslöst. Überwachen Sie die Konformität und Fehler bei der App-Installation über Intune-Berichte und beheben Sie Probleme mit überarbeiteten Erkennungs- oder Rückgabecode-Zuweisungen.
Warum: Das selektive Löschen entfernt nur Unternehmensdaten von persönlichen Geräten, während Intune-Berichte und kontrollierte Rückgabecodes eine hohe Bereitstellungserfolgsquote für Windows-Anwendungen aufrechterhalten.

← Gerätekonfigurationsprofile und Richtlinien · Alle Domänen · Endpunktsicherheit und Microsoft Defender →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →