Microsoft MD-102: Gerätekonfigurationsprofile und Richtlinien — Lernleitfaden

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Teil des Microsoft Endpoint Administrator Associate MD-102 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Die Gerätekonfiguration und Richtlinienverwaltung in Microsoft Intune schafft konsistente, sichere Betriebszustände für Windows, macOS, iOS/iPadOS und Android. Administratoren kombinieren Konfigurationsprofile, Endpunktsicherheitsrichtlinien, Konformitätsrichtlinien, Delivery Optimization und Windows Update for Business, damit Geräte mit den erforderlichen Einstellungen bereitgestellt, auf ihre Sicherheitslage hin durchgesetzt, kontinuierlich aktualisiert werden und basierend auf dem Konformitätsstatus Zugriff auf Ressourcen erhalten. Ein effektives Design hängt vom Verständnis der Einstellungsquellen (Einstellungskatalog, Administrative Vorlagen, Geräteeinschränkungen und benutzerdefinierte OMA-URI), des Geltungsbereichs und der Rangfolge von Sicherheitsrichtlinien, der Zuweisungsmechanismen (Einschließen/Ausschließen und Filter) und der Integration zwischen Konformität und bedingtem Zugriff ab.

Konfigurationsprofile und Einstellungsquellen

Konfigurationsprofile stellen Einstellungen für Betriebssysteme und Anwendungen bereit. Für Windows umfassen die Kernprofiltypen Geräteeinschränkungen, Endpunktschutz (veraltete Vorlage), administrative Vorlagen (ADMX-gestützt) und den Einstellungskatalog (Settings Catalog). Wenn eine erforderliche Einstellung in den Vorlagen nicht verfügbar ist, zielt ein benutzerdefiniertes OMA-URI-Profil auf den zugrunde liegenden MDM-CSP ab.

Geräteeinschränkungen sind kuratierte Vorlagen, die allgemeine Kontrollen wie Passwort- und Anmeldeanforderungen, Browser- und Store-Steuerelemente, Datenschutz, Bluetooth- und Peripheriegerätezugriff sowie den Kiosk-/Einzel-App-Modus zentralisieren. Bei Android Enterprise (Arbeitsprofil und vollständig verwaltet) befindet sich die Kiosk-Konfiguration in der Kategorie „Device experience“. Unter iOS/iPadOS umfassen die Einschränkungen Kontrollen für die App-Installation, AirDrop, Bildschirmaufnahmen und iCloud-Einstellungen. Unter Windows decken Geräteeinschränkungen BitLocker-Voraussetzungen, Kontensteuerungen und UX-Sperren ab.

Die Geräteprofilvorlage für den Endpunktschutz ist älter als die Endpunktsicherheit (Endpoint security) und konfiguriert Einstellungen für Windows Defender Antivirus, Firewall, BitLocker, SmartScreen und Exploit Guard. Bei neuen Bereitstellungen sollten Endpunktsicherheitsprofile für diese Bereiche bevorzugt werden, um das Reporting zur Sicherheitslage zu optimieren und Konflikte zwischen Vorlagen zu reduzieren; behalten Sie Geräteprofile für den Endpunktschutz nur dort bei, wo eine benötigte Einstellungsoption an anderer Stelle fehlt.

Administrative Vorlagen (Administrative Templates) werden über den ADMX-gestützten MDM-CSP auf ADMX-gestützte Richtlinien abgebildet. Sie spiegeln bekannte Gruppenrichtlinienpfade für Windows und Microsoft 365 Apps wider. Verwenden Sie sie, wenn Sie das GPO-ähnliche Modell wünschen (z. B. für Office-Richtlinieneinstellungen) und für die Konsistenz bei Migrationen von lokalen GPOs.

Der Einstellungskatalog (Settings Catalog) ist die flexibelste und zukunftsorientierteste Quelle, die nahezu alle CSP- und ADMX-gestützten Einstellungen mit Suche, Kategorien und Geltungsbereich für Geräte/Benutzer auflistet. Bevorzugen Sie den Einstellungskatalog, wenn Sie eine präzise Auswahl, vorlagenübergreifende Einstellungen in einem Profil benötigen oder monolithische Vorlagen ersetzen möchten.

Benutzerdefinierte OMA-URI-Profile konfigurieren jeden CSP direkt, wenn eine Einstellung nicht in der Intune-Benutzeroberfläche verfügbar ist. Definieren Sie den genauen OMA-URI-Pfad (zum Beispiel ./Vendor/MSFT/Policy/Config/Defender/ScanAvgCPULoadFactor), den Datentyp und den Wert. Verwenden Sie dies auch, um ADMX von Drittanbietern für ADMX-gestützte CSP-Szenarien zu importieren oder um macOS/iOS-Payloads (z. B. plist-Schlüssel) zu verteilen, die nicht in nativen Vorlagen enthalten sind.

Um Konflikte zu minimieren, konfigurieren Sie eine bestimmte Einstellung nur in einer einzigen Richtlinienquelle. Intune meldet einen einstellungsbezogenen Konflikt (Conflict), wenn mehrere zugewiesene Richtlinien denselben Schlüssel festlegen; das Geräteverhalten kann undefiniert sein oder dem „Last-Write“-Prinzip folgen, daher ist die Konsolidierung eine bewährte Vorgehensweise.

Endpunktsicherheitsprofile und Angriffsfläche

Der Knoten „Endpoint security“ (Endpunktsicherheit) stellt zweckgebundene Richtlinien mit sicherheitsorientiertem Reporting bereit. Verwenden Sie diese in priorisierter Reihenfolge vor allgemeinen Konfigurationsprofilen für Sicherheitseinstellungen:

Antivirus: Konfigurieren Sie den Echtzeitschutz von Microsoft Defender Antivirus, den cloudbasierten Schutz, Scan-Zeitpläne, die Behebung von Bedrohungen und MAPS-Einstellungen. Schutzmaßnahmen für die Angriffsfläche wie Netzwerkschutz (Network Protection) und überwachter Ordnerzugriff (Controlled Folder Access) können hier oder in ASR-Richtlinien festgelegt werden. Der Manipulationsschutz (Tamper Protection) wird über die Sicherheitseinstellungen und Defender for Endpoint verwaltet und sollte aktiviert bleiben, um nicht autorisierte Änderungen zu blockieren.
Datenträgerverschlüsselung: Erzwingen Sie BitLocker für Betriebssystem-, feste und Wechseldatenträger; fordern Sie TPM mit oder ohne PIN; aktivieren Sie die Verschlüsselung im Hintergrund, wo die Hardware es zulässt; hinterlegen Sie Wiederherstellungsschlüssel in Azure AD; rotieren Sie Wiederherstellungskennwörter nach der Verwendung automatisch, um Insider-Risiken zu reduzieren. Verwenden Sie unter macOS FileVault-Verschlüsselungsprofile mit Hinterlegung der persönlichen Wiederherstellungsschlüssel in Intune.
Firewall: Konfigurieren Sie die Windows Defender Firewall pro Profil (Domäne/Privat/Öffentlich), blockieren Sie standardmäßig eingehenden Datenverkehr, erlauben/verbieten Sie die Zusammenführung von Regeln mit lokalen Richtlinien und verteilen Sie ein- und ausgehende Regeln. Aktivieren Sie die Protokollierung und definieren Sie bei Bedarf IPSec-Ausnahmen.
Reduzierung der Angriffsfläche: Legen Sie ASR-Regeln nach GUID fest (blockieren, überwachen), aktivieren Sie den überwachten Ordnerzugriff (Controlled Folder Access), den Netzwerkschutz (Network Protection) und den Exploit-Schutz (Exploit Protection). ASR-Regeln helfen, den Diebstahl von Anmeldeinformationen, den Missbrauch von Office-Makros und skriptbasierte Angriffe zu verhindern. Integrieren Sie den Überwachungsmodus vor der Erzwingung, um Unterbrechungen zu reduzieren.

Für das Onboarding von Microsoft Defender for Endpoint erstellen Sie eine Richtlinie für die Endpunkterkennung und -reaktion (Endpoint detection and response, EDR) in Intune, um das Onboarding-Paket bereitzustellen und die Erfassung von Sensordaten zu aktivieren. Wenden Sie unter macOS die Defender AV-Einstellungen über ein Konfigurationsprofil an, das die Defender-Präferenzdomäne verwendet, um den Verwaltungsaufwand zu minimieren.

Sicherheitsbaselines sind kuratierte Sammlungen empfohlener Sicherheitseinstellungen. Verwenden Sie sie, um schnell eine vertretbare Baseline zu erreichen, und schichten Sie dann Endpunktsicherheitsprofile für Ausnahmen und erweiterte Kontrollen darüber.

Compliance, bedingter Zugriff und Zuweisungsmechanismen

Compliance-Richtlinien (Konformitätsrichtlinien) bewerten den Gerätestatus anhand von Unternehmensanforderungen und erzeugen einen binären Zustand: konform/nicht konform (mit einem Indikator für „Schonfrist“). Gängige Regeln für Windows umfassen Schwellenwerte für Betriebssystemversion/Build, Kennwortkomplexität, die Anforderung von BitLocker, den Status von Microsoft Defender, das Vorhandensein eines TPM und die Geräterisikostufe von Microsoft Defender for Endpoint. Für Mobilgeräte sind die Anforderung einer PIN, Verschlüsselung, das Blockieren von Geräten mit Jailbreak/Root-Zugriff und Mindestversionen des Betriebssystems üblich.

Aktionen bei Nichtkonformität definieren den Zeitpunkt der Durchsetzung und die Eskalation. Die Standardaktion markiert das Gerät als nicht konform; Sie können zusätzliche Aktionen planen, wie das Senden von E-Mail-Benachrichtigungen an Benutzer und Administratoren und das Remotesperren des Geräts auf unterstützten Plattformen. Jede Aktion unterstützt eine Schonfrist (in Tagen). Während sich ein Gerät in der Schonfrist befindet, bleibt es für die Auswertung durch den bedingten Zugriff (Conditional Access) konform, was dem Benutzer die Behebung des Problems ohne sofortigen Zugriffsverlust ermöglicht.

Conditional Access (bedingter Zugriff) nutzt den Konformitätsstatus, um den Zugriff zu steuern. Ein gängiges Muster ist die Anforderung „Gerät muss als konform markiert sein“ für Cloud-Apps, was darauf basiert, dass Intune die Konformität bestätigt. Kombinieren Sie dies mit zusätzlichen Bedingungen wie Client-App-Typen, um die Legacy-Authentifizierung zu kontrollieren. Die Kopplung von Gerätekonformität mit CA (Conditional Access) stellt sicher, dass nur vertrauenswürdige und verwaltete Geräte auf Unternehmensressourcen zugreifen.

Zuweisungen bestimmen den Geltungsbereich. Schließen Sie Gruppen (Benutzer/Geräte) ein, um diese als Ziel festzulegen; verwenden Sie Gruppenausschlüsse, um Teilmengen zu entfernen. Ausschlüsse haben Vorrang vor Einschlüssen. Filter verfeinern Zuweisungen zum Zeitpunkt der Auswertung basierend auf Geräteeigenschaften (Betriebssystemversion, Hersteller, Registrierungstyp, Besitz, Beitrittstyp usw.) mit Einschluss- oder Ausschlusslogik. Dies ist besonders nützlich, wenn die Zuweisung an „Alle Geräte/Benutzer“ erfolgt, aber nur geeignete Endpunkte als Ziel gelten sollen. Um Richtlinienkonflikte zu vermeiden, stimmen Sie den Besitz und den Geltungsbereich der Plattform aufeinander ab, vermeiden Sie das Setzen derselben CSP-Schlüssel über mehrere Richtlinientypen hinweg und bevorzugen Sie eine einzige Quelle (z. B. Endpoint Security) für Sicherheitskontrollen. Beachten Sie bei Windows Update-Richtlinien die Rangfolge: Eine „Feature updates“-Richtlinie, die ein bestimmtes Release festlegt, überschreibt die Zurückstellung von Funktionsupdates eines Update-Rings; „Expedited quality updates“ (beschleunigte Qualitätsupdates) überschreiben Zurückstellungen und Fristen für das ausgewählte Update.

Windows Update for Business und Übermittlungsoptimierung

Windows Update for Business (WUfB) hält Geräte ohne WSUS oder SCCM auf dem neuesten Stand. Verwenden Sie drei sich ergänzende Richtlinientypen:

Updateringe für Windows 10 und höher steuern den Wartungskanal, die Zurückstellungszeiträume für Qualitäts- und Funktionsupdates, das Neustartverhalten, die Nutzungszeit, Fristen für den automatischen Neustart und die UX. Erstellen Sie Ringe (z. B. Pilot, Breit, Kritisch), um den Rollout mit progressiven Zurückstellungen und Fristen stufenweise durchzuführen.
Funktionsupdates für Windows 10 und höher binden Geräte an eine Ziel-Windows-Version, bis Sie diese aktualisieren. Diese Richtlinie hat bei Funktionsupgrades Vorrang vor den Zurückstellungen der Ringe und ermöglicht eine deterministische Kontrolle darüber, wann ein Gerät zwischen den Versionen wechselt.
Beschleunigte Updates für Windows 10 und höher liefern ein spezifisches Qualitätsupdate schnell aus, um Schwachstellen zu beheben. Beschleunigte Updates setzen sich über die Zurückstellungen der Ringe hinweg und werden innerhalb von Stunden angewendet, wobei sie Windows-Push-Benachrichtigungen und die Update Health Tools nutzen. Sparsam für Zero-Day-Szenarien verwenden.

Die Übermittlungsoptimierung (Delivery Optimization, DO) reduziert die WAN-Auslastung durch das Teilen von Inhalten wie Windows-Updates, Microsoft 365 Apps, Intune Win32-Apps und Microsoft Store-Apps per Peer-Sharing. Konfigurieren Sie DO mit einem Einstellungskatalog oder einem Übermittlungsoptimierungsprofil. Zu den wichtigsten Steuerelementen gehören der Download-Modus, Bandbreitenbeschränkungen, das Cache-Verhalten und die VPN-Erkennung. Typische Modi sind:

Nur HTTP: kein Peer-to-Peer; Download nur vom Microsoft CDN.
LAN: Peering mit Geräten hinter demselben NAT; am besten für die meisten Büros geeignet.
Gruppe: Peering innerhalb einer definierten Gruppe (Standort-ID), ideal für verteilte Unternehmen; setzen Sie die Gruppen-ID konsistent über eine Richtlinie oder DHCP.
Internet: Internet-Peers einbeziehen; aufgrund der Unvorhersehbarkeit selten empfohlen.
Simple- oder Bypass-Modi: zur Fehlerbehebung oder zum vorübergehenden Deaktivieren erweiterter DO-Funktionen.

Legen Sie die Bandbreite als Prozentsatz des gemessenen Durchsatzes oder als absolute Grenzwerte fest, unterscheiden Sie zwischen Vordergrund und Hintergrund, begrenzen Sie die Upload-Bandbreite, definieren Sie die Cache-Größe und das Dateialter und blockieren Sie das Peering über VPN. Kombinieren Sie DO mit WUfB-Ringen, um das Risiko und die Auswirkungen auf die Bandbreite zu minimieren und gleichzeitig die Update-Geschwindigkeit beizubehalten.

Praktisches Problemszenario

Contoso Ltd. betreibt 2.500 Windows 11-Laptops in globalen Niederlassungen und 300 macOS-Geräte, die von der Entwicklungsabteilung genutzt werden. Das Unternehmen muss: die Festplattenverschlüsselung erzwingen, die Defender-Schutzmaßnahmen standardisieren, den Rollout von Windows-Updates mit einer Notfall-Patch-Fähigkeit steuern, die WAN-Nutzung reduzieren und den Zugriff auf Microsoft 365 blockieren, es sei denn, die Geräte sind konform. Einige Windows-Geräte werden von externen Auftragnehmern verwendet und sollten keine Kiosk- oder unternehmensspezifischen UX-Einschränkungen erhalten.

Richtlinien zur Endpunktsicherheit für die Festplattenverschlüsselung erstellen

Windows: BitLocker für die stille Aktivierung mit TPM konfigurieren, Wiederherstellungsschlüssel in Azure AD hinterlegen und die automatische Rotation der Wiederherstellungsschlüssel aktivieren. macOS: FileVault mit Hinterlegung von institutionellen und persönlichen Schlüsseln in Intune konfigurieren. Warum: Die Festplattenverschlüsselung der Endpunktsicherheit bietet plattformnative Verschlüsselung und Schlüsselhinterlegung mit minimaler Beeinträchtigung für den Benutzer und zentralisierter Wiederherstellung.

Richtlinien zur Endpunktsicherheit für Antivirus und zur Reduzierung der Angriffsfläche erstellen

Defender AV Echtzeit- und cloudbasierten Schutz aktivieren, Scans planen, Netzwerkschutz und wichtige ASR-Regeln im Überwachungsmodus für einen Ring aktivieren und nach der Validierung erzwingen. Kontrollierten Ordnerzugriff für Finanzgeräte über Zuweisungsfilter aktivieren. Warum: Richtlinien zur Endpunktsicherheit ermöglichen ein fokussiertes Sicherheitsreporting und vermeiden Konflikte mit veralteten Vorlagen für den Endpunktschutz; ASR reduziert gängige Angriffsvektoren.

Onboarding zu Microsoft Defender for Endpoint durchführen

Eine EDR-Onboarding-Richtlinie für Windows- und macOS-Sammlungen bereitstellen und die Geräterisikostufe in die Intune-Konformität integrieren. Warum: EDR-Signale fließen in die Konformitäts- und Bedingter-Zugriff-Prüfung ein und verbessern gleichzeitig die Erkennung und Reaktion.

Konformitätsrichtlinien mit Toleranzperioden und Aktionen definieren

Windows: BitLocker, fehlerfreier Defender, Betriebssystem ≥ Ziel-Build erfordern. macOS: FileVault und eine Betriebssystem-Baseline erfordern. E-Mail-Benachrichtigungen an Tag 0 konfigurieren, an Tag 3 als nicht konform markieren. Warum: Toleranzperioden erhalten die Produktivität, während sie die Behebung von Problemen vorantreiben; die Konformität wird zum Hebel für die Durchsetzung des Zugriffs.

Bedingten Zugriff konfigurieren

Eine Richtlinie erstellen, die erfordert, dass das Gerät für Exchange Online, SharePoint und Teams als konform markiert ist; Notfallkonten ausschließen; eine Client-App-Bedingung hinzufügen, um die Legacy-Authentifizierung zu blockieren. Warum: Verknüpft den Zugriff mit einer verifizierten Haltung (Posture) und schließt Lücken, die durch nicht verwaltete oder Clients mit Legacy-Authentifizierung entstehen.

Windows Update for Business implementieren

Updateringe erstellen: Pilot (0 Tage Zurückstellung), Breit (7/14 Tage Zurückstellung) und Kritisch (kurze Fristen). Eine Richtlinie für Funktionsupdates erstellen, die Windows 11 23H2 festschreibt, bis die Bereitschaft zum Wechsel besteht. Beschleunigte Qualitätsupdates für die Fähigkeit zum Einspielen von Zero-Day-Patches aktivieren. Warum: Ringe bieten ein vorhersehbares Staging; Funktionsupdates schaffen eine deterministische Kontrolle über Funktionen; beschleunigte Updates ermöglichen eine Notfall-Problembehebung.

Inhalte mit der Übermittlungsoptimierung optimieren

Den Download-Modus auf LAN für Büros und auf Gruppe für Regionen mit definierten Gruppen-IDs einstellen. Die Hintergrundbandbreite auf 20 % begrenzen und Uploads deckeln; Peering über VPN deaktivieren. Warum: Reduziert die WAN-Last und beschleunigt die Verteilung von Patches/Apps ohne zusätzliche Infrastruktur.

Mit Gruppen und Filtern zuweisen; Konflikte vermeiden

Richtlinien auf dynamische Gerätegruppen nach Betriebssystem und Besitz anwenden; Zuweisungsfilter verwenden, um nur unternehmenseigene Geräte für die Sicherheits-Posture einzuschließen und Geräte von Auftragnehmern von UX-Einschränkungen auszuschließen. Einstellungen nach Quelle konsolidieren (Endpunktsicherheit für Sicherheit, Einstellungskatalog für DO/WUfB), um CSP-Konflikte zu vermeiden. Warum: Die Strategie mit Gruppen und Filtern gewährleistet eine präzise Zielgruppenansprache, ein minimales Konfliktrisiko und ein sauberes Reporting.

Dieser Ansatz verwendet die Intune-Endpunktsicherheit für eine gehärtete Sicherheitslage (Posture), Konformität plus Bedingten Zugriff für die Zugriffskontrolle, WUfB für gesteuerte Updates mit Notfallreaktionsfähigkeit und die Übermittlungsoptimierung für Bandbreiteneffizienz – abgestimmt auf die gemischten Besitzverhältnisse und die Multi-Plattform-Umgebung von Contoso für ein zuverlässiges, skalierbares Endpunktmanagement.

← Geräteregistrierung und Azure AD Join · Alle Domänen · Anwendungsverwaltung und Bereitstellung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →