Microsoft MD-102: Fernverwaltung und Überwachung — Lernleitfaden

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Teil des Microsoft Endpoint Administrator Associate MD-102 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Die Remote-Verwaltung und -Überwachung in Microsoft Intune stützt sich auf drei Säulen: präzise Gerätesteuerung, tiefe Einblicke (Observability) und effizienter Support. Administratoren müssen verstehen, wie sich Remote-Aktionen auf Benutzerdaten und die Registrierung auswirken, wie sie umsetzbare Erkenntnisse aus Endpoint Analytics und Intune-Berichten gewinnen und wie sie Bereitstellungs- und Konformitätsprobleme mithilfe von Remotehilfe, Diagnosen und Überwachungsprotokollen schnell beheben können. Die Automatisierung durch von Intune bereitgestellte PowerShell-Skripte rundet ein vollständiges operatives Toolkit ab.

Remote-Gerätesteuerung: Außer Betrieb nehmen, Zurücksetzen, Synchronisieren, Neu starten und Remotesperre; und Datenlebenszyklus

Remote-Aktionen werden vom Intune Admin Center aus pro Gerät (oder in großen Mengen) ausgeführt und über den Push-Kanal der Plattform (WNS für Windows, APNs für iOS/iPadOS, FCM für Android) übermittelt. Wenn ein Gerät offline ist, werden die Aktionen in eine Warteschlange gestellt, bis der nächste Check-in erfolgt.

Außer Betrieb nehmen (selektives Zurücksetzen): Entfernt Unternehmensdaten und -einstellungen, während persönliche Daten erhalten bleiben. Dabei wird die Registrierung des Geräts bei Intune aufgehoben, das MDM-Verwaltungsprofil entfernt, verwaltete App-Daten gelöscht, verwaltete Zertifikate und WLAN-/VPN-Profile widerrufen und installierte LOB/Win32-Apps, die als erforderlich bereitgestellt wurden, entfernt. Das Betriebssystem und vom Benutzer installierte Apps bleiben unberührt. „Außer Betrieb nehmen“ ist die richtige Wahl, um Unternehmensdaten zu entfernen, ohne das Gerät auf Werkseinstellungen zurückzusetzen.
Zurücksetzen (vollständiges Zurücksetzen/auf Werkseinstellungen zurücksetzen): Setzt das Gerät auf den Werkszustand zurück und entfernt alle Benutzer- und Unternehmensdaten. Dies wird bei verlorenen/gestohlenen Unternehmensgeräten, zur Wiederverwendung oder zur Entsorgung verwendet. Plattforms-spezifische Optionen können das Verhalten unter Windows ändern (z. B. Optionen, um Bereitstellungspakete beizubehalten oder den Registrierungsstatus/das Benutzerkonto in bestimmten Szenarien zu erhalten), aber standardmäßig ist „Zurücksetzen“ ein Zurücksetzen auf die Werkseinstellungen, das das Gerät aus Intune entfernt und alle lokalen Daten löscht.
Synchronisieren: Löst einen sofortigen Geräte-Check-in aus, um Richtlinien-, App- und Konformitätsupdates abzurufen und ausstehende Aktionen zu beschleunigen. Wenn das Gerät offline ist, wird der Befehl beim nächsten Konnektivitätsfenster empfangen.
Neu starten: Initiiert einen benutzerinformierten Neustart auf unterstützten Plattformen (z. B. Windows 10/11). Windows zeigt einen kurzen Countdown an, der einen ordnungsgemäßen Neustart ermöglicht, um Softwareinstallationen oder Richtlinienänderungen abzuschließen, die einen Neustart erfordern.
Remotesperre: Sperrt sofort den Gerätebildschirm, zum Entsperren ist der aktuelle Passcode/das aktuelle Passwort erforderlich. Dies ist nützlich, wenn ein Gerät unbeaufsichtigt oder potenziell gefährdet, aber nicht bestätigt verloren ist. (Das Zurücksetzen des Passcodes ist eine separate Aktion unter iOS/iPadOS.)

Selektives Zurücksetzen vs. vollständiges Zurücksetzen:

Selektives Zurücksetzen (Außer Betrieb nehmen) erhält persönliche Daten und OEM-Apps und entfernt nur Unternehmensinhalte, Verwaltungsprofile und verwaltete App-Daten.
Vollständiges Zurücksetzen (Zurücksetzen) setzt das Gerät auf die Werkseinstellungen zurück und löscht alle Daten und Einstellungen. Für unternehmenseigene Geräte ist dies der sicherste Weg zum Zurücksetzen.
Gerätedatensatz löschen: Das Löschen eines verwalteten Geräts aus Intune entfernt es aus dem Mandanteninventar. Bei MDM-registrierten Geräten spiegelt der Effekt, wenn das Gerät später eincheckt, die Aktion „Außer Betrieb nehmen“ wider, indem Unternehmensdaten entfernt werden, während persönliche Daten intakt bleiben (entsprechend der Notwendigkeit, von Intune bereitgestellte Inhalte zu entfernen, wenn ein lange offline befindliches Gerät wieder auftaucht). Das Löschen bereinigt auch sofort die Inventaransicht des Administrators.

Verwenden Sie „Außer Betrieb nehmen“ oder „Löschen“, wenn Sie Unternehmensdaten entfernen und gleichzeitig Benutzerdaten erhalten möchten; verwenden Sie „Zurücksetzen“, wenn der Endpunkt auf den Werkszustand zurückgesetzt werden muss.

Remotehilfe, Überprüfbarkeit und Diagnose

Remotehilfe bietet sichere, konforme Remote-Unterstützung, die eng in Intune integriert ist und eine Remotehilfe-Lizenz erfordert (enthalten in der Intune Suite oder als Add-On). Sie unterstützt Windows 10/11 und Android Enterprise. Sitzungen werden über HTTPS vermittelt, durch Microsoft Entra ID gesteuert und erzwingen eine rollenbasierte Zugriffssteuerung (RBAC), sodass Sie den Geltungsbereich festlegen können, wer welchen Geräten helfen darf.

Wichtige Aspekte:

Rollentrennung und RBAC: Definieren Sie, wer Hilfe anfordern und wer sie leisten darf. Beschränken Sie Helfer auf Gerätegruppen und schränken Sie Berechtigungen zur Rechteerweiterung ein. Die Integration mit Conditional Access ermöglicht es Ihnen, konforme Geräte und MFA zu fordern.
Sicherheit und Zustimmung des Benutzers: Eine Just-in-Time-Sicherheits-PIN und die Zustimmung des Benutzers schützen die Endbenutzer. Beide Parteien sehen die verifizierte Identität des Helfers. Sitzungsaktivitäten sind überprüfbar.
Admin-Rechteerweiterung: Unter Windows können Helfer eine Rechteerweiterung anfordern, um administrative Aufgaben auszuführen, wenn dies durch die Richtlinie erlaubt ist, was die Zeit bis zur Lösung für privilegierte Aktionen verkürzt.
Protokollierung und Aufsicht: Remotehilfe erstellt Sitzungsprotokolle, die in Intune-Berichten sichtbar sind, um Compliance und Untersuchungen zu unterstützen.

Diagnosen im großen Stil:

Diagnoseinformationen sammeln (Remote-Aktion): Für Windows 10/11 kann Intune remote Gerätediagnosen (IME-Protokolle, Ereignisprotokolle, Registrierungsexporte, MDM-Diagnosen und andere Artefakte) in einer ZIP-Datei sammeln, die im Gerätebereich verfügbar ist. Dies beschleunigt die Fehleranalyse (Triage), ohne auf die Mitwirkung des Benutzers angewiesen zu sein.
Überwachungsprotokolle: Überwachungsprotokolle der Mandantenadministration erfassen, wer was, wann und an welchem Objekt getan hat (z. B. Änderungen bei App-Zuweisungen, Richtlinienbearbeitungen, Remote-Aktionen). Die Aufbewahrungsfrist im Portal beträgt typischerweise 30 Tage; für eine längere Aufbewahrung und Analyse verwenden Sie die Diagnoseeinstellungen von Azure Monitor, um die Daten an Log Analytics, Event Hub oder Storage zu streamen.

Analyse und Berichterstattung: Endpoint Analytics und Intune-Berichte

Endpoint Analytics liefert proaktive Einblicke, um die Benutzererfahrung zu verbessern und die Anzahl der Supportanrufe zu reduzieren.

Startleistung: Misst die Start- und Anmeldezeiten, um eine Startbewertung pro Gerätemodell und Betriebssystem-Build zu erstellen. Es hebt Regressionen nach Richtlinien- oder Treiberänderungen hervor und empfiehlt gezielte Korrekturmaßnahmen.
App-Zuverlässigkeit: Zeigt App-Hänger/Abstürze für verbreitete Win32- und Microsoft 365 Apps-Prozesse auf. Es identifiziert problematische Versionen und Ausreißer-Geräte, um Patching- oder Konfigurationsänderungen zu steuern.
Work from anywhere (WfA)-Bewertung: Bewertet die Bereitschaft von Geräten für modernes, remotes Arbeiten über Kerndimensionen wie Cloud-Identität (Entra ID), Cloud-Management (Intune MDM), Aktualität der Windows-Version, Update-Status und Bereitstellungsbereitschaft. Die Bewertungen werden von priorisierten Empfehlungen zur Schließung von Lücken begleitet.
Voraussetzungen: Aktivieren Sie Endpoint Analytics in Intune. In Intune registrierte (oder über Configuration Manager Tenant Attach co-verwaltete) Windows 10/11 Pro/Enterprise-Geräte liefern automatisch Signale über die Intune Management Extension und die vom Feature benötigten Betriebssystem-Telemetriekanäle. Die Einblicke sind nahezu in Echtzeit verfügbar, aber für die Trendanalyse optimiert.

Intune-Berichte bieten Transparenz für den Betrieb und die Compliance:

Gerätekonformität: Zeigen Sie den Status pro Gerät und pro Richtlinie mit Begründungen an (z. B. Kennwort nicht konform, BitLocker aus, Jailbreak erkannt). Verwenden Sie Filter, um nicht konforme Geräte zu finden, exportieren Sie sie in eine CSV-Datei und lösen Sie Korrektur- oder Außerbetriebnahameaktionen aus.
App-Installationsstatus: Überwachen Sie erforderliche und verfügbare Apps pro Zuweisung mit Status wie „Installiert“, „Fehlgeschlagen“, „Nicht zutreffend“ und „In Bearbeitung“. Abhängigkeitsketten und Ablösungsbeziehungen werden widergespiegelt, was die Validierung ermöglicht, dass vorausgesetzte Apps installiert wurden (z. B. sicherstellen, dass App1 vor App2 installiert wird).
Status von Konfigurationsprofilen: Überprüfen Sie die Status „Erfolgreich“, „Fehler“, „Konflikt“, „Nicht zutreffend“ und „Ausstehend“. Der Status pro Einstellung zeigt genau an, welche OMA-URI- oder Vorlageneinstellung fehlgeschlagen ist, was die Ursachenanalyse beschleunigt (Konflikte, CSP wird auf dem Betriebssystem-Build nicht unterstützt oder eine falsche Zuweisung von Bereichs-Tags).

Überwachung und Fehlerbehebung bei der Windows Autopilot-Bereitstellung

Windows Autopilot optimiert die Bereitstellung und erfordert eine genaue Geräteregistrierung, korrekte Profilzuweisung, Lizenzierung und Netzwerkbereitschaft.

Bereitstellungsstatus und die ESP: Die Enrollment Status Page (ESP) zeigt den Fortschritt der Geräte- und Kontoeinrichtung an und blockiert den Desktop, bis die erforderlichen Apps/Profile installiert sind. Konfigurieren Sie die ESP so, dass bei einem Fehler Bereitstellungsprotokolle erfasst werden und die Protokollerfassung bei der OOBE zugelassen wird. Dies ermöglicht es Support-Technikern, Autopilot- und MDM-Diagnosen ohne lokalen Administratorzugriff zu sammeln.
Häufige Ursachen für fehlgeschlagene Registrierungen:
- Gerät nicht registriert oder zugewiesen: Stellen Sie sicher, dass die Hardware-Hashes importiert und das Gerät Mitglied der richtigen dynamischen Gruppe ist (z. B. unter Verwendung von devicePhysicalIds mit ZTDID). Bestätigen Sie, dass ein Autopilot-Profil zugewiesen und als Ziel festgelegt ist.
- Lizenzierungs- und Registrierungseinschränkungen: Überprüfen Sie, ob der Benutzer und der Mandant über Intune-Lizenzen verfügen und die Registrierungseinschränkungen die Plattform und den Beitrittstyp zulassen.
- Netzwerk-/Proxy-Probleme: Öffnen Sie die erforderlichen Endpunkte und Ports für Autopilot, Intune MDM und die Inhaltsbereitstellung. Transparente Proxys und SSL-Inspektion können die OOBE-Abläufe unterbrechen.
- Zeitüberschreitungen bei Richtlinien/Apps: Große Win32-Apps oder falsch konfigurierte Abhängigkeiten können die ESP-Zeitüberschreitungen überschreiten. Passen Sie das Blockierungsverhalten und die Reihenfolge der ESP an und verwenden Sie Win32-Abhängigkeitsregeln, um die Installation von Voraussetzungen sicherzustellen.
Toolkit zur Fehlerbehebung:
- Autopilot-Diagnoseseite während der OOBE (wenn durch ESP aktiviert) für Fehler auf Schrittebene und Ereignis-Links.
- MDMDiagReport- und IME-Protokolle für die Richtlinienaufnahme und die Verarbeitung von Win32-Apps (zum Beispiel C:\Windows\Temp\MDMDiagReport.zip und C:\ProgramData\Microsoft\IntuneManagementExtension\Logs).
- Intune-Gerätebereich für den Echtzeitstatus von Profil- und App-Zuweisungen sowie Fehlercodes.

Automatisierung mit PowerShell-Skripten in Intune

PowerShell-Skripte in Intune werden von der Intune Management Extension (IME) auf Windows 10/11 ausgeführt und unterstützen in Azure AD eingebundene (Azure AD-joined) und hybrid in Azure AD eingebundene (Hybrid Azure AD-joined), MDM-registrierte Geräte. Nur in Azure AD registrierte Geräte werden für die Skriptverteilung nicht unterstützt.

Wichtige Verhaltensweisen und Einstellungen:

Zielgruppenadressierung und Kontext: Weisen Sie Skripte Geräten oder Benutzern zu. Führen Sie sie je nach Bedarf im System- oder Benutzerkontext aus (System für die Maschinenkonfiguration, Benutzer für Aktionen auf Profilebene).
64-Bit-Host: Wählen Sie die Ausführung in 64-Bit-PowerShell auf x64-Geräten, um WOW64-Umleitungsprobleme zu vermeiden; andernfalls werden Skripte im 32-Bit-Host ausgeführt.
Anmeldeinformationen des angemeldeten Benutzers: Wenn auf „Ja“ gesetzt, werden Skripte für benutzerspezifische Konfigurationen unter dem interaktiven Benutzer ausgeführt. Bei „Nein“ laufen sie unter LocalSystem.
Signaturerzwingung: Sie können eine Signaturprüfung erzwingen, um signierte Skripte vorauszusetzen; andernfalls ruft die IME Skripte mit einer Ausführungsrichtlinie auf, die unsignierte Inhalte zulässt.
Häufigkeit und Wiederholungsversuche: Skripte können einmalig oder bei jedem Check-in ausgeführt werden (sparsam verwenden). Die IME wiederholt vorübergehende Fehler; schreiben Sie idempotente Skripte, die sicher erneut ausgeführt werden können und eindeutige Exit-Codes sowie Protokollierung verwenden.
Größe und Inhalt: Die Skriptgröße ist begrenzt (unter einigen hundert KB halten). Vermeiden Sie interaktive Eingabeaufforderungen und Benutzeroberflächen; Skripte werden nicht interaktiv ausgeführt. Verwenden Sie eine robuste Protokollierung in Dateien und das Windows-Ereignisprotokoll, um die Diagnose zu unterstützen.
Best Practices: Verwenden Sie Erkennungslogik, um unnötige Änderungen zu verhindern, prüfen Sie Voraussetzungen (OS-Build, Vorhandensein von Apps) und bevorzugen Sie die Win32-App-Paketierung für komplexe Installationsprogramme, bei denen Erkennungsregeln und Abhängigkeiten erforderlich sind.

Praktisches Problemszenario

Adobe muss den Remote-Support und die Zuverlässigkeit für 6.000 Windows 11-Laptops verbessern, die von einer hybriden Belegschaft genutzt werden, die Anzahl fehlgeschlagener Autopilot-Registrierungen für neue Mitarbeiter reduzieren und sicherstellen, dass Unternehmensdaten schnell von Geräten entfernt werden können, die offline als vermisst gelten.

Endpoint Analytics aktivieren und Baselines erstellen

Aktion: Aktivieren Sie Endpoint Analytics in Intune und weisen Sie es allen Windows-Geräten zu. Überprüfen Sie die Scores für Startleistung, App-Zuverlässigkeit und Arbeiten von überall nach Modell und Region.
Begründung: Dies deckt systemische Probleme auf (langsame Anmeldungen, abstürzende Apps, Lücken bei Betriebssystemversionen) und liefert priorisierte Empfehlungen, was eine datengesteuerte Problembehebung anstelle von Ad-hoc-Support ermöglicht.

Remote Help mit RBAC und Conditional Access implementieren

Aktion: Weisen Sie Remote Help-Lizenzen an Support-Ingenieure zu, grenzen Sie deren Geltungsbereich über Intune RBAC auf regionale Gerätegruppen ein und aktivieren Sie die Rechteerweiterung in der Richtlinie. Erzwingen Sie MFA und den Zugriff für konforme Geräte über Conditional Access.
Begründung: Remote Help verkürzt die Zeit bis zur Problemlösung, unterstützt sicher Aufgaben mit Administratorrechten und erstellt überprüfbare Sitzungsaufzeichnungen, die mit Entra ID-Identitäten verknüpft sind.

Datenlebenszyklus mit den korrekten Remote-Aktionen absichern

Aktion: Standardisieren Sie die Verwendung von Außer Betrieb nehmen (Retire) für eine selektive Zurücksetzung, wenn Mitarbeiter das Unternehmen verlassen oder Geräte neu zugewiesen werden. Verwenden Sie Zurücksetzen (Wipe) für verlorene/gestohlene Unternehmensgeräte. Für Geräte, die lange offline sind, verwenden Sie Löschen (Delete), um Inventarobjekte sofort zu entfernen und gleichzeitig sicherzustellen, dass Unternehmensdaten entfernt werden, falls sich das Gerät später meldet.
Begründung: Dies erhält Benutzerdaten, wenn es angebracht ist, stellt sicher, dass Unternehmensdaten gelöscht werden, und hält das Geräteinventar korrekt.

Autopilot-Fehler mit ESP-Diagnose überwachen und beheben

Aktion: Konfigurieren Sie die Seite für den Registrierungsstatus (Enrollment Status Page, ESP) so, dass sie blockiert, bis erforderliche Apps installiert sind, und die Protokollsammlung bei Fehlern zulässt. Validieren Sie Regeln für dynamische Gruppen (mithilfe der ZTDID), Profilzuweisungen und den Netzwerkausgang. Teilen Sie große App-Payloads mit Win32-Abhängigkeiten auf und passen Sie die ESP-Timeouts an.
Begründung: Die durch die ESP geschaffene Transparenz und die Diagnosefunktionen reduzieren Fehler ohne Ausgabe während der OOBE (Out-of-Box-Experience), während ein korrektes Design der App-Abhängigkeiten Timeouts verhindert und eine deterministische Bereitstellung sicherstellt.

Problembehebung mit Intune PowerShell-Skripten bereitstellen

Aktion: Verwenden Sie PowerShell-Skripte im Gerätekontext (64-Bit-Host), um spezifische Fehlkonfigurationen zu beheben, die von Endpoint Analytics aufgedeckt wurden (z. B. Deaktivieren problematischer Startelemente, Korrektur von Abweichungen bei registrierungsbasierten Richtlinien). Schreiben Sie idempotente Skripte mit robuster Protokollierung und einer Konfiguration zur einmaligen Ausführung.
Begründung: Skripte ermöglichen schnelle, gezielte Korrekturen, ohne auf vollständige App-Paketierungszyklen warten zu müssen. Die Ausführung im Systemkontext stellt sicher, dass Einstellungen auf Maschinenebene zuverlässig angewendet werden.

Operatives Reporting und Auditing einrichten

Aktion: Nutzen Sie die integrierten Intune-Berichte, um die Gerätekonformität, den App-Installationsstatus und den Erfolg von Konfigurationsprofilen zu verfolgen. Leiten Sie Intune-Überwachungsprotokolle zur Langzeitaufbewahrung und für Dashboards an Azure Monitor weiter.
Begründung: Einheitliches Reporting deckt Abweichungen und Fehler schnell auf, während Überwachungsprotokolle die Nachvollziehbarkeit von Konfigurationsänderungen und Remote-Aktionen in einem globalen Support-Team gewährleisten.

← Windows-Lebenszyklus und Update-Verwaltung · Alle Domänen · Datenschutz und Informationsgovernance →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →