Was Microsoft Intune ist

Microsoft Intune ist der Cloud-Dienst von Microsoft für die Verwaltung von Endgeräten und Apps. Er kam 2011 als Windows Intune auf den Markt. Intune richtet Windows-PCs, Macs, Smartphones und Tablets ein, verteilt Apps und Richtlinien und prüft, ob Geräte die Sicherheitsvorgaben erfüllen.

Die Grundversion Intune Plan 1 ist in Microsoft 365 E3 und E5 enthalten. Funktionen wie Fernhilfe, erweiterte Rechteverwaltung oder eine Cloud-PKI gehören zu Plan 2 und zur Intune Suite. Laut Microsoft wandern Teile davon ab Juli 2026 in die E3- und E5-Pläne.

Wofür es eingesetzt wird

Unternehmen nutzen Intune, um dienstliche und private Geräte zentral zu verwalten, Windows-Rechner mit Autopilot automatisch einzurichten und Updates zu steuern. Zusammen mit Entra ID entscheidet Intune mit, ob ein Gerät auf Unternehmensdaten zugreifen darf.

Weil Intune Richtlinien, Zertifikate und Apps auf jedes verwaltete Gerät bringt, hängt der Arbeitsplatz stark an diesem Dienst. Einen Betrieb im eigenen Rechenzentrum gibt es nicht. Lokal betreiben lässt sich nur der getrennte Configuration Manager.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Cloud-Dienst zur Endgeräteverwaltung, meist zusammen mit Microsoft 365 und Entra ID; Fragen zu Selbstbetrieb und Quellcode sind für einen Cloud-Dienst sinngemäß gelesen.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	nein	Vertragspartner für Microsoft-Clouddienste in Deutschland ist laut Microsoft-Rechtsseite die Microsoft Ireland Operations Limited in Dublin; Konzernmutter ist die Microsoft Corporation in Redmond, USA. Beleg: Microsoft 365: Informationen zu rechtlichen Aspe…
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	nein	Als US-Anbieter unterliegt Microsoft dem CLOUD Act (18 U.S.C. § 2713), der Herausgabepflichten unabhängig vom Speicherort vorsieht. Microsoft France erklärte unter Eid vor dem französischen Senat, eine Weitergabe an US-Behörden nicht garantiert ausschließen zu können (Sekundärquelle). Die Zusage vom April 2025 sieht vor, Behördenanfragen anzufechten; sie hebt die Pflicht nicht auf. Beleg: 18 U.S.C. § 2713: Required preservation and disc… · Not sovereign: Microsoft cannot guarantee the se… · Microsoft announces new European digital commitm…
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	nein	Auslegung: Schutz der Verwaltungs- und Gerätedaten gegen Zugriff des Betreibers. Intune speichert u. a. Geräte-, Inventar-, App- und Auditdaten beim Anbieter. Kundenseitig gehaltene Schlüssel sind nicht dokumentiert; Customer Key von Microsoft deckt Exchange, SharePoint, Teams, Windows 365 und Copilot ab, Intune wird nicht genannt. Ein Selbstbetrieb ist nicht möglich. Beleg: Data Intune collects · Service encryption with Customer Key (Customer K… · Microsoft Intune licensing
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	ja	Anbieter ist die Microsoft Corporation, Redmond (USA), an der Nasdaq notiert; Vertragspartner in Deutschland ist die Konzerngesellschaft Microsoft Ireland Operations Limited. Der Jahresbericht für das Geschäftsjahr bis 30. Juni 2026 nennt keinen Kontrollwechsel; ein solcher ist für den Zeitraum November 2024 bis November 2026 nicht ersichtlich. Der Sitz außerhalb der EU ist in 1.1 bewertet. Beleg: Microsoft 365: Informationen zu rechtlichen Aspe… · Form 10-K für das Geschäftsjahr bis 30. Juni 202…

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Für Mandanten in der Geo-Region Europa speichert Intune Kundendaten in Rechenzentren in EU und EFTA. Microsoft behält sich vor, Kundendaten außerhalb zu speichern, soweit dies für Kundensupport, Fehlersuche oder rechtliche Pflichten nötig ist, außerdem in global arbeitenden Funktionen wie dem CDN und in Vorschaudiensten. Die Zusage gilt laut Seite für ruhende Daten; Backups werden nicht gesondert genannt. Beleg: Data storage and processing in Microsoft Intune · EU Data Boundary transfers for all services
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	nein	Auslegung: Betrieb des Verwaltungsdienstes im eigenen Rechenzentrum oder bei einem frei wählbaren Dienstleister. Intune ist laut Microsoft ein cloudbasierter Dienst ('Cloud-based unified endpoint management'); ein Betrieb außerhalb der Microsoft-Cloud ist nicht vorgesehen. Lokal betreiben lässt sich nur der getrennte Configuration Manager, der hier nicht bewertet wird. Der Microsoft-Blog zu Souveränitätsangeboten vom Oktober 2026 nennt Intune nicht. Beleg: Microsoft Intune licensing · Advancing digital sovereignty with greater contr…
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	teilweise	Microsoft dokumentiert die von Intune erhobenen Pflichtdaten (Konto-, Geräte-, Inventar-, App-, Audit- und Supportdaten) und optionale Daten (Device query, erweitertes Inventar). Laut Microsoft können Kunden die Erhebung pseudonymisierter Diagnose- und Telemetriedaten der Intune-Komponenten auf Geräten steuern; wie, beschreibt die Seite nicht. Pflichtdaten lassen sich nicht abschalten. Beleg: Data Intune collects
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	Die Produktbedingungen schließen aus, dass Microsoft Generative AI Services Kundendaten zum Training generativer KI-Basismodelle nutzen, ohne dass der Kunde widersprechen muss; das betrifft KI-Funktionen wie Copilot. Für den übrigen Dienst begrenzt der Datenschutzzusatz die Nutzung (u. a. keine Profilbildung, Werbung oder Marktforschung), schließt Training anderer KI- oder ML-Modelle aber nicht ausdrücklich aus. Beleg: Product Terms, Universal License Terms for Onlin… · Products and Services Data Protection Addendum (…

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Intune ist ein proprietärer Cloud-Dienst; Quellcode der Kernfunktionen steht nicht unter einer OSI-Lizenz zur Verfügung. Die angekündigte Code-Hinterlegung in der Schweiz ist keine offene Lizenz. Beleg: Microsoft Intune licensing · Microsoft announces new European digital commitm…
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Der Betrieb setzt den Microsoft-Dienst und eine Intune-Lizenz voraus; auch die Nutzung über Microsoft Graph erfordert laut Microsoft eine korrekt lizenzierte Intune-Instanz. Funktionen wie automatische Registrierung setzen Microsoft Entra ID P1 oder P2 voraus. Beleg: Working with Intune in Microsoft Graph · Microsoft Intune licensing
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Auslegung: Weiterbetrieb der Geräteverwaltung ohne Vertrag. Nach Vertragsende durchläuft ein Microsoft-365-Abonnement die Status 'Abgelaufen' und 'Deaktiviert' und wird danach gelöscht; nur Administratoren können im deaktivierten Zustand Daten sichern. Ein Weiterbetrieb der Verwaltung ohne Abonnement ist nicht vorgesehen; ob Richtlinien auf den Geräten danach wirksam bleiben, ist nicht dokumentiert. Beleg: What happens to my data and access when my Micro…

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	Die ISO-27001-Seite von Microsoft führt Microsoft Intune in der Liste der Dienste im Geltungsbereich; als Zertifikat mit Laufzeit wird 'Microsoft 365 ISO 27001:2022 (2024 bis 2027)' genannt, ohne Zuordnung von Intune zu einer Cloud. Die C5-Seite nennt Azure und Microsoft 365, Intune wird dort nicht ausdrücklich aufgeführt. Beleg: ISO/IEC 27001 (Compliance Offering) · Cloud Computing Compliance Criteria Catalogue (C…
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Das Microsoft Security Response Center betreibt einen öffentlichen Meldeweg und den Security Update Guide; seit Juni 2024 vergibt Microsoft CVEs auch für kritische Schwachstellen in Cloud-Diensten, bei denen Kunden nicht handeln müssen. Beleg: Toward greater transparency: Unveiling Cloud Ser…
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Vertragspartner ist die Microsoft Ireland Operations Limited (EU). Anwendbares Recht und Gerichtsstand des aktuellen Kundenvertrags für Deutschland wurden nicht aus einer Primärquelle belegt; die Anbieterangabe stammt von einer Seite mit Stand 2012. Supportfälle können laut Intune-Dokumentation zur Speicherung außerhalb der Geo-Region führen. Beleg: Microsoft 365: Informationen zu rechtlichen Aspe… · Data storage and processing in Microsoft Intune
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Microsoft veröffentlicht im Service Trust Portal eine Liste der Unterauftragsverarbeiter mit Verarbeitungsorten für Technik- und Infrastrukturdienstleister; für Vertragspersonal verweist sie auf eine gesonderte Seite, Intune wird nicht eigens genannt. Neue Unterauftragsverarbeiter mit Zugriff auf Kundendaten werden laut Datenschutzzusatz mindestens sechs Monate vorher angekündigt, solche für KI-Funktionen seit Mai 2026 laut Sekundärquelle nur 30 Tage vorher. Beleg: Microsoft Online Services Subprocessors (Service… · Products and Services Data Protection Addendum (… · Microsoft's DPA update cuts AI subprocessor noti…
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nein	Laut Microsoft kann Personal außerhalb der EU Data Boundary bei Störungen per Fernzugriff auf Kundendaten in der EU zugreifen; das Microsoft Security Response Center arbeitet im Follow-the-Sun-Modell mit Analysten weltweit. Customer Lockbox, das Zugriffe von einer Freigabe je Anfrage abhängig macht, wird für Exchange Online, SharePoint, OneDrive, Teams und Windows 365 angeboten, Intune ist nicht aufgeführt. Beleg: EU Data Boundary transfers for all services · Microsoft Purview Customer Lockbox

Exit & Interoperabilität eingeschränkt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	teilweise	Auslegung: Export von Gerätebestand, Berichten und Richtlinien sowie offene Verwaltungsprotokolle. Berichte lassen sich über Microsoft Graph als CSV (Standard) oder JSON exportieren. Windows-Geräte werden über das als Microsoft Open Specification veröffentlichte MDM-Protokoll (MS-MDM, MS-MDE2) verwaltet, das laut Microsoft auch Drittanbieter-Server nutzen können. Ein Export von Richtlinien in ein herstellerunabhängiges Format ist nicht dokumentiert; Richtlinien liegen nur als Graph-Objekte vor. Beleg: Export Intune reports using Graph APIs · Mobile Device Management overview (Windows) · Working with Intune in Microsoft Graph
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Die Anmeldung erfolgt über die Microsoft Identity Platform mit standardkonformen Implementierungen von OAuth 2.0 und OpenID Connect 1.0. Intune-Daten und -Funktionen sind über die dokumentierte Microsoft Graph API erreichbar. Beleg: OAuth 2.0 and OpenID Connect protocols on the Mi… · Working with Intune in Microsoft Graph
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	teilweise	Berichte lassen sich ohne Mitwirkung von Microsoft über die Export-API abrufen; sie ist gedrosselt (bis 100 Anfragen je Mandant und Minute) und setzt eine gültige Intune-Lizenz voraus. Ein vollständiger Export aller Richtlinien, Apps und Zuweisungen in einem Schritt ist nicht dokumentiert und muss über einzelne Graph-Abfragen selbst gebaut werden. Nach Vertragsende bleibt nur das Zeitfenster des deaktivierten Abonnements. Beleg: Export Intune reports using Graph APIs · Working with Intune in Microsoft Graph · What happens to my data and access when my Micro…

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Welches Recht und welcher Gerichtsstand im aktuellen Kundenvertrag für deutsche Unternehmen gelten.
Ob Intune im Prüfumfang eines C5-Testats liegt. Die Berichte sind nur nach Anmeldung im Service Trust Portal einsehbar.
Wo Intune-Daten europäischer Mandanten verarbeitet werden. Microsoft beschreibt nur die Speicherorte ruhender Daten.
Wie sich die Diagnose- und Telemetriedaten der Intune-Komponenten auf den Geräten steuern lassen.
Wie sich Richtlinien, Apps und Zuweisungen vollständig exportieren lassen und was nach Vertragsende auf den Geräten geschieht.
Ob die Souveränitätsangebote vom Oktober 2026 wie Data Guardian auch für Intune wirken.
Ob die aktuelle Fassung des Datenschutzzusatzes (November 2026) die Ankündigungsfristen und Nutzungsgrenzen unverändert enthält, weil das Word-Dokument nicht lesbar abgerufen werden konnte.
Ob die Liste der Unterauftragsverarbeiter Intune vollständig abdeckt und welche Standorte das Vertragspersonal hat, weil Intune nicht eigens genannt ist und Personalstandorte auf einer gesonderten Seite stehen.
Ob Backups von Intune-Kundendaten vertraglich in der Geo-Region Europa liegen, weil die Intune-Seite zur Datenspeicherung Backups nicht nennt und die Produktbedingungen (Data Residency) nicht eingesehen wurden.

Fragen vor einer Entscheidung

Welche Geräte und Daten verwalten Sie über Intune, und was würde ein Ausfall oder eine Sperre des Dienstes für Ihren Betrieb bedeuten?
Liegt Ihr Mandant in der Geo-Region Europa, und welche Daten dürfen nach den dokumentierten Ausnahmen für Support und Vorschaufunktionen die EU verlassen?
Haben Sie die Steuerung der Diagnose- und Telemetriedaten auf den Geräten geprüft und mit Ihrem Datenschutzbeauftragten abgestimmt?
Wie würden Sie Richtlinien, Apps und Zuweisungen sichern und auf ein anderes Verwaltungssystem übertragen?

Microsoft Intune