Microsoft Intune Updates Dezember 2025: Admin & Enrollment

Einführung: warum das wichtig ist

Endpoint-Management-Teams stehen unter konstantem Druck, schneller zu liefern, ohne dabei das Sicherheitsrisiko zu erhöhen. Die neuesten Intune-Updates führen das 2025-Motto fort, „busy work“ zu eliminieren – durch konsolidierte Workflows, strengere Zugriffsgrenzen und bessere plattformübergreifende Kontrollen. Das gilt besonders dort, wo Frontline-Android- und Apple-Automated-Enrollment-Erfahrungen über Zufriedenheit und Akzeptanz entscheiden.

Was ist neu (November–Dezember 2025)

1) Ein zentraler Ort zur Prüfung von Admin-Arbeit (Public Preview)

Ein neuer Knoten Admin tasks (Intune admin center > Tenant administration) zentralisiert:

• Endpoint Privilege Management (EPM)-Datei-Elevation-Anfragen
• Defender for Endpoint-Sicherheitsaufgaben
• Multi-Admin Approval-Anfragen

Admins können aufgabentypübergreifend suchen, filtern und sortieren – das reduziert Kontextwechsel und verhindert verpasste Freigaben.

2) EPM-Elevation-Anfragen berücksichtigen jetzt scope tags

Intune führt scope tag enforcement für die Prüfung von EPM-Elevation-Anfragen ein. Bisher konnten autorisierte Reviewer potenziell Anfragen aus dem gesamten Tenant sehen; nun ist RBAC besser an Zero Trust ausgerichtet, indem die Sichtbarkeit auf den zugewiesenen Scope eines Admins begrenzt wird.

3) Android-Verbesserungen: UX, App-Management und stärkere Datenschutzkontrollen

Managed Home Screen erhält Frontline-taugliche Optionen:

• Offline mode und app access without sign-in
• Granularere volume controls (Anruf, Klingeln, Benachrichtigungen, Alarme, Medien)

Für die Pflege des managed Google Play-Katalogs stellt eine neue Option „Reset to Basic“ schnell das Standardverhalten „alle genehmigten Apps sichtbar“ wieder her.

Unter der Haube wird der Android-Schutz über den Intune Settings Catalog ausgebaut, einschließlich:

• Block assist content sharing with privileged apps (hilft zu verhindern, dass AI assistants/Screen Reader Kontext aus dem Work Profile erfassen)
• Datenschutzkontrollen für Work Profiles (z. B. block Bluetooth contact sharing, verhindern, dass Work-Kontakte in der persönlichen Caller ID erscheinen)
• Neue Passwortkontrollen für Work Profiles (Ablauf, Wiederverwendungs-Historie, Wipe bei Fehlschlägen)

4) Präziseres Android-Targeting + VPN-Durchsetzung in Echtzeit

Du kannst jetzt Device Management Type als Eigenschaft für assignment filters nutzen, um Policies in Android Enterprise- und AOSP-Szenarien gezielter auszurichten.

Zusätzlich kann Microsoft Tunnel, wenn Defender for Endpoint root auf Android erkennt, den VPN-Zugriff sofort blockieren (einschließlich dem Trennen aktiver Verbindungen), bis das Gerät remediated ist.

5) Design des Apple-Enrollment-Erlebnisses (GA)

Setup Assistant customization für iOS/iPadOS and macOS Automated Device Enrollment ist jetzt generally available. Admins können bestimmte Setup Assistant-Screens ein- oder ausblenden, um das Onboarding je Gerät oder Benutzergruppe anzupassen.

6) Windows 365-Onboarding: Autopilot device prep (Preview)

Windows Autopilot device preparation in automatic mode ist jetzt in public preview für:

• Windows 365 Enterprise
• Windows 365 Frontline (dedicated mode)
• Windows 365 Cloud Apps

Damit werden device prep policies während der Cloud PC-Provisionierung ermöglicht – das reduziert die Abhängigkeit von Custom Images und verbessert die Day-One-Readiness mit klarerem Reporting.

Auswirkungen auf IT-Admins und Endbenutzer

• Admins erhalten schnellere, zuverlässigere Review-Workflows (und weniger Console-Hopping).
• Stärkere Least-Privilege-Grenzen für die Bearbeitung von EPM-Anfragen.
• Android-Flotten profitieren von praxisnahen Frontline-UX-Verbesserungen und stärkeren Datenschutzkontrollen – besonders relevant, da AI-gestützte Features sich weiterentwickeln.
• Apple ADE wird konsistenter und benutzerfreundlicher, was die First-Run-Experience verbessert.
• Windows 365-Nutzer landen früher auf einem Cloud PC, auf dem erforderliche Apps/Skripte bereits bereitstehen.

Action items / nächste Schritte

• Pilot the Admin tasks node und aktualisiere Betriebs-Runbooks für Freigaben und Sicherheitsaufgaben.
• Review scope tag strategy, um sicherzustellen, dass EPM-Reviewer die richtige (und nur die richtige) Sichtbarkeit haben.
• Für Android: neue Settings Catalog-Kontrollen evaluieren (insbesondere „block assist content sharing“) und Policy-Targeting mit Device Management Type-Filtern verfeinern.
• Bei Nutzung von Microsoft Tunnel den Workflow root detection → VPN block validieren und Remediation-Hinweise für Nutzer abstimmen.
• Für Apple ADE Setup Assistant-Screen-Sets pro Persona standardisieren (z. B. Executive vs. Frontline).
• Für Windows 365 Autopilot device prep (automatic mode) in einer Pilotgruppe testen und CPC + Autopilot device prep deployment reports überwachen.