Microsoft Intune Oktober 2025: EPM & Enrollment

Einführung: Security, die Nutzer nicht ausbremst

Das Intune-Release im Oktober passt zum Motto des Cybersecurity Awareness Month „Security Starts with You“ – die eigentliche Botschaft für IT-Admins ist jedoch pragmatisch: die tägliche Reibung reduzieren, die sichere Konfigurationen im Alltag schwer umsetzbar macht. Die Neuerungen dieses Monats verbessern die Transparenz während des Provisioning, fügen identitätsbewusste Optionen für Privilege Elevation hinzu und stärken die Service-Zuverlässigkeit durch Backend-Änderungen im Netzwerk.

Was ist neu in Intune (Oktober 2025)

1) Report zu Enrollment time grouping failures (jetzt GA)

Die Fehlersuche, warum Geräte während des Provisioning nicht in den erwarteten statischen Device Groups landen, ist seit Langem ein Pain Point – besonders im großen Maßstab.

• Jetzt allgemein verfügbar: Devices > Monitor > Enrollment time grouping failures
• Schnellere Datenaktualität: aktualisierte Informationen werden innerhalb von ~20 Minuten angezeigt
• Abdeckung:
  • Windows Autopilot device preparation provisioning
  • Android Enterprise fully managed
  • Android corporate-owned work profile (COPE)
  • Android Enterprise dedicated

Dieser Report hilft dabei, Geräte zu identifizieren, bei denen die Group Membership während des Enrollment fehlgeschlagen ist, sodass Admins schneller gegensteuern und nachgelagerte Lücken bei Konfigurationen/App-Zuweisungen vermeiden können.

2) Endpoint Privilege Management: „elevate as current user“

EPM ermöglicht jetzt die Auswahl, ob ein erhöhter Prozess ausgeführt wird als:

• das eigene Konto des Users („elevate as current user“), oder
• das EPM default virtual account (bevorzugt für strikte Zero-Trust-Szenarien)

Warum das wichtig ist: Manche Apps funktionieren nicht korrekt, wenn bei der Elevation der Kontext des User-Profils verloren geht (Environment Variables, Profilpfade, Registry-Einstellungen, Licensing, Customization). Die neue Option schafft mehr Flexibilität – bei weiterhin scoped rules und audit trails.

3) Neues EPM Overview dashboard

Für Organisationen auf dem Weg von Local Admin zu Standard Users ergänzt Intune ein EPM Overview Dashboard, um Readiness und operative Einblicke zentral zu bündeln.

Es hilft Teams dabei:

• zu erkennen, wo Users Reibung durch Elevation erleben
• managed vs. unmanaged Elevation-Aktivität und Trends zu vergleichen
• Kandidaten für Auto-Approval Rules zu identifizieren, um die Helpdesk-Last zu reduzieren

4) Aktualisierte Network Endpoints (Azure Front Door IP changes)

Intune übernimmt neue IP-Adressen, die durch Azure Front Door definiert sind. Das betrifft Kunden, die ausgehenden Traffic über Firewall Allowlists auf Basis von IPs oder Service Tags zulassen.

5) Änderung beim Timing für Autopilot/OOBE Security Updates

Die Fähigkeit der Enrollment Status Page, Windows Security Updates während OOBE zu installieren, ist nun für Januar 2026 geplant. Die Einstellung kann sichtbar sein, aber Updates während OOBE sind noch nicht aktiv.

Auswirkungen für IT-Administratoren

• Schnellere Provisioning-Fehleranalyse reduziert die Time-to-Remediation bei falsch gruppierten Geräten.
• EPM wird praxisnäher für reale Apps, die User-Kontext benötigen – ohne auf Auditing zu verzichten.
• Das EPM Overview dashboard unterstützt messbaren Fortschritt weg von dauerhaften Admin-Rechten.
• Änderungen an Network Endpoints erfordern eine proaktive Prüfung von Firewall/Proxy, um Service-Unterbrechungen zu vermeiden.

Action items / nächste Schritte

1. Den neuen Report prüfen: Enrollment-time Grouping für Autopilot und Android Enterprise unter Devices > Monitor validieren.
2. EPM Elevation Modes evaluieren: „elevate as current user“ nur für Apps pilotieren, die User-Kontext benötigen; Virtual-Account-Elevation nach Möglichkeit als Default beibehalten.
3. Das EPM Overview dashboard nutzen, um Users/Devices für Policy-Tuning und mögliche Auto-Approval Rules zu targeten.
4. Firewall/Proxy Allowlists aktualisieren auf Basis der aktuellen Intune Network Endpoints-Dokumentation (insbesondere, wenn Sie auf IPs/Service Tags pinnen).
5. Für Januar 2026 planen, wenn Ihre Autopilot/OOBE-Strategie davon abhängt, Windows Security Updates während ESP zu installieren.