Deklaratives Gerätemanagement für Apple-Branchenanwendungen unter iOS/iPadOS

Neuheiten in Microsoft Intune

Woche vom 30. März 2026 (Service Release 2603)
App-Verwaltung
Deklaratives Gerätemanagement für Apple Line-of-Business-Apps auf iOS/iPadOS

Microsoft Intune unterstützt jetzt Apple Declarative Device Management (DDM) für erforderliche Line-of-Business-Apps auf Geräten mit iOS/iPadOS 18 und höher. Wenn Sie in den App-Informationen den Verwaltungstyp auf DDM ändern, können Sie Apps mithilfe des richtlinienbasierten Modells von Apple bereitstellen und konfigurieren, was die Effizienz der Bereitstellung verbessert, den App-Status in Echtzeit bereitstellt und die Optionen pro App, wie z. B. zugehörige Domänen, erweitert.

Gilt für:

• iOS/iPadOS

Gerätekonfiguration
Wiederherstellungssperrfunktionen für macOS-Geräte verfügbar
Auf macOS-Geräten können Sie ein Kennwort für die Wiederherstellungssperre konfigurieren, das Benutzer daran hindert, unternehmenseigene Geräte in den Wiederherstellungsmodus zu booten, macOS neu zu installieren und die Fernverwaltung zu umgehen. Admins können dieses Kennwort auch drehen.

Es gibt zwei Möglichkeiten, diese Funktion zu nutzen:

• Richtlinie für den Einstellungskatalog - In einer Richtlinie für den Einstellungskatalog können Sie die Einstellungen für die Wiederherstellungssperre verwenden, um:

1. Die Wiederherstellungssperre zu aktivieren
2. Konfigurieren Sie einen Zeitplan für die Kennwortrotation

• Remote-Geräteaktion - Verwenden Sie die Geräteaktion Wiederherstellungssperre, um das Kennwort für die Wiederherstellungssperre für ein bestimmtes Gerät manuell zu ändern.

Das Kennwort für die Wiederherstellungssperre kann im Statusbericht für jede Einstellung angezeigt werden; Kennwörter und Schlüssel. Um das Kennwort für die Wiederherstellungssperre anzuzeigen, benötigt der angemeldete Administrator die Berechtigung Remote-Aufgaben/MacOS-Kennwort für Wiederherstellungssperre anzeigen.

Gilt für:

• macOS

Neue unterstützte OEMConfig-App für Android Enterprise
Die folgende OEMConfig-App ist in Intune für Android Enterprise verfügbar:

• Inventus | com.inventus.oemconfig.gen

Neue Einstellungen im Windows-Einstellungskatalog
Es gibt neue Einstellungen im Windows-Einstellungskatalog. Um diese Einstellungen in Intune zu sehen und zu konfigurieren, erstellen Sie ein Windows-Einstellungskatalogprofil (Geräte > Konfigurationsprofile > Profil erstellen > Windows 10 und höher > Einstellungskatalog).

Die neuen Richtlinien umfassen:

• Konnektivität >Geräteübergreifende Fortführung deaktivieren: Mit dieser Funktion kann Windows vorschlagen, eine Aktivität, die Benutzer auf einem Gerät, z. B. einem Telefon, beginnen, auf einem PC fortzusetzen. IT-Administratoren können diese Richtlinie verwenden, um diese Funktion zu deaktivieren und zu verhindern, dass Benutzer Aufgaben wie das Durchsuchen von Dateien oder die Verwendung unterstützter Apps, die eine Verbindung zwischen Telefon und PC erfordern, fortsetzen.

Bei der Einstellung "CrossDeviceResume ist deaktiviert" erhält das Windows-Gerät keine CrossDeviceResume-Benachrichtigung. Die Benutzer sehen keine Aufforderungen zum Fortsetzen von Ihrem Telefon". Wenn Sie "CrossDeviceResume ist aktiviert" auswählen, erhält das Windows-Gerät eine Benachrichtigung, um Aktivitäten von verknüpften Geräten fortzusetzen. Wenn Sie diese Richtlinieneinstellung nicht konfigurieren, ist die CrossDeviceResume-Funktion standardmäßig aktiviert, d. h. die Benutzer sehen die Benachrichtigung. Änderungen an dieser Richtlinie werden beim Neustart wirksam.

Diese Richtlinie:
Ist für Windows Insider verfügbar.
Verwendet den DisableCrossDeviceResume CSP.

• Windows AI >Microsoft Copilot App deinstallieren: Diese Richtlinieneinstellung ermöglicht Ihnen die Deinstallation der Microsoft Copilot-App von Geräten. Sie gilt für Geräte und Benutzer, die die folgenden Bedingungen erfüllen:

1. Die Anwendungen Microsoft 365 Copilot und Microsoft Copilot sind beide installiert.
2. Die Microsoft Copilot-App wurde nicht vom Benutzer installiert.
3. Die Microsoft Copilot-App wurde in den letzten 14 Tagen nicht geöffnet.
   Wenn diese Richtlinie aktiviert ist, wird die Microsoft Copilot-App deinstalliert. Der Benutzer kann sie jedoch erneut installieren, wenn er dies wünscht.

Gilt für:

• Windows

Neue Aktualisierungen für den Apple Einrichtungskatalog
Der Einstellungskatalog listet alle Einstellungen auf, die Sie in einer Geräterichtlinie konfigurieren können, und zwar an einem einzigen Ort. Weitere Informationen zum Konfigurieren von Einrichtungskatalogprofilen in Intune finden Sie unter Erstellen einer Richtlinie mit dem Einrichtungskatalog.

Es gibt neue Einstellungen im Einstellungs-Katalog. Um diese Einstellungen zu sehen, gehen Sie im Microsoft Intune Admin Center zu Geräte>Geräte verwalten>Konfiguration > Erstellen > Neue Richtlinie > iOS/iPadOS oder macOS für Plattform > Einrichtungskatalog für Profiltyp.

iOS/iPadOS
Deklarative Geräteverwaltung (DDM) > Externe Intelligenz-Einstellungen:

• Anmeldung zulassen
• Erlaubte Arbeitsbereichs-IDs

Deklarative Geräteverwaltung (DDM) > Intelligenz-Einstellungen:

• Apple Intelligence-Bericht zulassen
• Genmoji zulassen
• Image Playground zulassen
• Image Wand zulassen
• Personalisierte Handschriftergebnisse zulassen
• Visuelle Intelligenz-Zusammenfassung zulassen
• Schreibwerkzeuge zulassen
• Mail>Smarte Antworten zulassen
• Mail>Zusammenfassung zulassen
• Notizen>Transkription zulassen
• Notizen>Transkription zulassen Zusammenfassung
• Safari>Zusammenfassung zulassen
• Nur Diktat auf dem Gerät erzwingen
• Nur auf dem Gerät erzwingen Übersetzung

Deklarative Geräteverwaltung (DDM) >Tastatureinstellungen:

• Nachschlagen von Definitionen zulassen
• Autokorrektur zulassen
• Diktieren zulassen
• Prädiktiven Text zulassen
• Slide To Type zulassen
• Rechtschreibprüfung zulassen
• Textersetzung zulassen
• Mathe-Tastatur-Vorschläge zulassen

Deklarative Geräteverwaltung (DDM)>Siri-Einstellungen:

• Benutzergenerierte Inhalte zulassen
• Erlauben während der Sperre
• Profanitätsfilter erzwingen

MacOS
Declarative Device Management (DDM) > Externe Intelligenz-Einstellungen:

• Anmeldung zulassen
• Erlaubte Arbeitsbereichs-IDs

Deklarative Geräteverwaltung (DDM) > Intelligenz-Einstellungen:

• Apple Intelligence-Bericht zulassen
• Genmoji zulassen
• Image Playground zulassen
• Schreibwerkzeuge zulassen
• Mail> Intelligente Antworten zulassen
• Mail>Zusammenfassung zulassen
• Notizen>Transkription zulassen
• Notizen>Zusammenfassung der Transkription zulassen
• Safari>Zusammenfassung zulassen
• Diktat nur auf dem Gerät erzwingen

Deklarative Geräteverwaltung (DDM) > Tastatureinstellungen:

• Nachschlagen von Definitionen zulassen
• Diktat zulassen
• Mathematische Tastaturvorschläge zulassen

Deklaratives Gerätemanagement (DDM)>Siri-Einstellungen:

• Profanitätsfilter erzwingen

Systemkonfiguration > Dateianbieter:

• Management erlaubt Fernsynchronisierung
• Management Fernsynchronisierung zulassen Liste
• Verwaltung Erlaubt externe Volume-Synchronisierung
• Management Externe Datenträgersynchronisierung zulassen Liste
• Verwaltung Domain Auto Enablement List

Restriktionen:

• Rosetta-Nutzungsbewusstsein zulassen

Gilt für:

• iOS/iPadOS
• MacOS

Geräteverwaltung
Update der Remote-Hilfe-Konnektivität für Windows-Geräte
Wir haben die Konnektivität bei der Verwendung der Funktion "Remote-Hilfe starten" im Intune-Admincenter für Windows-Geräte verbessert. Für ein optimales Erlebnis empfehlen wir, die Firewall-Regeln zu aktualisieren, um diesen neuen Endpunkt einzubeziehen:

• *.trouter.communications.svc.cloud.microsoft
  Die aktuelle Liste der erforderlichen Netzwerkendpunkte finden Sie unter Netzwerkanforderungen für PowerShell-Skripte und Win32-Anwendungen und Remote Help in der Intune-Endpunktdokumentation.

Mit dieser Endpunkt-Ergänzung haben wir auch ein neues Intune Management Extension-Protokoll, NotificationInfra.log, hinzugefügt, das Benachrichtigungen verfolgt, die über den Microsoft-Echtzeitkommunikationskanal gesendet werden.

Gilt für:

• Windows

Unterstützung für Red Hat Enterprise Linux 9 und höher
Microsoft Intune unterstützt Red Hat Enterprise Linux (RHEL) 9 LTS und RHEL 10 LTS. Die Unterstützung für RHEL 8 LTS wird im Juli 2026 enden. Geräte, die bereits unter RHEL 8 registriert sind, werden weiterhin registriert. Sie können Geräte mit RHEL 8 im Intune-Verwaltungszentrum identifizieren, indem Sie zu Geräte > Alle Geräte gehen, das Betriebssystem nach Linux filtern und Spalten für die Betriebssystemversion hinzufügen. Benachrichtigen Sie die Benutzer, damit sie ihre Geräte auf eine unterstützte RHEL-Version aktualisieren. Weitere Informationen zur Registrierung von Linux-Geräten finden Sie im Registrierungsleitfaden: Registrierung von Linux-Desktop-Geräten in Microsoft Intune.

• Die Microsoft Intune-Anwendung für Linux unterstützt jetzt den Microsoft Identity Broker
  Die Microsoft Intune-Anwendung für Linux verwendet jetzt den Microsoft Identity Broker auf unterstützten Ubuntu- und Red Hat Enterprise Linux (RHEL)-Distributionen. Die Broker-Version 2.0.2 und höher führt eine wichtige architektonische Änderung gegenüber dem vorherigen Java-basierten Broker ein. Dieses Update ermöglicht neue Single Sign-On (SSO)-Erfahrungen mit phish-resistenter MFA, Smartcard-Authentifizierung und zertifikatsbasierter Authentifizierung mit Microsoft Entra ID. Weitere Informationen finden Sie unter Aktivieren von Phish-Resistant MFA (PRMFA) auf Linux-Geräten.

Gerätesicherheit
Hotpatching-Standardaktivierung in Windows Autopatch
Ab dem Windows-Sicherheitsupdate vom Mai 2026 sind Hotpatch-Updates für alle in Frage kommenden Geräte, die über Windows Autopatch verwaltet werden, standardmäßig aktiviert. Hotpatch-Updates lassen sich schneller installieren und erfordern weniger Neustarts, so dass die Geräte schneller sicher werden.

Wenn Ihre Organisation noch nicht bereit für diese Änderung ist, können Sie sich mit einer der folgenden Optionen dagegen entscheiden:

• Einstellung auf Mieterebene: Deaktivieren Sie Hotpatch-Updates für alle berechtigten Geräte in Ihrem Mandanten. Diese Option ist ab dem 1. April 2026 im Intune-Verwaltungszentrum verfügbar.
• Qualitäts-Update-Richtlinie: Steuern Sie das Hotpatch-Verhalten für eine bestimmte Gruppe von Geräten. Hotpatch-Einstellungen, die in einer Qualitätsupdate-Richtlinie konfiguriert sind, setzen die Einstellung auf Mandantenebene für Geräte außer Kraft, die dieser Richtlinie zugewiesen sind.

Wichtige Daten:

• 1. April 2026: Opt-out-Einstellung auf Mieterebene im Intune-Verwaltungszentrum verfügbar.
• Sicherheitsupdate vom Mai 2026: Hotpatch-Updates sind standardmäßig aktiviert.

Intune-Apps
Neu verfügbare geschützte Apps für Intune
Die folgenden geschützten Anwendungen sind jetzt für Microsoft Intune verfügbar:

• PerfectServe Clinical Collab von PerfectServe
• Synigo Pulse von Synigo B.V.
• DeepL für Intune von DeepL SE
• Foxit PDF Editor von Foxit Software Inc.
• EasyPlant QC Inspektionen von Technip Energies (Android)

Überwachung und Fehlerbehebung
Unterstützung für System-Proxy-Einstellungen in Endpoint Analytics und Advanced Analytics
Geräte, die mit Proxy-Einstellungen auf Systemebene (WinHTTP) konfiguriert sind, können jetzt Telemetriedaten an Endpoint Analytics und Advanced Analytics senden, was eine umfassendere Berichterstattung ermöglicht. Endpoint Privilege Management (EPM) wird auch Daten zur Nutzung von Erhöhungen von diesen Geräten enthalten.

Es sind keine Verwaltungsmaßnahmen erforderlich. Wenn die Endpunktanalyse oder EPM für ein Gerät aktiviert ist, werden Telemetriedaten und Ereignisse automatisch in der Benutzeroberfläche (Device Blade), den Endpunktanalyseberichten und EPM angezeigt.

Weitere Einzelheiten zur Anzeige erweiterter Proxy-Einstellungen finden Sie unter Netsh.exe-Befehle.

Gilt für:

• Windows

Verbesserungen bei der Geräteabfrage für mehrere Geräte
Die Geräteabfrage für mehrere Geräte enthält jetzt neue Funktionen, mit denen Sie die Abfrageergebnisse effizienter nutzen können.

Sie können ein Suchtextfeld verwenden, um in allen Ergebniszeilen einer Abfrage zu suchen, Spaltenüberschriften verwenden, um Filter für bestimmte Werte hinzuzufügen, und Microsoft Entra-Sicherheitsgruppen direkt aus den Geräteergebnissen einer Abfrage erstellen.

Rollenbasierte Zugriffskontrolle
Gezielte Berechtigungen für rollenbasierte Zugriffskontrolle (öffentliche Vorschau)
Intune enthält jetzt eine öffentliche Vorschau zur Aktivierung von Scoped-Berechtigungen, die Ihre Konfiguration der rollenbasierten Zugriffskontrolle (RBAC) präziser macht. Die Aktivierung von Scoped-Berechtigungen ist eine einmalige Entscheidung, die nicht rückgängig gemacht werden kann. In Zukunft wird dies das Standardverhalten für alle Tenants sein.

Wenn ein Administrator bisher mehrere Rollenzuweisungen mit unterschiedlichen Bereichs-Tags für dieselbe Berechtigungskategorie hatte, hat Intune die Berechtigungen über diese Zuweisungen hinweg zusammengeführt, wodurch unbeabsichtigt ein breiterer Zugriff als beabsichtigt gewährt werden konnte. Mit aktivierten Scoped-Berechtigungen gelten die Berechtigungen jeder Rollenzuweisung nur innerhalb ihres eigenen Scope-Tag-Kontextes, so dass Administratoren genau den Zugriff erhalten, den Sie beabsichtigen.

Um Sie bei der Vorbereitung auf diese Änderung zu unterstützen, enthält Intune einen neuen Berechtigungsbewertungsbericht. Der Bericht enthält Details zu den aktuellen Berechtigungen Ihres Tenants und zeigt, wie sie sich nach der Aktivierung von Scoped-Berechtigungen ändern werden. Sie können den Bericht so oft wie nötig wiederholen, Rollenzuweisungen anpassen und den betroffenen Admins alle Änderungen mitteilen, bevor Sie sich für die Aktivierung entscheiden.