Mobile Geräte, Notebooks und persönliche Smartphones sind heute der primäre Zugangspunkt zu Geschäftsdaten – und damit das grösste Risiko für Schweizer KMU. Microsoft Intune ist Microsofts Lösung für Endpoint Management (MDM/MAM) und in Microsoft 365 Business Premium bereits enthalten. Dieser Leitfaden zeigt Schweizer KMU 2026, wie Intune produktiv aufgesetzt wird.

Was ist Microsoft Intune?

Microsoft Intune (Teil der Microsoft Intune Suite) ist eine Cloud-basierte Endpoint-Management-Lösung. Sie umfasst:

• Mobile Device Management (MDM) – Verwaltung des kompletten Geräts
• Mobile Application Management (MAM) – Schutz von Daten in einzelnen Apps (BYOD)
• Endpoint Configuration – Policies für Windows 11, macOS, iOS, Android, Linux
• Endpoint Security – Antivirus, Disk Encryption, Firewall, Defender-Integration
• App Deployment – Microsoft Store, Win32-Apps, LOB-Apps, Updates

Voraussetzungen für Schweizer KMU

Die 6 Phasen eines Intune Rollouts

1. Discovery (1–2 Wochen)

• Inventur aller Geräte (firmeneigen vs. BYOD)
• Aktuelle MDM-Lösung (oft Active Directory Group Policy oder gar nichts)
• Apps und Use Cases pro Persona
• Compliance-Anforderungen (nDSG, ISO 27001, FINMA)

2. Tenant-Setup (1 Woche)

• Microsoft Entra ID Hardening (siehe Security-Seite)
• Geräte-Plattformen aktivieren (Windows / Apple / Android)
• Apple Business Manager / Android Enterprise Konfiguration
• Conditional Access Baseline-Policies

3. Compliance Policies (2 Wochen)

• Windows 11 – BitLocker, Defender, Min-Version, Firewall
• macOS – FileVault, System Integrity Protection, Min-OS
• iOS – Passcode, Jailbreak-Detection, Min-OS, App-Restriktionen
• Android – Work Profile, Encryption, Verified Boot, Min-OS

Geräte, die diese Compliance-Policies nicht erfüllen, werden von Conditional Access vom M365-Zugang ausgeschlossen.

4. Configuration Profiles (2–3 Wochen)

• WLAN-Profile (z. B. CNEXT-Corporate)
• VPN-Konfiguration (Always-On für Notebooks)
• E-Mail-Profile (Outlook automatisch konfigurieren)
• Browser-Hardening (Microsoft Edge mit Sicherheitspolicies)
• BitLocker / FileVault Recovery Keys in Entra ID hinterlegen

5. App Deployment (2 Wochen)

• Microsoft 365 Apps Update Channel (Monthly Enterprise empfohlen)
• LOB-Apps (z. B. Bexio, Abacus, Swisscom-Apps)
• Win32-App-Packaging mit Intune Win32 Content Prep Tool
• Microsoft Store for Business / Microsoft Store Apps
• Update Rings für Windows 11 Feature und Quality Updates

6. Pilot, Rollout und Adoption (4–8 Wochen)

• Pilot-Gruppe aus 5–10 Geräten / Personas
• Schulung Helpdesk
• Kommunikation Mitarbeitende (Was ändert sich? Was bleibt privat? – wichtig bei BYOD!)
• Rollout in Wellen (z. B. 25 Geräte / Woche)

BYOD mit Microsoft Intune

In Schweizer KMU sind persönliche Smartphones für Outlook und Teams die Regel. Mit MAM (App Protection Policies) schützt Intune Geschäftsdaten in den Apps – ohne das gesamte private Gerät zu verwalten:

• Geschäftsdaten dürfen nicht in private Apps kopiert werden
• Geschäftsdaten erfordern PIN / Biometrie zum Öffnen
• Remote-Wipe nur der Geschäftsdaten möglich
• Privatfotos bleiben privat

Wichtig für die nDSG-Konformität: klare Information der Mitarbeitenden und Einwilligung bei BYOD.

Microsoft Defender for Endpoint Integration

Mit Microsoft Defender for Business (in M365 Business Premium enthalten) wird Intune zur kompletten Endpoint-Security-Plattform:

• Antivirus / Antimalware
• Endpoint Detection & Response (EDR)
• Attack Surface Reduction Rules
• Web Protection (Anti-Phishing)
• Schwachstellen-Management mit Microsoft Defender Vulnerability Management

Schweizer Besonderheiten

• Datenresidenz: Intune-Daten liegen in der EU Data Boundary; Telemetrie kann optional reduziert werden
• Sprachen: UI-Sprachen DE / FR / IT / EN für mehrsprachige Schweizer Teams
• Lokale Apps: Bexio, Abacus, Swisscom Apps via Intune deploybar
• Notebooks im Homeoffice: Always-On VPN, Conditional Access, Defender for Endpoint sind Pflicht

Häufige Fragen

Brauchen wir wirklich Intune, wenn alle Geräte im Büro stehen? Ja. Intune liefert Patch-Management, Compliance, Reporting und Conditional Access auch für stationäre Geräte – und ist in Microsoft 365 Business Premium kostenlos enthalten.

Wie verträgt sich Intune mit unserer bestehenden Active Directory? Hybrid-Szenarien sind möglich (Hybrid Azure AD Join, Co-Management mit SCCM/Intune). Für KMU empfiehlt CNEXT meist den Wechsel zu Cloud-only mit Entra ID + Intune.

Was kostet ein Intune Rollout für ein 50-Mitarbeitende-KMU? Typisch CHF 15'000–35'000 für Discovery, Konzept, Implementierung und Schulung – abhängig von Geräteanzahl und Compliance-Anforderungen.

Können wir Apple-Geräte (Mac, iPhone) auch verwalten? Ja. Intune unterstützt Windows, macOS, iOS und Android gleichwertig. Für Apple braucht es Apple Business Manager (kostenlos für Schweizer Firmen).

Fazit

Microsoft Intune ist 2026 für Schweizer KMU der Standard für Endpoint Management. Mit Microsoft 365 Business Premium ist Intune bereits enthalten – nutzen Sie es. CNEXT ist Microsoft Solutions Partner aus Bern und führt strukturierte Intune-Rollouts für Schweizer KMU durch.