Intune Release 2610: Neuerungen im Überblick

Das Service Release 2610 umfasst 14 Einträge. Auffällig ist der Schwerpunkt auf Apple: Zwei Einträge entfernen oder beenden ältere Verfahren (MDM-Softwareupdates und Setup Assistant legacy), ein weiterer erweitert die VPN-Profile. Hinzu kommen Neuerungen bei Windows, bei der rollenbasierten Zugriffssteuerung und bei der Überwachung des Certificate Connector. Aus meiner Sicht sind für den Betrieb der neue Firewall-Endpunkt für Windows-Push-Benachrichtigungen und die Umstellung der Apple-Softwareupdates auf Declarative Device Management (DDM) am wichtigsten.

Schneller Überblick: Was ändert sich?

Die Spalte „Priorität" ist meine persönliche Einschätzung und nicht Teil der Release Notes.

Die Neuerungen im Detail

Referenced Apps auf AOSP-Geräten verwalten

Intune unterstützt für AOSP-Geräte jetzt den App-Typ „Referenced App". Die App wird über den Paketnamen identifiziert, ein APK-Upload entfällt. Du kannst OEM-Apps, vorinstallierte oder extern bereitgestellte Apps, die bereits auf unterstützten AOSP-Geräten vorhanden sind, mit dem Intent „Required" oder „Uninstall" zuweisen:

• Required blendet eine vorhandene App ein.
• Uninstall blendet sie aus.

Außerdem sollen sich Referenced Apps künftig über JSON-basierte App-Konfigurationsrichtlinien ansprechen lassen. Der Configuration Designer und Connected Apps werden dafür nicht unterstützt. Laut Release Notes können Organisationen damit auf den Geräten vorhandene Apps verwalten, ohne einen neuen Verteilungsweg für Apps einzuführen.

Enforce Routes in Apple-VPN-Profilen

Intune unterstützt die Apple-Funktion „Enforce Routes" in VPN-Profilen für iOS/iPadOS und macOS. Du definierst das Routingverhalten über die Optionen „Include all networks" und „Exclude local networks". Intune leitet daraus automatisch die passende Enforce-Routes-Konfiguration ab. Laut Release Notes verringert das die Risiken durch die Umgehung des VPN-Datenverkehrs und durch De-Cloaking und hält das Routingverhalten konsistent mit der Apple-Plattformlogik.

Weitere Informationen: Add VPN settings to Apple devices in Microsoft Intune

Legacy-MDM-Softwareupdate-Workloads für Apple werden entfernt

Intune entfernt die klassischen Apple-MDM-Softwareupdate-Workloads. Apple hat die zugrunde liegenden Befehle und Payloads in OS 27 eingestellt. Für die weitere Verwaltung von Softwareupdates sind die Update-Richtlinien über Apple Declarative Device Management vorgesehen. Damit bleiben die Intune-Oberfläche, Microsoft Graph und die Dokumentation an den von Apple unterstützten Funktionen ausgerichtet.

Weitere Informationen: Move to declarative device management for Apple software updates

MEFERI-OEMConfig-App für Android Enterprise

Intune unterstützt die OEMConfig-App von MEFERI (com.meferi.oemconfig) auf Android-Enterprise-Geräten. Du nutzt dafür den vorhandenen OEMConfig-Workflow in Intune und rollst die Einstellungen aus, die das vom Hersteller bereitgestellte Schema bietet. Individuelle Workarounds sind dafür nicht nötig. Das Vorgehen:

1. App aus Managed Google Play hinzufügen.
2. App zuweisen.
3. OEMConfig-Profil für das Bundle erstellen.

Weitere Informationen: Use OEMConfig on Android Enterprise devices in Microsoft Intune

Setup Assistant (legacy) für Apple-Registrierungsprofile eingestellt

Intune beendet die Unterstützung der Authentifizierung über „Setup Assistant (legacy)" für die automatisierte Geräteregistrierung (ADE) mit Benutzerzuordnung unter iOS/iPadOS und macOS. Damit folgt Intune den modernen Authentifizierungsstandards. Bestehende Profile werden automatisch auf „Setup Assistant with modern authentication" aktualisiert. Die Legacy-Option steht beim Erstellen oder Bearbeiten von Profilen nicht mehr zur Verfügung. Bereits registrierte Geräte bleiben registriert und sind nicht betroffen.

Administrator protection in Account-protection-Richtlinien

In den Endpoint-Security-Richtlinien „Account protection" stehen zwei neue Einstellungen für Administrator protection bereit. Auf unterstützten Windows-11-Versionen konfigurierst du den Typ des Administrator Approval Mode und das Verhalten der Eingabeaufforderung bei der Rechteerhöhung.

Weitere Informationen: Account protection policy

Aktualisierte Unterstützung für Push-Benachrichtigungen unter Windows

Microsoft hat die Konnektivität für Szenarien verbessert, die auf Push-Benachrichtigungen beruhen: Device actions, Win32 apps, PowerShell scripts und Remediations. Für ein optimales Ergebnis empfiehlt Microsoft, die Firewall-Regeln um einen neuen Endpunkt zu ergänzen (siehe Handlungsbedarfe).

DDM-Statusdaten von Apple OS 27 im Geräteinventar

Intune ergänzt das Geräteinventar um Statusdaten aus Apple OS 27, die über Declarative Device Management geliefert werden. Du findest dort neue Inventardaten zu:

• Gerätezustand der Hardwarekomponenten
• erweiterten Logging-Sitzungen
• Status des Content Cache
• Apple-MDM- und Sicherheitsstatus, etwa Registrierungstyp, „Awaiting Configuration" und Lockdown Mode

Welche Werte verfügbar sind, hängt vom unterstützten Betriebssystem, der Hardware, der Registrierung und den DDM-Fähigkeiten ab.

STIG-Audit-Baselines für Windows in kommerziellen Tenants

In kommerziellen Tenants lassen sich Windows-Geräte jetzt gegen Empfehlungen der Security Technical Implementation Guides (STIG) prüfen. Du kannst Auditergebnisse pro Einstellung und pro Gerät einsehen, um Konfigurationslücken zu erkennen und die Behebung zu priorisieren. Die Baseline wertet die unterstützten automatisierten Prüfungen aus und ändert dabei keine Geräteeinstellungen. Regeln, die eine manuelle Prüfung erfordern, musst du separat bewerten.

Voraussetzung: Das Feature erfordert Intune Advanced Analytics.

Weitere Informationen: Use STIG audit baselines to assess Windows device compliance

Administrator protection im Settings Catalog

Zwei Einstellungen für Administrator protection (Typ des Administrator Approval Mode und Verhalten der Eingabeaufforderung) stehen jetzt auch im Settings Catalog zur Verfügung, und zwar für Windows 11 in den Versionen 24H2 und 25H2. Damit sind die Einstellungen sowohl in den Account-protection-Richtlinien als auch im Settings Catalog verfügbar.

Weitere Informationen: Settings catalog

Agent runtime protection settings allgemein verfügbar

Die Endpoint-Security-Vorlage für die Agent-Runtime-Protection-Einstellungen von Microsoft Defender for Endpoint ist jetzt allgemein verfügbar, also ohne Preview-Kennzeichnung. Du verwaltest damit unterstützte Runtime-Protection-Einstellungen für Windows-Geräte. Die Intune-Richtlinienverwaltung ist damit an die allgemeine Verfügbarkeit in Microsoft Defender for Endpoint angeglichen. Neu in der Vorlage ist die Einstellung „AI agent runtime inspection".

Zustandsüberwachung für den Certificate Connector

Der Certificate Connector for Microsoft Intune zeigt Zustands- und Statussignale jetzt direkt im Microsoft Intune admin center an, sodass sich Probleme bei der Zertifikatausstellung früh erkennen lassen. Klare Indikatoren weisen auf typische Fehlerbilder hin:

• Der Connector erreicht die Zertifizierungsstelle (CA) nicht.
• Dem Dienstkonto des Connectors fehlt die Berechtigung zum Ausstellen oder Sperren von Zertifikaten.
• Zertifikatanforderungen werden abgelehnt, weil die Vorlage nicht zum PKCS-Profil passt.

Jedes Signal enthält Hinweise zur Untersuchung und Behebung. So kannst du eingreifen, bevor Geräte mit zertifikatsbasierter Authentifizierung Probleme bei Zugriff, Anmeldung oder Compliance bekommen.

Weitere Informationen: Certificate Connector for Microsoft Intune

Scoped permissions für RBAC allgemein verfügbar

Scoped permissions für die rollenbasierte Zugriffssteuerung sind jetzt allgemein verfügbar. Berechtigungen aus Rollenzuweisungen mit unterschiedlichen Scope-Tags werden unabhängig voneinander angewendet und nicht mehr zusammengeführt. So erhalten Administratoren innerhalb jedes Bereichs den beabsichtigten Zugriff. Bevor du Scoped permissions aktivierst, solltest du mit dem Permissions Assessment Report prüfen, wie sich der Zugriff ändern wird.

Weitere Informationen: Permission behavior across role assignments

Schnellere Bereitstellung von Windows-Skripten

Intune nutzt jetzt Push-Benachrichtigungen für administratorseitig ausgelöste und dienstseitige Änderungen an Windows-Skripten. Verwaltete Geräte können nach Änderungen früher einchecken. Das verringert Verzögerungen bei Bereitstellung und Aktualisierung gegenüber dem regulären Abfrageintervall. Ein neuer Workflow ist dafür laut Release Notes nicht erforderlich.

Handlungsbedarfe

Firewall: neuer Endpunkt für Windows-Push-Benachrichtigungen Microsoft empfiehlt, die Firewall-Regeln um folgenden Endpunkt zu ergänzen: *.trouter.communications.svc.cloud.microsoft Betroffen sind Device actions, Win32 apps, PowerShell scripts und Remediations. Die aktuelle Liste der erforderlichen Netzwerkendpunkte findest du in der Intune-Dokumentation unter Network requirements for PowerShell scripts and Win32 apps und Windows Push Notification Services (WNS) dependencies.

Apple-Softwareupdates: auf Declarative Device Management umstellen Die Legacy-MDM-Softwareupdate-Workloads werden aus Intune entfernt, weil Apple die zugrunde liegenden Befehle und Payloads in OS 27 eingestellt hat. Für die weitere Verwaltung von Softwareupdates sind die DDM-Update-Richtlinien vorgesehen. Es empfiehlt sich zu prüfen, ob in deiner Umgebung noch Richtlinien auf Basis der alten Workloads im Einsatz sind.

Setup Assistant (legacy) bei ADE nicht mehr verfügbar Bestehende ADE-Profile mit Benutzerzuordnung werden automatisch auf „Setup Assistant with modern authentication" aktualisiert. Beim Erstellen oder Bearbeiten steht die Legacy-Option nicht mehr zur Verfügung. Bereits registrierte Geräte sind nicht betroffen. Es empfiehlt sich, die Profile zu kontrollieren und den Registrierungsablauf mit moderner Authentifizierung zu testen.

Scoped permissions: Auswirkungen vorab prüfen Mit Scoped permissions werden Berechtigungen aus Rollenzuweisungen mit unterschiedlichen Scope-Tags unabhängig voneinander angewendet statt zusammengeführt. Nutze vor der Aktivierung den Permissions Assessment Report, um die Änderungen am Zugriff zu bewerten.

STIG-Audit-Baselines: Voraussetzung beachten Das Feature erfordert Intune Advanced Analytics. Regeln, die eine manuelle Prüfung erfordern, sind separat zu bewerten.

AOSP Referenced Apps: Einschränkungen berücksichtigen Der Configuration Designer und Connected Apps werden für Referenced Apps nicht unterstützt. Für die Konfiguration sind JSON-basierte App-Konfigurationsrichtlinien vorgesehen.

Fazit

Meiner Einschätzung nach hat Release 2610 einen klaren operativen Schwerpunkt. Es empfiehlt sich, die Firewall-Ergänzung zeitnah umzusetzen. Sie ist schnell erledigt und hilft dabei, die verbesserte Konnektivität für Push-basierte Szenarien wie Skripte, Win32-Apps und Remediations zu nutzen. Bei Apple lohnt ein Blick auf die Update-Strategie: Wer noch Richtlinien auf Basis der Legacy-Workloads nutzt, sollte die Umstellung auf DDM einplanen. Die allgemeine Verfügbarkeit von Scoped permissions ist für Umgebungen mit mehreren Scope-Tags relevant. Dort ist der Permissions Assessment Report ein sinnvoller erster Schritt, bevor du das Verhalten aktivierst.

Die übrigen Neuerungen erweitern den Funktionsumfang gezielt. Dazu gehören die STIG-Audit-Baselines, die Intune Advanced Analytics voraussetzen, die Zustandsüberwachung für den Certificate Connector, die Statusdaten von Apple OS 27 im Geräteinventar und Enforce Routes für Apple-VPN-Profile. Wie groß der Nutzen im Einzelfall ist, hängt von der jeweiligen Umgebung ab.

Quellen

• Add VPN settings to Apple devices in Microsoft Intune
• Move to declarative device management for Apple software updates
• Use OEMConfig on Android Enterprise devices in Microsoft Intune
• Account protection policy
• Network requirements for PowerShell scripts and Win32 apps
• Windows Push Notification Services (WNS) dependencies
• Use STIG audit baselines to assess Windows device compliance
• Settings catalog
• Certificate Connector for Microsoft Intune
• Permission behavior across role assignments