Intune Release 2606: macOS-Updates im Autopilot, Android Enterprise wird erwachsen
Mal ehrlich – wer kennt das nicht? Sie spielen neue macOS-App-Versionen ein, und die Nutzer vergessen grundsätzlich, auf „Install“ oder „Reinstall“ in Company Portal zu klicken. Die Release 2606 setzt dem ein Ende. Aber das ist nur die Spitze des Eisbergs. Diese Week ist vollgepackt mit Updates, die vor allem macOS-Admins und Android Enterprise-Spezialisten freuen werden.
Lass mich durchgehen, was sich ändert und wo du handeln musst.
Quick-Überblick: Was ändert sich?
| Feature | Plattform | Kategorie | Priorität |
|---|---|---|---|
| macOS PKG Auto-Updates | macOS | App Management | 🔴 Hoch |
| ChatGPT als Protected App | Alle | App Management | 🟡 Mittel |
| EAM für GCC High/DoD | Windows | Enterprise Management | 🔴 Hoch |
| EAM Auto-Update-Feature | Windows | App Management | 🟡 Mittel |
| 15+ neue Android Enterprise Settings | Android | Device Config | 🟢 Standard |
Die Highlights im Detail
🍎 macOS PKG Apps updaten sich jetzt selbst
Das ist echte Arbeitserleichterung: Wenn du eine verfügbare macOS PKG-App mit einer neueren Version hochlädst, deployt Intune das Update automatisch auf Geräte, auf denen die App bereits installiert ist.
Das funktioniert so:
– Du editierst eine bestehende App-Policy
– Lädst eine neuere Version der gleichen App hoch (gleiche Bundle ID)
– Intune erkennt das und rolled den Update automatisch aus
– Der Nutzer klickt nirgendwo auf „Install“ – es passiert einfach
Wichtig – Breaking Change:
Dafür brauchst du Microsoft Intune management agent for macOS Version 2606.013 oder neuer. Wenn Geräte noch älter sind, funktioniert der Auto-Update nicht. Das sollte in deiner Pre-Deployment-Checklist stehen.
Praktisches Beispiel:
Du hast Microsoft Edge 127.0 deployed. Jetzt kommt 127.0.1 raus. Du lädst die neue Version hoch → Intune pusht’s automatisch. Schluss mit Suppor-Tickets „Warum hab ich noch die alte Version?“
🤖 ChatGPT ist jetzt eine Protected App
Microsoft hat ChatGPT zur Liste der Protected Apps hinzugefügt. Das bedeutet, es unterliegt jetzt Intune App Protection Policies (APP) – Conditional Access, Offline-Sperren, Clipboard-Restrictions et cetera.
Das ist ein Signal: KI-Tools werden zunehmend ernst genommen in der Enterprise-Sicherheit. Wenn du sensible Daten schützen musst, kannst du ChatGPT jetzt granular steuern, ohne es zu blocken.
🏛️ Enterprise App Management jetzt auch für GCC High & DoD
Das ist Government-spezifisch wichtig: Microsoft bringt Enterprise App Management (EAM) in die GCC High (GCCH) und DoD Cloud-Umgebungen.
Was heißt das?
Gouvernementale Organisationen können jetzt im EAM-Katalog Microsoft- und Third-Party-Apps entdecken, deployen und updaten – ohne manuelle Repackaging. Ein sichere Cross-Cloud-Integration wahrt Compliance-Grenzen und Auth-Requirements für Government Tenants.
Impact für Government IT-Admins:
– Weniger manuelle App-Packaging-Arbeit
– Native Compliance mit FedRAMP/DoD-Anforderungen
– Schnellere App-Rollouts in sensitiven Umgebungen
⚡ EAM Auto-Update – Supersedence auf Autopilot
Neben GCC-Support kommt auch Auto-Update für EAM-Apps. Wenn du ein EAM-App mit required Assignment deployst und Auto-Update aktivierst:
- Intune erkennt eine neue Version im EAM-Katalog
- Update wird automatisch auf Zielgeräten installiert
- Keine manuellen Packaging-/Supersedence-Workflows mehr
Das spart:
– Zeitaufwand für Update-Management
– Fehleranfälligkeit durch manuelle Versionsersetzung
– Sicherheitslücken durch veraltete Apps
Wichtig: Das gilt nur für required Assignments. „Available“ Apps musst du noch manuell managen (das ist absichtlich, damit Nutzer die Kontrolle behalten).
🤖 Android Enterprise: 15+ neue Settings im Settings Catalog
Das ist die große Erweiterung: Intune 2606 bringt etwa 15 neue Android Enterprise Settings in den Settings Catalog. Hier die wichtigsten Kategorien:
Applications
- Block apps from exposing app functions – Verhindert, dass verwaltete Apps Funktionen für andere Apps/KI-Agenten freigeben (COBO, COSU, COPE)
- Block widgets from work profile apps – Widgets aus Work-Profile-Apps vom Home Screen blockieren (COPE)
Connectivity (neu in 2606)
- Allow selection of a preferential network service – Priorisiert bestimmte Netze (z.B. 5G Enterprise Slice)
- Block airplane mode – Flugzeugmodus deaktivieren
- Block cellular 2G – Nur auf Android 14+; verhindert 2G-Fallback
- Block configuring cell broadcasts – Notfall-Alerts blockieren (⚠️ – das kann problematisch sein!)
- Block configuring mobile networks – Nutzer darf Netz-Settings nicht ändern
- Block configuring VPN – VPN-Konfiguration durch Nutzer verhindern
- Block network reset – Netzwerk-Reset unterbinden
- Block outgoing calls – Telefonie komplett deaktivieren
- Block SMS – SMS-Versand/-Empfang blockieren
- Block ultra wideband – UWB (Android 14+) deaktivieren
- Select minimum Wi-Fi security level – Erzwingt WPA3-Pers/Enterprise (Android 13+)
General
- Block printing – Drucken verhindern
- Block setting user icon – Profilbild ändern verhindern
- Block setting wallpaper – Wallpaper-Änderung sperren
- Block users from adding eSIM profiles – eSIM-Management blockieren
Device Type Support:
- COBO – Corporate-Owned, Fully Managed
- COSU – Corporate-Owned, Shared/Dedicated
- COPE – Corporate-Owned, Personal-Enabled (Work Profile)
Meine Einschätzung: Das sind Sicherheits-Heavy-Hitter, besonders für:
– Kiosk-Devices (COSU) – Printing, Calls, SMS sperren
– Rugged Devices – 2G-Block, UWB-Control
– BYOD-ähnliche Szenarien (COPE) – Granulare Widget-Kontrolle
That’s it. Microsoft macht aktuell echt viel in Intune und versucht sich einer Omnissa mit großen Schritten zu nähern. Aber alles in allen. Omnissa rennt weiter und ist bis dato für mich immer noch das Top of the Top UEM/MDM.
Wenn man so wie ich, im täglichen Leben als 
müsst Ihr auf dem Gerät des Debugging-Modus & adb-Autorisierungs-Timout deaktivieren. Um dies zu ermöglichen, geht ihr wie folgt vor: