Intune-Baselines, Einstellungskatalog und GPO-Konflikte

Für cloudverwaltete und co-verwaltete Geräte sind Intune-Sicherheitsbaselines das MDM-Gegenstück zu den Gruppenrichtlinien-Baselines, die im Grundlagenartikel zu Sicherheitsbaselines beschrieben sind. Sie sind schnell verteilt, und genau darin liegt ihr Risiko: Eine Baseline, die neben Endpunktsicherheitsrichtlinien, Profilen aus dem Einstellungskatalog und geerbten GPOs zugewiesen wird, kann Konflikte erzeugen, durch die die wichtigsten Einstellungen überhaupt nicht angewendet werden.

Dieser Leitfaden zeigt, wie Sie die Baselines als eine saubere Schicht verteilen, wohin Ihre eigenen Einstellungen gehören, wie Gruppenrichtlinie und MDM auf hybriden Geräten zusammenwirken und wie Sie prüfen, was wirklich angewendet wurde.

Was Intune bietet

Unter Endpoint security > Security baselines stellt Intune mehrere versionierte Baselines bereit:

Neuere Baseline-Versionen basieren auf dem Format des Einstellungskatalogs (Settings catalog); jede Einstellung einer Baseline ist also dasselbe Objekt, das Sie in einem Einstellungskatalog-Profil konfigurieren würden. Das macht Reporting und Vergleich pro Einstellung viel einfacher als bei den älteren vorlagenbasierten Versionen.

Schritt 1: den Bestand abbilden

Bevor Sie Geräten, die bereits GPOs erhalten, etwas zuweisen, messen Sie die Überschneidung. Devices > Manage devices > Group Policy analytics importiert XML-Berichte von GPOs und zeigt, welche Einstellungen ein MDM-Gegenstück haben:

Get-GPOReport -Name "BL - Win11 24H2 - Computer" -ReportType Xml -Path C:\Temp\bl-computer.xml
Get-GPOReport -Name "Workstation Security" -ReportType Xml -Path C:\Temp\ws-security.xml

Laden Sie die XML-Dateien hoch, prüfen Sie die Spalte zur MDM-Unterstützung und nutzen Sie die Migrationsoption, um Einstellungskatalog-Profile für Ihre eigenen GPO-Einstellungen zu erstellen. Migrieren Sie für die Baseline selbst nicht das GPO, sondern verwenden Sie die Intune-Baseline, die für Sie gepflegt wird.

Schritt 2: eine Baseline pro Produkt verteilen, nah am Standard

Erstellen Sie ein Profil pro Baseline-Typ und weisen Sie es Ring für Ring Gerätegruppen zu, wie bei den Update-Ringen. Regeln, die das beherrschbar halten:

• Ändern Sie im Baseline-Profil so wenig wie möglich. Jeder geänderte Wert muss bei jedem Versionsupgrade erneut geprüft werden.
• Legen Sie Ausnahmen in separate, eng zugewiesene Profile nur dann, wenn die Baseline selbst nicht für alle den richtigen Wert enthalten kann. Ein abweichender Wert in einem zweiten Profil überschreibt die Baseline nicht, sondern erzeugt einen Konflikt. Für eine echte Ausnahme schließen Sie die Gerätegruppe vom Baseline-Profil aus und weisen eine Kopie mit dem abweichenden Wert zu, oder Sie ändern den Wert in der Baseline für alle.
• Weisen Sie demselben Gerät nicht zwei Versionen derselben Baseline zu.
• Pilotieren Sie auf Geräten, die auch Ihre übliche Software ausführen: Die Windows-Baseline aktiviert Einstellungen wie LSA-Schutz und Credential Guard, die alte Treiber, VPN-Plug-ins und Smartcard-Middleware brechen.

Schritt 3: Überschneidungen mit Endpunktsicherheitsrichtlinien vermeiden

Intune kann dieselbe Einstellung an vielen Stellen konfigurieren: Sicherheitsbaselines, Endpunktsicherheitsrichtlinien (Antivirus, Attack surface reduction, Firewall, Account protection, Disk encryption, EDR), Einstellungskatalog-Profile und Vorlagen. Setzen zwei Profile dieselbe Einstellung auf einem Gerät auf unterschiedliche Werte, meldet Intune für diese Einstellung einen Conflict, und Sie können sich nicht darauf verlassen, welcher Wert, wenn überhaupt, angewendet wird. Setzen sie den gleichen Wert, gibt es keinen Konflikt, aber es bleibt doppelter Pflegeaufwand.

Eine praktische Aufteilung:

Setzt eine Baseline etwas, das Sie in einer Endpunktsicherheitsrichtlinie verwalten (zum Beispiel den Status von ASR-Regeln), lassen Sie den Wert in beiden identisch, oder setzen Sie ihn im Baseline-Profil auf nicht konfiguriert und dokumentieren, dass die Endpunktsicherheitsrichtlinie dafür zuständig ist.

Schritt 4: Gruppenrichtlinien auf hybriden Geräten handhaben

Hybrid eingebundene Geräte erhalten oft weiterhin Domänen-GPOs, während Intune Baselines verteilt. Konfigurieren beide dieselbe Einstellung, hängt das Ergebnis standardmäßig vom Bereich der Einstellung und der Verarbeitungsreihenfolge ab; behandeln Sie es als undefiniert.

Der Bereich ControlPolicyConflict des Policy CSP bietet MDMWinsOverGP (Einstellungskatalog: Control Policy Conflict > MDM Wins Over GP; OMA-URI ./Device/Vendor/MSFT/Policy/Config/ControlPolicyConflict/MDMWinsOverGP, Integer 1). Ist es gesetzt, haben per MDM gelieferte Policy-CSP-Einstellungen Vorrang vor ihren Gruppenrichtlinien-Entsprechungen. Seine Grenzen sind wichtig:

• Es deckt Policy-CSP-Einstellungen ab, die eine Gruppenrichtlinien-Entsprechung haben. Einstellungen aus anderen CSPs, etwa Teile der BitLocker-, Defender- oder Firewallkonfiguration, sind nicht abgedeckt.
• Es entfernt das GPO nicht; das GPO wird weiterhin verarbeitet und setzt alles, was MDM nicht setzt.
• Abgedeckt sind nur Einstellungen, die Microsoft einer Gruppenrichtlinien-Entsprechung zuordnet. Prüfen Sie eine Einstellung in Microsofts Liste Policies in Policy CSP supported by Group Policy, bevor Sie annehmen, dass MDM gewinnt; für alles außerhalb davon warnt Microsoft vor einer Race Condition ohne Garantie, welche Quelle gewinnt.

Die dauerhafte Lösung ist klare Zuständigkeit: Legen Sie für jede OU mit hybriden Geräten fest, ob GPO oder Intune die Sicherheitskonfiguration verantwortet. Verschieben Sie auf mit Configuration Manager co-verwalteten Geräten die Workloads Device configuration und Endpoint Protection nach Intune, sobald Intune zuständig wird, und heben Sie dann die Verknüpfung der alten GPOs mit diesen OUs auf.

Schritt 5: Versionen verwalten

Microsoft veröffentlicht neue Baseline-Versionen, während sich Windows und die Produkte weiterentwickeln. Wenn eine neue Version erscheint:

1. Lesen Sie die Einstellungsliste und die Änderungshinweise, die Microsoft für die neue Version veröffentlicht, und prüfen Sie jede hinzugefügte, entfernte und geänderte Einstellung, wie Sie es bei GPOs mit Policy Analyzer tun würden (siehe Policy Analyzer und LGPO).
2. Wählen Sie unter Endpoint security > Security baselines das Profil und dann Update Version, mit der Option, Ihre bestehenden Anpassungen zu übernehmen. Intune erstellt ein neues, paralleles Profil auf der neuesten Version; das Original bleibt unverändert, und seine Einstellungen werden schreibgeschützt, sobald eine neuere Version existiert.
3. Das neue Profil hat keine Zuweisungen und keine Bereichsmarkierungen. Weisen Sie es der Pilotgruppe zu und beobachten Sie eine Woche lang die Konflikt- und Fehlerberichte.
4. Verschieben Sie die übrigen Gruppen Ring für Ring und entfernen Sie jede Gruppe aus dem alten Profil, sobald Sie sie dem neuen hinzufügen, damit nie beide Versionen dasselbe Gerät erreichen. Löschen Sie das alte Profil, sobald ihm nichts mehr zugewiesen ist.

Profile, die vor Mai 2023 erstellt wurden, verwenden das ältere Vorlagenformat und lassen sich nicht direkt aktualisieren: Exportieren Sie ihre Einstellungen mit Change Version als CSV und erstellen Sie sie auf der aktuellen Version neu.

Überprüfung

Öffnen Sie in Intune das Baseline-Profil und prüfen Sie Device status und Per-setting status. Jede Einstellung im Zustand Conflict oder Error erfüllt ihre Aufgabe nicht, selbst wenn das Profil insgesamt fehlerfrei aussieht. Auf einem Gerät:

# MDM-Diagnosebericht erzeugen (HTML plus ergänzende Dateien)
MdmDiagnosticsTool.exe -out C:\Temp\MDMDiag

# Aktuell über den Policy CSP angewendete Werte, pro Bereich
Get-ChildItem 'HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device' |
  Select-Object -ExpandProperty PSChildName

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device\ControlPolicyConflict' -ErrorAction SilentlyContinue

Denselben Bericht erhalten Sie über Settings > Accounts > Access work or school > (Ihr Konto) > Info > Create report. Fehler bei der Richtlinienanwendung werden unter Applications and Services Logs > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider > Admin protokolliert; Ereignis 404 meldet einen fehlgeschlagenen Befehl, mit Einstellungspfad und Fehlercode in der Meldung.

Vergleichen Sie abschließend den effektiven Zustand mit der Absicht der Baseline. Der Vergleich des effektiven Zustands in Policy Analyzer oder gpresult /h zeigen, ob ein GPO auf hybriden Geräten noch dieselben Werte setzt.

Was kaputtgeht

• Stille Konflikte. Eine Einstellung im Konflikt wird schlicht nicht angewendet. Prüfen Sie den Status pro Einstellung nach jedem neuen Profil.
• Tätowierte Einstellungen nach Aufheben der Zuweisung. Das Entfernen einer Baseline stellt nicht immer die Standardwerte wieder her. Setzen Sie explizite Werte, wenn Sie zurückrollen müssen.
• Treiber- und VPN-Probleme durch LSA-Schutz, Credential Guard oder Speicherintegrität. Pilotieren Sie auf echter Hardware.
• Doppelte Verwaltung auf hybriden Geräten. Ein GPO und ein Intune-Profil, die um Firewall- oder Defender-Einstellungen konkurrieren, erzeugen sporadisches Verhalten, das schwer zu diagnostizieren ist.
• Annahmen über Windows Server. Intune-Baselines zielen auf Windows-Clients; für Windows Server 2025 verwenden Sie OSConfig, wie im Leitfaden zu Konfigurationsdrift beschrieben.

Checkliste

• GPO-Überschneidung mit Group Policy analytics gemessen
• Ein Profil pro Baseline-Typ, nah am Standard, nach Ringen zugewiesen
• Ausnahmen über Ausschlussgruppen gelöst, nicht über konkurrierende Profile
• Klare Zuständigkeit zwischen Baselines, Endpunktsicherheitsrichtlinien und Einstellungskatalog
• Hybride OUs einem einzigen Verantwortlichen zugeordnet; MDMWinsOverGP nur während der Migration verwendet
• Konflikt- und Fehlerberichte pro Einstellung nach jeder Änderung geprüft
• Versionsupgrades verglichen, pilotiert und Ring für Ring ausgerollt
• Prüfungen am Gerät dokumentiert (MDM-Diagnosebericht, Ereignisprotokoll)

Intune-Baselines sind der schnellste Weg zu einer sicheren Konfiguration auf cloudverwaltetem Windows, solange Sie die Konfigurationsquellen sauber halten. Der übrige Bereich Sicherheitsbaselines behandelt Tests, Vergleiche und Drift.