Zwei Verwaltungswege sauber trennen

Gruppenrichtlinien oder Microsoft Intune: welche Einstellung gehört wohin

Der Vergleich betrifft nicht die ganze Landschaft, sondern die Geräteklassen einzeln. Diese Seite ordnet sechs Kriterien, an denen sich die Grenze wirklich entscheidet, und benennt die Fälle, in denen beide Wege gleichzeitig ein Problem sind.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Seit 1997 am Markt Kleine Gruppen Präsenz und Live-Online Zertifizierte Trainer
Worum es geht

Zwei Wege, dieselbe Einstellung, und niemand weiß, welcher gewinnt

Der Übergang beginnt selten mit einer Entscheidung. Ein Projekt führt eine Anwendung ein, die über den Einstellungskatalog verteilt wird. Ein zweites Projekt registriert neue Notebooks in der Geräteverwaltung, weil sie ohnehin selten im Haus sind. Ein drittes setzt eine Sicherheitsvorgabe an derselben Stelle noch einmal, weil im Verzeichnis niemand kurzfristig Zeit hat. Nach einem Jahr existieren zwei Verwaltungswege nebeneinander, ohne dass jemals festgelegt wurde, wofür welcher zuständig ist.

Solange sich beide Wege nicht überschneiden, geht das gut. Sobald dieselbe Einstellung auf beiden Wegen gesetzt ist, wird es unangenehm. Windows kennt zwar einen Schalter, der bei einem Konflikt der MDM-Seite den Vorrang gibt, doch er ist standardmäßig ausgeschaltet und wirkt ausdrücklich nur für Einstellungen aus dem Policy CSP. Microsoft schreibt dazu unmissverständlich, dass ohne diesen Schalter ein Rennen entsteht und nicht garantiert ist, welche Seite gewinnt.

Erschwerend kommt hinzu, dass die Fehlersuche in beiden Welten unterschiedlich aussieht. Auf der einen Seite steht ein Bericht am Gerät, der die angewandten Objekte auflistet. Auf der anderen ein Portal, das je Einstellung anzeigt, auf wie vielen Geräten sie angekommen ist. Wer den Konflikt sucht, muss beide Sichten nebeneinanderlegen, und genau das macht im Alltag niemand, solange nichts brennt.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der direkte Vergleich

Sechs Kriterien, an denen sich die Grenze wirklich entscheidet

Verglichen werden hier nicht Oberflächen und Begriffe, sondern die sechs Eigenschaften, die im Betrieb Zeit kosten oder sparen: Reichweite zu den Geräten, Abdeckung im Serverbetrieb, Geschwindigkeit einer Änderung, zentrale Nachvollziehbarkeit, Verhalten bei doppelt gesetzten Einstellungen und die Voraussetzungen, die der Weg mitbringt.

Gruppenrichtlinien

Verteilung über Active Directory an Geräte, die der Domäne beigetreten sind; Aktualisierung im Hintergrund alle 90 Minuten mit einem zufälligen Zuschlag von null bis 30 Minuten, auf Domänencontrollern alle fünf Minuten; Nachweis je Gerät über gpresult

Microsoft Intune

Verteilung als Clouddienst über das MDM-Protokoll an registrierte Geräte; planmäßige Wartungssynchronisierung etwa alle acht Stunden, frühestens alle sechseinhalb Stunden; Nachweis je Einstellung im Verwaltungsportal

Erreichst du damit auch Geräte, die selten im Firmennetz sind?

Gruppenrichtlinien

Die Aktualisierung setzt eine erreichbare Verbindung zu einem Domänencontroller voraus. Ein Notebook, das wochenlang nur im Homeoffice und im Hotel läuft, bekommt ohne VPN keine neue Vorgabe. Das ist kein Fehler, sondern die Bauart: Gruppenrichtlinien sind für Geräte im eigenen Netz gemacht.

Microsoft Intune

Ein registriertes Gerät meldet sich über das Internet, unabhängig davon, wo es steht. Genau das ist der Grund, warum Häuser mit vielen mobilen Geräten diesen Weg gehen. Voraussetzung ist, dass das Gerät die nötigen Netzendpunkte erreicht; ohne sie kommen die Benachrichtigungen nicht an und es bleibt bei der planmäßigen Synchronisierung.

Deckt es die Einstellungen ab, die du im Serverbetrieb wirklich brauchst?

Gruppenrichtlinien

Für Domänencontroller, Datei- und Sitzungshosts ist dies der vorgesehene und praktisch einzige Weg. Alles, was an Sicherheitsvorlagen, Diensteinstellungen, Anmelderechten und Skripten gebraucht wird, ist hier abgebildet, einschließlich der Einstellungen für Windows LAPS, die als eigener Knoten in den administrativen Vorlagen stehen.

Microsoft Intune

Der Einstellungskatalog ist auf Clients zugeschnitten und wird aus den Konfigurationsdienstanbietern von Windows erzeugt. Serverrollen, Verzeichnisdienste und die klassischen Sicherheitsvorlagen sind dort schlicht nicht vorgesehen. Wer Server über diesen Weg verwalten will, arbeitet gegen die Bauart des Werkzeugs.

Wie schnell und wie vorhersehbar kommt eine Änderung an?

Gruppenrichtlinien

Die 90 Minuten mit dem Zuschlag sind der Regelfall, und mit gpupdate oder Invoke-GPUpdate lässt sich die Aktualisierung sofort erzwingen, auch aus der Ferne. Der Ablauf ist dokumentiert und in beide Richtungen einstellbar. Für kurzfristige Änderungen im Rechenzentrum ist das ein handfester Vorteil.

Microsoft Intune

Änderungen lösen eine Benachrichtigung aus, die zwischen sofort und einigen Stunden ankommt, und daneben läuft der Takt von etwa acht Stunden. Eine einzelne Synchronisierung lässt sich aus dem Portal oder vom Gerät aus anstoßen, für tausend Geräte hilft das aber wenig. Bei Zuweisungen über dynamische Gruppen kommt zusätzlich die Verarbeitung der Gruppenmitgliedschaft dazu.

Wie gut siehst du zentral, was auf den Geräten wirklich angekommen ist?

Gruppenrichtlinien

Der Nachweis entsteht am einzelnen Gerät. gpresult liefert einen guten Bericht, aber eben je Gerät, und Get-GPResultantSetOfPolicy skaliert dieses Vorgehen nur begrenzt. Eine Übersicht darüber, auf wie vielen Rechnern eine bestimmte Einstellung angekommen ist, gibt es ohne zusätzliche Werkzeuge nicht.

Microsoft Intune

Das Portal zeigt den Status je Richtlinie und zusätzlich je Einstellung: wie viele Geräte sie erfolgreich angewandt haben, auf wie vielen sie in einem Konflikt steht und wo sie fehlgeschlagen ist. Die Daten lassen sich filtern und als Datei ausgeben. Für Nachweise gegenüber Prüfern ist das der deutlich kürzere Weg.

Was passiert, wenn dieselbe Einstellung auf beiden Wegen gesetzt ist?

Gruppenrichtlinien

Ist der Vorrang für MDM aktiv, blockiert der Dienst das Setzen der Einstellung über die Konsole, ohne dass das im Verzeichnis sichtbar wäre. Die blockierten Einstellungen stehen nur im erweiterten Diagnosebericht des Geräts. Wer dort nicht nachsieht, sucht den Fehler an der falschen Stelle.

Microsoft Intune

Der Vorrang lässt sich einschalten, greift aber ausdrücklich nur für Einstellungen aus dem Policy CSP und nicht für andere Bereiche wie den Defender CSP. Für alles außerhalb dieses Rahmens empfiehlt Microsoft, dieselbe Einstellung gar nicht erst doppelt zu setzen, weil sonst kein verlässliches Ergebnis garantiert ist.

Was kostet der Weg an Voraussetzungen und Lizenzen?

Gruppenrichtlinien

Es fällt nichts zusätzlich an. Die Verwaltung gehört zum Verzeichnisdienst, die Konsole kommt mit den Remoteserver-Verwaltungstools, und außer einem Domänenbeitritt braucht es nichts. Für ein Haus, das ohnehin ein Active Directory betreibt, sind die Kosten bereits bezahlt.

Microsoft Intune

Es braucht eine Lizenz für jede Person und jedes Gerät, das den Dienst nutzt, ob unmittelbar oder mittelbar. Intune ist in mehreren Microsoft-365-Paketen enthalten und daneben als eigener Plan erhältlich; für Geräte ohne feste Zuordnung gibt es ein eigenes Abonnement mit Einschränkungen. Dazu kommt die Registrierung der Geräte als eigener Vorgang.

Was passt wann

Wenn es um Server geht, die der Domäne beigetreten sind
bleibt es bei Gruppenrichtlinien, und die Frage stellt sich gar nicht erst.
Wenn ein großer Teil der Arbeitsplatzrechner mobil ist und selten im Firmennetz steht
lohnt der Übergang für genau diese Geräteklasse, und zwar vollständig statt zur Hälfte.
Wenn ihr heute nicht sagen könnt, welche Einstellungen im Verzeichnis überhaupt gesetzt sind
räumt zuerst den Bestand auf, denn ohne Liste ist jede Bewertung der Abdeckung geraten.
Wenn eine Übergangsphase mit Überschneidungen unvermeidlich ist
schaltet den Vorrang für MDM bewusst ein, dokumentiert die betroffenen Einstellungen und plant ein Ende dieser Phase.

Fünf Fragen, und die Grenze steht

  1. 01 Ist das Gerät ein Server im Rechenzentrum oder ein Arbeitsplatzrechner?
  2. 02 Ist es der Domäne beigetreten, in Entra ID registriert oder beides?
  3. 03 Gibt es für die benötigten Einstellungen überhaupt eine Entsprechung auf der anderen Seite?
  4. 04 Wird irgendwo dieselbe Einstellung auf beiden Wegen gesetzt?
  5. 05 Steht fest, welcher Bericht im Störfall als Nachweis gilt?
Was du mitnimmst

Wie du die Grenze festlegst, statt sie entstehen zu lassen

Die Trennung gelingt, wenn sie einmal aufgeschrieben und danach eingehalten wird. Sechs Festlegungen reichen, und sie kosten zusammen weniger Zeit als die erste Fehlersuche, die aus einer doppelt gesetzten Einstellung entsteht.

Nach Geräteklassen trennen, nicht nach Einstellungen

Die belastbare Grenze verläuft entlang der Geräte, nicht entlang der Themen. Server, die der Domäne beigetreten sind, bleiben bei Gruppenrichtlinien. Arbeitsplatzrechner gehen entweder ganz auf den einen oder ganz auf den anderen Weg. Ein Gerät, das für einen Teil seiner Einstellungen aus dem Verzeichnis und für einen anderen Teil aus der Cloud versorgt wird, ist der Zustand, den du vermeidest, auch wenn er technisch möglich ist.

Den vorhandenen Bestand erst einlesen, dann bewerten

Intune bringt ein Werkzeug mit, das exportierte Richtlinienobjekte einliest und je Einstellung ausweist, ob es eine Entsprechung gibt. Du exportierst dafür in der Konsole einen Bericht als XML, wobei eine einzelne Datei vier Megabyte nicht überschreiten darf, und lädst ihn hoch. Das Ergebnis nennt einen Prozentwert für die Abdeckung, listet nicht unterstützte und veraltete Einstellungen und weist aus, welche gar nicht ausgewertet werden konnten.

Bei deutschsprachigen Objekten den Prozentwert einordnen

Unter den bekannten Problemen steht ein Punkt, den du vorher wissen solltest: Das Werkzeug wertet Einstellungen außerhalb der administrativen Vorlagen nur in englischer Sprache aus. Importierst du ein Objekt mit deutschsprachigen Einstellungen, ist der ausgewiesene Prozentwert ungenau. Für eine erste Einschätzung reicht das, für eine Entscheidungsvorlage gehört der Hinweis dazu.

Den Konfliktschalter bewusst setzen oder bewusst weglassen

Der Schalter MDMWinsOverGP sorgt dafür, dass eine über MDM gesetzte Einstellung die entsprechende Gruppenrichtlinie blockiert. Sein Standardwert ist null, er ist also aus. Er gilt nur für Einstellungen aus dem Policy CSP und nicht für andere Bereiche, etwa den Defender CSP. Setz ihn, wenn du eine Übergangsphase mit Überschneidungen bewusst steuerst, und lass ihn aus, wenn du die Überschneidung von vornherein ausschließt.

Die Zeitfenster in die Planung nehmen

Gruppenrichtlinien werden im Hintergrund alle 90 Minuten mit einem zufälligen Zuschlag von null bis 30 Minuten aktualisiert und lassen sich mit gpupdate erzwingen. Geräte in der Verwaltung über Intune melden sich planmäßig etwa alle acht Stunden, dürfen dabei aber höchstens alle sechseinhalb Stunden eine Wartungssynchronisierung durchführen; frisch registrierte Windows-Geräte melden sich zunächst deutlich häufiger. Wer eine Änderung für den nächsten Morgen zusagt, sollte diesen Unterschied kennen.

Für jede Seite festlegen, woran der Erfolg gemessen wird

Auf der Seite der Gruppenrichtlinien ist der Nachweis ein Bericht am Gerät, etwa aus gpresult /h. Auf der Seite von Intune ist es der Bericht je Einstellung im Verwaltungsportal, der zeigt, auf wie vielen Geräten eine Einstellung angekommen ist, in einem Konflikt steht oder fehlgeschlagen ist. Leg vorher fest, welcher Nachweis für welche Geräteklasse gilt, sonst diskutiert ihr im Störfall über Werkzeuge statt über die Ursache.

KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt

Warum die Frage selten mit einem Wort zu beantworten ist

Die beiden Wege sind nicht zwei Fassungen desselben Werkzeugs, sondern zwei verschiedene Bauarten. Gruppenrichtlinien setzen ein Verzeichnis voraus, an dem sich ein Gerät anmeldet, und verteilen ihre Vorgaben über eine Struktur aus Organisationseinheiten. Intune setzt eine Registrierung im Mandanten voraus und verteilt seine Vorgaben über die Konfigurationsdienstanbieter von Windows an Gruppen von Geräten und Konten. Was der eine über die Position im Verzeichnis regelt, regelt der andere über die Zuweisung an eine Gruppe.

Daraus folgt die eigentliche Trennlinie. Server im Rechenzentrum sind der Domäne beigetreten, haben ständige Sicht auf einen Domänencontroller und brauchen Einstellungen, die es im Einstellungskatalog gar nicht gibt. Arbeitsplatzrechner dagegen sind zunehmend mobil, brauchen die klassischen Serverrollen nicht und lassen sich über die Cloud auch dann erreichen, wenn sie monatelang nicht im Haus waren.

Wichtig ist die Unterscheidung nach Beitrittsart. Ein Gerät kann der Domäne beigetreten sein, in Entra ID registriert sein oder beides gleichzeitig. Erst der letzte Fall macht die Doppelverwaltung überhaupt möglich, und genau dort entstehen die Konflikte. Für die Themen rund um Entra ID, hybride Identitäten und die Registrierung selbst ist der Cloudbereich der richtige Ort; hier geht es nur um die Abgrenzung der Verwaltungswege.

Was Windows tut, wenn beide Seiten dieselbe Einstellung setzen

Windows kennt für diesen Fall einen Schalter mit dem Namen MDMWinsOverGP. Steht er auf eins, blockiert der Dienst für Gruppenrichtlinien das Setzen jeder Einstellung, für die eine gleichwertige Vorgabe über MDM existiert. Sein Standardwert ist null, ohne aktives Zutun gibt es also keinen definierten Vorrang. Wird er wieder auf null gesetzt oder gelöscht, werden die zuvor gesicherten Vorgaben aus den Gruppenrichtlinien wiederhergestellt.

Die Einschränkung steht direkt daneben und ist der eigentliche Punkt: Der Schalter gilt nur für Einstellungen aus dem Policy CSP. Für andere Bereiche, ausdrücklich genannt wird der Defender CSP, greift er nicht. Microsoft empfiehlt deshalb, dieselben Einstellungen nicht gleichzeitig über Gruppenrichtlinien und über MDM zu konfigurieren, solange sie nicht unter der Kontrolle dieses Schalters stehen, weil sonst ein Rennen entsteht und keine Seite garantiert gewinnt.

Für die Fehlersuche gibt es einen Ort, an dem die blockierten Vorgaben sichtbar werden: der erweiterte Diagnosebericht, den ein Gerät in den Einstellungen unter dem Zugriff auf Arbeits- oder Schulkonto erzeugt. Er listet unter anderem die Einstellungen aus den Gruppenrichtlinien, die blockiert wurden, weil eine gleichwertige MDM-Vorgabe vorliegt. Wer diesen Bericht kennt, spart sich lange Diskussionen darüber, wer wem im Weg steht.

Der geordnete Übergang und was er wirklich zeigt

Für den Weg vom Verzeichnis in die Cloud gibt es ein eigenes Werkzeug. In der Konsole für Gruppenrichtlinien speicherst du zu einem Objekt einen Bericht als XML, wobei eine einzelne Datei vier Megabyte nicht überschreiten darf, sonst schlägt der Import fehl. In Intune liest du diese Datei ein und bekommst je Objekt einen Prozentwert für die Abdeckung sowie eine Spalte für Einstellungen, die nicht ausgewertet werden konnten.

In der Detailansicht steht für jede Einstellung, ob es eine Entsprechung gibt, welchen Wert das Objekt setzt, ob die Einstellung auf Geräte oder auf Konten wirkt, ab welcher Windows-Fassung sie gilt und welcher Konfigurationsdienstanbieter dahintersteht. Für die Einstellungen mit Entsprechung lässt sich daraus unmittelbar eine Richtlinie im Einstellungskatalog erzeugen. Ein zusätzlicher Bericht fasst den Bestand nach den Kategorien bereit für den Umzug, nicht unterstützt und veraltet zusammen.

Zwei Dinge solltest du dabei einordnen. Erstens misst der Prozentwert nur die Abdeckung, nicht den Aufwand; eine Einstellung mit Entsprechung kann trotzdem eine andere Zuweisungslogik brauchen. Zweitens gilt die erwähnte Einschränkung für Einstellungen außerhalb der administrativen Vorlagen in anderen Sprachen als Englisch. Für ein deutschsprachiges Haus heißt das: Der Wert ist ein Anhaltspunkt, keine Zusage.

Was im Verzeichnis bleiben wird

Auch in Häusern, die ihre Arbeitsplatzrechner vollständig über die Cloud verwalten, bleibt ein Kern im Verzeichnis. Dazu gehören alle Server, die der Domäne beigetreten sind, die Verzeichnisdienste selbst, die Dateidienste mit ihren auf Kerberos gestützten Zugriffen und alles, was an Sicherheitsvorlagen und Anmelderechten hängt. Diese Themen sind im Einstellungskatalog nicht abgebildet, weil sie nie dafür gedacht waren.

Auch die Verwaltung lokaler Administratorkennwörter zeigt, dass beide Welten nebeneinander bestehen. Windows LAPS lässt sich über Gruppenrichtlinien für Geräte im Verzeichnis und über den zugehörigen Konfigurationsdienstanbieter für registrierte Geräte steuern. Welcher Weg gilt, entscheidet Windows anhand einer festen Reihenfolge der Registrierungszweige, und die Vorgaben der beiden Wege werden ausdrücklich nicht vermischt.

Die praktische Empfehlung lautet deshalb: Schreib die Grenze auf, benenne für jede Geräteklasse den zuständigen Weg und leg fest, was passiert, wenn ein Projekt daran rütteln will. Diese Festlegung ist wenige Sätze lang und erspart dir die Sorte Störung, die niemand reproduzieren kann, weil sie von der Reihenfolge zweier Aktualisierungen abhängt.

Dazu passende Kurse

Wenn die Seite im Verzeichnis stehen bleiben soll und trotzdem in Form gebracht gehört, sind Kurse zur Geräteverwaltung mit Gruppenrichtlinien im eigenen Rechenzentrum der richtige Ausgangspunkt.

Für die andere Hälfte der Frage, von der Registrierung bis zur Zuweisung an Gruppen, findest du bei Kurse zu Entra ID und der Geräteverwaltung aus der Cloud den passenden Einstieg.

Wissen prüfen

Wie sicher bist du beim Thema wirklich?

Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.

Danke an Trainer Sven, welcher ein sehr detailliertes und fachliches KnowHow besitzt.
Windows Server - Remote Desktop Services (Advanced 01)
Ich beziehe mich hier nur auf die Nachschlung durch Herrn Marco Jachmann. Herr Jachmann ist überaus kompetent und hat alle Inhalte professionell vermittelt.
Hyper-V und System Center VMM - Alles für Administratoren
Sehr sehr gut aufbereitete Nachschulung mit genau dem notwendigen Engagement und der erforderlichen Vorbereitung innerhalb von 48 Stunden.
Hyper-V und System Center VMM - Alles für Administratoren

Häufige Fragen

Kann ich Server über Intune verwalten?
Für den klassischen Serverbetrieb ist das nicht der vorgesehene Weg. Der Einstellungskatalog wird aus den Konfigurationsdienstanbietern von Windows erzeugt und deckt die Themen ab, die für Clients gedacht sind. Serverrollen, Verzeichnisdienste und die klassischen Sicherheitsvorlagen findest du dort nicht. Für Server bleibt es bei Gruppenrichtlinien, ergänzt um die Werkzeuge, die ihr für Konfiguration und Überwachung ohnehin einsetzt.
Was ist der schnellste Weg zu einer belastbaren Einschätzung?
Exportiere die fünf bis zehn Objekte, die eure Arbeitsplatzrechner tatsächlich versorgen, als XML und lies sie in Intune ein. Nach wenigen Minuten hast du je Objekt einen Prozentwert und eine Liste der Einstellungen ohne Entsprechung. Diese Liste ist die eigentliche Antwort, denn sie zeigt, was ein Übergang an Ersatzlösungen kosten würde.
Muss ich den Vorrang für MDM einschalten?
Nur, wenn du eine Phase mit Überschneidungen bewusst steuerst. Standardmäßig ist er aus, und wenn du dieselbe Einstellung ohnehin nie auf beiden Wegen setzt, brauchst du ihn nicht. Achte darauf, dass er nur für Einstellungen aus dem Policy CSP gilt. Alles außerhalb dieses Rahmens bleibt ein Rennen, das du besser gar nicht erst startest.
Wie lange dauert es, bis eine Änderung in Intune auf dem Gerät ist?
Eine Zuweisung löst eine Benachrichtigung aus, die zwischen sofort und einigen Stunden ankommt. Unabhängig davon melden sich Geräte planmäßig etwa alle acht Stunden, wobei zwischen zwei Wartungssynchronisierungen mindestens sechseinhalb Stunden liegen. Frisch registrierte Windows-Geräte melden sich zunächst alle drei Minuten für eine Viertelstunde, danach zwei Stunden lang im Viertelstundentakt und erst dann im normalen Rhythmus.
Bleibt die Loopbackverarbeitung erhalten, wenn wir umziehen?
Als Begriff nicht, als Mechanismus schon. Einstellungen im Einstellungskatalog tragen die Kennzeichnung Benutzer oder Gerät. Weist du eine Richtlinie mit Benutzerbereich einer Gerätegruppe zu, gilt sie für alle Personen an diesem Gerät, und genau dieses Verhalten beschreibt die Dokumentation als das Gegenstück zu Loopback im Merge-Modus.
Persönlich für dich da

Deine Ansprechpartner

Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.

Yves Hoppe

Yves Hoppe

Weiterbildung & Beratung

Hilft dir, aus dem Windows Server-Programm den passenden Kurs für deinen Stand zu finden.

Norbert Jansen

Norbert Jansen

Beratung & Inhouse

Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.

Beide Verwaltungswege einmal sauber nebeneinanderlegen

Bei cmt bekommen Verzeichnis- und Clientverantwortliche in den Kursen zu Gruppenrichtlinien und zur Geräteverwaltung dieselbe Grundlage, damit die Diskussion über die Grenze nicht in jedem Projekt neu beginnt.