Endpoint Management

Inhaltsverzeichnis

Schnellübersicht

Auf dieser Seite lernst du alles über modernes Endpoint Management:

Definition: Was ist Endpoint Management?
Evolution: EMM → MDM → UEM → XDR
Funktionen: Provisioning, Security, Compliance, App-Management
Endpoint-Typen: Windows, macOS, Linux, Mobile, IoT
Tools: Intune, SCCM, Jamf, Workspace ONE, Kandji
Deployment-Strategien: Traditional, Autopilot, Imaging
Security & Compliance: Zero Trust, DSGVO, ISO 27001
Best Practices: Patching, Monitoring, Dokumentation

1. Was ist Endpoint Management?

Definition

Endpoint Management bezeichnet die zentrale Verwaltung, Überwachung und Sicherung aller Endgeräte (Endpoints) in einem Unternehmensnetzwerk. Dazu gehören Desktops, Laptops, Server, mobile Geräte (Smartphones, Tablets), Thin Clients und IoT-Geräte.

Ein modernes Endpoint-Management-System ermöglicht es IT-Administratoren, Geräte automatisiert bereitzustellen, Software zu verteilen, Sicherheitsrichtlinien durchzusetzen, Compliance zu überwachen und bei Problemen Fernwartung durchzuführen – unabhängig davon, wo sich die Geräte befinden (On-Premise, Cloud, Remote).

Typische Endpoints: Windows-PCs, MacBooks, Linux-Workstations, iPhones, iPads, Android-Geräte, Thin Clients, POS-Systeme, IoT-Sensoren, Drucker.

Einfache Analogie

Stell dir ein Unternehmen mit 1000 Mitarbeitern vor:

Ohne Endpoint Management: Jeder Admin installiert Windows manuell, verteilt Software per USB-Stick, patcht Geräte einzeln
Mit Endpoint Management: Ein neuer Mitarbeiter bekommt sein Gerät zugeschickt, schaltet es ein – und alles wird automatisch konfiguriert (Zero-Touch-Deployment)

Ziel: Konsistente, sichere und produktive Endgeräte – mit minimalem Administrationsaufwand.

2. Evolution: EMM → MDM → UEM → XDR

Endpoint Management hat sich in den letzten 15 Jahren stark weiterentwickelt. Hier die wichtigsten Meilensteine:

EMM

Enterprise Mobility Management · ~2010

Erste Lösungen für mobile Geräte im Unternehmen. Fokus auf MDM und MAM.

Mobile Device Management
Mobile Application Management
BYOD-Support
Grundlegende Security

MDM

Mobile Device Management · ~2012

Spezialisiert auf die Verwaltung mobiler Geräte mit Richtlinien und Remote-Wipe.

Geräte-Enrollment
Policy-Verteilung
Remote Wipe/Lock
Compliance-Checks

UEM

Unified Endpoint Management · ~2017

Vereinheitlichte Verwaltung aller Endpunkte in einer einzigen Plattform.

Windows, macOS, Linux, Mobile
Cloud + On-Premise
Zero-Touch-Deployment
Integrierte Security

XDR

Extended Detection & Response · ~2020

Erweiterte Erkennung und Reaktion über alle Endpunkte hinweg mit KI.

KI-basierte Threat Detection
Automatische Response
EDR + MDR Integration
Cross-Platform Analytics

Heutiger Standard: UEM

Die meisten modernen Unternehmen setzen auf Unified Endpoint Management (UEM), das alle Endpunkt-Typen in einer einzigen Plattform vereint. Führende Anbieter sind Microsoft Intune, VMware Workspace ONE, Jamf (für Apple) und ManageEngine Endpoint Central.

3. Wichtige Funktionen

Ein modernes Endpoint-Management-System bietet folgende Kernfunktionen:

Device Provisioning

Automatische Bereitstellung neuer Geräte mit vordefinierten Konfigurationen, Apps und Richtlinien.

Typische Tools Windows Autopilot, Apple Business Manager, Android Enterprise

Security & Protection

BitLocker/FileVault, Firewall-Management, Antivirus, Endpoint Detection & Response (EDR).

Typische Tools Microsoft Defender, CrowdStrike, SentinelOne, Carbon Black

Compliance Management

Überwachung und Durchsetzung von Compliance-Richtlinien (DSGVO, ISO 27001, HIPAA).

Typische Tools Intune Compliance Policies, Audit-Logs, Reporting

Application Management

Verteilung, Updates und Deinstallation von Software auf allen Endgeräten.

Typische Tools Intune Apps, SCCM, Jamf Pro, Company Portal

Hardware & Software Inventory

Erfassung aller Hardware-Komponenten und installierter Software für Asset Management.

Typische Tools Intune Inventory, SCCM, Snipe-IT, Lansweeper

Remote Assistance

Fernwartung und Support für Endgeräte – auch über das Internet hinweg.

Typische Tools TeamViewer, AnyDesk, Quick Assist, SCCM Remote Control

4. Endpoint-Typen im Unternehmen

Jeder Endpoint-Typ hat spezifische Anforderungen an das Management:

Windows Endpoints

Desktops, Laptops, Server

Der häufigste Endpoint-Typ in Unternehmen. Management über GPO, Intune oder SCCM.

Windows Autopilot (Zero-Touch)
Group Policy Objects (GPO)
Microsoft Intune
Windows Update for Business
BitLocker Encryption

Typische Herausforderungen Legacy-Software-Kompatibilität, Treiber-Management, Windows-Updates koordinieren

macOS Endpoints

MacBooks, iMacs, Mac mini

Beliebt bei Entwicklern, Designern und in kreativen Abteilungen. Management über MDM.

Apple Business Manager
Jamf Pro / Kandji
Automated Device Enrollment (ADE)
FileVault Encryption
MDM-Profile

Typische Herausforderungen Apple-spezifische Tools, macOS-Updates, App-Store-Integration

Linux Endpoints

Ubuntu, RHEL, Debian, Fedora

Häufig bei Entwicklern, DevOps und Server-Infrastruktur. Management über Ansible, Puppet.

Ansible, Puppet, Chef
SaltStack
Landscape (Ubuntu)
Satellite (RHEL)
LUKS Encryption

Typische Herausforderungen Viele Distributionen, Package-Management, weniger kommerzielle UEM-Support

Mobile Endpoints

iOS, iPadOS, Android

Smartphones und Tablets für Mitarbeiter – oft BYOD oder Corporate-Owned.

MDM (Intune, Jamf, Workspace ONE)
MAM (App Protection Policies)
Apple Business Manager
Android Enterprise
Containerization

Typische Herausforderungen BYOD vs. Corporate, Privacy, App-Sandboxing, Remote Wipe

IoT & Embedded

POS, Sensoren, Drucker, Thin Clients

Spezialisierte Geräte mit begrenztem OS. Oft proprietäre Management-Tools.

Azure IoT Hub
AWS IoT Core
Proprietäre Tools
Firmware-Updates
Network Segmentation

Typische Herausforderungen Security (oft schwach), lange Lebenszyklen, heterogene Geräte

5. Wichtige Endpoint-Management-Tools

Die führenden UEM/MDM-Lösungen im Überblick:

Microsoft Intune

Microsoft · Cloud-basiert

Führende UEM-Lösung, Teil von Microsoft 365. Nahtlose Integration mit Azure AD und Windows.

Windows, macOS, iOS, Android, Linux
Windows Autopilot
Conditional Access
App Protection Policies
Compliance Policies

Windows macOS iOS Android Linux

MECM (SCCM)

Microsoft · On-Premise + Cloud

Microsoft Endpoint Configuration Manager. Traditionelle On-Premise-Lösung für Windows-Verwaltung.

OS Deployment (OSD)
Software Updates (WSUS)
Application Deployment
Inventory & Reporting
Remote Control

Windows Server

Jamf Pro

Jamf · Apple-Spezialist

Marktführer für Apple-Endpoint-Management. Ideal für macOS, iOS und iPadOS.

macOS, iOS, iPadOS, tvOS
Automated Device Enrollment
Self Service Portal
Patch Management
Zero-Touch-Deployment

macOS iOS iPadOS

Workspace ONE

VMware (Broadcom) · UEM

Umfassende UEM-Plattform mit starkem Fokus auf Digital Workspace und User Experience.

Alle Plattformen
Identity Management
App Catalog
Intelligent Hub
Workspace ONE Intelligence

Windows macOS iOS Android Linux

Kandji

Kandji · Apple-Modern

Moderne Alternative zu Jamf für Apple-Geräte. Fokus auf Automation und einfache Bedienung.

macOS, iOS, iPadOS
Blueprint-Automation
Compliance-Checks
App-Versions-Tracking
Moderne UI

macOS iOS iPadOS

JumpCloud

JumpCloud · Cloud Directory

Cloud-basierte Verzeichnis- und Endpoint-Management-Lösung. Ideal für heterogene Umgebungen.

Windows, macOS, Linux
Cloud LDAP / SAML
Command Runner
Systems Insights
MFA Integration

Windows macOS Linux

Endpoint Central

ManageEngine · UEM

Kostenbewusste UEM-Lösung mit umfangreichen Funktionen für KMUs und Enterprise.

Alle Plattformen
Patch Management
Software Deployment
Remote Control
Zero-Day Patching

Windows macOS Linux Mobile

Tool	Plattformen	Cloud/On-Prem	Preis (ca.)	Best für
Microsoft Intune	Alle	Cloud	Teil M365 (~8 €/User)	Microsoft-Umgebungen
MECM (SCCM)	Windows	On-Premise	Lizenz + CALs	Große Windows-Umgebungen
Jamf Pro	Apple	Cloud/On-Prem	~4-8 €/Device	Apple-First-Unternehmen
Workspace ONE	Alle	Cloud/On-Prem	~5-10 €/User	Enterprise Digital Workspace
Kandji	Apple	Cloud	~4-6 €/Device	Moderne Apple-Verwaltung
JumpCloud	Alle	Cloud	~8-12 €/User	Heterogene Umgebungen
Endpoint Central	Alle	On-Premise/Cloud	~2-5 €/Device	KMUs, Budget-bewusst

6. Deployment-Strategien

Wie werden neue Endgeräte im Unternehmen bereitgestellt? Hier die wichtigsten Strategien:

Traditional Deployment

Manuelle Installation

Klassischer Ansatz: IT-Admin installiert OS und Software manuell auf jedem Gerät.

Windows/macOS manuell installieren
Treiber und Updates einspielen
Software einzeln installieren
Domänenbeitritt manuell
Richtlinien per GPO anwenden
Benutzer-Konfiguration

Windows Autopilot

Zero-Touch Deployment

Modernster Ansatz: Gerät wird vom Hersteller direkt an den Benutzer geschickt – alles wird automatisch konfiguriert.

Gerät beim Hersteller registrieren
Autopilot-Profil in Intune zuweisen
Gerät an Benutzer versenden
Benutzer schaltet ein, meldet sich an
Automatische Konfiguration startet
Apps und Richtlinien werden deployed

Imaging (WDS/MDT)

Gold-Image Deployment

Einheitliches Image wird auf alle Geräte ausgerollt – ideal für standardisierte Umgebungen.

Referenzgerät aufsetzen
Software installieren und konfigurieren
Sysprep ausführen
Image mit MDT/SCCM erfassen
Image auf Zielgeräte ausrollen
Post-Deployment-Konfiguration

Cloud-Only Deployment

Modern Management

Kein On-Premise-Server nötig – alles läuft über Cloud-Dienste (Intune, Azure AD).

Azure AD Tenant einrichten
Intune konfigurieren
Compliance-Policies definieren
Apps in Intune bereitstellen
Autopilot/ADE für Zero-Touch
Benutzer-Self-Service aktivieren

Windows Autopilot Beispiel

            POWERSHELL
# Windows Autopilot Geräte importieren
# 1. Hardware-Hash vom Gerät sammeln
Install-Script Get-WindowsAutoPilotInfo
Get-WindowsAutoPilotInfo.ps1 -OutputFile C:\Temp\HWHash.csv

# 2. CSV in Intune importieren
# Intune Portal → Devices → Windows → Windows Enrollment → Devices
# Import CSV hochladen

# 3. Autopilot-Profil zuweisen
# Profile erstellen mit:
#   - Deployment Mode: User-Driven
#   - Join to Azure AD: Azure AD Joined
#   - Skip Privacy Settings: Yes
#   - Auto-assign to devices: Yes

# 4. Benutzer erhält Gerät
# Gerät einschalten → OOFT → Anmeldung → Automatische Konfiguration
        

Jamf Pro Enrollment Beispiel

            BASH
# macOS via Jamf Pro enrollen
# 1. QuickAdd-Paket vom Jamf Server laden
curl -O https://jamf.company.com/QuickAdd.pkg

# 2. Paket installieren
sudo installer -pkg QuickAdd.pkg -target /

# 3. Alternative: Automated Device Enrollment (ADE)
# → Apple Business Manager → MDM Server zuweisen
# → Gerät schaltet ein → Automatische Enrollment

# 4. Nach Enrollment:
# - Configuration Profiles werden pushed
# - Apps aus Self Service
# - Compliance-Checks starten
        

7. Security & Compliance

Endpoint Security und Compliance sind die Hauptgründe für Endpoint Management:

Zero Trust Architecture

Zero Trust Prinzip

"Never trust, always verify" – Kein Gerät oder Benutzer wird standardmäßig vertraut. Jede Anfrage wird verifiziert.

Verify Explicitly: Immer authentifizieren und autorisieren
Least Privilege Access: Nur notwendige Berechtigungen
Assume Breach: Immer von Kompromittierung ausgehen

Endpoint Management ist die Grundlage für Zero Trust: Nur konforme Geräte erhalten Zugriff auf Unternehmensressourcen (Conditional Access).

Compliance-Frameworks

ISO 27001

Internationaler Standard für Informationssicherheits-Managementsysteme (ISMS).

Endpoint-Anforderungen Asset Management, Access Control, Cryptography, Operations Security

HIPAA

US-Gesetz zum Schutz medizinischer Daten (Health Insurance Portability).

Endpoint-Anforderungen Encryption, Audit Controls, Automatic Logoff, Integrity Controls

SOC 2

Service Organization Control – Audit-Standard für Cloud-Dienste.

Endpoint-Anforderungen Security, Availability, Processing Integrity, Confidentiality, Privacy

BSI Grundschutz

Deutscher IT-Sicherheitsstandard des Bundesamts für Sicherheit in der Informationstechnik.

Endpoint-Anforderungen Basis-Sicherheitscheck, Härtung, Patch-Management, Verschlüsselung

PCI DSS

Payment Card Industry Data Security Standard – für Kreditkartendaten.

Endpoint-Anforderungen Firewall-Konfiguration, Encryption, Access Control, Vulnerability Management

Conditional Access Beispiel

            YAML
# Conditional Access Policy (Intune/Azure AD)
name: "Require Compliant Device"
state: "enabled"

conditions:
  users:
    include: "All Users"
  applications:
    include: "Office 365"
  devices:
    filter:
      mode: "include"
      rule: "device.trustType -eq \"ServerAD\" -or device.trustType -eq \"AzureAD\""

grantControls:
  operator: "OR"
  builtInControls:
    - "compliantDevice"
    - "domainJoinedDevice"
  customAuthenticationFactors: []
  termsOfUse: []

# Effekt: Nur Geräte, die Compliance-Richtlinien erfüllen,
# dürfen auf Office 365 zugreifen
        

8. Best Practices für Endpoint Management

Die wichtigsten Empfehlungen für effektives Endpoint Management:

Zero Trust implementieren

Conditional Access für alle Apps
MFA für alle Benutzer
Device Compliance als Voraussetzung
Least Privilege Access
Regelmäßige Access Reviews

Patch Management

Automatische Updates aktivieren
Test-Ring vor Produktion
Patch-Tuesday-Planung
Third-Party-Patches integrieren
Notfall-Patch-Prozess

Backup & Recovery

Known Folder Move (OneDrive)
Regelmäßige System-Backups
3-2-1-Regel für Backups
Recovery-Tests durchführen
Immutable Backups (Ransomware-Schutz)

Monitoring & Reporting

Compliance-Dashboards
Security Alerts überwachen
Performance-Metriken tracken
Regelmäßige Reports erstellen
Anomalie-Erkennung

Dokumentation

Alle Policies dokumentieren
Deployment-Prozesse beschreiben
Änderungsprotokoll führen
Troubleshooting-Guides
Runbooks für Incidents

Training & Awareness

IT-Team regelmäßig schulen
Benutzer-Security-Awareness
Self-Service-Portal fördern
Best Practices teilen
Phishing-Simulationen

             Die 5 Säulen des modernen Endpoint Managements
            Automatisierung: So viel wie möglich automatisieren (Zero-Touch, Scripts, Policies)
Security: Defense-in-Depth mit Encryption, EDR, Conditional Access
Compliance: Richtlinien durchsetzen und überwachen
User Experience: Self-Service, intuitive Portale, minimale disruption
Visibility: Transparenz über alle Geräte, Software und Security-Status

        

9. Praxisaufgaben & Quiz

Übungsaufgaben

Aufgabe 1: Erkläre den Unterschied zwischen MDM, UEM und EMM.

Aufgabe 2: Welche Vorteile bietet Windows Autopilot gegenüber traditionellem Deployment?

Aufgabe 3: Was ist Conditional Access und wie funktioniert es?

Aufgabe 4: Nenne drei Compliance-Frameworks und ihre Anforderungen an Endpoints.

Aufgabe 5: Erkläre das Zero-Trust-Prinzip und wie Endpoint Management dazu beiträgt.

Aufgabe 6: Plane ein Endpoint-Management-Konzept für ein Unternehmen mit 500 Mitarbeitern (200 Windows, 100 macOS, 150 Mobile, 50 Linux).

10. FAQ – Häufige Fragen

Häufige Fragen zu Endpoint Management

Brauche ich ein UEM, wenn ich bereits Active Directory habe?

Ja, definitiv! Active Directory (AD) ist hervorragend für On-Premise-Identitätsmanagement und GPOs, aber:

AD funktioniert nicht gut für Remote-Geräte (Home-Office)
Kein Support für macOS, iOS, Android
Kein modernes Cloud-Management
Keine Conditional Access Policies

Empfehlung: AD + Intune (Hybrid) oder Azure AD + Intune (Cloud-only).

Was ist der Unterschied zwischen Intune und SCCM?

SCCM (MECM):

On-Premise-Lösung
Fokus auf Windows
Starkes OS Deployment (OSD)
Benötigt Server-Infrastruktur

Intune:

Cloud-basiert
Alle Plattformen
Modernes Management (Autopilot, Conditional Access)
Teil von Microsoft 365

Trend: Viele Unternehmen migrieren von SCCM zu Intune oder nutzen beides (Co-Management).

Wie gehe ich mit BYOD (Bring Your Own Device) um?

BYOD-Strategien:

MAM (App Protection Policies): Nur Unternehmens-Apps schützen, nicht das gesamte Gerät
Containerization: Unternehmensdaten in separatem Container
Conditional Access: Nur MFA + Basic Compliance erforderlich
Privacy: Keine persönlichen Daten tracken, nur Unternehmensdaten

Wichtig: BYOD-Policy rechtlich und mit Betriebsrat abstimmen!

Was ist der Unterschied zwischen MDM und MAM?

MDM (Mobile Device Management):

Verwaltet das gesamte Gerät
Kann Gerät sperren/wipen
Installiert Profile und Apps
Ideal für Corporate-Owned-Geräte

MAM (Mobile Application Management):

Verwaltet nur Unternehmens-Apps
Kann App-Daten wipen (nicht das Gerät)
App Protection Policies (Copy/Paste, Save As)
Ideal für BYOD

Wie lange dauert ein Zero-Touch-Deployment?

Typische Zeiten für Windows Autopilot:

Benutzer-Interaktion: 5-10 Minuten (Einschalten, Anmelden)
Automatische Konfiguration: 15-45 Minuten (abhängig von Apps)
Gesamt: 20-60 Minuten bis produktiv

Vergleich: Traditionelles Deployment dauert 2-4 Stunden pro Gerät.

Was kostet Endpoint Management?

Typische Kosten (pro User/Device/Monat):

Microsoft Intune: ~8 €/User (Teil von M365 Business Premium)
Jamf Pro: ~4-8 €/Device
Kandji: ~4-6 €/Device
Workspace ONE: ~5-10 €/User
JumpCloud: ~8-12 €/User
Endpoint Central: ~2-5 €/Device

ROI: Trotz Kosten spart UEM Zeit und reduziert Sicherheitsrisiken – meist amortisiert sich die Investition innerhalb von 1-2 Jahren.

Kann ich mehrere UEM-Tools parallel nutzen?

Ja, aber mit Einschränkungen:

Co-Management: SCCM + Intune parallel (Microsoft-Szenario)
Spezialisierte Tools: Jamf für Apple + Intune für Windows/Mobile
Problem: Konflikte bei Policies, doppelte Verwaltung

Empfehlung: Langfristig auf eine UEM-Plattform konsolidieren. Kurzfristig sind spezialisierte Tools für bestimmte Plattformen akzeptabel.

Wie messe ich den Erfolg meines Endpoint-Managements?

Wichtige KPIs:

Compliance-Rate: % der konformen Geräte (Ziel: >95%)
Patch-Compliance: % der gepatchten Geräte
Deployment-Zeit: Zeit bis ein neues Gerät produktiv ist
Security-Incidents: Anzahl erfolgreicher Angriffe
Helpdesk-Tickets: Anzahl Endpoint-bezogener Tickets
User Satisfaction: Zufriedenheit der Endbenutzer

Zusammenfassung

             Die wichtigsten Punkte
            Endpoint Management: Zentrale Verwaltung aller Endgeräte (Windows, macOS, Linux, Mobile, IoT)
Evolution: EMM → MDM → UEM → XDR (Unified Endpoint Management ist aktueller Standard)
Kernfunktionen: Provisioning, Security, Compliance, App-Management, Inventory, Remote Assistance
Tools: Intune, SCCM, Jamf, Workspace ONE, Kandji, JumpCloud, ManageEngine
Deployment: Traditional, Autopilot (Zero-Touch), Imaging, Cloud-Only
Security: Zero Trust, Conditional Access, Encryption, EDR, MFA
Compliance: DSGVO, ISO 27001, HIPAA, SOC 2, BSI Grundschutz, PCI DSS
Best Practices: Automatisierung, Patch Management, Backups, Monitoring, Dokumentation
BYOD: MAM (App Protection) statt MDM für persönliche Geräte
KPIs: Compliance-Rate, Patch-Compliance, Deployment-Zeit, Security-Incidents

        

Nächste Schritte

Bereit, Endpoint Management in deinem Unternehmen zu verbessern? Hier ein empfohlener Weg:

Ist-Zustand analysieren: Welche Geräte, OS, Tools werden aktuell genutzt?
Ziele definieren: Zero-Touch, Compliance, Security, User Experience
Tool evaluieren: Intune, Jamf, Workspace ONE – PoC durchführen
Pilot-Gruppe: Mit 10-20 Geräten starten
Policies definieren: Compliance, Security, Conditional Access
Rollout: Schrittweise auf alle Geräte ausweiten
Monitoring: Dashboards einrichten, KPIs tracken
Optimierung: Regelmäßige Reviews und Verbesserungen

Weiterführende Themen