Windows Autopilot ermöglicht es einem neuen Windows-Gerät, die Unternehmensanwendungen, Einstellungen und Sicherheitsrichtlinien sofort zu übernehmen, sobald der Mitarbeiter sich mit seinem Microsoft-Konto anmeldet. Verwende es, wenn du möchtest, dass Windows-Laptops bereit ankommen, um sich selbst zu konfigurieren, ohne dass IT-Handarbeit erforderlich ist.

Funktion/Funktionalität

Überblick

Bevor du beginnst, überprüfe, ob du:

• Ein Microsoft-Konto mit der Rolle Global Administrator in deinem Entra-Mandanten hast.
• Eine Lizenz hast, die sowohl Microsoft Entra ID Plan 1 (oder Plan 2) als auch Windows Autopilot abdeckt. Die günstigste Lizenz, die beides beinhaltet, ist Enterprise Mobility + Security E3 (Pläne vergleichen).
• Deine MDM-Adresse, {company}.mdm.getprimo.com, und insbesondere ihre {company}-Subdomain. Wenn du sie nicht kennst, schreibe an support@factorial.it.

Wichtige Informationen darüber, wie Autopilot-Geräte funktionieren:

• Sie verwenden Entra-Konten, keine lokalen Konten. Microsoft stellt lokale Konten schrittweise zugunsten von Entra ein.
• Dein Entra-Administrator entscheidet, ob Mitarbeiter Standard- oder Administratorrechte erhalten. Jeder mit der Rolle Global Administrator in Entra wird Administrator auf jedem Autopilot-Gerät, bei dem er sich anmeldet.
• Das Gerät muss beim ersten Boot online sein, damit es sich bei Entra authentifizieren kann.

So verwendest du es 

Zero-Touch einrichten

Die Einrichtung hat fünf Schritte. Die ersten drei entsprechen den drei Schritten des Add Windows Autopilot-Fensters in der Konsole. Um es zu öffnen, gehe zu MDM > Einstellungen, klicke auf Windows unter Plattformen, und klicke dann auf Hinzufügen unter Windows Autopilot. Wenn du bereits begonnen hast, klicke stattdessen auf Einrichtung abschließen. Arbeite sie der Reihe nach ab: Jeder Schritt schaltet den nächsten frei. Die Schritte 4 und 5 erfolgen anschließend nur in den Microsoft-Konsolen.

Schritt 3 benötigt drei Werte von Entra: deine Mandanten-ID, die Anwendungs- (Client-) ID der Flottenanwendung und die Primäre Domain, die deine Mitarbeitenden zum Anmelden verwenden. Du sammelst sie während des Prozesses und fügst sie selbst in die Konsole ein. Das einzige, was du an den Support sendest, ist der Domain-Verifizierungscode in Schritt 2.

Schritt 1. Microsoft Entra verbinden.

Du benötigst einen Entra-Nutzer mit der Rolle Global Administrator sowie die Berechtigung, SaaS in Factorial IT zu verwalten. Du registrierst selbst keine Anwendung: Du gibst einer Anwendung, die bereits im Verzeichnis von Microsoft existiert, deine Zustimmung.

Autopilot-Geräte melden sich mit Entra-Anmeldeinformationen an, anstatt separate Benutzernamen und Passwörter zu verwenden, daher kommt Entra zuerst. Die Schritte 2 und 3 bleiben gesperrt, bis diese Verbindung aktiv ist.

1. Öffne das Add Windows Autopilot-Fenster von MDM > Einstellungen > Windows.
2. Klicke in Schritt 1 auf Connect Microsoft Entra.
3. Melde dich mit deinem Global Administrator-Konto an und akzeptiere die Berechtigungen auf dem Zustimmungsbildschirm von Microsoft. Konten ohne diese Rolle können sie nicht gewähren.
4. Du gelangst zurück zur Windows Autopilot-Einrichtung. Schritt 1 zeigt jetzt Verbunden mit, gefolgt von deiner Entra-Instanz, und Schritt 2 öffnet sich.

Wenn Entra bereits unter SaaS verbunden ist, wird es in Schritt 1 aufgelistet. Klicke auf Diese verwenden neben der Instanz, die du möchtest, oder auf Eine andere verbinden.

Die Verbindung hier fügt Microsoft Entra zu deinem verbundenen SaaS ohne zusätzliche Kosten hinzu. Factorial IT liest nur deine Entra-Nutzer und -Gruppen. Es erstellt keine Regel und verwandelt Entra nicht in deinen E-Mail-Anbieter. Entra als E-Mail-Anbieter festlegen ist eine separate Wahl: Es erstellt die E-Mail-Adresse jedes neuen Mitarbeitenden während des Onboardings. Lies "Verbinde deinen E-Mail-Anbieter", bevor du es änderst.

Wenn die Verbindung fehlschlägt oder du sie abbrichst, erscheint über dem Button in Schritt 1 ein Fehler. Stelle sicher, dass du dich als Global Administrator angemeldet hast, und versuche es erneut.

Schritt 2. Die Flotten-Domain deklarieren.

Die Flotten-Domain ist deine MDM-Adresse, {company}.mdm.getprimo.com. Es ist nicht die E-Mail-Domain deines Unternehmens; diese wird in Schritt 3 verwendet.

Dieser Schritt benötigt Unterstützung. Microsoft gibt dir einen Verifizierungscode, und nur das Support-Team kann ihn zum DNS hinzufügen. Erlaube bis zu 2 Werktagen, nachdem du ihn gesendet hast.

1. Melde dich als Administrator bei Microsoft Azure an.
2. Öffne Domainnamen und klicke auf + Benutzerdefinierte Domain hinzufügen.
3. Gib {company}.mdm.getprimo.com ein und klicke auf Domain hinzufügen.
4. Kopiere die Ziel- oder Routingadresse (sie sieht aus wie MS=ms12345678) und sende sie an support@factorial.it.
5. Wenn der Support bestätigt, klicke auf Verifizieren.

Schritt 3. Azure und Flotte verbinden.

Zwei der drei Werte in Schritt 3 stammen von einer Flottenanwendung, die du jetzt in Entra erstellst. Der dritte ist die Domain, mit der deine Mitarbeitenden sich anmelden.

Erstelle die Flottenanwendung

1. Gehe zu Mobility (MDM und WIP), klicke auf + Anwendung hinzufügen > + Erstelle deine eigene Anwendung, nenne sie Flotte (dieser Leitfaden verwendet diesen Namen durchgehend) und klicke auf Erstellen.
2. Gib die beiden MDM-URLs ein, indem du {company} durch deine Subdomain ersetzt, und klicke dann auf Speichern:

   https://{company}.mdm.getprimo.com/api/mdm/microsoft/tos

   https://{company}.mdm.getprimo.com/api/mdm/microsoft/discovery

3. Klicke auf Benutzerdefinierte MDM-Anwendungseinstellungen, dann auf den Link unter Anwendungs-ID-URI, dann auf Bearbeiten. Gib https://{company}.mdm.getprimo.com ein und klicke auf Speichern.
4. Öffne im linken Menü API-Berechtigungen > + Berechtigung hinzufügen > Microsoft Graph. Füge diese unter Delegierte Berechtigungen hinzu:

   Group.Read.All
   Group.ReadWrite.All

5. Füge diese unter Anwendungsberechtigungen hinzu:

   Device.Read.All
   Device.ReadWrite.All
   Directory.Read.All
   Group.Read.All
   User.Read.All

6. Klicke auf Admin-Zustimmung für {Dein Unternehmen} gewähren.

Mache die Flotte zur Standard-MDM für neue Geräte

1. Gehe zurück zu Mobility (MDM und WIP).
2. Klicke auf Microsoft Intune, setze sowohl MDM-Benutzerscope als auch WIP-Benutzerscope auf Keine, und klicke auf Speichern.
3. Klicke auf Flotte, setze MDM-Benutzerscope auf Alle, und klicke auf Speichern.

Jedes Gerät, das vor dieser Änderung bereits über Intune registriert wurde, muss von dir migriert werden (siehe "Stille Agentenbereitstellung", Abschnitt über die Migration von einem anderen MDM). Wenn du es überspringst, bleiben diese Geräte halb konfiguriert, und die Mitarbeitenden bemerken es.

Füge die Verbindungswerte in die Konsole ein

Factorial IT authentifiziert sich bei deinem Mandanten mit drei Entra-Werten. Du gibst sie in Schritt 3 des Fensters ein, und sie werden automatisch angewendet; nichts geht an den Support. Bis alle drei gespeichert sind, zeigt die Konsole ein Token-Alarmbanner an, und Windows Zero-Touch funktioniert nicht vollständig. Dies gilt auch für Mandanten, die vor dem Bestehen von Schritt 3 eingerichtet wurden.

In MDM > Einstellungen > Windows klicke auf Einrichtung abschließen für deine Windows Autopilot-Einrichtung, fülle die drei Felder von Schritt 3 aus und klicke auf Speichern.

Zwei häufige Fehler:

• Domain bedeutet die Anmeldedomain deiner Mitarbeitenden (company.com), nicht die MDM-Domain aus Schritt 2.
• Beide IDs sind GUIDs und sehen ähnlich aus. Lies das Etikett, bevor du einfügst: Die Mandanten-ID verweist auf deinen Entra-Mandanten, die Client-ID auf die Flottenanwendung.

Schritt 4. Erstelle Autopilot-Bereitstellungsprofile.

Ein Bereitstellungsprofil legt die Standards für Geräte fest, die über Autopilot eingehen, z.B. den Kontotyp (Administrator oder Standard), das Standardland und die Tastatursprache sowie das Namensmuster ({company}-%RAND:5% ergibt {company}-23456). Die Dokumentation zu Profilen von Microsoft enthält die vollständige Liste.

1. Erstelle das Profil. Öffne in Microsoft Intune Geräte > Registrierung > Bereitstellungsprofile, klicke auf + Profil erstellen und gehe durch die drei Bildschirme: Name, Bereitstellungsmodus, Zuweisung.
2. Erstelle eine dynamische Gerätegruppe. Gehe zu portal.azure.com, klicke auf + Gruppe erstellen, gib ihr einen Namen wie "Windows Autopilot-Geräte", wähle Dynamische Geräte und verwende diese Regel:

   (device.devicePhysicalIds -any (_ -startsWith "[ZTDid]"))

3. Erstelle eine Registrierungsstatusseite. Öffne in Microsoft Intune Geräte > Registrierung > Registrierungsstatusseite, klicke auf + Erstellen, benenne sie, aktiviere die Fortschrittsanzeige und weise sie deiner dynamischen Gruppe zu.

Schritt 5. Füge dein Unternehmensbranding hinzu.

Das Logo, das du hochlädst, wird auf dem Anmeldebildschirm von Autopilot neben dem Titel Willkommen bei {Dein Unternehmen}! angezeigt. Es ist auch der schnellste Beweis dafür, dass ein Gerät beim ersten Boot tatsächlich durch Autopilot gegangen ist.

1. Melde dich bei Microsoft Azure an, suche nach Unternehmensbranding und klicke auf Konfigurieren (oder Bearbeiten, wenn eine standardmäßige Anmeldeerfahrung existiert).
2. Im Tab Anmeldeformular lade dein Logo sowohl für Quadratisches Logo (helles Thema) als auch für Quadratisches Logo (dunkles Thema) hoch.
3. Klicke auf Überprüfen + speichern, dann auf Speichern.

Registriere deine Geräte in Autopilot

Ein Bereitstellungsprofil erreicht nur Geräte, die in Autopilot registriert sind. Registrieren bedeutet nicht, dass sie eingeschrieben sind: Es verknüpft die Hardwareidentität des Geräts mit deinem Entra-Mandanten, sodass Windows es beim ersten Boot erkennt und den Autopilot-Flow startet.

Geräte, die über Factorial IT gekauft wurden, werden für dich von den akkreditierten Wiederverkäufern registriert (siehe "Zero-Touch-Bereitstellung in deinem Katalog einrichten"). Die folgenden Schritte gelten nur für Geräte, die du anderswo gekauft hast.

1. Exportiere den Hardware-Hash. Öffne auf dem Gerät PowerShell als Administrator und führe aus:

New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

Du erhältst eine CSV-Datei mit dem Hardware-Hash. Microsoft dokumentiert andere Möglichkeiten, ihn zu exportieren.

2. Importiere die CSV in Intune.

1. Öffne in Microsoft Intune Geräte > Registrierung > Windows Autopilot > Geräte.
2. Klicke auf Importieren und lade die CSV hoch. Es dauert ein paar Minuten; aktualisiere, bis das Gerät erscheint.
3. Überprüfe, ob der Profilstatus Zugewiesen sagt. Wenn er auf Nicht zugewiesen bleibt, überprüfe, wie dein Bereitstellungsprofil zugewiesen ist (Schritt 4).

Was der Mitarbeiter sieht

Wenn ein neuer Mitarbeiter ein Gerät erhält, das in Autopilot registriert ist, dann:

1. Schaltet er es ein.
2. Wählt sein Land, seine Sprache und das Tastaturlayout aus.
3. Stellt eine Verbindung zum Internet her.
4. Meldet sich mit seinen Microsoft-Anmeldeinformationen an, plus Multi-Faktor-Authentifizierung, falls du sie aktiviert hast.
5. Setzt eine PIN und einen Fingerabdruck, falls die Hardware einen Leser hat.
6. Beginnt zu arbeiten. Die Anwendungen und Steuerungen, die du in der Konsole definiert hast, werden automatisch angewendet.

Teste die Einschreibung

Versuche den gesamten Ablauf auf einem registrierten Gerät, bevor du ihn für alle ausrollst.

1. Setze das Testgerät zurück (Einstellungen > System > Wiederherstellung > Diesen PC zurücksetzen) oder stelle es neu her.
2. Schalte es ein, wähle Land und Tastatur aus und stelle eine Verbindung zum Internet her.
3. Überprüfe, ob auf dem Anmeldebildschirm Willkommen bei {Dein Unternehmen}! mit deinem Logo steht. Das beweist, dass das Gerät durch Autopilot gegangen ist.
4. Melde dich mit dem Entra-Konto eines Testmitarbeiters an. Windows fragt dann nach einer PIN (Windows Hello) und einem Fingerabdruck, falls unterstützt.
5. Wenn der Desktop erscheint, überprüfe, ob das Gerät in Geräte in der Konsole angezeigt wird und deine Anwendungen und Richtlinien erhält.

Geräte, die nicht in Autopilot registriert sind, können sich trotzdem selbst einschreiben. Wähle während der Windows-Einrichtung Für Arbeit oder Schule einrichten und melde dich mit Entra an. Das Gerät wird in Factorial IT eingeschrieben, überspringt jedoch die gebrandeten Autopilot-Bildschirme und die Registrierungsstatusseite.

Setze ein Gerät zurück oder weise es neu zu

Wenn ein Gerät an jemand anderen übergeben wird (Offboarding, Ersatz, Wiederverwendung), lösche seine alten Aufzeichnungen, damit Autopilot es wie ein neues Gerät behandelt.

1. Wische es. Sende einen Remote-Wipe von der Konsole oder setze es lokal zurück von Einstellungen > System > Wiederherstellung > Diesen PC zurücksetzen.
2. Lösche den alten Geräteeintrag. Du kannst ein eingeschriebenes Gerät nicht löschen, also schreibe es zuerst mit Aktionen > Abmelden ab (oder Als abgemeldet markieren, wenn es offline ist). Klicke dann auf der Geräte-Seite auf Aktionen > Löschen und bestätige. Die nächste Einschreibung beginnt mit einem sauberen Eintrag.
3. Bereinige Entra. Gehe in Microsoft Azure zu Geräte > Alle Geräte und lösche das veraltete Objekt für das gewischte Gerät.
4. Synchronisiere Autopilot. Öffne in Microsoft Intune Geräte > Registrierung > Windows Autopilot > Geräte. Überprüfe, ob das Gerät noch mit Profilstatus Zugewiesen vorhanden ist, klicke auf Synchronisieren und warte, bis es fertig ist. Lösche das Gerät niemals aus dieser Liste: Die Registrierung muss den Wipe überstehen.
5. Starte das Gerät. Der gebrandete Willkommensbildschirm bestätigt, dass Autopilot es erfasst hat. Wenn es Autopilot überspringt, warte ein paar Minuten und starte neu: Microsoft könnte die Bereinigung noch verarbeiten.

Fehlerbehebung und FAQ

Fehlerbehebung

• Schritte 2 und 3 bleiben gesperrt. Die Entra-Verbindung in Schritt 1 ist noch nicht aktiv. Schließe sie zuerst ab.
• Schritt 1 zeigt einen Fehler über dem Button an. Die Verbindung ist fehlgeschlagen oder wurde abgebrochen. Stelle sicher, dass du dich mit einem Global Administrator-Konto angemeldet hast, und versuche es erneut.
• Die Konsole zeigt ein Token-Alarmbanner an. One oder mehrere der drei Werte in Schritt 3 fehlen. Öffne Einrichtung abschließen, fülle alle drei aus und klicke auf Speichern.
• Der Profilstatus bleibt auf Nicht zugewiesen. Das Bereitstellungsprofil ist nicht dem Gerät zugewiesen. Überprüfe die Zuweisung und deine dynamische Gerätegruppe.
• Das Gerät zeigt nicht den gebrandeten Willkommensbildschirm an. Es ist wahrscheinlich nicht in Autopilot registriert oder die Registrierung wurde noch nicht synchronisiert. Überprüfe Windows Autopilot > Geräte in Intune, synchronisiere, warte ein paar Minuten und starte neu.
• Geräte, die zuvor in Intune waren, verhalten sich inkonsistent. Sie wurden nicht migriert, bevor die Flotte das Standard-MDM wurde. Migriere sie.

FAQ

1. Musste ich eine eigene Anwendung für Schritt 1 registrieren?
   Nein. Du gibst einer Anwendung, die bereits im Verzeichnis von Microsoft existiert, deine Zustimmung. Du erstellst nur die Flottenanwendung in Schritt 3.
    
2. Macht die Verbindung zu Entra es zu meinem E-Mail-Anbieter?
   Nein. Factorial IT liest nur Nutzer und Gruppen. Entra als E-Mail-Anbieter festlegen ist eine separate Einstellung.
    
3. Was ist der Unterschied zwischen der Flotten-Domain und dem Domainfeld?
   Die Flotten-Domain ist deine MDM-Adresse, die in Schritt 2 deklariert wird. Das Domain-Feld in Schritt 3 ist die Domain, mit der sich deine Mitarbeitenden anmelden, z.B. company.com.
    
4. Kann ein Gerät automatisch eingeschrieben werden, wenn es nicht in Autopilot registriert ist?
   Ja. Der Mitarbeiter wählt Für Arbeit oder Schule einrichten und meldet sich mit Entra an. Es überspringt die gebrandeten Bildschirme und die Registrierungsstatusseite.
    
5. Werden Mitarbeitende Administratoren auf ihren Geräten sein?
   Das hängt davon ab, wie dein Entra-Administrator es konfiguriert. Global Administrators in Entra sind immer Administratoren auf Autopilot-Geräten, bei denen sie sich anmelden.
    
6. Musste ich Geräte, die über Factorial IT gekauft wurden, registrieren?
   Nein. Die akkreditierten Wiederverkäufer registrieren sie. Nur Geräte, die anderswo gekauft wurden, benötigen den Import des Hardware-Hashes.