Wie Sie verhindern, dass ein verlorenes Handy oder ein gekündigter Mitarbeiter Ihre Firmendaten mitnimmt

Eine Vertriebsmitarbeiterin lässt ihr Handy auf dem Weg zum Flughafen im Taxi liegen. Darauf: ihre E-Mails, ihre Kontakte und eine offene Verbindung zu drei Jahren Kundenangeboten. Oder: Ein Entwickler kündigt an einem Freitagnachmittag, und am Montag weiß im Büro niemand mehr genau, was eigentlich auf seinem Laptop war, nur dass dort noch Kundendateien, gespeicherte Passwörter und ein aktiver Zugang zum Fileserver liegen. Beides ist kein Gedankenspiel. Beides passiert Unternehmen Ihrer Größe jeden Monat, und in einem Betrieb ohne Plan dafür ist das erste Anzeichen von Ärger die Erkenntnis, dass niemand sagen kann, was auf dem Gerät war, geschweige denn es aus der Ferne sperren kann.

Das Werkzeug, zu dem die meisten Unternehmen irgendwann greifen, heißt Microsoft Intune und gehört zu einer breiteren Kategorie, die Microsoft Endpunktverwaltung nennt. In einfachen Worten: ein Weg, jeden Laptop und jedes Handy zu sehen, das mit Firmendaten in Berührung kommt, und ein paar grundlegende Regeln durchzusetzen, PIN-Pflicht, Festplattenverschlüsselung, Fernlöschung, ohne dass jemand mit dem Schraubendreher durchs Büro läuft. Wenn Ihr Unternehmen bereits Microsoft 365 nutzt, zahlen Sie unter Umständen schon für einen Teil dessen, was Intune braucht. Ob Sie es einschalten sollten, ist eine echte Entscheidung, kein Automatismus, und dieser Beitrag zeigt, was gut funktioniert, wo es an Grenzen stößt und was in keinem Prospekt steht.

Was Microsoft Intune tut, ganz konkret

Lässt man die Marketingsprache weg, macht Intune vier Dinge, die einem kleinen Unternehmen wirklich wichtig sind.

• Es setzt Mindestregeln für jedes Gerät. Keine PIN, kein Firmen-E-Mail-Zugang. Unverschlüsselte Festplatte, kein Zugriff auf SharePoint. Das Gerät erfüllt die Vorgabe, oder es wird still ausgesperrt, ohne dass jemand manuell prüfen muss.
• Es hält Geräte aktuell, ohne dass jemand hinterherlaufen muss. Updates und Pflichtprogramme werden nach Zeitplan verteilt, statt davon abzuhängen, ob eine Mitarbeiterin sechs Monate lang auf „später installieren" klickt.
• Es trennt Firmendaten von privaten Daten auf einem Handy, das jemandem selbst gehört. Eine sauber eingerichtete Richtlinie kann die Firmen-E-Mail und -Dateien von einem privaten iPhone löschen, ohne ein einziges Familienfoto anzurühren, was enorm wichtig wird, sobald man es bei echten Mitarbeitenden durchsetzen will.
• Es kann ein Gerät aus der Ferne sperren oder löschen. Melden Sie einen gestohlenen Laptop, entzieht eine Admin-Aktion den Firmenzugang. Das ist die Funktion, die im Ernstfall genutzt wird; alles andere ist Vorbeugung.

Der Haken: Was es kostet, und wer es überhaupt nutzen darf

Hier liegt der Punkt, an dem die meisten kleinen Unternehmen scheitern, bevor sie überhaupt bei einer Richtlinien-Einstellung ankommen: Intune ist nicht in Microsoft 365 Business Standard enthalten, dem Plan, den die meisten KMU heute schon für E-Mail und Office nutzen. Es steckt in Business Premium, das spürbar mehr pro Nutzer und Monat kostet, oder lässt sich als eigenständiges Zusatzpaket kaufen. Läuft Ihr Unternehmen aktuell auf Standard, ist die erste echte Entscheidung keine technische, sondern die Frage, ob sich das Upgrade lohnt, und für wie viele Ihrer Nutzer.

Ein praktischer Mittelweg, bei dem viele unserer Kunden landen: Nur die Personen upgraden, die tatsächlich mit sensiblen Daten arbeiten oder außerhalb des Büros unterwegs sind, Vertrieb, Finanzen, Geschäftsführung, und ein rein vor Ort arbeitendes Produktions- oder Lagerteam auf dem günstigeren Plan mit leichteren Kontrollen belassen. Intune muss nicht alles oder nichts sein, und genau die Annahme, es müsse so sein, lässt viele Projekte scheitern, bevor sie beginnen.

Was Intune nicht löst, und wo Unternehmen sich verbrennen

Nichts davon ist ein Grund, darauf zu verzichten, aber mit den falschen Erwartungen zu starten ist genau der Weg, auf dem eine Einführung im Chaos endet.

• Es ist kein Virenschutz. Intune setzt Regeln durch und verteilt Konfiguration; die eigentliche Malware-Erkennung übernimmt ein separates Microsoft-Produkt, Defender, das parallel dazu läuft. Wer nur Intune einschaltet, hat die Frage der Bedrohungserkennung noch nicht beantwortet.
• Eine falsch konfigurierte Richtlinie schützt nichts, sieht aber so aus. Eine Regel, die Verschlüsselung verlangen soll, aber der falschen Gerätegruppe zugeordnet ist, liefert ein Dashboard mit „konform" und einen Laptop, der es nicht ist. Genau das ist der häufigste Befund in den Microsoft-365-Sicherheitschecks, die wir durchführen: Richtlinien, die auf dem Papier existieren und in der Praxis nichts tun.
• Private Geräte bringen echte Reibung, nicht nur technischen Aufwand. Mitarbeitende sind zu Recht vorsichtig gegenüber einem Firmenwerkzeug, das ihr eigenes Handy löschen kann. Sie brauchen eine klare, schriftliche Richtlinie, was angefasst wird und was nicht, bevor Sie BYOD-Registrierung ausrollen, sonst verbringen Sie mehr Zeit in Personalgesprächen als in der Admin-Konsole.
• Eine Fernlöschung wirkt nicht sofort, wenn das Gerät offline ist. Ein gestohlener Laptop, der nie wieder online geht, empfängt den Löschbefehl nie. Nicht die Löschung, sondern die Verschlüsselung schützt letztlich die Daten auf einem Gerät, das man nie wiedersieht.

Lohnt sich Microsoft Intune für ein Unternehmen mit 10 bis 50 Mitarbeitenden?

Die ehrliche Antwort hängt davon ab, wie Ihr Team tatsächlich arbeitet, nicht allein von der Mitarbeiterzahl.

Es lohnt sich klar, sowohl die Kosten als auch den Einrichtungsaufwand, wenn eines davon zutrifft: Mitarbeitende rufen Firmen-E-Mails auf privaten Handys ab, Beschäftigte arbeiten von zu Hause, bei Kunden oder unterwegs, Sie verarbeiten Kundendaten, deren Verlust teuer wäre oder gegenüber einem Prüfer erklärt werden müsste, oder es gab bereits einen Vorfall, ein verlorenes Handy, eine ausgeschiedene Person, deren Zugang niemand entzogen hat.

Es hat geringere Priorität, eher etwas für später als für sofort, wenn Ihr gesamtes Team an firmeneigenen Desktops in einem einzigen abgeschlossenen Büro arbeitet, niemand E-Mails über ein privates Handy abruft und Ihre bestehende Einrichtung die Festplattenverschlüsselung schon über einfachere, in Windows eingebaute Werkzeuge durchsetzt. In diesem engeren Fall kann der Verwaltungsaufwand von Intune mehr an Arbeitszeit kosten, als er an Risiko nimmt, zumindest vorerst.

Die Einrichtung selbst ist für ein Unternehmen dieser Größe kein großes Projekt. Ein sauber abgegrenzter Rollout, Gerätegruppen, Compliance-Richtlinien, App-Verteilung und eine getestete Löschung an einem Ersatzgerät, dauert in der Regel ein bis drei Tage konzentrierte Arbeit, dazu eine kurze Beobachtungsphase, während echte Geräte sich anmelden und widersprüchliche alte Einstellungen aufgeräumt werden.

Vier Situationen, und was Intune jeweils ändert

• Das verlorene Handy. Ohne Intune: Sie hoffen, dass die Displaysperre hält, und setzen wochenlang leise alle Passwörter zurück, auf die das Handy Zugriff hatte. Mit Intune: Ein Klick sperrt oder löscht gezielt die Firmendaten, und Sie wissen binnen Minuten, worauf das Gerät zugreifen konnte und worauf nicht.
• Die kündigende Mitarbeiterin. Ohne Intune: Der Laptop wird vielleicht eingesammelt, was vorher davon kopiert wurde, bleibt Vermutung. Mit Intune: Der Firmenzugang wird in dem Moment entzogen, in dem das Konto deaktiviert wird, unabhängig davon, ob der Laptop je zurückkommt.
• Das private Handy mit Firmen-E-Mail. Ohne Intune: Firmendaten liegen auf demselben unverwalteten Handy wie alles andere, was der Person gehört, ohne Trennung und ohne Richtlinie. Mit Intune: Ein Arbeitsprofil hält Firmenpost und -dateien in einem Container, der unabhängig von den privaten Daten der Person gelöscht werden kann.
• Der unverwaltete Laptop mit Ransomware. Ohne Intune: Niemand bemerkt, dass das Gerät ungepatcht und unverschlüsselt ist, bis der Schaden sich schon in gemeinsamen Laufwerken ausbreitet. Mit Intune: Das Gerät wäre in dem Moment vom Firmenzugriff ausgeschlossen worden, in dem es aus der Konformität fiel, bevor die Infektion irgendwohin Sinnvolles gelangen konnte.

Was es kostet, gegen das, was es verhindert

Der Preisunterschied zwischen Business Standard und Business Premium liegt bei einem überschaubaren Betrag pro Nutzer und Monat, und für ein Unternehmen mit 20 Beschäftigten summiert sich dieses Upgrade, nur für die Personen, die es brauchen, typischerweise auf einen niedrigen vierstelligen Betrag pro Jahr. Rechnen Sie ein bis zwei Tage Einrichtung dazu, lässt sich die Gesamtkosten des ersten Jahres leicht beziffern.

Dagegen steht: Die durchschnittlichen Kosten eines verlorenen oder gestohlenen Geräts bei einem kleinen Unternehmen, Arbeitszeit, Passwort-Resets, Kundenbenachrichtigung, mitunter Rechtsberatung, liegen regelmäßig im niedrigen vierstelligen Bereich, selbst wenn am Ende keine Daten missbraucht wurden, allein durch die Stunden, die für die Klärung draufgehen. Eine ausgeschiedene Person, deren Zugang nie entzogen wurde und die später einen Datenvorfall verursacht, kostet deutlich mehr, und ist deutlich unangenehmer. Intune verhindert nicht jeden Vorfall. Es verwandelt aber zuverlässig ein „wir wissen nicht, worauf das Gerät zugreifen konnte" in eine dokumentierte Antwort, und genau die zählt am meisten, sobald etwas schiefgeht.

Kurze Antworten

Wir nutzen BitLocker und Windows Hello schon manuell. Brauchen wir Intune trotzdem? Manuelle Konfiguration funktioniert, bis jemand einen Schritt auslässt oder ein neuer Laptop ohne diese Einstellung ausgeliefert wird. Der Wert von Intune liegt nicht in der einzelnen Einstellung, sondern darin, sie automatisch durchzusetzen und Ihnen sofort zu melden, wenn ein Gerät aus der Konformität fällt.

Funktioniert es auf Macs und privaten Android- oder iPhone-Geräten? Ja, Intune unterstützt Windows, macOS, iOS und Android, mit leichteren, datenschutzfreundlicheren Kontrollen speziell für private (BYOD-)Geräte.

Können wir nur mit Handys starten und Laptops später ergänzen? Ja, und das ist oft die sinnvollere Reihenfolge. Handys sind meist die risikoreichere, verlustanfälligere Kategorie, und ein stufenweiser Rollout überfordert ein kleines Team nicht mit allen Richtlinienänderungen auf einmal.

Reicht Intune allein für NIS2 oder ähnliche Compliance-Pflichten? Es deckt die Kontrollen auf Geräteebene ab, nach denen Prüfer tatsächlich fragen, aber Compliance-Rahmenwerke erwarten auch dokumentierte Richtlinien, Zugriffsprüfungen und einen Vorfallsprozess. Geräteverwaltung ist ein Baustein, den unser Service für IT-Governance und Compliance abdeckt, nicht das gesamte Bild.