Intune Zuweisungslogik: Was funktioniert und was alles schiefgehen kann

Die Intune Zuweisungslogik klingt im ersten Moment ganz einfach. Du wählst eine Gruppe, weist ein Profil zu, und erwartest, dass alles funktioniert. In vielen Umgebungen, die ich gesehen habe, läuft das aber nicht wie geplant. Richtlinien greifen nicht oder verhalten sich plötzlich unerwartet.

Übrigens: Microsoft hat dazu einen hilfreichen Artikel: https://learn.microsoft.com/en-us/intune/intune-service/configuration/device-profile-assign

Unterstützte Zuweisungsszenarien

Bevor wir uns die häufigsten Fehler anschauen, klären wir zuerst, welche Kombinationen von Zuweisung und Ausschluss überhaupt unterstützt werden.

Die folgende Tabelle zeigt Dir auf einen Blick, welche Kombinationen möglich sind. Dabei spielt es eine Rolle, ob es sich um Benutzer- oder Gerätegruppen handelt und ob die Gruppen dynamisch oder statisch sind.

Zuweisen ↓ / Ausschliessen →	Gerät (dynamisch)	Gerät (statisch)	Benutzer (dynamisch)	Benutzer (statisch)
Gerät (dynamisch)	⚠️	✅	❌	❌
Gerät (statisch)	⚠️	✅	❌	❌
Benutzer (dynamisch)	❌	❌	❌	❌
Benutzer (statisch)	❌	❌	✅	✅

Legende:

• ✅ Unterstützt
• ❌ Nicht unterstützt
• ⚠️ Möglich, aber unzuverlässig oder verzögert

Du siehst also: Du solltest immer Gruppen vom gleichen Typ für Zuweisung und Ausschluss verwenden. Sobald Benutzer- und Geräteobjekte vermischt werden, kann es zu unklaren Ergebnissen kommen.

Mische niemals Benutzer und Geräte in einer Gruppe

Dies ist die wichtigste Regel überhaupt. Nutze keine Gruppen, in denen sich sowohl Benutzer als auch Geräte befinden.

Eine benutzerbasierte Richtlinie greift nur, wenn sich der Benutzer anmeldet. Eine gerätebasierte Richtlinie wird vor der Anmeldung verarbeitet. Sobald beides kombiniert wird, entsteht Chaos. Ich habe schon häufig gesehen, dass Apps auf “ausstehend” bleiben, weil die Gruppe falsch zusammengestellt war.

Mein Tipp:
Erstelle klare, getrennte Gruppen. Gib ihnen verständliche Namen wie Grp-Devices-scloud oder Grp-Users-scloud.

Schliesse nie “Alle Geräte” oder dynamische Gruppen aus

Viele meinen, es sei eine gute Idee, ein Profil an eine grössere Gruppe zuzuweisen und dann “Alle Geräte” auszuschliessen. In der Praxis ist das aber ein Fehler. Damit blockierst Du die Zuweisung für die komplette Umgebung.

Was oft passiert:

• Du weist einer gemischten Gruppe ein Profil zu
• Dann schliesst Du “Alle Geräte” aus

Intune interpretiert das so:

• Geräte werden vollständig ausgeschlossen
• Benutzer scheinen noch enthalten
• Die Richtlinie wird jedoch nicht angewendet

Mein Tip:
Schliesse nur ganz gezielte Untergruppen aus. Nutze niemals globale dynamische Gruppen für Ausschlüsse.

Achte darauf, dass Ausschlussgruppen vom gleichen Typ sind

Wenn Du ein Profil an eine Gerätegruppe zuweist, solltest Du auch nur eine andere Gerätegruppe ausschliessen. Dasselbe gilt für Benutzer.

Ein typisches Missverständnis:

• Zuweisung an Grp-Users-OfficeApps
• Ausschluss von Grp-Devices-VIP

Diese Kombination wird von Intune ignoriert. Es passt schlicht nicht zusammen.

So geht es richtig:

• Zuweisung an Grp-Devices-Standard
• Ausschluss von Grp-Devices-VIP

Vermeide parallele Zuweisungen an Geräte und Benutzer

Ein Beispiel:
Du gibst ein Basis-Profil an alle Geräte. Gleichzeitig weist Du ein leicht anderes Profil den Benutzern im IT-Team zu. Selbst wenn die Einstellungen ähnlich sind, kann es zu Konflikten kommen. Intune kann nicht immer sauber zusammenführen, was Du willst. Ich habe schon gesehen, wie Geräte dadurch in einen halben Richtlinien-Loop fallen.

Mein Ansatz:
Verwende pro Anwendungsfall entweder Benutzergruppen oder Gerätegruppen. Niemals beides gleichzeitig. Falls Du wechseln willst, teste die Zuweisung zuerst.

Teste zuerst mit kleinen Pilotgruppen

Ich empfehle Dir, vor jeder grösseren Zuweisung folgende zwei Dinge einzurichten:

• Eine dedizierte Gerätegruppe für Tests
• Eine passende Benutzergruppe

Damit findest Du Konflikte schneller und kannst Probleme vor dem Rollout vermeiden.

**Bonus Tipp:
**Vergib sprechende Namen wie Pilot-Win11-Devices oder Test-MAM-Users.

Noch ein Bonus zum Bonus Tip😉:
Lass diese Testgruppen nach dem Go-Live nicht einfach bestehen. Setz Dir eine Frist und räum danach auf. Sonst musst Du später viel mühsam löschen. Ich hatte das mal übersehen, das nervt dann einfach nur.

Nutze Filter statt komplexer Ausschlüsse

Seit einiger Zeit ersetze ich komplexe Gruppendefinitionen durch Filter. Diese kannst Du direkt bei der Zuweisung verwenden. Sie sind schneller, klarer und sicherer.

Beispiel:

(device.deviceOSType -eq "Windows") and (device.deviceOwnership -eq "Company")

Mit so einem Filter kannst Du eine Richtlinie an „Alle Benutzer“ zuweisen, aber nur Geräte mit bestimmten Eigenschaften einbeziehen.

Vorteile:

• Du vermeidest Mischtypen
• Deine Zuweisungen sind nachvollziehbar
• Du behältst die Kontrolle, auch bei vielen Geräten

Überprüfe Gruppeninhalte und Konflikte regelmässig

Nur weil eine Gruppe „Devices“ heisst, heisst das nicht, dass sie keine Benutzer enthält. In den Assigmetns kannst Du das ganz einfach einsehen:

Du solltest ausserdem im Intune Admin Center regelmässig prüfen, ob es Konflikte gibt. Unter Gerätekonfiguration > Richtlinien mit Fehlern oder Konflikten findest Du entsprechende Hinweise.

Das hilft Dir, folgende Dinge zu erkennen:

• Konflikte durch doppelte Richtlinien
• Missverständliche oder überlappende Zuweisungen
• Ausschlüsse, die nicht greifen

Gerade bei grösseren Rollouts ist das extrem hilfreich.

Fazit

Wenn Du saubere Gruppenstruktur hast, gezielt zuweist und auf globale Ausschlüsse verzichtest, läuft Intune zuverlässig.

Die Intune Zuweisungslogik ist keine Magie. Du brauchst einfach Struktur, Disziplin und ein wenig Erfahrung aus der Praxis. Genau das habe ich Dir in diesem Beitrag mitgegeben.