Zum Jahresbeginn steht bei vielen Kunden wieder das Aufräumen der Intune-Geräte auf der Liste. In zahlreichen Tenants beobachte ich, wie die Geräteliste über Monate vor sich hin wuchert: veraltete Einträge längst ausgetauschter Laptops, mehrfach registrierte Smartphones oder Testgeräte, die nie wieder jemand anfasst. Wer Intune und Entra ID nicht regelmäßig aufräumt, verliert den Überblick und handelt sich obendrein Sicherheitsprobleme ein, etwa bei Conditional Access oder bei der Verwaltung von BitLocker-Schlüsseln.

Clean-up-Regeln und Compliance-Einstellungen nehmen Intune viel Arbeit ab

Im Intune Admin Center steckt unter Devices → Organize devices → Device clean-up rules eine Funktion, die oft übersehen wird, aber viel bewirkt. Dort legt man fest, nach wie vielen Tagen ohne Aktivität Intune ein Gerät automatisch entfernt. Möglich sind 30 bis 270 Tage, in den meisten Umgebungen haben sich 90 bis 180 Tage bewährt. Ist der Zeitraum zu kurz, verschwinden womöglich selten genutzte Geräte. Ist er zu lang, sammelt sich Datenmüll an. Wie die Regeln im Detail greifen, beschreibt die offizielle Dokumentation: Device clean-up rules in Intune.

Allerdings wirken diese Regeln nur auf die Intune-Objekte. Was hier gelöscht wird, bleibt in Entra ID vorerst erhalten. Ebenso lohnt sich ein Blick in die tenantweiten Compliance-Policy-Einstellungen. Unter Endpoint security → Device compliance → Compliance policy settings lässt sich festlegen, dass Geräte ohne zugewiesene Compliance-Policy automatisch als „not compliant“ markiert werden. Damit entstehen keine Grauzonen, in denen ein Gerät ungewollt als „compliant“ durchgeht. Wichtig ist das vor allem dann, wenn Conditional Access die Compliance prüft. Genauso entscheidend ist die Einstellung „Compliance status validity period“: Ist sie zu großzügig bemessen, gelten veraltete Geräte weiterhin als „compliant“, obwohl sie vielleicht seit Monaten offline sind. Mehr zur Compliance-Konfiguration steht in der Microsoft-Dokumentation.

Verwaiste Geräte bleiben in Entra ID oft unbemerkt zurück

Aus Intune entfernte Geräte bleiben als Registrierungen in Entra ID erhalten, und so entstehen doppelte oder veraltete Objekte. Zum Problem wird das vor allem dann, wenn Conditional Access mit Filtern wie „device.state == 'enabled'“ arbeitet oder BitLocker-Recovery-Keys an den Geräteobjekten hängen.

Im Microsoft Entra Admin Center → Devices → All devices sollte man regelmäßig nach dem Feld „Activity“ filtern. Geräte, die seit Monaten keinerlei Aktivität mehr zeigen, verdienen einen genaueren Blick. Wer PowerShell bevorzugt, fragt über das Microsoft-Graph-PowerShell-Modul gezielt die Eigenschaft ApproximateLastSignInDateTime ab:

# Voraussetzung: Microsoft Graph PowerShell, Device.Read.All Berechtigung
gc | Connect-MgGraph -Scopes "Device.Read.All"
Get-MgDevice -All | Where-Object { $_.ApproximateLastSignInDateTime -lt (Get-Date).AddDays(-180) } | Select DisplayName, DeviceId, ApproximateLastSignInDateTime

Das Skript listet alle Geräte auf, die seit 180 Tagen nicht mehr genutzt wurden. Wie Microsoft mit „stale devices“ umgeht, ist in der Dokumentation zu veralteten Geräten beschrieben.

Alte Geräteobjekte schwächen Conditional Access

Dass verwaiste oder doppelte Geräteobjekte Conditional-Access-Richtlinien aushebeln oder zumindest schwächen können, wird häufig unterschätzt. Löscht man Geräte nur in Intune und nicht in Entra ID, bleiben sie für CA-Filter oft weiterhin sichtbar, vor allem wenn nach „device state“ oder Compliance gefiltert wird. In manchen Projekten sind mir trotz scheinbar strenger Compliance-Anforderungen längst ausgemusterte Geräte „durchgerutscht“, weil ihre Entra-Objekte noch aktiv waren. Regelmäßiges Bereinigen ist also kein Selbstzweck. Ohne diese Pflege lässt sich eine Sicherheitsstrategie gar nicht wirksam durchsetzen.

Praktischer Tipp: Bevor du verwaiste Geräte in Entra ID löschst, prüf immer, ob noch BitLocker-Keys, App-Registrierungen oder andere Ressourcen daran hängen. Andernfalls fehlen dir im Ernstfall wichtige Recovery-Informationen.

Mit dem Geräteobjekt verschwinden auch seine BitLocker-Schlüssel

Viele Admins denken nicht daran, dass mit dem Geräteobjekt in Entra ID auch die dort gespeicherten BitLocker-Wiederherstellungsschlüssel verloren gehen. Wurde BitLocker in der Vergangenheit uneinheitlich ausgerollt, hängen die einzigen Schlüssel oft ausgerechnet an alten, scheinbar „toten“ Geräten. Deshalb prüfe ich vor jedem Löschen, ob noch BitLocker-Schlüssel oder wichtige Attribute vorhanden sind. Wer ganz sicher gehen will, exportiert diese Daten vorher oder klärt mit dem Helpdesk, ob die Geräte tatsächlich nicht mehr im Einsatz sind. Das ist lästig, lässt sich aber nicht umgehen.

Ein Ablaufdiagramm zeigt die Zusammenhänge

Wie Intune, Entra ID und Conditional Access bei der Gerätebereinigung ineinandergreifen, habe ich im folgenden Diagramm skizziert:

flowchart TD
    DeviceRegistered["Gerät wird registriert"]
    InIntune["Gerät in Intune"]
    InEntra["Gerät in Entra ID"]
    Inaktiv["Gerät wird inaktiv"]
    IntuneCleanup["Intune Clean-up Regel löscht Gerät"]
    EntraBleibt["Entra ID Eintrag bleibt"]
    CAFilter["CA-Filter sieht verwaistes Gerät"]
    BitLockerKeys["BitLocker Schlüssel am Objekt"]
    ManuellerCheck["Manuelle Prüfung/Löschung Entra ID"]

    DeviceRegistered --> InIntune
    InIntune --> InEntra
    InEntra --> Inaktiv
    Inaktiv --> IntuneCleanup
    IntuneCleanup --> EntraBleibt
    EntraBleibt --> CAFilter
    EntraBleibt --> BitLockerKeys
    EntraBleibt --> ManuellerCheck

Abbildung: Gerätelebenszyklus in Intune und Entra ID – wo sich Daten ansammeln und warum sie Conditional Access beeinflussen.

Ich räume in festen Schritten und mit System auf

Im Alltag gehe ich in mehreren Stufen vor:

  • Als Erstes aktiviere ich die Device-Clean-up-Regeln in Intune und stelle einen passenden Zeitraum ein.
  • Danach konfiguriere ich die Compliance-Policy-Einstellungen so, dass Geräte ohne Compliance-Policy als „not compliant“ gelten und die Gültigkeit des Status vernünftig begrenzt ist.
  • Inaktive Geräte in Entra ID spüre ich regelmäßig auf, im Portal oder per PowerShell, und lösche sie erst, nachdem ich sensible Daten geprüft habe.
  • Das Aufräumen bekommt einen festen Termin im IT-Kalender, zum Beispiel einmal pro Quartal.

Wer so vorgeht, behält die Geräteverwaltung im Griff und kann die Compliance jederzeit nachvollziehen. Vor allem werden alte Geräteobjekte dann nicht zum Einfallstor in Conditional Access. Mehr zu Conditional-Access-Richtlinien findest du im Beitrag Conditional Access in Microsoft Entra ID: Die ersten Richtlinien, die jeder Tenant braucht.