Wer schon einmal erlebt hat, wie schnell ein kompromittiertes Admin-Konto in Intune Schaden anrichtet, weiß: Ein einzelner Intune Administrator mit zu vielen Rechten ist ein erhebliches Risiko. In den meisten Tenants, die ich betreue, hält eine sehr kleine Gruppe von Admins nahezu die vollständige Kontrolle, häufig ohne jede Aufteilung nach Aufgaben oder Regionen. Gerade deshalb sollte man die eigenen Schutzmechanismen kritisch prüfen und sich nicht allein auf gute Passwörter und MFA verlassen.

Intune Multi Admin Approval verhindert Alleingänge bei riskanten Aktionen

Mit Intune Multi Admin Approval lässt sich verhindern, dass jemand risikoreiche Aktionen ohne Vier-Augen-Prinzip ausführt. Dazu gehören etwa das Zurücksetzen, Außerbetriebnehmen oder Löschen von Geräten, das Ausrollen von Skripten und das Zuweisen sensibler Rollen. Konfiguriert wird die Funktion zentral im Intune Admin Center unter „Mandantenverwaltung → Multi Admin Approval“. Für mich ist das ein großer Fortschritt, denn ein einzelner Admin kann kritische Intune-Aktionen nun nicht mehr unbemerkt anstoßen. Freigeben muss jeweils ein zweiter berechtigter Admin, der die Aktion nicht selbst ausgelöst hat. Im Audit Log bleibt alles nachvollziehbar.

In größeren Umgebungen, in denen verschiedene Teams Geräte oder Anwendungen verwalten, entlastet das spürbar. In manchen Projekten habe ich miterlebt, wie Skripte versehentlich bei der falschen Zielgruppe gelandet sind. Mit Multi Admin Approval wären viele dieser Fehler wohl gar nicht erst passiert.

RBAC und Scope Tags bilden die Grundlage für den Schutz

Richtig wirksam wird Multi Admin Approval erst im Zusammenspiel mit Intune RBAC (https://learn.microsoft.com/en-us/mem/intune/fundamentals/role-based-access-control) und Scope Tags (https://learn.microsoft.com/en-us/mem/intune/fundamentals/scope-tags). Intune erlaubt eine fein abgestufte Rollentrennung. Neben Standardrollen wie Intune Administrator, Helpdesk Operator oder Policy and Profile Manager kann man eigene Rollen anlegen, deren Berechtigungen genau auf die jeweilige Aufgabe zugeschnitten sind.

Über Scope Tags begrenzt man Sichtbarkeit und Kontrolle nach Regionen oder Teams. Ein lokales IT-Team verwaltet dann beispielsweise nur die eigenen Geräte oder Apps, während die globalen Admins den Überblick behalten. Wer Multi Admin Approval sinnvoll nutzen will, kommt an der Kombination aus RBAC und Scope Tags meiner Meinung nach nicht vorbei. Sonst bleibt der Kreis derer, die Aktionen auslösen oder genehmigen dürfen, schlicht zu groß.

Aus der Praxis: Legt in den ersten Wochen nur wenige, überschaubare Rollen und Scope Tags an und erweitert sie erst später. Zu viele Rollen stiften schnell Verwirrung und machen die Administration unnötig kompliziert.

Der Freigabeprozess läuft in wenigen Schritten ab

Das folgende Ablaufdiagramm zeigt, wie eine Freigabe in Intune vonstattengeht. Zu sehen sind die üblichen Schritte vom Anstoßen einer Aktion bis zur Ausführung und die Stelle, an der das Vier-Augen-Prinzip eingreift.

flowchart TD
    A["Admin startet risikoreiche Aktion"] --> B["Multi Admin Approval Regel greift?"]
    B -- "Nein" --> E["Aktion wird sofort ausgeführt"]
    B -- "Ja" --> C["Freigabe durch zweiten Admin erforderlich"]
    C --> D["Freigabeprozess in Intune Admin Center"]
    D --> F["Aktion wird ausgeführt"]

Abbildung: Der Freigabeprozess mit Intune Multi Admin Approval

Intune hält den Vorgang also nur dann an und verlangt eine zusätzliche Freigabe, wenn eine passende Regel konfiguriert ist. Davon profitieren vor allem kritische Aktionen, bei denen man auf brauchbare Schutzmechanismen oft viel zu lange warten musste.

Ein kleines Start-Set aus Freigaben, Rollen und Logs reicht für den Einstieg

Für einen pragmatischen Start rate ich, Multi Admin Approval zuerst für die Aktionen mit dem größten Schadenspotenzial einzuschalten:

  • Ausrollen und Löschen von Skripten
  • Wipe/Retire/Delete bei Geräten
  • Änderungen an Rollen oder Admin-Zuweisungen
  • App-Zuweisungen an große Gerätegruppen

Eingerichtet wird das im Intune Admin Center → Mandantenverwaltung → Multi Admin Approval. Gleichzeitig lohnt es sich, das RBAC-Konzept auf den Prüfstand zu stellen und zu straffen. Häufig finden sich zu weit gefasste Rollen oder zu viele Global Admins, die so viel Zugriff gar nicht bräuchten. Mit Scope Tags lassen sich die Zuständigkeiten zusätzlich eingrenzen.

Nicht vergessen sollte man das Protokoll: Intune zeichnet alle relevanten Aktionen im Audit Log auf (Intune Admin Center → Überwachung → Überwachungsprotokoll). Als Admin sollte man es regelmäßig durchsehen oder automatisch sichern lassen. Für kritische Änderungen bietet sich eine Alarmierung über Microsoft Sentinel oder Log Analytics an. Das setzt in der Praxis allerdings die passende Integration und Lizenz voraus.

Wie man Notfallzugriffskonten richtig einrichtet, beschreibe ich ausführlich in einem eigenen Beitrag.

Multi Admin Approval bringt mehr Sicherheit und muss trotzdem nicht bremsen

Intune Multi Admin Approval kommt spät, aber es schränkt die allzu bequeme Allmacht von Intune-Administratoren endlich ein. Die Funktion hilft gegen böswillige Angreifer und bewahrt ebenso vor menschlichen Fehlern. Dogmatisch sollte man die Sache allerdings nicht angehen. Zu viele Freigabeebenen machen die tägliche Arbeit mühsam und verleiten dazu, Prozesse zu umgehen. Am meisten bringt aus meiner Sicht ein ausgewogener Mix: klare, praxisnahe Approval-Regeln, sauber definierte RBAC-Rollen und dazu passende Scope Tags. Wer das regelmäßig überprüft und nachschärft, macht es Angreifern und internen Pannen deutlich schwerer, im großen Stil Schaden anzurichten.