In vielen Tenants, die ich betreue, kam Windows Autopilot immer wieder auf den Tisch. Spätestens beim Import der Hardware-Hashes stießen kleine und mittlere Unternehmen aber oft an praktische Grenzen. Der Prozess ist fehleranfällig, ein Gerät lässt sich nicht einfach mal spontan in Betrieb nehmen, und die Abstimmung mit den Distributoren hakt auch gern. Anfang Juni hat Microsoft fast beiläufig Windows Autopilot Device Preparation angekündigt und damit eine interessante Alternative geschaffen. Geräte müssen nicht mehr vorab importiert werden, sie werden stattdessen anhand einer Gruppenmitgliedschaft vorbereitet und ausgerollt. Das klappt allerdings nur mit Windows 11 und aktuellen Builds, und zum Start gibt es ausschließlich den User-driven-Modus mit Entra-Join. Für viele Szenarien ist das trotzdem ein deutlicher Schritt nach vorn.

Device Preparation ergänzt den klassischen Autopilot um ein neues Profil

Die bisherige Autopilot-Registrierung bleibt erhalten, Microsoft nennt sie inzwischen häufig „Autopilot klassisch“. Device Preparation kommt als neues Profil im Intune-Portal hinzu. Der wesentliche Unterschied liegt darin, dass keine Hardware-Hashes oder IDs mehr importiert werden müssen. Man legt eine Device-Preparation-Richtlinie an und weist sie einer Sicherheitsgruppe für Geräte zu. Sobald ein Gerät Mitglied dieser Gruppe wird (das kann z. B. der Provisioning Client erledigen), greift die Richtlinie und steuert die OOBE einschließlich App- und Skriptinstallation, Entra-Join und gezieltem Reporting.

In der Praxis bedeutet das: Wer Geräte mit einem aktuellen Windows-11-Build ausliefert, kann sie vom Benutzer direkt aus dem Karton einrichten lassen, ohne vorher eine aufwendige Registrierung abzuarbeiten. In verteilten Organisationen, bei Pilotierungen oder beim Austausch einzelner Geräte spart das spürbar Arbeit. Die offizielle Übersicht und der Walkthrough zum User-driven-Modus stellen die Unterschiede knapp und verständlich dar.

Gerätegruppe und Provisioning Client steuern die gesamte OOBE

Die Device-Preparation-Richtlinie entsteht wie gewohnt in Intune, wird aber an eine Gerätegruppe gebunden. Neu ist die Rolle des „Intune Provisioning Client“, der gewissermaßen als Besitzer auftritt. Er registriert das Gerät in Entra ID und Intune und sorgt dafür, dass während der OOBE genau die vorgesehenen Apps und Skripte installiert werden. Den Fortschritt sieht man nahezu in Echtzeit im Reporting. Die Richtlinie greift allerdings nur auf Geräten mit einem aktuellen Windows-11-Build (23H2 oder neuer) und vorhandenem Provisioning Client. Windows 10 und ältere Versionen bleiben außen vor.

In der Regel läuft das so ab:

flowchart TD
  start["Gerät startet mit Windows 11 OOBE"] --> provisioningClient["Provisioning Client wird aktiviert"]
  provisioningClient --> groupAssignment["Gerät tritt Gerätegruppe bei"]
  groupAssignment --> policyAssignment["Device Preparation Policy greift"]
  policyAssignment --> entraJoin["Entra-Join und Registrierung"]
  entraJoin --> appsScripts["Installation Apps/Skripte"]
  appsScripts --> ready["Gerät fertig für Nutzer"]

Abbildung: So arbeitet die Richtlinie für Windows Autopilot Device Preparation während der OOBE

Im Schaubild sieht man gut, dass alles an der Gruppenzuordnung und am neuen Provisioning Client hängt. Beim klassischen Autopilot bekommt das Gerät sein Profil aufgrund des Hardware-Imports, bei Device Preparation allein über die Gruppenmitgliedschaft.

Beide Verfahren haben ihre eigenen Einsatzgebiete

Gegenüber dem klassischen Autopilot unterscheidet sich Device Preparation vor allem in diesen Punkten:

  • Hardware-Hashes müssen nicht mehr importiert werden
  • Nur Windows 11, weder Hybrid Join noch Windows 10 werden unterstützt
  • User-driven-Modus, zu Beginn noch kein vorprovisioniertes Deployment
  • Zuweisung über Gerätegruppen statt über Importlisten
  • Reporting in Echtzeit im Intune-Portal

Eine übersichtliche Gegenüberstellung der aktuellen Einschränkungen und Möglichkeiten bietet der Vergleich auf Microsoft Learn. Wenn es schnell gehen muss und die Geräte ohnehin mit aktuellem Windows ausgeliefert werden, spielt Device Preparation seine Stärken aus. Wer dagegen Hybrid Join, Pre-Provisioning (White Glove) oder Windows 10 braucht, bleibt vorerst beim klassischen Autopilot.

Mein Tipp: Wenn das Hardware-Inventar nie wirklich sauber gepflegt wurde oder öfter kurzfristig Ersatzgeräte gebraucht werden, ist Device Preparation eine große Erleichterung. Bei Pilotprojekten und beim Tausch einzelner Notebooks hatte ich mit der neuen Methode deutlich weniger Organisationsaufwand.

Zum Start fehlen noch einige wichtige Szenarien

Ganz ohne Haken kommt die neue Methode noch nicht daher. Hybrid Join gibt es zum Start nicht, Pre-Provisioning (White Glove) funktioniert nicht, und auch Self-Deploying- oder Autopilot-Reset-Szenarien sind nicht vorgesehen. Die Geräte landen immer im modernen Entra-Join und brauchen aktuelle Builds. Das Reporting ist zwar schneller und genauer, die Flexibilität klassischer Profile (z. B. dynamische Zuweisung, gezieltes Zurücksetzen einzelner Geräte) vermisst man aber noch. Hinzu kommt, dass manche Organisationen die neue Methode noch nicht in ihre bestehenden Imaging- und Asset-Prozesse eingebunden haben.

Wer Intune bereits produktiv einsetzt, sollte außerdem die Gruppenlogik genau im Auge behalten. Weil die Device-Preparation-Richtlinie an Gruppenmitgliedschaften hängt, gehört die Zuweisung sauber dokumentiert und getestet. Andernfalls werden schnell die „falschen“ Geräte ausgerollt.

Die neue Methode senkt die Einstiegshürde, ersetzt aber nicht alles

Windows Autopilot Device Preparation ist für mich eine willkommene Erweiterung, die echte Lücken im Geräte-Rollout schließt. Für moderne, flexibel aufgestellte Organisationen und für Pilotszenarien liegt die Einstiegshürde deutlich niedriger als beim klassischen Autopilot. Wer den Hardware-Import bisher immer als Stolperstein erlebt hat, sollte die neue Methode unbedingt ausprobieren, idealerweise mit einer sauber definierten Pilotgruppe in Intune und aktuellen Windows-11-Geräten. Bei größeren Rollouts und in hybriden Umgebungen mit komplexen Anforderungen kommt man am „klassischen“ Autopilot aber auch weiterhin nicht vorbei.

Weitere Tipps zu modernen Betriebssystem-Rollouts findet ihr übrigens in meinem Artikel Windows LAPS mit Intune und Entra ID einrichten.