Neue Notebooks automatisch einrichten: Windows Autopilot und Intune für den Mittelstand

Wer schnell wächst oder mehrere Standorte betreibt, kennt das Problem: Ein neuer Mitarbeiter fängt an, das Notebook ist bestellt, aber bevor es einsatzbereit ist, muss jemand es auspacken, Windows durchklicken, Software installieren, Konten einrichten und Sicherheitseinstellungen setzen. Bei einem Gerät ist das lästig. Bei zehn Geräten an drei Standorten wird es zum Engpass. Windows Autopilot in Kombination mit Microsoft Intune löst genau das: Das Gerät richtet sich beim ersten Einschalten selbst ein, egal wo es steht.

Was Windows Autopilot und Intune zusammen leisten

Windows Autopilot verwandelt ein fabrikneues Notebook beim ersten Einschalten automatisch in ein fertig konfiguriertes Firmengerät. Der Mitarbeiter verbindet es mit dem Internet und meldet sich mit seinem Firmenkonto an. Danach übernimmt Microsoft Intune: Es rollt Sicherheitsrichtlinien, Verschlüsselung und alle nötigen Apps aus. Kein Image, kein Technikerbesuch, keine Handarbeit pro Gerät.

Man kann sich die Rollenteilung so vorstellen: Autopilot ist der automatische Empfang, der das neue Gerät identifiziert und in die Firmenumgebung hereinholt. Intune ist die Verwaltung, die im Hintergrund dauerhaft dafür sorgt, dass das Gerät konfiguriert, aktuell und sicher bleibt. Beides läuft über die Cloud, konkret über Microsoft Entra ID (die Identitätsverwaltung von Microsoft 365) und den Intune Admin Center.

Der entscheidende Unterschied zum klassischen Vorgehen: Früher hat die IT ein Standard-Image gebaut, es auf jedes Gerät gespielt und alles manuell nachkonfiguriert. Autopilot nutzt stattdessen das ab Werk vorinstallierte Windows und macht daraus per Cloud-Konfiguration ein einsatzbereites Firmengerät. Es muss also keine Image-Infrastruktur mehr gepflegt werden.

Quelle: Microsoft Learn: Overview of Windows AutopilotAutopilot verbindet Geräte automatisch mit Microsoft Entra ID und meldet sie in einem MDM wie Intune an. Stand: 2026-08-24.

Warum das für den Mittelstand mehr ist als eine Spielerei

Der eigentliche Gewinn ist nicht die Technik, sondern die Planbarkeit. Geräte lassen sich fabrikneu direkt vom Händler an jeden Standort oder ins Homeoffice schicken. Der Mitarbeiter richtet sie selbst ein, ohne IT-Kenntnisse. Der Aufwand pro Gerät sinkt von Stunden auf Minuten, und er hängt nicht mehr davon ab, dass ein Techniker gerade Zeit hat und am richtigen Ort ist.

Für ein Unternehmen mit einem einzigen Büro und seltenen Neueinstellungen ist der Effekt überschaubar. Interessant wird es, sobald einer dieser Fälle zutrifft: Sie stellen regelmäßig neue Leute ein, Sie haben mehrere Standorte, oder Sie arbeiten mit Homeoffice und mobilen Teams. Dann skaliert der bisherige manuelle Prozess einfach nicht mehr mit.

Dazu kommt ein Sicherheitsaspekt, der oft übersehen wird. Wenn jedes Gerät von Hand eingerichtet wird, sieht am Ende auch jedes Gerät ein bisschen anders aus. Auf dem einen fehlt die Verschlüsselung, auf dem anderen ist eine veraltete Richtlinie aktiv, ein drittes wurde nie richtig fertig konfiguriert. Über Autopilot und Intune bekommt jedes Gerät denselben definierten Zustand. Das ist nicht nur ordentlicher, sondern auch die Grundlage dafür, Sicherheitsvorgaben überhaupt nachweisen zu können.

So läuft ein Geräteroll-out mit Autopilot ab

Aus Sicht des Unternehmens verschiebt sich die Arbeit von jedem einzelnen Gerät hin zu einer einmaligen, sauberen Einrichtung der Konfiguration. Danach ist jeder weitere Geräteroll-out fast von selbst erledigt. Der folgende Ablauf zeigt die Schritte von der einmaligen Vorbereitung bis zum fertig konfigurierten Notebook beim Mitarbeiter.

1. 1
   Grundlagen einmalig einrichten
   In Microsoft 365 werden die Autopilot-Bereitstellungsprofile und die Intune-Richtlinien einmal definiert: Welche Apps sollen kommen, welche Sicherheitseinstellungen gelten, wie sieht die Ersteinrichtung für den Nutzer aus. Das ist der einzige aufwendige Schritt, und er fällt nur einmal an.
2. 2
   Gerät registrieren
   Das neue Notebook wird bei Autopilot registriert, in der Regel über den Hardware-Fingerabdruck. Bei vielen Modellen übernimmt der Händler oder Hersteller die Registrierung direkt bei der Bestellung, sodass das Gerät bereits vorbereitet ankommt.
3. 3
   Direkt an den Zielort liefern
   Das versiegelte, fabrikneue Gerät geht per Versand direkt an den Standort oder zum Mitarbeiter ins Homeoffice. Es muss vorher nicht durch die IT oder die Zentrale wandern.
4. 4
   Mitarbeiter meldet sich an
   Der Mitarbeiter schaltet das Gerät ein, wählt das WLAN und meldet sich mit seinem Firmenkonto an. Ab hier läuft alles automatisch.
5. 5
   Automatische Konfiguration
   Das Gerät tritt Entra ID bei, wird in Intune aufgenommen und erhält Verschlüsselung, Sicherheitsrichtlinien und alle zugewiesenen Apps. Nach 20 bis 60 Minuten ist das Notebook einsatzbereit, ohne dass jemand daneben saß.

Der wichtigste Punkt an diesem Ablauf: Der aufwendige Teil (Schritt eins) passiert genau einmal. Jedes weitere Gerät durchläuft danach nur noch die Schritte zwei bis fünf, und die kosten das Unternehmen praktisch keine Arbeitszeit mehr.

Was Sie an Lizenzen und Voraussetzungen brauchen

Für Autopilot brauchen Sie Microsoft Intune und Microsoft Entra ID Premium P1. Beides ist in Microsoft 365 Business Premium bereits enthalten, dem Plan, den viele KMU ohnehin nutzen. Wer nur Business Standard hat, muss aufstocken oder Intune einzeln lizenzieren. Zusätzliche Server oder Imaging-Systeme sind nicht nötig.

Konkret sind das die technischen Bausteine, die vorhanden sein müssen: Ein Microsoft-365-Tenant mit Entra ID als Identitätsverwaltung, Intune für die Geräteverwaltung, Entra ID Premium P1 (das die automatische Intune-Anmeldung beim Gerätestart erlaubt) und Notebooks mit einer aktuellen, unterstützten Windows-Version. Business-Geräte namhafter Hersteller erfüllen diese Anforderungen in der Regel ab Werk.

Beim Thema Lizenzkosten lohnt der genaue Blick. Intune ist als eigenständiger Plan 1 laut Microsoft für rund 8 US-Dollar pro Nutzer und Monat zu haben. In Microsoft 365 Business Premium steckt es aber ohne Aufpreis mit drin, zusammen mit Entra ID Premium P1 und dem Virenschutz Microsoft Defender for Business. Für die meisten Betriebe ist Business Premium daher der wirtschaftlich sinnvollere Weg als das Zusammenstellen von Einzellizenzen.

Quelle: Microsoft 365 Business: Pläne und PreiseMicrosoft 365 Business Premium enthält Microsoft Intune (Plan 1), Entra ID Premium P1 und Defender for Business. Stand: 2026-08-24.

Was Autopilot mit Sicherheit und Compliance zu tun hat

Einheitlich verwaltete Geräte sind kein Selbstzweck, sie sind die Grundlage für nachweisbare IT-Sicherheit. Über Intune erzwingen Sie Festplattenverschlüsselung, aktuelle Updates, aktiven Virenschutz und einen definierten Mindeststandard auf jedem Gerät. Genau solche technischen und organisatorischen Maßnahmen verlangen DSGVO und die NIS2-Regeln, und mit einer verwalteten Flotte lassen sie sich belegen.

Für viele mittelständische Unternehmen ist das inzwischen mehr als eine Empfehlung. NIS2 betrifft in bestimmten Sektoren Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz, und auch kleinere Betriebe können über die Lieferkette in die Pflicht geraten. Ein zentraler Baustein solcher Vorgaben ist, dass Sie den Zustand Ihrer Geräte kennen und steuern können. Eine handverwaltete, uneinheitliche Flotte macht das praktisch unmöglich.

Quelle: BSI: NIS-2-regulierte UnternehmenBSI: Betroffenheit und Pflichten NIS-2-regulierter Unternehmen. Stand: 2026-08-24.

Mehr zu den konkreten Pflichten lesen Sie im Beitrag zu NIS2 für Unternehmen. Wie sich das Ganze in einen sauberen Prozess für Ein- und Austritte einfügt, zeigt der Artikel zu IT-Onboarding und Offboarding.

Für wen sich der Umstieg lohnt und für wen nicht

Autopilot und Intune lohnen sich am deutlichsten für Unternehmen, die wachsen, mehrere Standorte haben oder viel mit Homeoffice arbeiten. Je öfter Geräte ausgerollt werden und je verteilter die Belegschaft ist, desto größer der Effekt. Für einen kleinen Betrieb mit stabilem Team und einem Standort ist der Nutzen geringer, aber die Grundlage für saubere Sicherheit schafft die Verwaltung auch dort.

Ein ehrliches Wort zum Aufwand: Der Umstieg ist keine Zehn-Minuten-Sache. Das einmalige Einrichten der Profile, Richtlinien und App-Zuweisungen will durchdacht sein, denn dieser Standard gilt danach für jedes Gerät. Ein schlecht gesetztes Profil verteilt seine Fehler automatisch auf alle Notebooks. Genau deshalb ist die Ersteinrichtung der Punkt, an dem Erfahrung den Unterschied macht.

Der gute Teil: Ist das Fundament einmal gelegt, arbeitet es dauerhaft für Sie. Neue Geräte kommen fast von selbst dazu, ausscheidende werden aus der Ferne bereinigt, und der Gerätepark bleibt in einem Zustand, den Sie kennen und belegen können. Das passt zum Grundgedanken planbarer IT-Kosten und zu einem ordentlichen Hardware-Lebenszyklus.

Wie ITCC dabei unterstützt

Wenn Sie regelmäßig neue Notebooks ausrollen, mehrere Standorte betreiben oder gerade merken, dass die manuelle Geräteeinrichtung zum Engpass wird, ist Autopilot mit Intune der naheliegende nächste Schritt. Der schwierige Teil ist nicht die tägliche Nutzung, sondern das einmalige, saubere Aufsetzen der Konfiguration.

Genau da setzen wir an. ITCC prüft Ihre bestehende Microsoft-365-Umgebung und Lizenzlage, richtet die Autopilot-Profile und Intune-Richtlinien nach Ihren Anforderungen ein, bindet vorhandene Geräte mit ein und übernimmt danach die laufende Betreuung der Geräteflotte, auch über mehrere Standorte hinweg. So wird aus jedem neuen Notebook ein planbarer Vorgang statt eines Technikertermins. Wenn Sie wissen möchten, ob sich der Umstieg für Ihren Betrieb lohnt, ist ein kurzes Gespräch der beste Anfang.