Mit Windows Autopilot rollen Sie neue Windows-Geräte ohne manuelles Image aus: Der Mitarbeiter packt den Laptop aus, meldet sich mit seinem Entra-ID-Konto an, und Intune konfiguriert das Gerät automatisch. Diese Anleitung zeigt den Weg im Microsoft Intune admin center (intune.microsoft.com), von der Geräteregistrierung per Hardware-Hash über Bereitstellungsprofil (Deployment Profile) und Enrollment Status Page bis zur automatischen MDM-Registrierung (Mobile Device Management, zentrale Verwaltung durch Intune).

Voraussetzungen

Autopilot ist eine Cloud-Funktion und setzt eine funktionierende Entra-ID- und Intune-Umgebung voraus:

Lizenzen: Entra ID P1 (für automatische MDM-Enrollment) plus eine Intune-Lizenz. Beides ist in Microsoft 365 Business Premium, E3 und E5 sowie in den Education-Plänen A1/A3/A5 enthalten. Jeder Benutzer, der ein Gerät erhält, braucht eine zugewiesene Lizenz.
Windows-Edition: Windows 11/10 Pro, Pro Education, Enterprise oder Enterprise LTSC. Windows Home und Windows in S-Mode werden nicht unterstützt.
Rollen: Ein Konto mit der Rolle Intune Administrator (oder Global Administrator) für Portal-Konfiguration und Hash-Upload.
PowerShell: Microsoft Graph PowerShell – nicht das veraltete AzureAD-Graph-Modul – für das Skript Get-WindowsAutopilotInfo.
Geräte: Neue oder zurückgesetzte PCs mit unterstützter Edition, Internetzugang während der Einrichtung (LAN oder WLAN) und im UEFI auslesbarer Seriennummer; dazu ein Testgerät für den Pilotlauf.
Netzwerk: Ausgehend HTTPS 443, HTTP 80 und NTP 123. Erreichbar sein müssen unter anderem ztd.dds.microsoft.com, login.live.com und *.microsoftaik.azure.net (TPM-Zertifikate).

Schritt 1: Microsoft Graph PowerShell vorbereiten

Den Hardware-Hash erfassen Sie mit dem offiziellen Skript Get-WindowsAutopilotInfo aus der PowerShell Gallery; es nutzt seit Juli 2023 die Microsoft-Graph-PowerShell-Module. Starten Sie PowerShell als Administrator (bei neuen Geräten auch während der Ersteinrichtung, siehe Schritt 2) und setzen Sie vor der Installation die Ausführungsrichtlinie:

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo -Force
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"

Eine Rückfrage zum NuGet-Provider bestätigen Sie mit Y. Beim ersten Aufruf fragt das Skript nach der Zustimmung zu den Berechtigungen der App-Registrierung in Entra ID.

Verifizieren: Get-Command Get-WindowsAutopilotInfo liefert einen Eintrag vom Typ ExternalScript mit Pfad unter C:\Program Files\WindowsPowerShell\Scripts.

Schritt 2: Hardware-Hash der Geräte erfassen

Autopilot braucht je Gerät einen eindeutigen Hardware-Hash: Export als CSV (manueller Import) oder direkter Upload mit -Online. Der CSV-Export landet im aktuellen Verzeichnis; legen Sie dafür C:\HWID an.

New-Item -Type Directory -Path "C:\HWID" -Force
Set-Location -Path "C:\HWID"
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

Für die direkte Registrierung (etwa während der OOBE per Shift+F10 und powershell.exe) nutzen Sie den Online-Modus. Führen Sie dort zuerst die Befehle aus Schritt 1 aus; nötig ist mindestens die Rolle Intune Administrator:

Get-WindowsAutopilotInfo -Online

Prüfen Sie vor dem Upload, ob Hersteller und Seriennummer aus dem WMI gelesen werden; fehlen sie, schlägt der Upload fehl:

Get-CimInstance Win32_BaseBoard | Select-Object Manufacturer, SerialNumber

Die CSV enthält je Gerät Device Serial Number, Windows Product ID, Hardware Hash und optional Group Tag sowie Assigned User. Eine Importdatei fasst maximal 500 Geräte. Viele OEM/Reseller liefern die Hashes direkt in Ihren Tenant.

Verifizieren: C:\HWID\AutopilotHWID.csv existiert, die erste Zeile lautet Device Serial Number,Windows Product ID,Hardware Hash (ggf. mit Group Tag und Assigned User), und die Seriennummer stimmt mit der Ausgabe von Get-CimInstance Win32_BaseBoard überein. Beim Online-Modus meldet das Skript den erfolgreichen Upload.

Schritt 3: Geräte in Intune importieren

Laden Sie die CSV ins Microsoft Intune admin center unter intune.microsoft.com:

Öffnen Sie Devices > Windows > Device onboarding > Enrollment.
Wählen Sie unter Windows Autopilot den Punkt Devices.
Klicken Sie oben auf Import und wählen Sie Ihre AutopilotHWID.csv aus.
Bestätigen Sie mit Import und warten Sie, bis der Vorgang abgeschlossen ist.
Klicken Sie auf Sync; die Verarbeitung kann einige Minuten dauern.

Danach erscheinen die Geräte mit Profilstatus in der Liste. CSV-Nacharbeiten nur mit einem reinen Texteditor wie Notepad, nicht Excel (siehe Troubleshooting).

Verifizieren: Nach Refresh steht jede Seriennummer aus der CSV unter Windows Autopilot > Devices. Ein Import ohne Fehlermeldung zeigt keine Einträge wie ZtdDeviceAlreadyAssigned oder InvalidZtdHardwareHash.

Schritt 4: Automatische MDM-Enrollment aktivieren

Damit sich Geräte beim Entra-ID-Join automatisch in Intune einschreiben, muss der MDM-User-Scope gesetzt sein, sonst bricht das Enrollment ohne Benutzerkontext ab.

Öffnen Sie Devices > Device onboarding > Enrollment und dort den Reiter Windows.
Wählen Sie Automatic Enrollment.
Setzen Sie MDM user scope auf All oder auf Some mit einer definierten Gruppe.
Klicken Sie auf Save.

Mit Some begrenzen Sie den Scope optional auf eine Pilotgruppe.

Verifizieren: Beim erneuten Öffnen von Automatic Enrollment zeigt MDM user scope den gespeicherten Wert All bzw. Some mit Ihrer Gruppe.

Schritt 5: Autopilot-Bereitstellungsprofil erstellen

Das Bereitstellungsprofil steuert OOBE (Out-of-Box Experience) und Beitrittsart. Für KMU ist User-Driven mit Microsoft-Entra-ID-Join Standard: reines Cloud-Mitglied ohne lokale AD-Abhängigkeit.

Öffnen Sie Devices > Windows > Device onboarding > Enrollment und wählen Sie unter Windows Autopilot den Punkt Deployment Profiles.
Klicken Sie auf Create profile > Windows PC.
Vergeben Sie einen Namen, z. B. AP-User-Driven-EntraJoin, und eine Beschreibung.
Stellen Sie Convert all targeted devices to Autopilot nach Bedarf ein. Mit Yes registriert Intune alle firmeneigenen Geräte der zugewiesenen Gruppe nachträglich bei Autopilot (Microsoft nennt bis zu 48 Stunden Verarbeitungszeit).
Im Reiter Out-of-box experience (OOBE): Deployment mode = User-Driven, Join to Microsoft Entra ID as = Microsoft Entra joined.
OOBE anpassen: EULA, Datenschutzeinstellungen und lokale Admin-Rechte je nach Richtlinie ausblenden bzw. einschränken, bei Bedarf Namenskonvention für Gerätenamen festlegen.
Weisen Sie das Profil im Reiter Assignments einer Autopilot-Gerätegruppe zu (dynamische Gruppe, gefiltert nach Autopilot-Geräten oder Group Tag).

Eine dynamische Gerätegruppe in Entra ID filtert per Mitgliedschaftsregel auf Group Tag oder ZTDID-Attribut, sodass importierte Autopilot-Geräte automatisch Mitglied werden. Die Regel (device.devicePhysicalIDs -any (_ -startsWith "[ZTDid]")) erfasst alle Autopilot-Geräte.

Verifizieren: Unter Windows Autopilot > Devices zeigt die Spalte Profile status für die importierten Geräte nach einiger Zeit Assigned, und in der Geräteansicht steht Ihr Profilname.

Schritt 6: Enrollment Status Page (ESP) konfigurieren

Die Enrollment Status Page zeigt den Einrichtungsfortschritt und blockiert den Desktop, bis die wichtigsten Richtlinien und Apps installiert sind.

Öffnen Sie Devices > Device onboarding > Enrollment, Reiter Windows, und dort unter Windows Autopilot die Enrollment Status Page.
Klicken Sie auf Create und vergeben Sie einen Namen.
Setzen Sie Show app and profile configuration progress auf Yes.
Setzen Sie Block device use until all apps and profiles are installed auf Yes.
Belassen Sie den Timeout zunächst beim Standard von 60 Minuten und erhöhen Sie ihn nur bei langsamen Verbindungen.
Install Windows quality updates installiert Qualitätsupdates schon während der OOBE; laut Microsoft verlängert das die Einrichtung um 20 bis 40 Minuten und kann Neustarts auslösen.
Weisen Sie die ESP der gleichen Benutzer- oder Gerätegruppe zu wie das Profil.

Verifizieren: Die neue ESP erscheint in der Liste der Enrollment-Status-Page-Profile mit einer Priorität und der zugewiesenen Gruppe unter Assignments.

Schritt 7: Grund-Compliance und Konfigurationsprofile anlegen

Für eine Grundabsicherung legen Sie eine einfache Compliance-Richtlinie und einige Basis-Konfigurationsprofile an, die über die ESP beim ersten Start greifen.

Compliance-Richtlinie erstellen:

Öffnen Sie Devices > Compliance und klicken Sie auf Create policy (Platform = Windows 10 and later).
Aktivieren Sie sinnvolle Mindestanforderungen, z. B. BitLocker erforderlich, Secure Boot, TPM sowie eine Mindest-Betriebssystemversion.
Definieren Sie unter Actions for noncompliance, was bei Nichteinhaltung passiert (z. B. als nicht konform markieren).
Weisen Sie die Richtlinie der Benutzer- bzw. Gerätegruppe zu.

Konfigurationsprofil (Settings Catalog) erstellen:

Öffnen Sie Devices > Configuration > Create > New Policy (Platform = Windows 10 and later, Profile type = Settings catalog).
Fügen Sie Basis-Einstellungen hinzu, etwa Windows-Update-Verhalten, Bildschirmsperre oder Defender-Grundschutz.
Weisen Sie das Profil zu und speichern Sie.

Tipp: Mischen Sie keine Win32- und LOB-MSI-Pakete (Line of Business, eigene MSI-Installer). Beide nutzen den TrustedInstaller, der keine parallelen Installationen zulässt; die ESP schlägt dann fehl. Halten Sie die ESP-Pflicht-Apps schlank.

Verifizieren: Compliance-Richtlinie und Konfigurationsprofil stehen in ihren Listen mit der zugewiesenen Gruppe. Nach der ersten Einrichtung zeigt das Pilotgerät unter Devices > Windows den Status Compliant.

Schritt 8: Ablauf aus Nutzersicht testen

Setzen Sie ein Pilotgerät auf Werkszustand zurück oder nehmen Sie ein neues und durchlaufen Sie die OOBE. Ablauf für den Mitarbeiter:

Gerät einschalten, Sprache und Tastatur wählen, mit dem Netzwerk verbinden.
Autopilot erkennt das Gerät und zeigt die firmeneigene Anmeldeseite (Tenant-Branding) statt der privaten Microsoft-Anmeldung.
Der Benutzer meldet sich mit seinem Entra-ID-Konto (UPN und Passwort, anschließend MFA) an.
Die Enrollment Status Page läuft durch: Gerätevorbereitung, Geräte-Setup und Konto-Setup mit Apps und Richtlinien.
Nach Abschluss landet der Benutzer direkt auf dem fertig konfigurierten Desktop und kann arbeiten.

Funktioniert der Pilot, weiten Sie den Rollout auf weitere Geräte und Benutzergruppen aus.

Verifizieren: Das Gerät erscheint in Intune unter Devices > Windows mit dem Benutzer als primärem Nutzer, in Entra ID als Microsoft Entra joined, und auf dem Gerät zeigt dsregcmd /status den Wert AzureAdJoined : YES.

Troubleshooting

Problem: CSV-Importfehler. CSV nur mit reinem Texteditor wie Notepad bearbeiten und als ANSI (kein Unicode) speichern. Header unterscheiden Groß- und Kleinschreibung; zusätzliche Spalten und Anführungszeichen sind nicht erlaubt. Excel macht die Datei unbrauchbar.
Problem: ZtdDeviceDuplicated. Die CSV enthält denselben Hardware-Hash mehrfach. Nur ein Eintrag wird verarbeitet. Entfernen Sie die doppelte Zeile.
Problem: ZtdDeviceAlreadyAssigned. Das Gerät ist bereits in Ihrem Tenant registriert. Prüfen Sie die Seriennummer unter Windows Autopilot > Devices und importieren Sie es nicht erneut.
Problem: InvalidZtdHardwareHash. In WMI fehlen Hersteller oder Seriennummer. Prüfen Sie mit Get-CimInstance Win32_BaseBoard und korrigieren Sie ggf. das BIOS/UEFI bzw. die Hardware.
Problem: Gerätezugriff blockiert (UPN-Fehler). Ein ungültiger Benutzername in der Spalte Assigned User sperrt das Gerät. Entfernen oder korrigieren Sie die Zuweisung im Portal unter Windows Autopilot > Devices.
Problem: OOBE-Neustart-Schleife. Nach zu vielen OOBE-Neustarts geht Windows in einen Wiederherstellungsmodus (Sprache, Region und Tastatur auf einer Seite). Setzen Sie den Zähler unter HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\UserOOBE auf 1 zurück:
```
Set-ItemProperty -Path 'HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\UserOOBE' -Name Retry -Value 1
```
Problem: ESP läuft in den Timeout (Hybrid Join). Der On-Premises-AD-Sync kostet rund 40 Minuten extra. Erhöhen Sie den ESP-Timeout oder bevorzugen Sie den reinen Entra-ID-Join.
Problem: Pre-Provisioning schlägt fehl. Die TPM-Zertifikats-URLs *.microsoftaik.azure.net sind blockiert. Geben Sie sie in Firewall/Proxy frei.
Problem: Enrollment ohne Benutzerkontext. Der MDM-User-Scope ist nicht aktiv. Setzen Sie ihn unter Devices > Device onboarding > Enrollment > Windows > Automatic Enrollment auf All oder Some.

Häufige Fragen

Brauche ich Entra ID P2 für Autopilot?

Nein. Für die automatische MDM-Enrollment genügt Entra ID P1 (in Business Premium, E3 und E5). P2 brauchen Sie nur für Zusatzfunktionen wie risikobasierte Conditional-Access-Richtlinien.

Funktioniert Autopilot mit Windows Home?

Nein, siehe Voraussetzungen: mindestens Pro, Pro Education, Enterprise oder Enterprise LTSC.

Muss ich den Hardware-Hash selbst erfassen?

Nicht zwingend; viele OEM und Reseller registrieren Geräte direkt in Ihrem Tenant. Für Bestandsgeräte oder kleine Mengen ist Get-WindowsAutopilotInfo der schnellste Weg.

Was ist der Unterschied zwischen Entra-ID-Join und Hybrid Join?

Entra-ID-Join macht das Gerät zum reinen Cloud-Mitglied, ideal ohne lokale Domäne. Hybrid Join bindet zusätzlich an ein lokales AD an, kostet wegen des AD-Syncs rund 40 Minuten mehr und ist fehleranfälliger.

Wie viele Geräte kann ich pro CSV importieren?

Maximal 500 Geräte pro Importdatei; größere Mengen auf mehrere CSV-Dateien aufteilen.

Warum bleibt die Enrollment Status Page hängen?

Meist zu viele oder konfliktbehaftete Pflicht-Apps. ESP-Pflichtliste schlank halten, keine Win32- und LOB-MSI-Pakete mischen, bei langsamen Verbindungen den Timeout über 60 Minuten erhöhen.

Fazit

Kurz: Hardware-Hash erfassen und importieren, MDM-User-Scope aktivieren, User-Driven-Profil mit Entra-ID-Join plus Enrollment Status Page anlegen und einer Gerätegruppe zuweisen, Grund-Compliance ergänzen. Testen Sie mit einem Pilotgerät, bevor Sie auf alle Geräte ausweiten.

Weiterführende Anleitungen und Quellen

Passend zu einem sicheren Geräte-Rollout sollten Sie auch den Zugriffsschutz härten. Ergänzend hilfreich:

MFA und Conditional Access in Entra ID einrichten – damit nur konforme Geräte und Benutzer Zugriff erhalten.
Phishing-Schutz mit Defender for Office 365 einrichten – passender E-Mail-Schutz für die frisch ausgerollten Geräte.
Windows-Updates zentral steuern: WSUS und Update for Business – die ausgerollten Geräte zentral mit Updates versorgen
Weitere Anleitungen in der Kategorie Microsoft 365

Quellen (Microsoft Learn):