Der ultimative Intune Troubleshooting-Leitfaden

Einleitung

Dieser Post zeigt ein strukturiertes Vorgehen, um unerwartetes Verhalten zwischen Microsoft Intune und einem verwalteten Endpoint zu untersuchen. Das Szenario: Du konfigurierst etwas im Intune Admin Center, das Gerät sollte es anwenden, aber etwas geht schief.

Das kann folgende Inhaltstypen betreffen:

• Device Configuration und Compliance Profiles
• Endpoint Security Profiles
• Settings Catalog Policies
• Scripts und Remediations (früher Proactive Remediations)
• Win32-Apps, Store-Apps und LOB-Apps

Quick Tips

• Nutze die neue Geräteseite im Admin Center
• Intune nutzt neue Kommunikationsprotokolle und deklarative Konfiguration über MMP-C und WinDC sowie die Zustellung von Benachrichtigungen über Teams Mehr dazu
• Configuration nutzt den MDM-Protokollstack, einschliesslich SyncML
• Apps, Scripts und Remediation nutzen die Intune Management Extension (IME), einen eigenen Dienst
• Nutze den Properties Catalog, um clientseitige Attribute abzurufen und sie über Advanced Analytics und (Multi-) Device Query zu entdecken

Troubleshooting in Kürze

Gehe für das Troubleshooting von Intune-verwalteten Geräten so vor:

1. Prüfe, ob das Problem auf mehreren Geräten auftritt oder nur bei einem einzelnen Gerät oder Benutzer
2. Prüfe, ob dem Benutzer eine Intune-Lizenz zugewiesen ist
3. Stelle sicher, dass alle erforderlichen Netzwerk-Endpunkte erreichbar sind
4. Im Admin Center sollten keine Konflikte oder Profilfehler sichtbar sein
5. Prüfe clientseitige Berichte, Logs und Einstellungen
6. Dauert das Troubleshooting länger als 2 Stunden, empfehle ich, das Gerät stattdessen neu aufzusetzen

Troubleshooting-Ablauf

• Starte im Intune-Portal: Nimm deine Änderung vor und prüfe dann zuerst im Portal das Assignment und den Status des Profils, der App oder des Scripts.
• Erzwinge einen Sync auf dem Gerät: Warte nicht auf den nächsten automatischen Check-in. Löse den Sync über das Intune-Portal, das Company Portal, die Windows-Einstellungen oder PowerShell aus.
• Prüfe, ob der Inhalt angewendet wurde: Geh zurück ins Intune-Portal und schau dir den Status des Geräts oder des Inhalts an. Wurde er erfolgreich angewendet oder gibt es einen Fehler?
• Bei einer App, einem Script oder einer Remediation → öffne die IME-Logdatei. Dort werden App-Installationen und Script-Ausführungen im Detail protokolliert.
• Bei einem Configuration Profile oder einer Endpoint Security Policy → starte mit dem Event Viewer. Suche nach Warnungen oder Fehlern im MDM-Kanal rund um den Zeitpunkt des letzten Syncs.
• Immer noch keine Antwort? → Führe MDMDiagnosticsTool.exe aus und öffne den HTML-Bericht. Er gibt dir einen vollständigen Überblick über alles, was Intune an das Gerät gepusht hat, und über den resultierenden Zustand.
• Letzter Ausweg: die Registry. Prüfe direkt, ob die Einstellung tatsächlich auf dem Gerät angekommen ist und welchen effektiven Wert sie aktuell hat.

Schliessen

Wichtigste Quellen

• Intune-Portal: zeigt angewendete Profile und Apps für Geräte und Benutzer
• Diagnostics und MDMDiagnostics: zeigen alle Diagnosedaten aus dem MDM-Kanal
• IntuneManagementExtension-Logdateien: Die IME ist die Komponente, die auf dem Endgerät für PowerShell-Scripts, Apps und den Compliance-Status aus Intune zuständig ist
• Event Viewer: Die meisten relevanten Events erscheinen hier, besonders wenn du nicht genau weisst, wo du suchen sollst
• Registry: ist immer der letzte Punkt, um Einstellungen zu prüfen

1. Intune Admin Center

Das Admin Center ist immer die erste Anlaufstelle. Es lohnt sich, drei Perspektiven zu kennen:

Von der Inhaltsseite (Policy oder App)

Öffne ein bestimmtes Profil, eine Compliance Policy oder eine App und prüfe:

• Device Assignment Status: welche Geräte den Inhalt erhalten haben und in welchem Zustand
• Status pro Einstellung (Settings Catalog): detaillierte Einsicht, welche einzelnen Einstellungen erfolgreich waren oder fehlgeschlagen sind
• Zeitpunkt des letzten Check-ins: Ein veralteter Zeitstempel ist oft der Übeltäter, noch vor allem anderen

Von der Geräteseite

Öffne «Devices > All Devices», wähle das Gerät aus und sieh dir «Tools and reports» und die weiteren Tabs an. So erhältst du ein vollständiges Bild von allem, was auf dieses Gerät ausgerichtet ist.

Troubleshooting + Support

Das Blade «Troubleshooting + support» (nach einem Benutzer suchen) zeigt alle Geräte des Benutzers und den Assignment-Status von Policies, Apps und Compliance. Praktisch, wenn du schnell benutzerspezifische von gerätespezifischen Assignment-Problemen unterscheiden willst.

Schliessen

2. Gerät synchronisieren

Bevor du in die Logs eintauchst, stelle sicher, dass das Gerät die letzten Änderungen erhalten hat. Der Standard-Sync-Rhythmus für Windows ist:

• Alle 3 Minuten in den ersten 15 Minuten (nach dem Enrollment)
• Alle 15 Minuten in den folgenden 2 Stunden
• Danach alle ~8 Stunden

So erzwingst du einen Sync:

• Aus dem Portal: Devices > Gerät auswählen > Sync
• Vom Gerät aus: Settings > Accounts > Access work or school > Info > Sync
• Per PowerShell (lokal):

[Windows.Management.MdmSessionManager,Windows.Management,ContentType=WindowsRuntime]
$session = [Windows.Management.MdmSessionManager]::TryCreateSession()
$session.StartAsync()

3. Diagnostics und MDMDiagnosticsTool

Reichen die Daten aus dem Portal nicht, sind Diagnosedaten der nächste Schritt. Du hast zwei Möglichkeiten:

Remote (aus dem Intune-Portal)

Wähle im Admin Center ein Gerät aus und klicke auf Collect diagnostics. Nach ein paar Minuten erscheint das Paket im linken Bereich unter Device diagnostics und kann heruntergeladen werden. Das ist die bevorzugte Methode für Geräte, die remote oder unbeaufsichtigt sind. Es enthält:

• Registry-Exporte
• Event-Viewer-Logs
• Befehlsausgaben
• Wichtige Logdateien

Lokal (auf dem Gerät)

Öffne eine Eingabeaufforderung mit erhöhten Rechten und führe aus:

MDMDiagnosticsTool.exe -out C:\Temp\MDMDiag

Das erhältst du:

• Exportierte Event-Viewer-Einträge aus MDM-relevanten Kanälen
• MDMDiagReport.html: ein gut lesbarer Überblick über Sync-Status, angewendete Policies und erkannte Fehler
• Eine ausführliche .xml-Datei mit dem vollständigen MDM-Sync-Payload

Den Bericht kannst du auch erzeugen über Settings > Accounts > Access work or school > Info > Create report

4. IntuneManagementExtension (IME) Logs

Die Intune Management Extension verarbeitet auf Windows-Geräten Win32-Apps, PowerShell-Scripts, Remediations und die Compliance-Auswertung. Ihre Logdateien sind die erste Wahl für alles in diesen Kategorien.

Dienst, der neu gestartet werden muss:

Schliessen

Speicherort der Logs:

C:\ProgramData\Microsoft\IntuneManagementExtension\Logs\

Wichtige Dateien:

• IntuneManagementExtension.log: Hauptlog für App-Installationen, Script-Ausführung und Policy-Auswertung
• AgentExecutor.log: Ausgabe von PowerShell- und Remediation-Scripts
• ClientHealth.log: Health-Auswertung der IME
• Sensor.log: Datenerfassung für Endpoint Analytics

Empfohlenes Tool: CMTrace für die Hervorhebung der Logs in Echtzeit. Konzentriere dich auf gelbe (Warnung) und rote (Fehler) Einträge und lies die umliegenden Zeilen für den Kontext.

5. Event Viewer

Der Event Viewer eignet sich, um Events zu finden, nach denen du nicht gezielt gesucht hast: Breite Probleme mit der MDM-Kommunikation, dem Entra-ID-Join-Status und dem Enrollment-Status tauchen hier auf.

Primärer Intune-Kanal:

Applications and Services Logs > Microsoft > Windows >
DeviceManagement-Enterprise-Diagnostics-Provider

Filtere das Log auf die Stufen Critical, Error und Warning, um das Rauschen zu reduzieren.

6. Registry

Die Registry ist der letzte Prüfpunkt: Damit verifizierst du, ob eine bestimmte Einstellung tatsächlich auf dem Gerät angekommen ist, unabhängig davon, was das Portal anzeigt.

Wichtige Pfade:

MDM-Policy-Bereich: HKLM:\SOFTWARE\Microsoft\PolicyManager\

Weitere Informationen

• Jedes Gerät muss ein Intune MDM Device Certificate haben Mehr dazu
• Nutze Oli Kieselbachs SyncML Viewer für weitere Einblicke in den Sync
• Remediations beschleunigen und analysieren
• Suchst du nach Edge-Einstellungen, öffne Edge und gib edge://policy in die Adressleiste ein, um die angewendeten Policies zu sehen
• Multi Admin Approval kann bestimmte Admin-Aktionen blockieren und setzt ein Vier-Augen-Prinzip voraus Mehr dazu

Was heisst das für Schweizer Firmen?

• Diagnosepakete («Collect diagnostics», MDMDiagnosticsTool) enthalten Logs und Registry-Exporte, in denen Benutzer- und Gerätenamen vorkommen können. Das sind Personendaten im Sinn des revDSG: Gib sie nur gezielt weiter, etwa an einen Dienstleister oder an den Microsoft Support
• Die Faustregel «nach 2 Stunden neu aufsetzen» passt gut zu KMU mit kleinem IT-Team: Ein sauberes Re-Staging ist oft günstiger als eine lange Fehlersuche
• Der erste Check, ob dem Benutzer eine Intune-Lizenz zugewiesen ist, lohnt sich besonders bei gemischten Lizenzmodellen. Prüfe, welches Microsoft-365-Paket deine Benutzer haben und ob es Intune enthält
• Auch bei einem Tenant mit Datenstandort Schweiz (Switzerland North und West) müssen die Geräte die Intune-Netzwerk-Endpunkte erreichen. Prüfe die Firewall- und Proxy-Regeln, bevor du in den Logs suchst

powered by Oceanleaf

OceanleafTechnology blog on Microsoft Cloud. Learn about cutting edge tech, explained simply & straightforward in quality focused blog posts.Oceanleaf · Niklas Tinner