Windows 11 Pro für Business-Endgeräte

Vor dem Kauf von Produktschlüsseln für den Gerätebestand die Basislizenz prüfen

Prüfen Sie zuerst die Lizenzberechtigung, nicht die Aktivierung. Erfassen Sie für jedes Endgerät die installierte Edition, die Herkunft der ursprünglichen Lizenz und ob der geplante Kauf eine Vollversion oder ein Upgrade umfasst. Viele Windows-Lizenzen aus den kommerziellen Lizenzprogrammen von Microsoft sind Upgrade-Lizenzen und setzen ein qualifizierendes Basisbetriebssystem voraus. Eine erfolgreiche Aktivierung belegt nicht, dass diese Anforderungen erfüllt sind. Prüfen Sie die geltenden Microsoft-Software-Lizenzbedingungen oder Produktbestimmungen für das konkrete Produkt und den jeweiligen Vertriebskanal.

Auch die Übertragungsrechte hängen davon ab, wie Windows erworben wurde. Nach den Standardbedingungen von Microsoft bleibt vorinstalliertes Windows normalerweise an das lizenzierte Gerät gebunden und darf nur zusammen mit diesem Gerät an einen anderen Eigentümer übertragen werden. Separat erworbene Einzelhandelssoftware darf in der Regel auf ein anderes Gerät übertragen werden, sofern sie vom bisherigen Gerät entfernt wird und die weiteren Bedingungen erfüllt sind. Als MSP sollten Sie die Lizenznachweise jedes Kunden getrennt führen. Ein wiederverwendbares Bereitstellungsimage oder ein Aktivierungsschlüssel berechtigt nicht zur Nutzung auf zusätzlichen Kundengeräten.

• Bewahren Sie Rechnungen, Lizenzbeschreibungen und Nachweise auf, die jede Lizenzberechtigung einem Gerät oder Nutzer zuordnen.
• Prüfen Sie vor dem Kauf eines Windows-Upgrades aus einem kommerziellen Lizenzprogramm die Anforderungen an das qualifizierende Betriebssystem.
• Betrachten Sie MAK und KMS als Aktivierungsmethoden, nicht als Nachweis für unbegrenzte Installationsrechte.
• Prüfen Sie die Übertragungsrechte, bevor Sie eine Lizenz von einem ausgemusterten PC auf ein anderes Gerät übertragen.
• Vergleichen Sie die Kosten kommerzieller Lizenzverträge anhand Ihres tatsächlichen Bedarfs. Es gibt keine allgemeingültige Anzahl von Arbeitsplätzen, ab der solche Verträge günstiger sind.

Identitäts- und Registrierungsmodell vor der Gerätebereitstellung festlegen

Entscheiden Sie vor der Planung Ihres Bereitstellungsprozesses, ob Geräte einer lokalen Active Directory-Domäne beitreten, Microsoft Entra join nutzen oder hybrid eingebunden werden sollen. Die Microsoft Entra-Registrierung, die häufig beim Hinzufügen eines Geschäftskontos auf einem privaten PC erfolgt, ist nicht mit einem Gerätebeitritt gleichzusetzen. Über Microsoft Entra join eingebundene PCs ermöglichen die Windows-Anmeldung mit Organisationskonten, ohne einer lokalen Domäne beizutreten. Hybrid join kombiniert einen bestehenden Beitritt zu einer Active Directory-Domäne mit einer Geräteidentität in Microsoft Entra ID.

Windows Pro unterstützt diese Beitrittsoptionen für Organisationen. Der Kauf des Betriebssystems umfasst jedoch kein Intune-Abonnement. Die automatische Intune-Registrierung über Microsoft Entra erfordert eine passende Intune-Lizenzierung sowie Microsoft Entra ID P1 oder P2. Microsoft 365 Business Premium enthält Intune Plan 1 und Entra ID P1 im Rahmen der jeweiligen Abonnementgrenzen und -bedingungen. Konfigurieren Sie bei einem neuen Rollout zuerst den Registrierungsbereich und die Registrierungseinschränkungen. Testen Sie anschließend ein repräsentatives Gerät von der Ersteinrichtung über die Anwendung der Richtlinien bis zur Installation der Anwendungen.

• Wählen Sie Microsoft Entra join für vorrangig cloudbasierte Geräte, sofern keine nachgewiesene Abhängigkeit einen Domänenbeitritt erfordert.
• Das Hinzufügen eines Geschäftskontos ist kein Nachweis dafür, dass ein Gerät beigetreten ist oder verwaltet wird.
• Prüfen Sie vor der Bereitstellung die Benutzerlizenzen, Registrierungsberechtigungen und Gerätelimits des Mandanten.
• Nutzen Sie Windows Autopilot, sofern unterstützt, um die Bereitstellung zu vereinfachen. Die erforderlichen Lizenzen sind darin nicht enthalten.
• Vermeiden Sie widersprüchliche Einstellungen durch die parallele Konfiguration über Gruppenrichtlinien und Intune.

Die Wiederherstellung verschlüsselter Geräte als festen Betriebsprozess testen

Verschlüsselung lässt sich nur zuverlässig verwalten, wenn autorisierte Mitarbeitende den Zugriff auf ein gesperrtes Gerät wiederherstellen können. Legen Sie vor der flächendeckenden Aktivierung von BitLocker fest, wo Wiederherstellungsinformationen gespeichert werden und wer sie abrufen darf. Domänenverwaltete Geräte können Wiederherstellungsinformationen in Active Directory Domain Services sichern. Entsprechend konfigurierte, cloudverwaltete Geräte können sie in Microsoft Entra ID hinterlegen. Konfigurieren Sie die passende Richtlinie vor Beginn der Verschlüsselung. Gehen Sie nicht davon aus, dass ein Domänenbeitritt oder die Registrierung in einer Geräteverwaltung automatisch alle bereits vorhandenen Wiederherstellungsschlüssel sichert.

Prüfen Sie den vollständigen Ablauf mit einem Pilotgerät: Kontrollieren Sie den Verschlüsselungsstatus, suchen Sie das zugehörige Wiederherstellungskennwort im vorgesehenen Verzeichnis und gleichen Sie die angezeigte Wiederherstellungsschlüssel-ID mit den Wiederherstellungsinformationen des Geräts ab. Bereits verschlüsselte PCs müssen separat überprüft werden, denn das Anwenden einer neuen Richtlinie belegt nicht, dass ihre Wiederherstellungskennwörter zuvor zentral hinterlegt wurden. Beschränken Sie den Helpdesk-Zugriff, dokumentieren Sie die Identitätsprüfung anfragender Personen und ersetzen Sie ein Wiederherstellungskennwort nach seiner Offenlegung, sofern Ihre Verwaltungstools dies unterstützen.

• Konfigurieren Sie bei AD-verwalteten Bereitstellungen die Richtlinie, die eine BitLocker-Aktivierung verhindert, bis die Wiederherstellungsinformationen in AD DS gespeichert sind.
• Erfassen Sie sowohl den Verschlüsselungsstatus als auch den Sicherungsstatus der Wiederherstellungsschlüssel.
• Testen Sie die Wiederherstellung nur an einem Pilotgerät mit geprüften Backups und einem freigegebenen Verfahren.
• Prüfen Sie vor Firmware- oder TPM-Änderungen, ob der BitLocker-Schutz ausgesetzt werden muss. Setzen Sie ein TPM nicht unbedacht zurück.
• Erstellen Sie zusätzlich separate Datensicherungen: Ein Wiederherstellungskennwort kann ein defektes oder gelöschtes Laufwerk nicht wiederherstellen.

Updateringe nach Supportfristen und Hardwarekompatibilität planen

Behandeln Sie das Supportende einer Funktionsversion als verbindliche Frist für Ihren Gerätebestand, nicht nur als Frage der Updateeinstellungen. Funktionsversionen von Windows 11 Home und Pro werden jeweils 24 Monate lang unterstützt. Daher können auch innerhalb einer weiterhin unterstützten Betriebssystemfamilie Geräte mit einer nicht mehr unterstützten Version im Einsatz sein. Erfassen Sie Edition, Version und Hardwarekompatibilität und ordnen Sie die Geräte anschließend einer Pilotgruppe, einer Gruppe für die breite Bereitstellung oder einer Ausnahmegruppe zu. Richtlinien zum Aufschieben von Updates helfen bei der zeitlichen Staffelung, verlängern aber weder den Supportzeitraum einer Version noch ersetzen sie Tests geschäftskritischer Anwendungen.

Prüfen Sie für PCs, die nicht auf Windows 11 umsteigen können, einen Geräteaustausch, die Verlagerung ihrer Aufgaben auf andere Systeme oder einen zeitlich begrenzten Plan für Extended Security Updates. Berechtigte Windows 10 22H2-Geräte im Unternehmenseinsatz können nach dem Ende des regulären Supports bis zu drei Jahre lang kommerzielle ESU-Abdeckung erhalten. Dafür sind jährliche Lizenzen erforderlich; bei einem späteren Einstieg müssen auch die vorherigen Jahre nachlizenziert werden. ESU ist eine Übergangslösung für Sicherheitsupdates, kein Programm für Funktionsupgrades und kein Ersatz für allgemeinen Support. Betrachten Sie Windows 11-Installationen unter Umgehung der Hardwareanforderungen nicht als unterstützte Strategie für Ihren Gerätebestand.

• Verfolgen Sie das Supportende jeder eingesetzten Version auf den Microsoft-Seiten zum Releasestatus und Produktlebenszyklus.
• Testen Sie Updates vorab mit repräsentativer Hardware, VPN-Clients, Sicherheitsagenten und Geschäftsanwendungen.
• Untersuchen Sie die Gründe für Kompatibilitätssperren, statt diese routinemäßig zu umgehen.
• Legen Sie für jede Ausnahme aufgrund nicht unterstützter Hardware eine verantwortliche Person und einen Austauschzeitpunkt fest.
• Prüfen Sie die Voraussetzungen für kommerzielle ESU und die aktuellen Microsoft-Bedingungen, bevor Sie die Kosten für die Abdeckung einplanen.

Identitätsmodelle für Windows Pro und ihre Auswirkungen auf die Geräteverwaltung