Vorhandene Macs in Intune übernehmen: Voraussetzungen und Ablauf

Auch bereits genutzte Macs lassen sich in eine zentrale Verwaltung einbinden. Der Weg hängt davon ab, wie die Geräte bisher registriert und verwaltet werden. Ich beschreibe, welche Voraussetzungen ich für die Übernahme von Macs in Intune prüfe und wie ich die Umstellung vorbereite. Die Erfahrungen stammen aus Mac-Umgebungen, die ich seit 2023 mit Intune verwalte.

Warum Intune für Macs

Ich verwalte Macs produktiv mit Intune und mit Mosyle. Intune ist dort die naheliegende Wahl, wo Microsoft 365 ohnehin die Grundlage ist: Die Lizenz ist in Business Premium enthalten, Windows-Rechner, Macs und Handys liegen in derselben Konsole, und der Gerätezustand fließt direkt in Conditional Access ein. Wann ein spezialisiertes Apple-MDM besser passt, habe ich im Vergleich von Intune, Mosyle, Jamf und Iru beschrieben. Dieser Artikel geht davon aus, dass die Entscheidung für Intune gefallen ist.

Was ich vor der Übernahme prüfe

1. Gehört der Mac in Apple Business Manager dem Unternehmen? Ich gleiche die Seriennummern mit Apple Business Manager ab (Apple nennt den Dienst inzwischen „Apple Business“). Nur zugeordnete Macs lassen sich automatisch registrieren und sind danach betreut (supervised).
2. Wurden Macs privat oder im Handel gekauft? Das kommt oft vor. Solche Macs nehme ich mit Apple Configurator nachträglich in Apple Business Manager auf. Voraussetzung sind Apple Silicon oder ein T2-Chip und mindestens macOS 12.0.1.
3. Ist der Mac schon in einem anderen MDM? Dann ist die Übernahme eine Migration. Ab macOS 26 unterstützt Apple den Wechsel des Verwaltungsdienstes ohne Löschen, wenn der Mac per automatischer Registrierung verwaltet wird. Angestoßen wird der Wechsel in Apple Business mit einer Frist; mit Apple Configurator aufgenommene Macs erst nach Ablauf ihrer 30-tägigen Übergangszeit. Bei älteren Versionen muss das alte Profil zuerst entfernt werden.
4. Ist FileVault schon aktiv? Dann muss der vorhandene Wiederherstellungsschlüssel in Intune hinterlegt oder auf dem Mac ein neuer erzeugt werden. Sonst gibt es im Ernstfall keinen Schlüssel.
5. Wer ist auf dem Mac Administrator? Haben Nutzer bisher selbst Administratorrechte, ändere ich das im Zuge der Übernahme.
6. Welche Software wird gebraucht? Das kläre ich vorher, damit die Pakete bereitstehen, wenn der Mac übernommen wird.

Muss der Mac dafür gelöscht werden?

Nicht zwingend. Das hängt davon ab, wie der Mac in die Verwaltung kommt.

Die Aufforderung zur Registrierung ist bildschirmfüllend. Der Nutzer kann sie einmal für acht Stunden verschieben, danach muss er den Mac registrieren oder löschen. Als persönliches Gerät kommen die Konfigurationsprofile trotzdem aus dem MDM. Es fehlen nur Einstellungen, die für betreute Geräte gelten, und für viele Anforderungen reicht das.

Für privat gekaufte Macs gilt außerdem: Nach der Übergabe hat der Nutzer 30 Tage Zeit, den Mac wieder aus der Verwaltung zu lösen. Das sollte man wissen, bevor man Geräte mit Configurator aufnimmt.

Wie die Macs danach eingerichtet sind

Wo Intune bei Macs an Grenzen stößt

Die deutlichste Grenze ist die Reaktionszeit. Ein in Intune abgesetzter Befehl kommt auf dem Mac teilweise erst nach Minuten an. Bei Shell-Skripten kann es mehrere Stunden dauern: Der Intune-Agent auf dem Mac fragt neue oder geänderte Skripte laut Microsoft in der Regel nur alle acht Stunden ab, unabhängig vom normalen Abgleich des Geräts. Mosyle, Jamf und Iru reagieren hier nach meiner Erfahrung deutlich schneller.

Für den Alltag in den meisten Unternehmen ist das kein Problem, weil Einstellungen und Software nicht minütlich wechseln. Wer aber regelmäßig kurzfristig per Skript eingreifen muss, spürt den Unterschied. Umgebungen von Intune zu Iru und von Intune zu Mosyle habe ich ebenfalls schon umgezogen.

Häufige Fragen

Reicht Intune für die Verwaltung von Macs aus?

Für Unternehmen bis etwa 150 Macs reicht Intune aus meiner Erfahrung gut aus, gerade wenn Microsoft 365 die Grundlage ist. Wer regelmäßig kurzfristig per Skript eingreifen muss, ist mit einem spezialisierten Apple-MDM wie Mosyle, Jamf oder Iru besser bedient.

Wie melden sich Mitarbeitende nach der Übernahme am Mac an?

In den Umgebungen, die ich einrichte, mit ihrem Microsoft-Konto. Über Platform SSO ist der Mac in Entra ID registriert, und Apps und Browser bekommen die Anmeldung weitergereicht. Wie die Anmeldung im Einzelnen abläuft, hängt vom gewählten Modus ab.

Wie lange dauert es, bis eine Änderung aus Intune auf dem Mac ankommt?

Ein Befehl aus Intune kommt teilweise erst nach Minuten an. Bei Shell-Skripten kann es mehrere Stunden dauern, weil der Intune-Agent laut Microsoft neue oder geänderte Skripte in der Regel nur alle acht Stunden abfragt.

Quellen

• Macs nachträglich registrieren, Aufforderung ab macOS 14: Apple Platform Deployment – Automated Device Enrollment and device management
• Registrierung ohne Apple Business Manager über das Unternehmensportal: Microsoft Learn – Registrierung für macOS-Geräte einrichten
• Macs mit Apple Configurator aufnehmen, Voraussetzungen und 30-tägige Übergangszeit: Apple Business – Geräte mit Apple Configurator hinzufügen
• Wechsel des Verwaltungsdienstes ohne Löschen ab macOS 26: Apple Platform Deployment – Migrate managed devices to another device management service
• Platform SSO mit Entra ID: Microsoft Learn – Platform SSO für macOS in Intune konfigurieren
• FileVault und Wiederherstellungsschlüssel: Microsoft Learn – macOS mit FileVault in Intune verschlüsseln
• PKG-Pakete über Intune: Microsoft Learn – Add an unmanaged macOS PKG app to Microsoft Intune
• Abfrageintervall für Shell-Skripte: Microsoft Learn – Microsoft Intune Management Agent for macOS
• Installomator: Installomator Wiki – What it does