Windows 365 Intune: Teilmigration ohne Gerätechaos

Pexon Consulting | 11 Min. Lesezeit | 27.05.2026

TL;DR

Windows 365 Intune ist für hybride IT-Organisationen der pragmatischste Weg, Cloud-PCs schrittweise statt per Big Bang einzuführen. Pexon Consulting begleitet das mit Azure-/Intune-Architektur, Security-Governance und Betriebsmodell. In Projekten sehen wir meist 20-35 % weniger Endpoint-Aufwand und deutlich schnellere Bereitstellung neuer Arbeitsplätze.

Warum klassische Endgeräte-Bereitstellung jetzt teuer wird

Steigende Lizenzkomplexität, verteilte Teams und immer kürzere Bereitstellungszyklen machen die alte Laptop-zentrierte Logik teuer. Gartner erwartet für Desktop as a Service ein Wachstum von 4,3 Mrd. USD (2025) auf 6,0 Mrd. USD (2029), weil Unternehmen Betrieb und Sicherheit konsolidieren wollen (Quelle).

Unsere klare Empfehlung: Starten Sie nicht mit einer Vollmigration. Eine Teilmigration für klar umrissene Rollen (z. B. externe Projektteams, standardisierte Office-Workloads, Service Desks) reduziert Risiko und schafft belastbare Daten für die Skalierung.

Was viele unterschätzen: Nicht die Technik ist der Engpass, sondern Policy-Design und Betriebsverantwortung. Genau dort entscheidet sich, ob Windows 365 Enterprise später stabil skaliert oder in Ausnahmen stecken bleibt.

Windows 365 Intune als Zielbild für Betrieb und Security

Die kurze Antwort: Ja, die Kombination funktioniert sehr gut, wenn Rollenmodell, Lizenzzuordnung und Provisioning-Policies sauber geschnitten sind. Microsoft positioniert Windows 365 Enterprise explizit für Intune-gemanagte Cloud-PCs mit Entra ID und Defender-Integration (FAQ, Microsoft Learn).

Wir raten aktuell davon ab, im ersten Schritt viele Custom Images zu bauen. Die Praxis zeigt: Gallery-Images plus klar versionierte App-Pakete über Intune sind oft schneller, wartbarer und auditierbarer.

1. Identity zuerst: Entra-Gruppenmodell und Rollen sauber trennen (Pilot, Produktion, Sonderrollen).
2. Policy ohne Overlap: Ein Nutzer sollte nur einer relevanten Enterprise-Provisioning-Policy zugeordnet sein.
3. Security-Baseline früh: Defender for Endpoint, Compliance-Policies und Conditional Access vor Massen-Rollout festziehen.
4. Betriebsmetriken definieren: Provisioning-Dauer, Incident-Rate, Patch-Compliance, Cost-per-Seat.

Passende Grundlagen finden Sie in unserem Azure Consulting Angebot und im Workshop-Format für technische Teams.

Technischer Ablauf einer Teilmigration in drei Phasen

Ein Versicherer mit mehreren bundesweiten Service-Einheiten startete mit 120 Pilot-Usern statt mit 1.800 gleichzeitigen Umstellungen. Genau dieser Zuschnitt ist aus unserer Sicht der robuste Standard: klein genug für schnelles Lernen, groß genug für belastbare Kennzahlen.

Phase 1: Analyse, Lizenzierung, Zielgruppen-Schnitt

Direkt nach dem Kick-off legen wir fest, welche Nutzergruppen für Cloud-PCs geeignet sind und welche vorerst lokal bleiben. Für Windows 365 Enterprise gelten pro User u. a. Anforderungen für Windows Enterprise, Intune und Entra ID P1 (laut Microsoft).

# Beispiel: Pilotgruppe sauber aufsetzen
# Ziel: Trennscharfe Zuordnung für Lizenz + Provisioning
az ad group create --display-name "W365-Pilot-Claims" --mail-nickname "w365-pilot-claims"
az ad group create --display-name "W365-Prod-Claims" --mail-nickname "w365-prod-claims"

Phase 2: Intune-Provisioning und Security Guardrails

Danach bauen wir die Provisioning-Policies inklusive Netzwerkmodell, Region, Join-Typ und Image-Strategie. Microsoft beschreibt den Ablauf im Intune Admin Center (Devices > Provision Cloud PCs > Provisioning policies) sowie die automatische Bereitstellung für lizenzierte, zugewiesene Nutzergruppen.

POST https://graph.microsoft.com/beta/deviceManagement/virtualEndpoint/provisioningPolicies
Content-Type: application/json

{
  "displayName": "W365-Enterprise-Pilot-DE",
  "description": "Pilotpolicy für regulierte Office-Workloads",
  "imageType": "gallery",
  "managedBy": "windows365",
  "cloudPcNamingTemplate": "W365-%USERNAME:5%-%RAND:5%",
  "provisioningType": "dedicated",
  "windowsSetting": {
    "language": "de-DE"
  }
}

Unsere Empfehlung ist hier klar: erst Security- und Compliance-Richtlinien stabilisieren, dann den Rollout erweitern. Wer es umdreht, zahlt später mit Re-Provisioning und Tickets.

Phase 3: Pilotbetrieb, Feedback, kontrollierte Skalierung

Im Pilot messen wir nicht nur technische Verfügbarkeit, sondern auch Nutzungsqualität: Login-Zeit, App-Performance, Druck-/Peripherie-Fälle, Supportaufwand pro 100 User. In mehreren Projekten lag die Erstbereitstellung eines neuen Cloud-PC-Arbeitsplatzes bei unter 4 Stunden statt mehreren Tagen im klassischen Geräteprozess.

Weitere Orientierung zur Cloud-Architektur bieten unser 6-Wochen-Pilot für Generative AI und Cloud-nahe Use Cases und die Case Studies mit Betriebskennzahlen.

Kosten, Lizenzlogik und wo Unternehmen Geld verlieren

Kann man mit Cloud-PCs automatisch sparen? Nicht automatisch. Ohne Rechte- und Kapazitätssteuerung werden Cloud-PCs schnell zum teuren Dauerzustand. Mit sauberem Rollenmodell und regelmäßiger Größenanpassung sehen wir dagegen meist stabile Einsparungen im Betriebsaufwand.

Laut Microsoft Licensing Update bleiben bestehende Kunden bis zur Vertragsverlängerung auf ihrem Preisniveau, obwohl zum 01.07.2026 breitere M365-Preisänderungen greifen (Microsoft Licensing News). Das ist für die Migrationsplanung wichtig, weil Pilot und Beschaffung zeitlich sauber abgestimmt werden müssen.

Entscheider-Checkliste für die nächsten 90 Tage

Wenn Sie gerade evaluieren: priorisieren Sie Steuerbarkeit vor Funktionsumfang. Die größte Fehlinvestition ist ein Rollout ohne klares Betriebsmodell.

1. Pilotgruppen definieren (fachlich + technisch), nicht nach Organigramm.
2. Windows 365 Intune Zielarchitektur dokumentieren: Identity, Netzwerk, Security, Betrieb.
3. Lizenz- und Kapazitätsmodell pro Rolle festlegen.
4. Intune-Baselines und Defender-Kontrollen vor Go-live verankern.
5. Review-Termine nach 30/60/90 Tagen mit harten KPIs etablieren.

Unsere klare Position: Eine sauber geführte Teilmigration ist fast immer wirtschaftlicher als der Versuch, in einem Quartal alles zu migrieren.

Häufig gestellte Fragen

Was kostet eine Teilmigration auf Windows 365 konkret?

Das hängt primär von Cloud-PC-Größe, Lizenzbestand und Betriebsmodell ab. Für mittelgroße Umgebungen liegt die Spanne oft zwischen einem schlanken Pilotbudget und einem sechsstelligen Rolloutprogramm. Entscheidend ist, ob Rollen sauber getrennt und Kapazitäten regelmäßig angepasst werden.

Windows 365 vs. Azure Virtual Desktop: Was passt besser für IT-Leiter?

Wenn Sie Geschwindigkeit, Standardisierung und geringere Betriebsvariabilität wollen, ist Windows 365 häufig der bessere Einstieg. Azure Virtual Desktop bietet mehr Freiheitsgrade, braucht aber meist mehr Betriebs-Know-how und Governance-Aufwand.

Wie lange dauert ein realistischer Pilot mit Intune?

Bei vorbereiteter Entra-/Intune-Basis sind 4-8 Wochen realistisch. Ohne sauberes Gruppen- und Policy-Modell verlängert sich der Pilot deutlich, weil Rework in Security und Provisioning entsteht.

Brauchen wir für Windows 365 zwingend neue Sicherheitswerkzeuge?

Nicht zwingend, aber die Integration von Defender for Endpoint, Conditional Access und Compliance-Policies sollte im Zielbild enthalten sein. Wichtig ist die durchgängige Steuerung über Intune statt paralleler, widersprüchlicher Kontrollen.

Wie vermeiden wir Nutzerfrust in der Teilmigration?

Starten Sie mit klaren Nutzerprofilen, messen Sie aktiv Feedback und beheben Sie die ersten Performance-/Peripherie-Themen innerhalb weniger Tage. Ein begleiteter Pilot mit transparenten Erfolgskriterien nimmt viel Druck aus der Organisation.

Nächster Schritt

Für eine belastbare Entscheidung empfehlen wir einen 2-3-wöchigen Architektur- und Betriebs-Check mit Fokus auf Rollen, Lizenzlogik und Security-Governance für Windows 365 Intune.

Verwandte Themen