Microsoft Intune Neuerungen Oktober 2026: Was Admins jetzt wissen müssen

Microsoft Intune entwickelt sich weiter: Im Oktober 2026 stehen die Windows-11-26H2-Security-Baseline und die Unterstützung unbegrenzter Apple-VPP-Lizenzen im Fokus. Dazu kommen die aktualisierten Mindestanforderungen an iOS/iPadOS und der KI-Agent-Laufzeitschutz als Preview. Wir ordnen die Auswirkungen für Administratoren ein.

In diesem Beitrag fassen wir ausgewählte Microsoft Intune Neuerungen verständlich zusammen, ordnen sie für den Praxisalltag ein und zeigen, was Intune-Administratoren jetzt konkret tun sollten. Wer die neuen Funktionen nicht nur kennen, sondern sicher einsetzen will, findet am Ende Hinweise zu unserer praxisnahen Intune Schulung.

Das Wichtigste in Kürze:

• Security Baseline Windows 11 26H2: neue Einstellungen und Standardwerte – bestehende Profile werden nicht automatisch aktualisiert.
• Win32-Apps per Push: Änderungen an Win32-Apps erreichen Geräte schneller, auch direkt nach der Windows-Registrierung (ESP).
• iOS/iPadOS 18 als Mindestversion: Microsoft nennt Version 18 oder neuer für reguläre Geräteverwaltung, Unternehmensportal und App-Schutz; für benutzerlose ADE-Geräte gelten gesonderte Regeln.
• KI-Agent-Laufzeitschutz (Preview): Defender für Endpunkt kann unterstützte Agentenaktivitäten überwachen und je nach Integration blockieren.
• Unbegrenzte VPP-Lizenzen: Für entsprechend lizenzierte Apple-Apps entfällt die Verwaltung einer endlichen Lizenzmenge – nicht für sämtliche Apps.

Intune Neuerungen im Überblick

Die Tabelle basiert auf den offiziellen Microsoft-Release-Notes: Die ergänzenden September-Neuerungen gehören zum Service-Release 2609 in der Woche vom 28. September 2026. Die Spalte „Relevanz“ ist unsere redaktionelle Einschätzung, keine Microsoft-Bewertung.

Quelle: What's new in Microsoft Intune (Microsoft Learn).

App-Verwaltung: Win32-Apps kommen schneller an

Microsoft dokumentiert beide Verbesserungen bei der Win32-Softwareverteilung im Service-Release 2609 vom 28. September 2026.

Win32-Apps per Push-Benachrichtigung

Laut Microsofts Release-Notes zur schnelleren Win32-Bereitstellung verwendet Intune Push-Benachrichtigungen für vom Administrator ausgelöste und dienstseitige Änderungen an Win32-Apps. Verwaltete Geräte können dadurch früher einchecken, statt auf das normale Abrufintervall zu warten. Der Admin-Workflow bleibt unverändert. Microsoft verspricht damit keine sofortige Installation und keine feste Zeitersparnis für jedes Gerät.

Win32-Apps direkt nach der Registrierungsstatusseite (ESP)

Die Intune Management Extension prüft App-Zuweisungen unmittelbar nach Abschluss der Registrierungsstatusseite (ESP). Dadurch beginnen erforderliche Win32-Apps, die während der ESP nicht installiert wurden, auf neu registrierten Geräten früher mit der Installation. Dies bestätigt Microsoft unter Win32-Bereitstellung nach der Windows-Registrierung. Die IME-Dokumentation erläutert die Aufgaben der Erweiterung. Eine pauschale Einsparung von 60 Minuten lässt sich daraus nicht ableiten.

Praxistipp: Passend dazu beschreibt Microsoft Bereitstellungspläne (Deployment Plans). Ein Plan definiert Ringe und Zeitablauf; eine Bereitstellung führt den Rollout einer App oder Richtlinie aus. So lassen sich Änderungen gestaffelt statt gleichzeitig verteilen. Grundlagen für die Gerätebereitstellung finden Sie in unserer Windows-Autopilot-Anleitung.

Unbegrenzte Lizenzen für Apple-VPP-Apps

Laut Microsofts Hinweis zu unbegrenzten VPP-Lizenzen lassen sich seit der Woche vom 19. Oktober VPP-Apps mit unbegrenzten Lizenzen aus Apple Business und Apple School Manager zuweisen. Bei Apps, die tatsächlich unbegrenzte Lizenzen besitzen, muss keine endliche Lizenzmenge verwaltet werden. Das ist keine Aussage über sämtliche VPP-Apps oder deren Kosten. Das betrifft iOS/iPadOS und macOS. Die Einrichtung der benötigten Apple-Anbindung erklären wir in der Anleitung zu Apple Business Manager, APNs und VPP.

Managed Home Screen und geschützte Apps

• Managed Home Screen (MHS): Auf firmeneigenen dedizierten Android-Enterprise-Geräten mit MHS und Entra Shared Device Mode werden Benutzer vor dem Zugriff auf geschützte Aktivitäten in MAM-integrierten Apps zur erforderlichen MHS-Anmeldung oder Sitzungs-PIN zurückgeführt. Voraussetzung ist eine App-Schutzrichtlinie für App und angemeldeten Benutzer; eine bestimmte APP-Einstellung ist nicht erforderlich.
• Dragon Copilot: Microsofts KI-Dokumentationslösung für Kliniken ist jetzt als geschützte App verfügbar und lässt sich per App-Schutzrichtlinie (MAM) absichern.

Gerätesicherheit: Security Baseline 26H2 und Schutz vor KI-Agenten

Die neue Intune Security Baseline für Windows 11 26H2 ist die wichtigste Sicherheitsneuerung – sie wird aber nicht automatisch auf bestehende Profile angewendet.

Intune Security Baseline für Windows 11, Version 26H2

Microsoft führt die Intune Security Baseline für Windows 11 26H2 in der Woche vom 5. Oktober auf. Neue Einstellungen und aktualisierte Standardwerte sind dokumentiert; bestehende Profile werden nicht automatisch aktualisiert. Die Intune-Baseline-Referenz für 26H2 und der Microsoft-Vergleich mit 25H2 belegen insbesondere:

• Druckertreiber: „Configure Windows Ready Print driver ranking“ ist neu und standardmäßig aktiviert. Bei unterstützten IPP-Installationen bevorzugt Windows den integrierten IPP-Klassentreiber. Für Drucker ohne IPP oder direkte TCP/IP-Installationen beschreibt Microsoft keine Verhaltensänderung.
• TLS-Protokollauswahl: Die Richtlinie „Turn off encryption support“ im Bereich Internet Explorer verwendet jetzt TLS 1.2 und TLS 1.3 statt TLS 1.1 und TLS 1.2. Dies ist keine systemweite TLS-Umstellung für sämtliche Anwendungen.
• NetBIOS: „Configure NetBIOS settings“ ist ausdrücklich nicht Bestandteil dieser Intune-Baseline. Microsoft nennt die damalige Beschränkung auf Windows-Insider-Builds und kündigt eine spätere Ergänzung an.

So gehen Sie vor: Erstellen Sie ein neues Baseline-Profil oder aktualisieren Sie ein bestehendes auf die neueste Version. Prüfen Sie vorher eigene Anpassungen im alten Profil und testen Sie die Baseline zuerst in einer Pilotgruppe. Wenn Sie die gesamte Cloud-Konfiguration bewerten möchten, unterstützt unser Microsoft-365-Tenant-Sicherheitscheck mit Bestandsaufnahme und PDF-Empfehlungen. Die Standardwerte finden Sie in der Referenz der Windows-MDM-Baseline-Einstellungen.

KI-Agent-Laufzeitschutz mit Microsoft Defender für Endpunkt

Lokale KI-Agenten können Dateien lesen und Werkzeuge ausführen. Microsoft dokumentiert für Microsoft Defender for Endpoint zwei Schutzansätze: agentennative Ereignisprüfung über unterstützte Schnittstellen und Netzwerkprüfung für unterstützte Agent-zu-LLM-Verbindungen. Welche Prüfpunkte und Blockierungen verfügbar sind, hängt vom Agenten und der Integration ab – nicht jeder Agent bietet dieselben drei Prüfpunkte. Bei erkannter Prompt-Injection entstehen Warnungen; im Audit-Modus läuft die Aktion weiter, im Block-Modus können unterstützte Aktionen gestoppt werden. Details erläutern die Microsoft-Übersicht zum KI-Agent-Laufzeitschutz und die offizielle Agent-Support-Matrix.

• Modi: „Audit“ dient der Beobachtung, „Block“ kann unterstützte schädliche Aktivitäten unter den dokumentierten Voraussetzungen stoppen. Die Funktion ist als Preview dokumentiert; unterstützte Agenten, Prüfstellen und Blockierungsmöglichkeiten hängen von der aktuellen Support-Matrix ab. Ergänzend sollten Sie auch Agent-Blueprint-Berechtigungen in Microsoft Entra prüfen.
• Pfad im Admin Center: Endpunktsicherheit > Antivirus > Richtlinie erstellen > Windows > Microsoft Defender AI agent runtime protection (laut Microsoft-Einrichtungsanleitung). Dieses Profil konfiguriert die agentennative Prüfung; für die Netzwerkprüfung beschreibt Microsoft ein PowerShell-Plattformskript.
• Lizenz: Die Microsoft-Einrichtungsanleitung nennt Defender für Endpunkt Plan 2, Microsoft 365 E5, Microsoft Agent 365 oder Microsoft 365 E7. Zusätzlich erforderlich sind unter anderem in Defender aufgenommene Windows-Geräte, Defender Antivirus im aktiven Modus mit Echtzeitschutz, aktuelle Updates und unterstützte Agenten. In der Public Preview sollen Testgeräte Plattform- und Engine-Updates aus dem Beta-Kanal erhalten; die Anleitung nennt AntivirusSignatureVersion 1.451.224.0 oder neuer. Die Netzwerkprüfung unterstützt weder Certificate Pinning noch HTTP/3. Für die Verteilung über Intune ist eine passende Intune-Lizenz und eine Rolle mit Konfigurationsberechtigungen nötig.
• Empfehlung: Mit „Audit“ in einer Pilotgruppe starten, Warnungen auswerten, dann auf „Block“ umstellen.

Technische Schutzmaßnahmen ersetzen keinen bewussten Umgang mit KI. In unserer KI-Mitarbeiterschulung lernen Teams, wie KI funktioniert, wie sie sinnvoll prompten und welche Grenzen sie beim Umgang mit Unternehmensdaten beachten sollten.

Self-Service-Onboarding für Compliance-Partner

Drittanbieter von MDM-Compliance-Lösungen können ihre Connectoren jetzt selbst bauen, testen und anbinden. Administratoren aktivieren einen Partner-Connector, indem sie die Anbieterdaten im Intune Admin Center eintragen.

Gerätekonfiguration und Registrierung: mehr Kontrolle für Windows, Apple und Android

Der Einstellungskatalog wächst auf allen Plattformen, und die Registrierung neuer Geräte wird schlanker.

Einstellungskatalog: Windows 11 26H2 und Apple Intelligence

• Windows 11 26H2: Intune bietet Day-Zero-Support für alle validierten neuen Richtlinien aus 26H2 im Einstellungskatalog (Microsoft Tech Community).
• iOS/iPadOS und macOS: Neue Optionen für App-Einstellungen, Apple Intelligence, Netzwerk- und Webinhaltsfilter sowie das macOS-Anmeldefenster. Bereits mit Version 26.4 hat Apple mehrere einschlägige MDM-Restrictions abgekündigt; Microsoft verweist für diese Einstellungen auf DDM-Konfigurationen und die Liste betroffener Restrictions. Das ist ein früherer Hinweis, keine zusätzliche Oktober-Neuerung.

Android: Zuweisungsfilter und Defender beim Setup

• Zuweisungsfilter für den Android-Einstellungskatalog: Richtlinien für Android Enterprise und AOSP lassen sich jetzt nach Geräteeigenschaften auf bestimmte Geräte eingrenzen.
• Defender für Endpunkt startet automatisch: Auf firmeneigenen vollständig verwalteten Geräten (COBO) und Geräten mit Arbeitsprofil (COPE) öffnet Intune die Defender-App direkt während der Ersteinrichtung. Voraussetzungen: Defender-Connector, die Option „MTD-Rollenberechtigungen erteilen“ und eine erforderliche App-Zuweisung an Benutzergruppen oder alle Geräte vor der Registrierung. Aktivieren Sie die Funktion zusätzlich unter Endpunktsicherheit > Defender für Endpunkt. Das automatische Öffnen ersetzt nicht die initiale Konfiguration durch den Benutzer.
• Upgrade auf eine verwaltete Google-Domäne: Wer Android Enterprise einst mit einem Gmail-Konto verbunden hat, kann die Verbindung optional auf eine verwaltete Google-Domäne umstellen und über das Microsoft-Entra-Geschäftskonto verwalten. Pfad: Geräte > Registrierung > Android > Voraussetzungen > Managed Google Play. Für Unternehmen ist das ein klarer Gewinn, weil die Verbindung nicht mehr an ein privates Konto gekoppelt ist.

Apple-Registrierung: „Gerätefeatures“-Tour überspringen

Automatisierte Geräteregistrierungsprofile (ADE) enthalten jetzt den Skip-Key für die „Gerätefeatures“-Tour aus dem Setup-Assistenten von Apple OS 27. Damit lässt sich auf unterstützten iPhone- und iPad-Geräten die entsprechende Setup-Assistentenseite ausblenden.

Geräteverwaltung: iOS 18 wird Pflicht, neue Geräteseite

Im September-Service-Release 2609 nennt Microsoft iOS/iPadOS 18 oder neuer bereits als Anforderung für reguläre Geräteverwaltung, Unternehmensportal und App-Schutz. Das ist nicht mehr nur eine Ankündigung für einen späteren Zeitpunkt.

iOS/iPadOS 18 als neue Mindestversion

Maßgeblich ist der aktualisierte Microsoft-Release-Hinweis zur Mindestversion: iOS/iPadOS 18 oder neuer für Standard-Geräteverwaltung, Unternehmensportal und App-Schutzrichtlinien (MAM). Für Geräte ohne Benutzerzuordnung aus ADE oder Apple Configurator unterscheidet Microsoft zwischen unterstützt ab iOS/iPadOS 18 und zugelassen ab iOS/iPadOS 16; siehe den ADE-Hinweis in Microsoft Learn. „Zugelassen“ bedeutet dabei nicht denselben Supportumfang wie „unterstützt“.

So finden Sie betroffene Geräte:

1. MDM-Geräte: Geräte > Alle Geräte, nach Betriebssystem und Version filtern.
2. Nur App-Schutz (MAM): Apps > Überwachen > App-Schutzstatus, Spalten „Plattform“ und „Plattformversion“ auswerten.
3. Vorbeugen: Planen und testen Sie eine Compliance-Mindestversion passend zu Ihrer Geräteflotte. Erst zusammen mit einer korrekt eingerichteten Conditional-Access-Richtlinie kann Nichtkonformität den Datenzugriff beschränken; Ausnahmen und mögliche Aussperrungen vorher prüfen.

Welche Modelle iOS 18 unterstützen, zeigt die Kompatibilitätsliste von Apple.

Neue Einzelgeräteseite ist jetzt Standard

Laut Microsofts Release-Notes zur Einzelgeräteseite ist die neue Ansicht für alle Administratoren Standard; die vorherige Ansicht ist nicht mehr verfügbar. Unter Geräte > Alle Geräte wählen Sie ein Gerät aus, um Details, Überwachung, Werkzeuge, Berichte und unterstützte Aktionen aufzurufen. Die vorhandenen Verwaltungsfunktionen bleiben erhalten. Der Reiter „Device details“ zeigt das schreibgeschützte Geräteinventar, wie Microsoft in Gerätedetails in Intune erläutert. Aktualisieren Sie interne Anleitungen anhand der tatsächlich angezeigten Menüs.

Erweiterte Funktionen (früher „Intune Suite“)

• Remotehilfe für Windows 5.2.1210.0: Microsoft nennt Stabilitäts- und Beobachtbarkeitsverbesserungen.
• Cloud PKI und Remotehilfe für GCC High: Betrifft US-Government-Cloud-Umgebungen (GCC High), nicht reguläre kommerzielle Intune-Tenants. DoD-Umgebungen werden laut Microsoft nicht unterstützt.

Wichtig für die Lizenzplanung: Laut Microsofts Intune-Plänen und Lizenz-FAQ werden seit Juli 2026 ausgewählte erweiterte Funktionen in Microsoft 365 E3 und E5 ausgerollt. Für E3 nennt Microsoft Remotehilfe, Advanced Analytics und Intune-Plan-2-Funktionen (Tunnel für MAM, FOTA und Spezialgeräteverwaltung). E5 erhält zusätzlich Endpoint Privilege Management, Cloud PKI und Enterprise App Management. Der Tenant erhält 30 Tage vor Aktivierung eine Message-Center-Mitteilung. Dies ist keine vollständige Intune-Suite-Abdeckung für E3 und gilt nicht pauschal für Office 365 E3/E5 oder EMS E3/E5. Prüfen Sie die Mitteilung für den eigenen Tenant und die Microsoft-Übersicht der erweiterten Funktionen.

Checkliste: Das sollten Intune-Admins jetzt tun

Mit diesen sieben Schritten setzen Sie die Neuerungen sicher um – sortiert nach Dringlichkeit.

• iOS-Altgeräte finden: Geräte unter iOS/iPadOS 18 identifizieren und Upgrade oder Austausch planen.
• Compliance anpassen: Aktuelle Supportanforderung prüfen, Mindestversion pilotieren und Conditional-Access-Auswirkungen testen.
• Baseline 26H2 pilotieren: Neues Profil für eine Testgruppe anlegen, geänderte Standardwerte und Fachanwendungen prüfen.
• Bestehende Baseline-Profile migrieren: Nach erfolgreichem Pilot alte Profile auf 26H2 aktualisieren, eigene Anpassungen übernehmen.
• KI-Agenten absichern: Preview-Voraussetzungen prüfen und Laufzeitschutz in einer Pilotgruppe evaluieren.
• Softwareverteilung neu bewerten: Push-Verfügbarkeit und Verhalten im eigenen Tenant prüfen; Bereitstellungspläne für gestaffelte Rollouts einrichten.
• Doku und Helpdesk aktualisieren: Screenshots und Anleitungen an die neue Einzelgeräteseite anpassen.

Intune Schulung: Neuerungen sicher in die Praxis bringen

Neue Funktionen bringen nur dann etwas, wenn sie im eigenen Tenant richtig konfiguriert sind. Genau dafür gibt es unsere Microsoft Intune Schulung: praxisnah, am echten Admin Center und mit aktuellem Stand der Release Notes.

In der Intune Schulung der Frank Miller GmbH lernen Sie unter anderem:

• Security Baselines richtig einführen: Windows 11 26H2 testen, migrieren und Konflikte mit bestehenden Richtlinien vermeiden.
• Win32-Apps paketieren und verteilen: Paketierung, Erkennungsregeln und Zuweisungen sauber planen und typische Stolperfallen vermeiden.
• Geräte sicher registrieren: Windows Autopilot, Apple ADE und Android Enterprise mit Compliance-Richtlinien und Conditional Access verbinden.
• Endpunktsicherheit mit Defender: Antivirus-Richtlinien, Attack Surface Reduction und den neuen KI-Agent-Laufzeitschutz konfigurieren.

Ihr Trainer Frank Miller ist Spezialist für Microsoft 365 und IT-Sicherheit. Er unterstützt Unternehmen bei der Absicherung ihrer Microsoft-365-Umgebungen und vermittelt die Inhalte praxisnah anhand Ihrer Anforderungen.

Wenn Sie neben der Geräteverwaltung auch Identitäten, Berechtigungen und die gesamte Microsoft-365-Umgebung betreuen, vertiefen Sie diese Zusammenhänge in unserer Microsoft-365-Admin-Schulung.

Wie Geräteverwaltung und Microsoft 365 im Unternehmen zusammenspielen, zeigt unsere Kundenstory der b-pi-sec GmbH.

Häufige Fragen zu den Intune Neuerungen

Was ist neu in Microsoft Intune im Oktober 2026?

Microsoft dokumentiert im Oktober die Windows-11-26H2-Security-Baseline, Remotehilfe für Windows 5.2.1210.0 und unbegrenzte Lizenzen für entsprechend lizenzierte Apple-VPP-Apps. Win32-Push, die App-Prüfung nach ESP und weitere Ergänzungen gehören zum Service-Release 2609 vom 28. September 2026. Der KI-Agent-Laufzeitschutz ist als Public Preview zu behandeln.

Wird die Security Baseline für Windows 11 26H2 automatisch angewendet?

Nein. Bestehende Baseline-Profile bleiben auf ihrer Version. Administratoren müssen ein neues Profil erstellen oder ein vorhandenes Profil manuell auf 26H2 aktualisieren. Eigene Anpassungen sollten vorher geprüft werden.

Welche iOS-Version benötigt Intune jetzt?

Die September-Release-Notes nennen iOS/iPadOS 18 oder neuer für reguläre Geräteverwaltung, Unternehmensportal und App-Schutz. Für Geräte ohne Benutzerzuordnung aus ADE oder Apple Configurator gilt: unterstützt ab Version 18, zur Registrierung zugelassen ab Version 16 – ohne gleichwertige Supportgarantie. Die Plattformreferenz nennt für App-Schutz und App-Konfiguration noch 17.x; die Microsoft-Angaben sind dazu nicht vollständig konsistent.

Warum werden Win32-Apps jetzt schneller installiert?

Microsoft bestätigt Push-Benachrichtigungen für vom Administrator ausgelöste und dienstseitige Win32-App-Änderungen sowie eine App-Zuweisungsprüfung unmittelbar nach Abschluss der ESP. Beide Neuerungen sind im Service-Release 2609 dokumentiert. Eine sofortige Installation oder feste Zeitersparnis für alle Geräte wird nicht zugesagt.

Was ist der KI-Agent-Laufzeitschutz in Intune?

Microsoft dokumentiert den KI-Agent-Laufzeitschutz in Defender für Endpunkt als Preview. Er kann unterstützte Agentenaktivitäten überwachen und abhängig von Integration, Konfiguration und Voraussetzungen blockieren. Vor dem Einsatz müssen Lizenz und aktuelle Support-Matrix geprüft werden.

Für wen eignet sich eine Intune Schulung?

Für IT-Administratoren, Systembetreuer und Modern-Workplace-Teams, die Windows-, Apple- und Android-Geräte mit Microsoft Intune verwalten und absichern. Besonders sinnvoll ist sie bei der Einführung von Intune, der Umstellung auf Autopilot oder der Paketierung eigener Win32-Apps.

Offizielle Microsoft-Quellen

Geprüft am 25. Oktober 2026. Die Links in der Übersicht führen direkt zu den jeweiligen Veröffentlichungshinweisen; die folgenden Referenzen erläutern Voraussetzungen und Einstellungen.

• What's new in Microsoft Intune – Microsoft Learn, Oktober und Service-Release 2609
• Windows-MDM-Baseline: Standardwerte für 26H2 – Microsoft Learn
• Windows 11 26H2: Vergleich der Security Baselines – Microsoft Tech Community
• KI-Agent-Laufzeitschutz: Funktionsweise – Microsoft Learn
• KI-Agent-Laufzeitschutz: Einrichtung und Voraussetzungen – Microsoft Learn
• KI-Agenten: offizielle Support-Matrix – Microsoft Learn
• Intune Management Extension für Windows – Microsoft Learn
• Erweiterte Intune-Funktionen – Microsoft Learn
• Intune-Pläne und Lizenz-FAQ zu Microsoft 365 E3/E5 – Microsoft