Fokus: Intune, Azure/Entra, Copilot, KI und Microsoft 365 für Admins und Enterprise-Teams.
Das Wichtigste in 30 Sekunden
- Intune: Windows-Compliance wird client-gesteuert neu bewertet – BitLocker, Defender oder Secure Boot schlagen schneller auf den Status durch.
- Intune: Health Attestation wechselt bis Ende Q1 2027 auf Microsoft Azure Attestation; Firewall-Freigaben prüfen.
- Entra: SMS als erster Faktor ist ab 1. Februar 2027 Geschichte.
01 // Intune: Schnellere Compliance-Updates für Windows
Quelle: Microsoft Learn – What’s new in Intune | Datum: 2026-09-14 (Woche)
Intune unterstützt jetzt eine client-gesteuerte Compliance-Bewertung für Windows. Unterstützte Geräte erkennen Änderungen an Compliance-Signalen – etwa Firewall, Virenschutz, BitLocker, Defender-Status, OS-Build, Echtzeitschutz oder Secure Boot – und fordern selbst eine Neubewertung an, statt auf den nächsten geplanten Check-in zu warten.
Was heißt das für Admins? Conditional-Access-Entscheidungen werden dadurch aktueller: Ein Gerät, das z. B. BitLocker verliert, wird schneller als nicht konform markiert – und nach der Behebung auch schneller wieder freigegeben. Helpdesk-Prozesse mit „bitte manuell synchronisieren“ lassen sich entsprechend vereinfachen.
02 // Intune: Health Attestation wechselt zu Microsoft Azure Attestation
Quelle: Microsoft 365 Message Center (MC1473156, MC1473600) | Datum: 2026-09-16
Intune stellt die Compliance-Bewertung mit Windows Health Attestation vom bisherigen Device-Health-Attestation-Dienst auf Microsoft Azure Attestation um. Die Umstellung passiert serverseitig und ist für Ende des ersten Quartals 2027 geplant. Wenn Geräte die nötigen Azure-Attestation-Endpunkte nicht erreichen, werden Windows-11-Geräte mit Compliance-Regeln für BitLocker, Secure Boot oder Code Integrity als nicht konform eingestuft.
Was heißt das für Admins? Firewall-, Proxy- und TLS-Inspection-Regeln jetzt mit der Endpunktliste von Microsoft abgleichen – vor allem in Umgebungen mit strengem Egress-Filter. Sonst drohen nach der Migration plötzlich massenhaft nicht konforme Geräte.
03 // Entra ID: SMS-Anmeldung als erster Faktor endet am 1. Februar 2027
Quelle: Microsoft 365 Message Center (MC1474104) | Datum: 2026-09-18
Microsoft setzt die Abkündigung der SMS-Anmeldung als erstem Faktor fort: Ab dem 1. Februar 2027 können sich Benutzer in Workforce-Tenants nicht mehr mit Telefonnummer und SMS-Einmalcode als primärer Methode anmelden. Bestehende Konfigurationen werden dann ignoriert und die Einstellungen aus den Admin-Oberflächen entfernt. Das gilt auch, wenn SMS/Voice über „Choose Your Own Telephony Provider“ weiter als MFA-Methode genutzt wird. Azure AD B2C und External ID für Kunden sind nicht betroffen.
Was heißt das für Admins? Betroffene Benutzer (z. B. Frontline-Mitarbeiter mit SMS-Sign-in) identifizieren und rechtzeitig auf Passkeys, QR-Code-Authentifizierung oder FIDO2-Schlüssel umstellen. Sonst gibt es im Februar Anmeldeprobleme.
Admin-Fazit: Die Woche dreht sich um Geräte-Compliance und Anmeldemethoden: Die schnellere Compliance-Bewertung kommt automatisch. Die Umstellung auf Azure Attestation und das Ende der SMS-Anmeldung brauchen dagegen Vorbereitung – Netzwerkfreigaben und Methodenmigration gehören jetzt auf die Roadmap für Q1 2027.