Intune Remediations (Proactive Remediations): PowerShell-Skripte die sich selbst heilen

Wer kennt es nicht? Ein kritischer Dienst auf den Windows-Clients stürzt sporadisch ab, eine Registry-Einstellung wird durch ein Update überschrieben oder ein notwendiger Hintergrundprozess beendet sich ohne Vorwarnung. In der klassischen Welt des IT-Managements bedeutet das: Ticket schreiben, Client manuell per Remote-Session prüfen, Problem beheben und hoffen, dass es bis zum nächsten Mal hält. Mit intune proactive remediations (früher bekannt als Proactive Remediations) gehört dieser reaktive Workflow der Vergangenheit an. Anstatt darauf zu warten, dass der Benutzer sich beschwert, implementieren wir eine Logik, die Fehler erkennt und in Echtzeit behebt, bevor der User überhaupt merkt, dass etwas nicht stimmte.

Was genau sind Intune Proactive Remediations?

Im Kern sind Remediations ein Framework innerhalb von Microsoft Intune, das es Administratoren ermöglicht, zwei aufeinanderfolgende PowerShell-Skripte auf Endgeräten auszuführen: ein Erkennungsskript (Detection) und ein Behebungsskript (Remediation). Das System arbeitet nach einem einfachen Prinzip: Wenn das Erkennungsskript meldet, dass ein Problem vorliegt, wird das Behebungsskript automatisch gestartet, um den gewünschten Zustand wiederherzustellen.

Der entscheidende Vorteil gegenüber Standard-Konfigurationsprofilen ist die Flexibilität. Während Profile statische Einstellungen erzwingen, können Remediations komplexe Logiken prüfen. Sie können Dateipfade validieren, Event-Logs auslesen, Dienststatus prüfen oder sogar API-Calls absetzen, um die Integrität eines Systems zu verifizieren.

Die Funktionsweise im Detail

Der Prozess läuft in einem strikten Zyklus ab:

• Detection Phase: Intune führt das Detection-Skript aus. Das Ergebnis wird über den Exit-Code gesteuert. Ein Exit Code von 0 bedeutet: Alles okay, kein Eingriff nötig. Ein Exit Code von 1 (oder jeder Wert ungleich 0) signalisiert: Problem erkannt, Behebung erforderlich.
• Remediation Phase: Nur wenn die Detection-Phase einen Fehler gemeldet hat, wird das Remediation-Skript ausgeführt. Hier wird der eigentliche Fix angewendet.
• Verification: Nach der Behebung führt Intune das Detection-Skript erneut aus, um zu prüfen, ob der Fix erfolgreich war.

Praxis-Guide: So implementieren Sie Intune Proactive Remediations

Um Remediations effektiv zu nutzen, benötigen Sie eine saubere Struktur. Wir gehen in diesem Beispiel ein reales Szenario durch: Die Sicherstellung, dass ein spezifischer Monitoring-Dienst (z.B. ein Third-Party-Agent) immer läuft und bei einem Absturz automatisch neu gestartet wird.

Schritt 1: Das Detection-Skript erstellen

Das Detection-Skript muss schnell und präzise sein. Es sollte keine Änderungen am System vornehmen, sondern lediglich den Status prüfen.

# Detection-Skript: Prüfe Status des Monitoring-Dienstes
$ServiceName = "MyMonitoringAgent"
$Service = Get-Service -Name $ServiceName -ErrorAction SilentlyContinue

if ($null -eq $Service) {
    Write-Output "Dienst $ServiceName ist nicht installiert."
    exit 1 # Problem: Dienst fehlt komplett
}

if ($Service.Status -ne 'Running') {
    Write-Output "Dienst $ServiceName läuft nicht (Status: $($Service.Status))."
    exit 1 # Problem: Dienst ist gestoppt
}

Write-Output "Dienst $ServiceName läuft ordnungsgemäß."
exit 0 # Alles okay

Schritt 2: Das Remediation-Skript erstellen

Dieses Skript wird nur aufgerufen, wenn das obige Skript mit Exit Code 1 beendet wurde. Hier führen wir die Heilung durch.

# Remediation-Skript: Starte Monitoring-Dienst neu
$ServiceName = "MyMonitoringAgent"

try {
    Write-Output "Versuche, den Dienst $ServiceName zu starten..."
    Start-Service -Name $ServiceName -ErrorAction Stop
    Write-Output "Dienst $ServiceName wurde erfolgreich gestartet."
    exit 0
}
catch {
    Write-Error "Fehler beim Starten des Dienstes: $($_.Exception.Message)"
    exit 1
}

Schritt 3: Deployment in Intune

Navigieren Sie im Intune Admin Center zu Geräte > Remediations. Klicken Sie auf Erstellen und konfigurieren Sie folgende Einstellungen:

• Name: Monitoring-Agent Auto-Healing
• Detection script file: Laden Sie Ihr Detection-Skript hoch.
• Remediation script file: Laden Sie Ihr Remediation-Skript hoch.
• Run this script using the logged-on credentials: Nein (da Dienstmanipulationen Admin-Rechte benötigen).
• Run script in 64-bit PowerShell: Ja.
• Assignment: Weisen Sie das Paket einer Gruppe von Geräten zu und legen Sie den Zeitplan (z.B. täglich oder stündlich) fest.

Best Practices für stabile Self-Healing-Systeme

Remediations sind mächtig, können aber bei falscher Konfiguration das System belasten oder in Endlosschleifen führen. Beachten Sie daher folgende Leitlinien:

1. Idempotenz ist Pflicht

Ein Remediation-Skript muss idempotent sein. Das bedeutet, dass die mehrfache Ausführung des Skripts dasselbe Ergebnis liefert wie eine einzelne Ausführung, ohne das System in einen instabilen Zustand zu versetzen. Prüfen Sie im Behebungsskript idealerweise noch einmal kurz den Status, bevor Sie eine Aktion ausführen.

2. Minimalismus in der Detection

Da Detection-Skripte oft im Hintergrund in kurzen Intervallen laufen, sollten sie so ressourcensparend wie möglich sein. Vermeiden Sie schwere Operationen wie vollständige Festplatten-Scans oder große Netzwerk-Downloads innerhalb der Detection-Phase.

3. Logging und Sichtbarkeit

Nutzen Sie Write-Output intensiv. Alles, was Sie in die Konsole schreiben, wird von Intune in den Logs gespeichert. Das ist essenziell für das spätere Troubleshooting, da Sie im Portal genau sehen können, warum eine Detection gefailt ist und was das Remediation-Skript versucht hat.

4. Testen in Staging-Gruppen

Rollen Sie ein neues Remediation-Paket niemals direkt auf alle Geräte aus. Nutzen Sie eine kleine Pilotgruppe, um sicherzustellen, dass das Behebungsskript keine unerwarteten Nebenwirkungen (z.B. unerwartete Neustarts) auslöst.

Häufige Fehler und ihre Lösungen

In der Praxis treten oft ähnliche Hürden auf. Hier sind die häufigsten Fallstricke bei der Implementierung von intune proactive remediations:

Problem: Skript läuft nicht oder wird als „Unknown“ gemeldet

Meist liegt dies an einem Fehler im PowerShell-Syntax oder an fehlenden Berechtigungen. Prüfen Sie, ob das Skript lokal als SYSTEM-User funktioniert. Viele Administratoren testen Skripte als Administrator-User, vergessen aber, dass Intune-Remediations standardmäßig im SYSTEM-Kontext laufen. Zugriff auf Netzlaufwerke oder benutzerspezifische Registry-Hives (HKCU) funktioniert im SYSTEM-Kontext nicht ohne Weiteres.

Problem: Die Remediation läuft ständig (Endlosschleife)

Dies passiert, wenn das Remediation-Skript zwar ausgeführt wird, aber den Fehler nicht dauerhaft behebt. Das Detection-Skript meldet beim nächsten Lauf erneut Exit Code 1. Überprüfen Sie die Logs: Schlägt die Behebung fehl? Oder setzt ein anderer Prozess (z.B. eine GPO) die Einstellung sofort wieder zurück? In diesem Fall haben Sie einen Policy-Konflikt, den Sie zuerst lösen müssen.

Problem: Probleme mit 32-Bit vs. 64-Bit

Wenn Sie Registry-Keys unter HKEY_LOCAL_MACHINE\SOFTWARE prüfen, landen Sie bei 32-Bit-PowerShell oft im WOW6432Node. Stellen Sie sicher, dass die Option Run script in 64-bit PowerShell aktiviert ist, um den korrekten Pfad der 64-Bit-Registry zu adressieren.

Fazit: Vom Feuerwehrmann zum Architekten

Intune Proactive Remediations verschieben den Fokus der IT-Administration von der reaktiven Fehlerbehebung hin zum proaktiven Lifecycle-Management. Anstatt Symptome zu bekämpfen, bauen wir mit diesen Tools eine Infrastruktur, die sich selbst heilt. Das reduziert nicht nur die Ticketlast im Helpdesk massiv, sondern steigert auch die User-Experience, da Probleme gelöst werden, bevor sie den Arbeitsfluss unterbrechen.

Starten Sie klein: Identifizieren Sie die drei häufigsten „Quick-Fix“-Tickets in Ihrem Unternehmen und automatisieren Sie diese. Sobald die Logik steht, wird Ihr Endpunkt-Management deutlich stabiler und skalierbarer.