Sektion 07: Device Groups: Static vs. Dynamic Membership (Regeln & Syntax)

Willkommen zur Sektion 07 des Intune A-Z Mastercourses. In diesem Modul tauchen wir tief in die Welt der Gerätegruppen ein – das Herzstück jeder zielgerichteten Deployment-Strategie in Microsoft Intune.

Wer Gruppen falsch konfiguriert, riskiert entweder „Silo-Deployments“, bei denen Geräte wichtige Updates verpassen, oder im schlimmsten Fall „Mass-Wipe-Szenarien“, bei denen Policies auf Geräte angewendet werden, für die sie nie gedacht waren. Die Beherrschung von statischen und dynamischen Gruppen ist daher eine Grundvoraussetzung für jeden Enterprise-Admin.

1. Statische Gruppen: Die manuelle Kontrolle

Statische Gruppen sind die einfachste Form der Gruppierung. Hier fügt der Administrator Geräte oder Benutzer manuell hinzu.

Anwendungsbereiche

Pilot-Phasen: Wenn genau 5 spezifische Testgeräte eine neue App erhalten sollen.
Ausnahme-Listen: Geräte, die explizit nicht in ein automatisches Update-Szenario fallen dürfen.
Kleine Umgebungen: In Tenants mit weniger als 50 Geräten ist der manuelle Aufwand oft geringer als die Logik-Erstellung einer dynamischen Gruppe.

Warnung: Statische Gruppen sind in Enterprise-Umgebungen eine „Technical Debt“-Falle. Sobald die Anzahl der Geräte steigt, wird die manuelle Pflege unmöglich und führt unweigerlich zu Fehlern in der Zuweisungslogik.

2. Dynamische Gruppen: Die Automatisierung via Azure AD (Entra ID)

Dynamische Gruppen nutzen Abfragen (Queries), um Mitglieder basierend auf Attributen automatisch hinzuzufügen oder zu entfernen. Sobald ein Gerät die Kriterien erfüllt, wird es Mitglied der Gruppe und erhält sofort die verknüpften Policies.

Die Syntax der dynamischen Abfragen

Microsoft nutzt eine proprietäre Abfragesprache. Die wichtigsten Operatoren sind:

-eq: Gleich (Equal)
-ne: Ungleich (Not Equal)
-contains: Enthält (oft für Strings genutzt)
-startsWith: Beginnt mit

Praxis-Beispiel: Alle Windows 11 Geräte erfassen

Um eine Gruppe für alle Windows 11 Geräte zu erstellen, sieht die Query so aus:

(device.deviceOSVersion -startsWith "10.0.2")

Hinweis: Da Windows 11 intern oft noch als Version 10.0.x geführt wird, ist die Prüfung des Build-Nummern-Bereichs entscheidend.

3. Strategisches Design: Die „Tiered Group“ Architektur

Ein professionelles Intune-Setup nutzt selten nur eine Gruppe. Stattdessen wird ein Schichtenmodell (Tiering) implementiert:

Global-Baseline: Eine dynamische Gruppe für alle verwalteten Geräte (z.B. Compliance-Baselines).
OS-Specific Groups: Dynamische Gruppen für Windows, macOS und iOS.
Departmental Groups: Gruppen basierend auf dem Attribut department (z.B. „Marketing“ oder „IT-Admin“).
Targeted Pilot Groups: Statische Gruppen für die erste Testwelle eines neuen Updates.

4. Troubleshooting: Warum ist mein Gerät nicht in der Gruppe?

Wenn eine dynamische Gruppe nicht wie erwartet arbeitet, liegt das meist an einem dieser drei Gründe:

Attribut-Lag: Entra ID benötigt Zeit, um Attributänderungen zu synchronisieren. Das kann von wenigen Minuten bis zu mehreren Stunden dauern.
Syntax-Fehler: Ein fehlendes Leerzeichen oder ein falscher Operator in der Query führt dazu, dass die Gruppe komplett leer bleibt.
Conflict: Das Gerät erfüllt die Kriterien einer anderen Gruppe, die eine widersprüchliche Policy pusht. Hier gewinnt immer die restriktivere Einstellung (Security First).

Zusammenfassung & Checkliste

[ ] Statische Gruppen nur für kurzfristige Tests oder kleine Ausnahme-Listen nutzen.
[ ] Dynamische Gruppen für alle produktiven Deployments verwenden.
[ ] Syntax-Check: Immer über „Validate Rules“ in Entra ID prüfen, ob die Query korrekt ist.
[ ] Namenskonvention einhalten (z.B. DG-Win11-All-Devices), um Chaos zu vermeiden.

Im nächsten Modul schauen wir uns an, wie man die MDM Authority und Enrollment Restrictions konfiguriert, um den Zugang zum Tenant abzusichern.