Sektion 45: App Assignment mit Filtern: Apps gezielt per Assignment Filter zuweisen

In den letzten Sektionen haben wir Apps paketiert, aktualisiert und mit dem Enterprise App Catalog sogar ganz ohne eigenes Paket bereitgestellt. Offen ist noch die Frage, die im Alltag am meisten Ärger macht: Wie kommt eine App genau auf die Geräte, auf die sie gehört, und auf keine anderen?

Mit reinen Gruppen landen Sie schnell bei Dutzenden Hilfsgruppen: „Windows 11 Firmengeräte“, „Alle Surface“, „Alle außer Kiosk“. Jede dynamische Gruppe muss Entra ID erst auswerten, und jede Sonderregel braucht eine weitere Gruppe. Assignment Filters (Zuweisungsfilter) lösen genau dieses Problem. Sie weisen die App weiterhin einer Gruppe zu, schränken die Zuweisung aber zusätzlich über Geräteeigenschaften ein. In dieser Sektion sehen wir uns an, wie Filter funktionieren, welche Eigenschaften und Operatoren es gibt, wie Sie typische App-Szenarien bauen und wie Sie Fehler eingrenzen.

Grundkonzepte: Gruppe plus Filter

Was ein Assignment Filter ist

Ein Assignment Filter ist eine wiederverwendbare Regel auf Basis von Geräte- oder App-Eigenschaften, zum Beispiel Hersteller, Modell, Betriebssystemversion oder Besitzertyp. Sie hängen den Filter an eine Zuweisung an und wählen dabei einen von zwei Modi:

• Include (Einschließen): Nur Geräte, die zur Filterregel passen, bekommen die App.
• Exclude (Ausschließen): Geräte, die zur Filterregel passen, bekommen die App nicht. Alle anderen Geräte der Gruppe schon.

Die Gruppe bestimmt also, wer grundsätzlich in Frage kommt. Der Filter entscheidet, welche Geräte davon die App tatsächlich erhalten. Intune wertet den Filter bei der Registrierung, beim Check-in des Geräts und bei anderen Auswertungen wie dem Compliance-Check aus.

Managed Devices und Managed Apps

Beim Anlegen wählen Sie den Filtertyp:

• Managed devices: für Geräte, die in Intune registriert sind. Diesen Typ nutzen Sie für App-Zuweisungen (Win32, Store, Microsoft 365 Apps, LOB usw.), Konfigurationsprofile und Compliance-Richtlinien.
• Managed apps: für MAM-Szenarien ohne Geräteregistrierung. Diese Filter gelten nur für App-Schutz- und App-Konfigurationsrichtlinien.

Für die App-Verteilung in dieser Kursreihe geht es fast immer um Managed devices.

Filter oder dynamische Gruppe?

Microsoft gibt eine klare Faustregel: Nutzen Sie Filter, wenn Sie Intune-Apps und -Richtlinien nach Geräteeigenschaften wie Betriebssystem, Modell, Hersteller, Besitz oder Kategorie steuern. Filter werden beim Check-in ausgewertet, ohne Wartezeit auf eine Gruppenmitgliedschaft. Nutzen Sie dynamische Gruppen, wenn dieselbe Zielgruppe auch außerhalb von Intune gebraucht wird, etwa für Conditional Access, Lizenzen oder die Zuweisung von Autopilot-Profilen. In der Praxis kombinieren die meisten Umgebungen beides. Die Gruppenlogik aus Sektion 07 bleibt also wichtig, nur die vielen Sonderfall-Gruppen fallen weg.

Grenzen, die Sie kennen sollten

• Maximal 200 Filter pro Tenant.
• Jede Filterregel darf höchstens 3.072 Zeichen lang sein.
• Managed-Device-Filter greifen nur bei Geräten, die in Intune registriert sind.
• Ein Filter gilt für genau eine Plattform, zum Beispiel „Windows 10 and later“. Für iOS und Android brauchen Sie eigene Filter.

Filtereigenschaften und Regelsyntax

Die wichtigsten Geräteeigenschaften für Windows

• device.manufacturer und device.model: Hersteller und Modell, z. B. "Microsoft" und "Surface Laptop 5".
• device.operatingSystemVersion: Betriebssystemversion mit Vergleichsoperatoren wie -ge oder -lt. Die ältere Eigenschaft osVersion gilt als veraltet; bestehende Filter laufen weiter, für neue Regeln sollten Sie operatingSystemVersion nehmen.
• device.operatingSystemSKU: die Windows-Edition, z. B. "Enterprise", "Professional" oder "ServerRdsh" für Enterprise Multi-Session.
• device.deviceOwnership: "Corporate" oder "Personal".
• device.deviceTrustType: Join-Typ, z. B. "Azure AD joined" oder "Hybrid Azure AD joined".
• device.enrollmentProfileName: Name des Autopilot-Profils, mit dem das Gerät registriert wurde.
• device.deviceCategory und device.deviceName: Gerätekategorie und Gerätename.
• device.cpuArchitecture: amd64, x86 oder arm64, praktisch für ARM-Geräte.

Operatoren

Die Syntax ähnelt den dynamischen Gruppen in Entra ID: (device.Eigenschaft -Operator "Wert"). Groß- und Kleinschreibung spielt keine Rolle, und Klammern dürfen verschachtelt werden.

• -eq / -ne: gleich bzw. ungleich
• -in / -notIn: Wert ist in einer Liste, z. B. ["Enterprise","Education"]
• -startsWith, -contains, -notContains: Teilwerte bei Texten
• -gt, -ge, -lt, -le: nur für operatingSystemVersion
• and / or: Regeln verknüpfen
• $null zusammen mit -eq oder -ne, um leere Werte abzufragen

Wichtig für die Praxis: Sobald Sie verschachtelte Klammern im Syntax-Editor nutzen, deaktiviert Intune den grafischen Regel-Builder für diesen Filter. Das ist kein Fehler, Sie pflegen die Regel dann nur noch als Text.

Praxis-Implementierung: Filter anlegen und an eine App hängen

Schritt 1: Filter erstellen

1. Öffnen Sie im Intune Admin Center Mandantenverwaltung > Zuweisungsfilter > Erstellen (englisch: Tenant administration > Assignment filters > Create). Denselben Bereich finden Sie auch unter Apps und Geräte.
2. Wählen Sie Managed devices.
3. Vergeben Sie einen sprechenden Namen und eine Beschreibung, z. B. FLT-WIN-Corporate-Win11, und wählen Sie die Plattform Windows 10 and later.
4. Bauen Sie die Regel im Regel-Builder oder schreiben Sie sie direkt in den Syntax-Editor.
5. Klicken Sie auf Preview devices. Intune zeigt Ihnen sofort, welche registrierten Geräte aktuell passen. Nutzen Sie diese Vorschau immer, bevor Sie einen Filter produktiv einsetzen.
6. Optional Scope Tags setzen und den Filter anlegen.

Schritt 2: Filter in der App-Zuweisung verwenden

1. Öffnen Sie die App unter Apps > Windows und gehen Sie zu Eigenschaften > Zuweisungen > Bearbeiten.
2. Fügen Sie die Gruppe hinzu, z. B. eine Benutzergruppe unter „Erforderlich“.
3. Klicken Sie in der Zeile der Gruppe auf Filter bearbeiten und wählen Sie Include filtered devices in assignment oder Exclude filtered devices in assignment.
4. Wählen Sie den Filter aus und speichern Sie mit Überprüfen + speichern.

Beim nächsten Check-in prüft Intune die Eigenschaften des Geräts gegen den Filter und entscheidet, ob die App installiert wird.

Beispiele aus der Praxis

Nur Firmengeräte mit Windows 11

Eine Fach-App soll an alle Benutzer der Abteilung gehen, aber nur auf deren Firmengeräte mit Windows 11, nicht auf private Geräte:

(device.deviceOwnership -eq "Corporate") and (device.operatingSystemVersion -ge 10.0.22000.0)

Zuweisung: Benutzergruppe „Abteilung Vertrieb“, Include.

Hersteller-Tools nur auf passender Hardware

Dell Command Update gehört nur auf Dell-Geräte, Lenovo Vantage nur auf Lenovo. Statt zwei dynamischer Gerätegruppen reicht ein Filter je Hersteller:

(device.manufacturer -eq "Dell Inc.")

Prüfen Sie den genauen Herstellerstring in der Filter-Vorschau oder in den Hardwaredetails eines Geräts. Je nach Hersteller weicht er vom Markennamen ab, z. B. "Dell Inc." oder "LENOVO". Groß- und Kleinschreibung ist dabei egal, die Schreibweise sonst nicht.

Kiosk- und Multi-Session-Geräte ausschließen

Ein Benutzer-Tool soll an alle Geräte gehen, nur nicht an Kiosk-Geräte aus einem bestimmten Autopilot-Profil und nicht an AVD-Hosts mit Enterprise Multi-Session:

(device.enrollmentProfileName -startsWith "AP-Kiosk") or (device.operatingSystemSKU -eq "ServerRdsh")

Zuweisung: Gruppe „Alle Geräte“ bzw. eine breite Gerätegruppe, Exclude.

ARM-Geräte gezielt versorgen

Wenn Sie für ein Programm ein eigenes ARM64-Paket haben, weisen Sie das x64-Paket mit einem Exclude-Filter und das ARM64-Paket mit einem Include-Filter auf dieselbe Gruppe zu:

(device.cpuArchitecture -eq "arm64")

Hinweis von Microsoft: cpuArchitecture wird in Registrierungsszenarien derzeit nicht unterstützt. Für Apps, die schon während Autopilot installiert werden sollen, ist dieser Filter daher nicht zuverlässig.

Wer gewinnt? Konfliktlogik bei mehreren Zuweisungen

Ist ein Gerät über mehrere Gruppen für dieselbe App zugewiesen, löst Intune den Konflikt in einer festen Reihenfolge:

• Zuerst die App-Absicht (Intent): Intune ermittelt erst, ob „Erforderlich“, „Verfügbar“ oder „Deinstallieren“ gewinnt (siehe Sektion 36). Nur die Filter der gewinnenden Zuweisung werden ausgewertet. Treffen „Erforderlich“ und „Verfügbar“ zusammen, wertet das Gerät die Filter beider Zuweisungen aus.
• Dann der Filtermodus: Exclude schlägt „kein Filter“, und „kein Filter“ schlägt Include.
• Gleicher Modus: Haben mehrere Zuweisungen denselben Modus, gilt ODER-Logik. Das Gerät muss nur zu einem der Filter passen.

Merken Sie sich die Ergebnistabelle:

• Include + passt = App wird zugewiesen
• Include + passt nicht = keine Zuweisung
• Exclude + passt = keine Zuweisung
• Exclude + passt nicht = App wird zugewiesen

Noch ein Klassiker, der nichts mit Filtern zu tun hat, aber oft mit ihnen verwechselt wird: Intune wertet keine Beziehungen zwischen Benutzer- und Gerätegruppen aus. Schließen Sie bei einer Benutzergruppen-Zuweisung eine Gerätegruppe aus, greift der Ausschluss nicht. Genau für solche Fälle ist ein Exclude-Filter die saubere Lösung.

Filter per PowerShell inventarisieren

Bei vielen Filtern verliert man schnell den Überblick, welche Regel wofür gedacht war. Dieses Skript liest alle Filter über Microsoft Graph aus. Es ist rein lesend und braucht nur die Berechtigung DeviceManagementConfiguration.Read.All:

# Assignment Filters auflisten (nur lesend)
# Voraussetzung: Install-Module Microsoft.Graph.Authentication -Scope CurrentUser
Connect-MgGraph -Scopes "DeviceManagementConfiguration.Read.All" -NoWelcome

$uri = "https://graph.microsoft.com/beta/deviceManagement/assignmentFilters"
$filters = [System.Collections.Generic.List[object]]::new()

do {
    $response = Invoke-MgGraphRequest -Method GET -Uri $uri -OutputType PSObject
    $response.value | ForEach-Object { $filters.Add($_) }
    $uri = $response.'@odata.nextLink'
} while ($uri)

Write-Output "Filter im Tenant: $($filters.Count) von maximal 200"

$filters |
    Select-Object displayName, platform, assignmentFilterManagementType, rule |
    Sort-Object platform, displayName |
    Format-Table -AutoSize -Wrap

Der Endpunkt liegt auf beta und kann sich ändern. Für eine Dokumentation Ihrer Filter oder einen schnellen Abgleich mit der 200er-Grenze reicht er aber völlig.

Troubleshooting: Wenn der Filter nicht tut, was er soll

Filterauswertung pro Gerät prüfen

Unter Geräte > Alle Geräte > Gerät auswählen > Filter evaluation sehen Sie für jede App und Richtlinie mit Filter: welcher Filter ausgewertet wurde, wann, mit welchem Ergebnis (Match oder No match), in welchem Modus und welche Eigenschaftswerte das Gerät dabei hatte. Das ist die wichtigste Stelle für die Fehlersuche.

Filterauswertung pro App prüfen

Unter Apps > Alle Apps > App auswählen > Geräteinstallationsstatus gibt es die Spalte Filter. Darüber sehen Sie je Gerät, ob die Zuweisung angewendet wurde oder nicht.

Typische Ursachen

• Verzögerung: Bis Auswertungsergebnisse im Admin Center erscheinen, können bis zu 30 Minuten vergehen. Die Ergebnisse werden 30 Tage aufbewahrt.
• Verfügbare Apps fehlen im Report: Apps mit der Absicht „Verfügbar“ tauchen im Geräteinstallationsstatus nicht auf. Prüfen Sie sie über die Filterauswertung am Gerät. Ein Ergebnis entsteht erst, wenn der Benutzer die App-Liste im Unternehmensportal öffnet.
• Race Condition bei der Registrierung: Ist eine Eigenschaft wie die Gerätekategorie beim ersten Check-in noch leer, wertet Intune sie als leer aus. Eine App kann dann installiert werden, obwohl sie später nicht mehr passen würde, und sie wird nicht automatisch wieder entfernt. Gerade bei Exclude-Filtern auf deviceCategory sollten Sie das einplanen.
• „Not evaluated“: Dieses Ergebnis deutet meist auf eine konkurrierende Zuweisung derselben App hin. Prüfen Sie die Konfliktlogik oben.
• Falscher Wert: Hersteller- und Modellnamen müssen exakt so geschrieben sein, wie das Gerät sie meldet. Die Filtervorschau zeigt sofort, ob überhaupt ein Gerät passt.

Grenzen von Assignment Filters

• Nicht für alles verfügbar: PowerShell-Skripte für Windows, Feature-Update-Richtlinien für Windows und Policy Sets unterstützen laut Microsoft keine Filter. Win32-Apps, Store-Apps, Microsoft 365 Apps, LOB-Apps, Konfigurationsprofile, Remediations und Compliance-Richtlinien unterstützen sie dagegen.
• Android Enterprise BYOD: Bei persönlichen Geräten mit Arbeitsprofil werden Filter in „Verfügbar“-Zuweisungen ignoriert.
• Kein Ersatz für Gruppen bei Conditional Access, Lizenzen oder Autopilot-Profilen: Filter wirken nur innerhalb von Intune-Zuweisungen.
• Keine automatische Deinstallation: Passt ein Gerät nach einer Änderung nicht mehr zum Filter, bleibt eine bereits installierte App auf dem Gerät. Für das Entfernen brauchen Sie eine eigene Deinstallieren-Zuweisung.

Best Practices

• Klare Namenskonvention: z. B. FLT-<Plattform>-<Zweck>. So erkennen Sie Filter sofort in jeder Zuweisung.
• Beschreibung pflegen: Schreiben Sie in die Beschreibung, wofür der Filter gedacht ist und wer ihn verantwortet.
• Wenige breite Gruppen, viele wiederverwendbare Filter: Das reduziert die Zahl der Hilfsgruppen deutlich.
• Immer erst die Vorschau: „Preview devices“ vor jedem produktiven Einsatz.
• Exclude mit Bedacht: Exclude schlägt alle anderen Zuweisungen. Ein zu breiter Exclude-Filter kann eine App für viele Geräte unbemerkt blockieren.
• Vor dem Löschen Zuordnungen prüfen: Im Filter zeigt der Reiter Associated Assignments, welche Apps und Richtlinien ihn nutzen. Solange Zuordnungen bestehen, lässt Intune den Filter ohnehin nicht löschen.

Fazit

Assignment Filters sind das Werkzeug, mit dem Sie App-Zuweisungen präzise machen, ohne für jeden Sonderfall eine eigene Gruppe zu bauen. Die Gruppe legt fest, wer grundsätzlich gemeint ist, der Filter bestimmt, welche Geräte davon die App bekommen. Wenn Sie die Konfliktlogik (Intent vor Filter, Exclude vor Include) und die Grenzen kennen, ersparen Sie sich viele Stunden Fehlersuche.

Zusammenfassend für Ihren Workflow:

• Gruppen für das „Wer“, Filter für das „Auf welchen Geräten“.
• Neue Regeln mit operatingSystemVersion statt osVersion bauen.
• Jeden Filter vor dem Einsatz mit der Gerätevorschau testen.
• Bei Problemen zuerst die Filterauswertung am Gerät prüfen.

Damit ist der Block App-Management vorerst abgeschlossen. Einen Überblick über alle Sektionen finden Sie auf der Seite Intune-Kurs.

Quellen

• Microsoft Learn: Create assignment filters in Microsoft Intune
• Microsoft Learn: Assignment filter properties and operators reference
• Microsoft Learn: Platforms and policy types supported by assignment filters
• Microsoft Learn: Assignment filter reports & troubleshooting
• Microsoft Learn: Include and exclude app assignments in Microsoft Intune
• Microsoft Learn: List deviceAndAppManagementAssignmentFilters (Graph beta)

↑ Zur Kursübersicht: Intune-Kurs (alle Sektionen)