Toms Wochentipp: cloudbasierte Fernwartung Mit Intune Remote Help nutzerlose Windows-Geräte erreichen

Anbieter zum Thema

Hyland Software Germany GmbH

Flexera Software GmbH

Microsoft erweitert die Fernwartung in Intune um eine Anmeldung ohne anwesenden Nutzer. Ein Helfer erreicht ein Windows-Gerät über die Cloud, gibt eigene Zugangsdaten ein und arbeitet an Kiosken oder Automaten, an denen niemand einen Sitzungscode bestätigt. Die Funktion richtet sich an den IT-Support in verteilten Umgebungen.

Remote Help gehört als cloudbasierte Fernwartung schon länger zu Intune und verbindet einen Helfer aus dem IT-Support mit dem Bildschirm eines Nutzers. Beide Seiten melden sich bisher mit einem Entra-ID-Konto aus demselben Tenant an, und der Nutzer bestätigt jede Sitzung mit einem Code. Genau diese Bestätigung fällt bei der neuen Fernanmeldung für Windows weg, denn viele Geräte im Feld stehen ohne festen Anwender. Microsoft ordnet die Funktion der Intune Suite zu.

Anmeldung ohne Bestätigung am Gerät

Bei der Fernanmeldung meldet sich der Helfer mit Administratorzugang direkt am Windows-Gerät an. Ein bereits angemeldeter Nutzer wird dabei abgemeldet, eine unbemerkte Übernahme der laufenden Sitzung sieht Microsoft nicht vor. Der Zugriff läuft über die Cloud. Der Hauptanwendungsfall zielt auf Geräte ohne Stammnutzer, darunter Kioske, Digital Signage und gemeinsam genutzte Automaten in Produktion und Filiale, an denen sonst niemand vor Ort einen Sitzungscode eingeben und den Zugriff des Helfers freigeben kann. Die allgemeine Verfügbarkeit für Windows nennt der Microsoft-365-Roadmap-Eintrag mit der Kennung 499154 für August 2026, nach einer vorangegangenen Vorschau.

Lizenz und Freischaltung im Tenant

Remote Help gehört seit Juli 2026 zum Umfang von Microsoft 365 E3 und E5 sowie EMS E3. Die Lizenz braucht sowohl der Helfer als auch der unterstützte Nutzer, eine reine Helfer-Lizenz genügt nicht, und ohne diese Zuweisung startet auf der Gegenseite keine Sitzung, selbst wenn der Support-Mitarbeiter alle Rechte im Tenant besitzt.

Die unbeaufsichtigte Fernanmeldung für Windows bleibt an die Intune Suite gebunden, die Microsoft als eigenes Add-on führt. Vor dem ersten Einsatz schaltet ein Administrator Remote Help tenantweit frei, denn im Auslieferungszustand ist die Funktion deaktiviert. Für einen Test stehen 90-Tage-Lizenzen für bis zu 250 Nutzer bereit.

Rechte, Bedingungen und Protokoll

Die Absicherung ruht auf mehreren Bausteinen:

• Rollen: Der Zugriff verlangt drei RBAC-Rechte, darunter die Freigabe der Fernunterstützung und mindestens ein Recht auf die Remote-Help-App.

• Bedingter Zugriff: Conditional-Access-Richtlinien greifen erst nach der manuellen Registrierung eines Dienstprinzipals per PowerShell.

• Anmeldesicherheit: Beide Konten stammen aus demselben Tenant, eine MFA-Pflicht für Helfer lässt sich erzwingen.

• Gerätestatus: Vor dem Verbinden zeigt Remote Help eine Warnung, sobald das Zielgerät nicht den Richtlinien entspricht.

• Protokoll: Intune speichert Metadaten wie Identität, Gerät und Dauer 30 Tage lang, ohne Aufzeichnung von Bildschirm oder Tastatur.

Der Datenweg bleibt schlank. Remote Help nutzt ausgehend den Port 443 mit TLS 1.2 und baut die Sitzung über RDP auf, eingehende Firewall-Regeln sind nicht nötig. Die Verlagerung der Anmeldung weg vom anwesenden Nutzer verschiebt die Kontrolle vollständig auf Rollenrechte und Protokoll, weshalb eine enge Zuweisung der RBAC-Rollen und ein regelmäßiger Blick in die Audit-Logs unter „Tenant Administration → Audit Logs“ den eigentlichen Schutz gegen Missbrauch bilden.

(ID:50933873)