Lokale Windows-Gruppen mit Intune verwalten

Update 06.09.2026: Umfang und Aussperrrisiko beim Ersetzen lokaler Gruppen wurden präzisiert. Dies ist keine im Tenant verifizierte vollständige Anmelderichtlinie.

Dieser zweite Teil zeigt die Verwaltung lokaler Windows-Gruppen mit einer Intune-Account-protection-Richtlinie. Er behandelt Add, Remove und Replace. Gruppenmitgliedschaften sind nur ein Teil der Windows-Anmeldeberechtigung. Prüfe die effektiven Benutzerrechte, bevor du den Ablauf als vollständige Anmeldebeschränkung verwendest.

Hallo zusammen, nach mehreren Monaten Inaktivität möchte ich hier auf meinem Blog wieder regelmäßig neue Inhalte veröffentlichen. Ich starte mit einem Thema, über das ich bereits letztes Jahr gebloggt habe. In diesem Beitrag geht es darum, wie du über Intune einschränken kannst, wer sich an Windows anmelden darf. Intune verfügt über eine coole neue Funktion, mit der du die Mitglieder lokaler Gruppen verwalten kannst.

In how to restrict the login to dedicated users with intune habe ich diese Einschränkung mit einem Konfigurationsprofil umgesetzt und einen Microsoft Entra ID Benutzer über ein benutzerdefiniertes Profil und eine OMA-URI in die lokale Gruppe aufgenommen. Mittlerweile hat Microsoft eine neue CSP hinzugefügt, mit der du dies auf eine viel elegantere Weise erledigen kannst. Wie du das nutzt, erkläre ich dir jetzt in diesem Blogbeitrag.

Account Protection Policy erstellen

• Öffne das Intune Admin Center
• Klicke auf Endpoint security -> Account protection
• Klicke auf + Create Policy
• Wähle Windows 10 and later als Platform und Local user group membership als Profile
• Klicke auf Create

• Gib einen Name ein und klicke auf Next.

• Wähle die lokale Gruppe aus, die du verwalten möchtest.
• Wähle die Aktion aus, die du durchführen möchtest:
  • Add (Update): Fügt den Benutzer/die Benutzer oder die Gruppe/n zur Gruppe hinzu und behält die aktuellen Gruppenmitgliedschaften bei.
  • Remove (Update): Entfernt den Benutzer/die Benutzer oder die Gruppe/n aus der Gruppe und behält die aktuelle Gruppenmitgliedschaft bei.
  • Add (Replace): Ersetzt die aktuelle Gruppenmitgliedschaft durch den/die ausgewählten Benutzer oder die ausgewählte/n Gruppe/n.
• Wähle den/die Benutzer oder die Gruppe/n.
• Klicke auf Next.

• Weise die Policy zu.
• Klicke auf Next und im Abschnitt Scope Tags erneut auf Next.

• Klicke auf Create

Warum du die Anmeldung mit Intune einschränken solltest

Bevor wir in die Konfiguration einsteigen, lohnt sich ein Blick auf das Warum. In vielen Organisationen sollen geteilte Geräte, Kiosk-Systeme, Frontline-Worker-Laptops oder besonders schützenswerte Workstations nur einem klar definierten Personenkreis offenstehen. Wenn du die Anmeldung mit Intune auf bestimmte Benutzer beschränkst, bekommst du genau dafür einen sauberen, richtliniengesteuerten Weg – ganz ohne Active Directory oder fehleranfällige Anmeldeskripte. Statt auf lokale Konten zu setzen, steuerst du exakt, welche Microsoft Entra ID Benutzer oder Gruppen in der lokalen Gruppe Users oder Administrators landen.

Dieser Ansatz skaliert außerdem hervorragend. Da die Richtlinie an Intune-Gruppen zugewiesen wird, kannst du tausende Geräte mit einer einzigen Konfiguration adressieren, und die Mitgliedschaft bleibt konsistent – auch wenn Personen einem Team beitreten oder es verlassen. So entsteht eine vorhersehbare, prüfbare Sicherheits-Baseline, die Neustarts, Reimaging und Autopilot-Resets übersteht.

Tipps und häufige Stolperfallen

Behandle Add (Replace) bei Users und Administrators als potenziell einschneidende Änderung. Nicht aufgeführte Mitglieder werden entfernt. Teste an einem Pilotgerät, erhalte den erforderlichen Wiederherstellungszugriff und prüfe Mitgliedschaften sowie die Anmeldung erlaubter und gesperrter Testkonten.

Beachte außerdem, dass die Richtlinie mit dem Security Identifier (SID) der ausgewählten Microsoft Entra ID Benutzer und Gruppen arbeitet. Ist ein Gerät noch nicht vollständig gejoint und synchronisiert, greift die Mitgliedschaft beim ersten Sync-Zyklus möglicherweise noch nicht. Gib ihm etwas Zeit oder stosse einen manuellen Sync an und prüfe das Ergebnis anschließend mit net localgroup Users in einer Eingabeaufforderung mit Administratorrechten.

Conditional Access steuert den Zugriff auf Cloud-Ressourcen und ersetzt keine lokalen Windows-Anmelderechte. Prüfe erlaubte und verweigerte Anmelderechte separat. Beachte vor dem Ersetzen die LocalUsersAndGroups-CSP-Dokumentation.

Dieser Weg ist viel einfacher und eleganter als der Weg, den ich letztes Jahr verwendet habe. Wenn du mehr Informationen zu diesem Thema benötigst, findest du sie auch in der MS Tech Community. Ich hoffe, dieser Blogbeitrag hilft dir bei der Beantwortung der Frage, wie du lokale Gruppen mithilfe von Intune verwalten kannst.

Bleib gesund, Cheers
Jannik