Wer Intune-Mandanten betreut, kennt die Frage: „Was ist bei uns eigentlich alles konfiguriert?“ Die ehrliche Antwort steckt in Dutzenden Blades im Intune Admin Center, verteilt auf Settings Catalog, Endpoint Security, Compliance, Apps, Skripte und Enrollment. Eine saubere Dokumentation dazu gibt es selten, und wenn, dann ist sie nach drei Wochen veraltet.
Viele bestehende Lösungen setzen auf PowerShell-Module oder eine Installation auf dem Admin-Rechner. Beim Kunden ist genau das oft der Haken. Deshalb habe ich den Intune Inspector gebaut: ein kleines Open-Source-Tool, das eine komplette Intune-Umgebung per Doppelklick einliest, auswertet und als fertige Kundendoku exportiert – ausschließlich lesend, ohne Installation und ohne dass Daten das eigene Gerät verlassen.
Was der Intune Inspector macht
Kurz gesagt: Bestandsaufnahme, Analyse und Dokumentation in einem Rutsch. Nach der Anmeldung am Kundentenant liest das Tool über Microsoft Graph praktisch alles ein, was Intune hergibt:
- Konfiguration: Settings Catalog, Vorlagen-Profile, Administrative Vorlagen (ADMX) inklusive Werten, OMA-URI, WLAN, VPN, Zertifikate, Kiosk und mehr
- Endpoint Security & Baselines: Antivirus, Firewall, BitLocker, EDR, ASR, Kontoschutz, App Control, EPM sowie alle Security Baselines
- Compliance & Updates: Compliance-Richtlinien mit Aktionen bei Nichtkonformität, Update-Ringe, Feature-, Quality- und Treiber-Updates
- Apps: alle Apps mit Zuweisungsabsicht, Installationsbefehlen und Erkennungsregeln, dazu App-Schutz und App-Konfiguration
- Skripte & Remediations: inklusive Skriptinhalt und Zeitplan
- Enrollment: Autopilot-Profile, ESP, Registrierungseinschränkungen, Windows Hello for Business, Android Enterprise, Autopilot Device Preparation
- Plattform-Anbindungen: Apple-Push-Zertifikat, ADE- und VPP-Token mit Ablaufdatum, Managed Google Play, Defender for Endpoint
- Geräteinventar: Windows, iOS/iPadOS, Android und macOS sowie alle Autopilot-Geräte
Zu jedem Objekt landen alle konfigurierten Einstellungen, Zuweisungen mit Filtern und Ausschlüssen, Bereichsmarkierungen sowie Erstell- und Änderungsdatum in der Auswertung. Kennwörter, Pre-Shared Keys und Tokens werden schon beim Einlesen ausgeblendet.
So funktioniert es unter der Haube
Der Intune Inspector ist eine einzelne ausführbare Datei für Windows, macOS und Linux. Sie startet einen schlanken Webserver, der nur auf dem eigenen Rechner unter http://localhost:8400 erreichbar ist, und öffnet die Oberfläche im Standardbrowser.
Das Entscheidende: Anmeldung und alle Graph-Abfragen laufen direkt im Browser – per MSAL.js mit Authorization Code Flow und PKCE. Der lokale Server bekommt die Tokens nie zu sehen und spricht selbst nicht mit Microsoft. Er liefert nur die Oberfläche aus und speichert Snapshots und Notizen in einem Ordner neben der Programmdatei.
Security-Tipp
Das Tool macht ausschließlich GET-Aufrufe, auch innerhalb von $batch, und die App-Registrierung bekommt nur .Read-Berechtigungen. Eine Content-Security-Policy erlaubt Verbindungen nur zu login.microsoftonline.com und graph.microsoft.com. Es gibt keine Telemetrie, und Schriften sowie Bibliotheken sind eingebettet.
Einrichtung: einmal App-Registrierung, dann für alle Kunden
Bevor es losgeht, braucht das Tool eine App-Registrierung in Entra ID. Die legt man einmal an, am besten im eigenen Partner-Tenant, und nutzt sie dann für alle Kunden.
- Neue Registrierung anlegen: Entra Admin Center → Identität → Anwendungen → App-Registrierungen → Neue Registrierung. Name z. B. „Intune Inspector“, Kontotyp mehrinstanzenfähig (Konten in einem beliebigen Organisationsverzeichnis).
- Plattform hinzufügen: unter Authentifizierung eine Single-Page-Anwendung (SPA) mit der Umleitungs-URI
http://localhost:8400/redirect.html. Wichtig: als SPA, nicht als Web. - Berechtigungen vergeben: Microsoft Graph, delegierte Berechtigungen laut Tabelle unten.
- Client-ID kopieren und beim ersten Start im Intune Inspector eintragen.
| Delegierte Berechtigung | Wofür |
|---|---|
DeviceManagementConfiguration.Read.All | Profile, Settings Catalog, Endpoint Security, Baselines, Compliance, Updates |
DeviceManagementApps.Read.All | Apps, App-Schutz, App-Konfiguration |
DeviceManagementServiceConfig.Read.All | Enrollment, Autopilot, ESP, Filter, Nutzungsbedingungen, Branding |
DeviceManagementManagedDevices.Read.All | Geräteinventar, Gerätekategorien |
DeviceManagementRBAC.Read.All | Intune-Rollen, Bereichsmarkierungen |
DeviceManagementScripts.Read.All | PowerShell- und Shell-Skripte, Remediations |
Group.Read.All | Gruppennamen der Zuweisungen auflösen |
User.Read | Anmeldung, Mandantenname |
Im Kundentenant muss beim ersten Login einmal die Administratorzustimmung erteilt werden. Entweder setzt ein Admin des Kunden im Dialog den Haken „Im Namen Ihrer Organisation zustimmen“, oder ihr schickt ihm direkt diesen Link:
https://login.microsoftonline.com/<KUNDENTENANT>/adminconsent?client_id=<CLIENT-ID>Hinweis für Partner mit GDAP
Auf der Anmeldeseite immer den Kundentenant angeben, sonst landet die Anmeldung im eigenen Tenant. Zum Lesen reichen GDAP-Rollen wie Intune-Administrator oder Globaler Leser. Für die einmalige Zustimmung braucht es zusätzlich Cloudanwendungsadministrator – oder der Kunde stimmt selbst zu.
Damit Kollegen die Client-ID nicht abtippen müssen, legt man einfach eine config.json neben die Programmdatei. Der optionale brandLabel erscheint als Untertitel unter dem Logo:
{ "clientId": "00000000-0000-0000-0000-000000000000", "brandLabel": "Name des Teams" }Der erste Scan
ZIP entpacken, IntuneInspector.exe doppelklicken, Kundentenant eingeben und anmelden. Das Tool liest dann alle Bereiche nacheinander und zeigt den Fortschritt je Quelle. Bereiche, die im Mandanten nicht lizenziert sind oder für die Rechte fehlen, werden übersprungen und im Scan-Protokoll vermerkt – der Rest läuft einfach weiter.
Wer erst einmal reinschauen möchte: Auf der Anmeldeseite gibt es „Demo mit Beispieldaten“ mit einem fiktiven Mandanten. Dafür braucht es weder App-Registrierung noch Tenant.
Die Auswertungen im Detail
Übersicht und Befunde
Die Startseite fasst den Mandanten in Kennzahlen zusammen: Objekte gesamt, nicht zugewiesene Objekte, Einstellungskonflikte, Zuweisungen an gelöschte Gruppen, verwaltete Geräte und den Dokumentationsgrad. Jede Kachel führt per Klick zur passenden gefilterten Liste.
Besonders praktisch ist der Block Plattform-Anbindungen & Ablaufdaten: Apple-Push-Zertifikat, ADE- und VPP-Token mit Restlaufzeit. Ab 60 Tagen gibt es eine Warnung, ab 30 Tagen wird es kritisch. Wer schon einmal ein abgelaufenes APNs-Zertifikat erlebt hat, weiß, warum das ganz oben steht.
Geräteinventar
Alle verwalteten Geräte mit OS-Version, Modell, Seriennummer, Benutzer, Konformität, Registrierungsart, Join-Typ und Verschlüsselung. Filter nach Auffälligkeiten wie „nicht konform“, „seit über 30 Tagen ohne Check-in“, „unverschlüsselt“ oder „Jailbreak/Root“ zeigen schnell, wo es hakt. Der Reiter Autopilot-Geräte listet zusätzlich die registrierte Hardware mit Group Tag und Profilstatus – auch Geräte, die noch nicht ausgerollt sind.
Objekte, Einstellungen und Skripte
Alle Richtlinien, Profile, Apps und Skripte in einer Liste, filterbar nach Bereich, Status und Plattform. Die Suche (Strg + K) durchsucht nicht nur Namen, sondern auch Einstellungen und deren Werte, Zuweisungen, Skriptinhalte und Notizen. Die Frage „Wo ist eigentlich XTS-AES 256 gesetzt?“ ist damit in Sekunden beantwortet.
Zu jedem Objekt lassen sich Notizen hinterlegen – Zweck, Ansprechpartner, Ticketnummer. Sie werden je Mandant lokal gespeichert und landen später in der Dokumentation.
Zuweisungen von der Gruppe aus gedacht
Im Intune Admin Center schaut man meist von der Richtlinie auf die Gruppe. Der Intune Inspector dreht das um: Für jede Gruppe sowie für Alle Geräte und Alle Benutzer steht, welche Konfigurationen, Apps, Updates und Skripte sie bekommt – mit Ausschlüssen und Filtern.
Konflikte und Dubletten
Das ist für mich eine der wertvollsten Ansichten. Der Intune Inspector findet Einstellungen, die in mehreren zugewiesenen Richtlinien mit unterschiedlichen Werten gesetzt sind. Überschneiden sich die Zielgruppen, etwa über dieselbe Gruppe oder „Alle Geräte“, wird der Konflikt als Hoch markiert. Ohne direkte Überschneidung steht er auf Prüfen, denn dynamische oder verschachtelte Gruppen können trotzdem überlappen. Zusätzlich gibt es eine Liste von Einstellungen, die mehrfach mit gleichem Wert gesetzt sind – kein Fehler, aber Redundanz.
Snapshots und Vergleich
Jeder Scan wird automatisch lokal als Snapshot gespeichert. Zwei Stände nebeneinander zeigen neue, geänderte und entfernte Objekte sowie geänderte Zuweisungen – bis hinunter auf einzelne Werte wie „XTS-AES 128-bit → XTS-AES 256-bit“. Ideal für die Frage „Was hat sich seit dem letzten Termin verändert?“ oder als Nachweis nach einem Projekt.
Die Dokumentation per Klick
Am Ende steht das, worum es eigentlich geht: eine Dokumentation, die man dem Kunden in die Hand geben kann. Format, Inhalte und Bereiche wählen, Kunde, Partner und Autor eintragen, fertig. Verfügbar sind:
- Word mit Titelseite, Inhaltsverzeichnis, Kopf- und Fußzeile und Seitenzahlen
- PDF über den Druckdialog, optimiert für A4
- HTML-Bericht als eigenständige Datei und Markdown für Wiki, Git, IT Glue oder Hudu
- CSV für Excel: Einstellungen, Zuweisungen und Geräte inklusive Autopilot
- JSON-Backup des kompletten Snapshots, das sich später als Vergleichsbasis laden lässt
Die Sprache der Doku ist unabhängig von der Oberfläche wählbar: Man arbeitet auf Deutsch und liefert dem Kunden eine englische Dokumentation – oder umgekehrt.
Datenschutz eingebaut
Die Geräteliste mit Gerätenamen, Benutzern und Seriennummern ist im Export standardmäßig abgewählt. Ohne sie enthält die Doku nur zusammengefasste Zahlen. Wer sie für eine Inventarübergabe braucht, aktiviert sie bewusst unter Inhalt.
Sicherheit und Datenschutz
Ein Werkzeug, das die komplette Konfiguration eines Kunden einliest, muss selbst sauber gebaut sein. Deshalb gilt:
- Der Server bindet nur an
127.0.0.1und beantwortet Anfragen nur mit Hostlocalhost– das schützt vor DNS-Rebinding. - Alle aus Graph gelesenen Texte werden vor der Anzeige HTML-kodiert, damit manipulierte Richtliniennamen keinen Schaden anrichten.
- Tokens liegen nur im Session Storage des Browsers und verfallen mit der Sitzung.
- „Entfernen“ verschiebt Snapshots nur in einen Unterordner – nichts wird endgültig gelöscht.
Achtung
Snapshots enthalten die vollständige Konfiguration und das Geräteinventar des Kunden. Den Datenordner deshalb nur auf verschlüsselten Datenträgern ablegen, nach Projektende aufräumen und Snapshots nie in Tickets, Chats oder öffentliche Repositories laden. Beim Einsatz für Kunden sollte die Verarbeitung durch den bestehenden AV-Vertrag abgedeckt sein.
Grenzen, die man kennen sollte
- Der Intune Inspector nutzt – wie das Intune-Portal selbst – die beta-Schnittstelle von Microsoft Graph. Ändert Microsoft dort Felder, erscheint ein Bereich im Scan-Protokoll ggf. als nicht lesbar, der Rest läuft weiter.
- Die Konflikterkennung vergleicht Einstellungen gleicher Herkunft, etwa Settings Catalog untereinander. Ein Abgleich zwischen alten Vorlagen und dem Settings Catalog findet nicht statt.
- Die Programmdatei ist nicht signiert. Windows SmartScreen fragt deshalb beim ersten Start nach („Weitere Informationen → Trotzdem ausführen“).
Download und Feedback
Der Intune Inspector ist Open Source unter MIT-Lizenz. Die aktuelle Version 1.2.1 gibt es für Windows (x64), macOS (Apple Silicon und Intel) und Linux auf GitHub. Oberfläche und Dokumentation sind auf Deutsch und Englisch verfügbar.
Ich freue mich über Feedback, Fehlerberichte und Ideen – am liebsten als Issue auf GitHub oder direkt in den Kommentaren. Welche Auswertung fehlt euch noch bei der Intune-Dokumentation?
