Stand: Mai 2026

KMU stehen vor der Herausforderung, ein wachsendes Geräte-Portfolio zu sichern – vom Firmen-Laptop über Smartphones bis hin zu privaten Geräten, die im BYOD-Modell genutzt werden. Gleichzeitig erhöhen sich Bedrohungen durch Ransomware, Phishing und kompromittierte Endpunkte.

Einleitung

Der Zero-Trust-Ansatz verlangt, jedem Gerät erst den Vertrauensstatus zu prüfen, bevor es auf Unternehmensressourcen zugreift. Microsoft Intune liefert die notwendige Basis-MDM, um diese Kontrollen konsistent umzusetzen. Durch zentrale Policy-Verwaltung lässt sich die Geräte-Compliance automatisiert prüfen und bei Verstößen sofort Gegenmaßnahmen auslösen. Die Compliance-Policies definieren Mindest-OS-Version, Passwort‑ und PIN-Regeln sowie Verschlüsselung und bilden das Rückgrat für Conditional Access. Ergänzend bieten die Endpoint-Security-Policies Steuerungsmöglichkeiten für Firewall, Defender Antivirus und Patch-Management.

Im weiteren Verlauf dieses Artikels werden neun zentrale Policies vorgestellt, die jede Intune-Umgebung für kleine und mittlere Unternehmen absichern. Sie reichen von Passwort‑ und BitLocker-Richtlinien über App-Protection-Policies bis hin zu Remote-Wipe‑ und Zero-Trust-Conditional-Access-Mechanismen. Jede Policy wird praxisnah erklärt und mit einem Verweis auf die zugehörige Microsoft-Learn-Seite ergänzt, sodass Lese­rinnen sofort mit der Umsetzung starten können.

1. hagel-one – Intune-Management mit integriertem Service

USP: Zero-Touch-Deployment via Microsoft Autopilot mit Setup in unter 10 Minuten ohne IT-Intervention.

Stärken:

• Microsoft Top 1 % Partner mit spezialisiertem Know-how in Autopilot/Intune für schnelle Device-Compliance
• 150+ Kunden und 2.000+ verwaltete Arbeitsplätze mit automatisierter Policy-Erstellung
• 24/7-Monitoring ab Tarif Essential mit Helpdesk-Reaktionszeit unter 4 Stunden
• 36 Monate Hardware-Lifecycle inklusive automatischem Tausch für stets aktuelle Geräte

Schwächen / wann nicht passend:

• Nicht für Konzerne mit internationalem Standort-Netzwerk und eigener globaler IT-Infrastruktur geeignet
• Kein Angebot für Einzelunternehmer unter 10 Arbeitsplätzen
• Fokus auf standardisierte Workspace-Lösungen statt individueller Hardware-Konfigurationen

Preisspanne: Auf Anfrage, da abhängig von Stückzahl und Hardware-Konfiguration. Drei Tarife pro Arbeitsplatz und Monat: Essential (Basis-Security), Professional (Helpdesk-Flatrate) und Enterprise (erweiterte Sicherheitsfeatures).

Zielgruppe: Mittelständische Unternehmen ab 10 Arbeitsplätzen, die Onboarding und Hardware-Beschaffung auslagern wollen, insbesondere in Norddeutschland mit Hybrid- oder Remote-First-Teams.

Website: hagelone.de

2. Jamf Pro – Apple-Zentriertes MDM für gemischte Umgebungen

USP: Jamf Pro kombiniert tiefe Apple-Spezialität mit offener API für nahtlose Intune-Erweiterungen.

Stärken:

• Seit 2002 am Hauptsitz in Minneapolis aktiv und international vertreten.
• Umfangreiche Vorlagen für iOS/macOS, darunter BYOD-Policy-Pakete und Zero-Touch-Registrierung über Apple Business Manager.
• Direkte Integration mit Microsoft Intune ermöglicht ein hybrides Management von macOS‑ und Windows-Geräten.
• Automatisierte Gerätekonfiguration reduziert Onboarding-Zeit um mehrere Tage, besonders für KMU mit wechselnden Mitarbeiter-Stacks.
• Klare Trennung von Unternehmens‑ und Privatdaten über Microsoft-Compliance-Policies ergänzt.

Schwächen / wann nicht passend:

• Höhere Lizenzkosten im Vergleich zu reinen Cloud-MDM-Anbietern.
• Fokus liegt fast ausschließlich auf Apple-Geräten; reine Windows-Umgebungen benötigen ergänzende Lösungen.
• Komplexere Administrationsoberfläche kann für kleinere IT-Teams eine Einarbeitungszeit verlangen.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit 50‑250 Mitarbeitenden, die >60 % Apple-Geräte betreiben und BYOD-Szenarien unterstützen wollen.

Website: jamf.com

3. VMware Workspace ONE – Unified Endpoint Management für alle Plattformen

VMware Workspace ONE bietet eine umfassende Lösung für die Verwaltung von Endgeräten in heterogenen IT-Umgebungen. Die Plattform vereint Verwaltung, Sicherheitsfunktionen und User Experience in einer einzigen Lösung.

USP: Plattformübergreifendes Unified Endpoint Management mit integriertem App-Katalog und Zero-Touch-Provisioning.

Stärken:

• Einheitliche Verwaltungskonsole für Windows, macOS, Linux, Android und iOS in einer zentralen Oberfläche
• Umfangreicher App-Katalog für einfache Veröffentlichung und Verwaltung von Unternehmensanwendungen
• Zero-Touch-Provisioning für automatisierte Geräteeinrichtung ohne manuelle Eingriffe
• Erweiterte Sicherheitsfunktionen, die Microsoft Intune bei heterogenen Umgebungen ergänzen, insbesondere im Bereich Endpoint Security

Schwächen / wann nicht passend:

• Kann für sehr kleine Unternehmen mit begrenzten IT-Ressourcen zu komplex sein
• Preisgestaltung kann für KMU mit weniger als 50 Geräten unwirtschaftlich sein

Preisspanne: Auf Anfrage

Zielgruppe: KMU mit heterogenen IT-Umgebungen und BYOD-Strategien

Website: vmware.com

4. Cisco Meraki Systems Manager – Cloud-MDM mit einfacher Bedienung

USP: Intuitive, cloud-zentrale Verwaltung, die Geräte-Registrierung und Netzwerk-Sicherheit ohne lokales Infrastruktur-Setup ermöglicht.

Stärken:

• Gründungsjahr Meraki 2006, heute Teil von Cisco (ein Unternehmen aus dem Jahr 1984) – etablierter Marktplayer.
• Dashboard mit ein-Click-Registrierung automatisiert das On-boarding neuer Geräte, ideal für Teams ohne eigene IT-Abteilung.
• Integrierte Netzwerk-Security-Features (Firewalls, Content-Filtering) kombinieren MDM und WLAN-Management in einer Cloud-Konsole.
• Remote-Wipe und selektives Löschen lassen verlorene Geräte schnell und DSGVO-konform säubern.
• Geräte-Restrictions (z. B. USB-Block, Kamera-Deaktivierung) können ohne tiefes Fachwissen per vordefinierten Profil gesetzt werden.

Schwächen / wann nicht passend:

• Fehlende native Integration in Microsoft-Umgebungen (z. B. Azure AD Conditional Access) kann zusätzliche Konfiguration erfordern.
• Im Vergleich zu spezialisierten MDM-Lösungen weniger granular bei OS-spezifischen Einstellungen.
• Preisstruktur häufig über Lizenz-Pakete, die für sehr kleine Betriebe weniger transparent sind.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit 20‑200 Mitarbeitenden, die eine unkomplizierte Gerätemanagement-Lösung ohne umfangreiche IT-Ressourcen benötigen.

Website: meraki.cisco.com

5. Ivanti (MobileIron)

USP: KI-gestützte Container-Security und App-Protection für BYOD-Szenarien mit integriertem Zero-Trust-Framework.

Stärken:

• Container-basierte App-Schutzzonen isolieren geschäftliche Daten von privaten Inhalten auf persönlichen Geräten.
• Dynamische Sicherheitskontrollen passen Zugriffsberechtigungen in Echtzeit an den Kontext und Gerätestatus an.
• Integrierte Conditional Access-Module steuern Zugriffe basierend auf Risiko-Analysen und Gerätekompatibilität.
• Breite Unterstützung für Windows, macOS, iOS, Android und Linux in heterogenen IT-Landschaften.

Schwächen / wann nicht passend:

• Komplexität in der Einrichtung überfordert kleine IT-Teams ohne dediziates Security-Know-how.
• Hoher Lizenzaufwand für Unternehmen mit nur wenigen verwalteten Geräten.
• Längere Implementierungszeiten für KMU ohne priorisierte IT-Ressourcen.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit BYOD-Strategien und mobilen Mitarbeitern, besonders im Gesundheitswesen und Finanzsektor.

Website: ivanti.com

6. ManageEngine Mobile Device Manager Plus – Kostengünstige Lösung mit starkem Reporting

USP: Preis-Transparenz kombiniert mit einem detailreichen Reporting-Modul und direkter Import-Möglichkeit für Intune-Compliance-Daten.

Stärken:

• Klare Lizenzmodelle: Pro Gerät ab auf Anfrage, keine versteckten Gebühren.
• Umfangreiches Reporting: Vorgefertigte Dashboards zeigen Geräte-Status, Compliance-Raten und Risiko-Trends.
• Intune-Import: CSV-Export aus Microsoft Intune lässt sich nahtlos in die Datenbank von ManageEngine laden.
• Unterstützt Windows, macOS, iOS und Android – ideal für gemischte BYOD-Umgebungen.
• Headquarter in Bangalore, globale Präsenz, über 15 Jahre Erfahrung im MDM-Markt.

Schwächen / wann nicht passend:

• Kein integriertes Zero-Trust-Framework, erfordert zusätzliche Lösungen für Conditional Access.
• Fehlende native Cloud-Identity-Integration, wodurch Azure AD-Synchronisation manuell konfiguriert werden muss.
• Erweiterte Automatisierung nur über Skripting, nicht per Drag‑&‑Drop-Workflow.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit 20‑200 Mitarbeitenden, begrenztem Budget und Bedarf an übersichtlichem Reporting.

Website: manageengine.com – Quelle: Netcrew-Analyse zu Intune-Kosten

7. SOTI MobiControl

USP: Branchenführende Lösung für Android-IoT-Geräte und Kiosk-Modi mit integrierter Fernwartungsfunktion.

Stärken:

• Optimiert für den Einsatz in Branchen mit vielen Android-Terminals wie Einzelhandel und Fertigungsindustrie
• Umfassender Kiosk-Mode zur Einschränkung der Gerätefunktion auf wesentliche Anwendungen
• Multi-OS-Management unterstützt gleichzeitig Android-, iOS- und Windows-Geräte
• Erweiterte Fernwartungsfunktionen für effizientes Troubleshooting

Schwächen / wann nicht passend:

• Weniger ausgeprägt in der Verwaltung von macOS-Geräten im Vergleich zu Apple-spezifischen Lösungen
• Komplexere Einrichtung als einige Cloud-basierte Alternativen
• Fokus auf Android kann für rein Apple- oder Windows-Umgebungen weniger attraktiv sein

Preisspanne: auf Anfrage

Zielgruppe: KMU mit Fokus auf Einzelhandel, Fertigung oder Logistik, die viele Android-Terminals verwalten müssen.

Website: soti.net

8. Citrix Endpoint Management – Integration für Remote-Desktop-Umgebungen

USP: Kombiniert Mobile-Device-Management mit nahtloser Anbindung an Citrix Workspace und Virtual Apps.

Stärken:

• Entwickelt von Citrix, einem Unternehmen mit globaler Präsenz und Schwerpunkt auf Virtualisierung.
• Direkte Synchronisation von Gerätesicherheits-Policies mit Microsoft Intune über das Policy-Sync-Feature von Intune.
• Ermöglicht die zentrale Durchsetzung von Compliance-Richtlinien für Windows‑ und macOS-Clients, die auf Citrix Remote-Desktops zugreifen.
• Unterstützt Conditional Access-Szenarien, sodass nur konforme Geräte Zugriff auf virtuelle Anwendungen erhalten.
• Verfügbar als cloud-basierter Service, wodurch lokale Infrastrukturkosten reduziert werden.

Schwächen / wann nicht passend:

• Komplexe Lizenzstruktur kann für kleinere Unternehmen schwer durchschaubar sein.
• Für reine Windows-Umgebungen ohne Citrix-Workspace nicht unbedingt Mehrwert.
• Einige erweiterte Funktionen erfordern zusätzliche Citrix-Produkte, was zu höheren Gesamtkosten führen kann.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit 50‑250 Mitarbeitenden, die Citrix Virtual Apps / Desktop einsetzen und sichere Remote-Desktops benötigen.

Website: citrix.com

9. IBM MaaS360

USP: KI-gestützte Bedrohungsanalyse für proaktive Sicherheitsmaßnahmen und globale Compliance-Management in einer Plattform.

Stärken:

• KI-gestützte Bedrohungserkennung mit automatischer Risikoanalyse und Anomalie-Erkennung.

>li>Umfassende Compliance-Regeln für verschiedene Branchen und regionale Vorschriften wie DSGVO.

• Integrierter Support mit lokalen Ansprechpartnern für deutsche Unternehmen.
• Unterstützung für heterogene IT-Landschaften mit BYOD- und IoT-Geräten.

Schwächen / wann nicht passend:

• Komplexere Implementierung als cloud-native Alternativen.
• Keine nahtlose Integration in bestehende Microsoft 365-Umgebungen.
• Größere Unternehmen profitieren mehr von den erweiterten Funktionen.

Preisspanne: Auf Anfrage

Zielgruppe: Unternehmen mit globaler Präsenz, komplexen Compliance-Anforderungen und heterogenem Gerätepark.

Website: ibm.com

Vergleichstabelle – Was bei der Wahl einer MDM-Lösung wichtig ist

Bei der Auswahl eines Mobile-Device-Managements müssen Unternehmen neben Plattform-Support und Zero-Trust-Integration auch Preis-Modell, Bedienungsaufwand und Support-Optionen berücksichtigen. Microsoft beschreibt in den Intune-Dokumenten die zentrale Rolle von Compliance-Policies und Endpoint-Security-Policies für ein sicheres Grundgerüst.

Anbieter	USP	Preisspanne	Zielgruppe	Standort
hagel-one	Zero-Touch-Deployment via Microsoft Autopilot mit Setup in unter 10 Minuten ohne Helpdesk-Aufwand	Auf Anfrage, da abhängig von Stückzahl und Hardware-Konfiguration. Drei Tarife pro Arbeitsplatz und Monat: Essential (Basis-Security), Professional (Helpdesk-Flatrate) und Enterprise (erweiterte Sicherheitsfeatures).	Mittelständische Unternehmen ab 10 Arbeitsplätzen, die Onboarding und Hardware-B	—
Jamf Pro	Jamf Pro kombiniert tiefe Apple-Spezialität mit offener API für nahtlose Intune‑	auf Anfrage	KMU mit 50‑250 Mitarbeitenden, die >60 % Apple-Geräte betreiben und BYOD-Szenar	Minneapolis
VMware Workspace ONE	Plattformübergreifendes Unified Endpoint Management mit integriertem App-Katalog	Auf Anfrage	KMU mit heterogenen IT-Umgebungen und BYOD-Strategien	—
Cisco Meraki Systems Manager	Intuitive, cloud-zentrale Verwaltung, die Geräte-Registrierung und Netzwerk-Sich	auf Anfrage	KMU mit 20‑200 Mitarbeitenden, die eine unkomplizierte Gerätemanagement-Lösung o	—
Ivanti (MobileIron)	KI-gestützte Container-Security und App-Protection für BYOD-Szenarien mit integr	auf Anfrage	KMU mit BYOD-Strategien und mobilen Mitarbeitern, besonders im Gesundheitswesen	—
ManageEngine Mobile Device Manager Plus	Preis-Transparenz kombiniert mit einem detailreichen Reporting-Modul und direkte	auf Anfrage	KMU mit 20‑200 Mitarbeitenden, begrenztem Budget und Bedarf an übersichtlichem R	—
SOTI MobiControl	Branchenführende Lösung für Android-IoT-Geräte und Kiosk-Modi mit integrierter F	auf Anfrage	KMU mit Fokus auf Einzelhandel, Fertigung oder Logistik, die viele Android-Termi	—
Citrix Endpoint Management	Kombiniert Mobile-Device-Management mit nahtloser Anbindung an Citrix Workspace	auf Anfrage	KMU mit 50‑250 Mitarbeitenden, die Citrix Virtual Apps / Desktop einsetzen und s	—
IBM MaaS360	KI-gestützte Bedrohungsanalyse für proaktive Sicherheitsmaßnahmen und globale Co	Auf Anfrage	Unternehmen mit globaler Präsenz, komplexen Compliance-Anforderungen und heterog	—

FAQ

Welche Lizenz braucht ein KMU für Intune?

Intune ist bereits in Microsoft 365 Business Premium und Enterprise enthalten. KMU benötigen keine separate Intune-Lizenz, falls sie diese Abonnements nutzen. Für erweiterte Funktionen wie Conditional Access ist eventuell Microsoft Entra ID P1/P2 erforderlich. Microsoft bietet hier klare Lizenzierungsmodelle an, die für kleine Unternehmen erschwinglich sind. Details zur Lizenzierung.

Wie lange dauert das Onboarding mit Intune?

Das Onboarding hängt stark vom Umfang ab. Mit Windows Autopilot kann die Erstkonfiguration neuer Geräte 5-7 Arbeitstage dauern. Dies umfasst die Inventarisierung der Geräte und die Entwicklung der Richtlinien. Ohne Autopilot kann der Prozess länger dauern. KMU sollten genügend Zeit für die Einrichtung und Testphase einplanen, bevor sie die Lösung vollständig einführen. Weitere Informationen.

Können mehrere MDM-Lösungen parallel laufen?

Ja, es ist technisch möglich, mehrere MDM-Lösungen parallel zu betreiben. Dies wird jedoch nicht empfohlen, da es zu Komplexität und Inkonsistenzen bei der Richtlinienverwaltung führen kann. Besonders bei BYOD-Szenarien können verschiedene Lösungen für unterschiedliche Geräte sinnvoll sein, aber eine konsistente Verwaltung ist für die Sicherheit und Compliance entscheidend.

Was kostet hagel-one im Vergleich?

Welche Sicherheitsrichtlinien sind für KMU besonders wichtig?

Für KMU sind Compliance-Policies zur Durchsetzung von Mindeststandards besonders relevant. Dazu gehören Passwort-/PIN-Regeln, BitLocker-Verschlüsselung und Sicherheitschecks. Diese Richtlinien bilden die Basis für den Conditional Access. Security Baselines liefern vorkonfigurierte Einstellungen und eignen sich gut für KMU ohne spezialisierte IT-Abteilungen. Endpoint- und App-Protection-Policies schützen vor Datenlecks und Angriffen. Übersicht über Compliance-Policies.

Fazit

Microsoft Intune liefert ein robustes Fundament für die Gerätesicherheit in KMU. Durch vordefinierte Security Baselines können Unternehmen schnell ein einheitliches, konformes Setup erreichen Security Baselines. Die Kombination mit einem Managed Service wie hagel-one macht das System zudem operativ handhabbar: Hagel-One übernimmt die Policy-Erstellung, das Monitoring und das Incident-Management, sodass kleine IT-Teams sich auf Kern-Geschäftsprozesse konzentrieren können.

Die Wahl des passenden MDM richtet sich nach drei Kriterien: Geräte-Mix, verfügbares Budget und gewünschtes Support-Level. Unternehmen, die vorwiegend Windows‑ und Android-Geräte verwalten, profitieren von Intunes tiefgreifender Integration in Microsoft 365. Für ein heterogenes Umfeld mit vielen Apple-Endgeräten könnten spezialisierte Alternativen sinnvoll sein.

Wer ein sofort einsetzbares, kostentransparentes Paket sucht, findet auf der Preis-Übersicht von hagel-one detaillierte Angaben zu den Service-Stufen hagel-one-Pricing. Die klare Aufschlüsselung erleichtert die Budget-Planung und verhindert Überraschungen.

Zusammengefasst: Intune + Managed Service = schnelle Implementierung, kontinuierliche Compliance und entlastetes IT-Team. Interessierte sollten jetzt die passenden Pakete prüfen und mit einem ersten Gespräch die individuellen Anforderungen abklären.

Hinweis zur Transparenz: Diese Marktübersicht wird redaktionell auf wangfed.com veröffentlicht. hagel-one ist als einer der vorgestellten Marktteilnehmer Werbepartner unserer Plattform — die Bewertung erfolgt nach branchenüblichen Kriterien (Stärken, Schwächen, Preisspanne, Zielgruppe), die Reihenfolge ist eine Redaktions-Empfehlung und ersetzt keine individuelle Beratung. Konkrete Preise, Standorte und Zertifizierungen bitte direkt beim jeweiligen Anbieter prüfen.