Intune filtert nach OS-Version: Richtlinien kontrolliert testen

Eine Richtlinie oder Anwendung in Microsoft Intune soll häufig nur Geräte erreichen, auf denen bereits eine bestimmte Betriebssystemversion läuft. Für jeden Grenzwert eine weitere Gruppe anzulegen, macht die Zielsteuerung schnell unübersichtlich. Microsoft hat in Intune Service Release 2608 in der Woche ab dem 25. August 2026 die Assignment-Filter-Eigenschaft operatingSystemVersion als allgemein verfügbar gekennzeichnet.

Die Änderung passt bestehende Zuweisungen nicht automatisch an. Administratoren können innerhalb einer bereits gewählten Gruppe Geräte anhand einer OS-Version oder eines Versionsbereichs ein- oder ausschließen. Der praktische Nutzen liegt in einem präziseren Pilot-Rollout, nicht in einer unkontrollierten Beschleunigung.

Was sich im August 2026 geändert hat

Die aktuelle Intune-Dokumentation nennt operatingSystemVersion als allgemein verfügbar für verwaltete Geräte und verwaltete Apps. Bei verwalteten Geräten ist die Eigenschaft für Android, iOS/iPadOS, macOS und Windows nutzbar. Unterstützt werden -eq, -ne, -gt, -ge, -lt und -le; ein Filter muss daher nicht nur nach einem exakten Wert suchen.

Microsoft erklärt zugleich, dass bestehende Zuweisungen unverändert weiterarbeiten. Die Verfügbarkeit allein ist somit kein Grund, stabile Richtlinien neu zu schreiben. Zuerst sollte klar sein, welcher Rollout unter ungenauer Zielsteuerung leidet und wo die OS-Version tatsächlich über Kompatibilität entscheidet.

Ein Filter ersetzt keine Gruppe

Eine Gruppe bestimmt die Grundmenge, etwa alle Firmennotebooks oder die Benutzer einer Abteilung. Ein Assignment Filter wird bei der Zuweisung anhand des Geräts oder der App ausgewertet und grenzt diese Menge ein. Im Modus Include erhalten nur passende Objekte die Richtlinie; im Modus Exclude werden passende Objekte aus der Zuweisung entfernt.

Microsoft empfiehlt Filter für Intune-Richtlinien und -Apps, wenn Geräteeigenschaften entscheidend sind. Dynamische Gruppen bleiben sinnvoll, wenn dieselbe Mitgliedschaft auch außerhalb von Intune benötigt wird, etwa für Conditional Access, Lizenzierung oder die Zuweisung eines Windows-Autopilot-Profils. Beide Methoden können sich ergänzen.

Praktisches Beispiel für einen kontrollierten Pilot

Eine Richtlinie ist einer breiten Gruppe von Firmen-Windows-Geräten zugewiesen, soll zunächst aber nur neuere Builds erreichen. Microsoft nennt in der Referenz dieses Beispiel:

(device.operatingSystemVersion -gt 10.0.22000.1000)

Der Wert ist ein Dokumentationsbeispiel und keine allgemeine Empfehlung. Er muss durch eine Version ersetzt werden, die zum unterstützten OS, zur getesteten Anwendung und zum tatsächlichen Inventar passt. Ein sicherer Ablauf:

1. OS-Versionen erfassen und die Aktualität der Intune-Daten prüfen;
2. einen eindeutig benannten Filter mit Zweck und Eigentümer erstellen;
3. mit Preview devices erwartete und unerwartete Treffer kontrollieren;
4. die Richtlinie einer kleinen Pilotgruppe zusammen mit Include zuweisen;
5. nach dem Check-in Richtlinienstatus, Fehler und Geräte außerhalb des Filters prüfen;
6. die Grundgruppe erst nach Auswertung des Piloten erweitern und einen Rückweg vorbereiten.

Der Unterschied zwischen zwei Versionseigenschaften

Die Referenz führt operatingSystemVersion und osVersion getrennt auf. Die erste Eigenschaft arbeitet mit Versionsvergleichen; die zweite ist eine Texteigenschaft mit Operatoren wie exakte Übereinstimmung, startsWith oder contains. Microsoft kennzeichnet osVersion inzwischen als veraltet: Neue Assignment Filters können sie nicht mehr verwenden, bestehende Filter mit dieser Eigenschaft funktionieren weiter. Ein vertauschter Name oder Operator kann die resultierende Gerätemenge verändern. Regeln sollten aus dem finalen Editor und nicht aus einer ungeprüften Notiz übernommen werden.

Ein Filter wird beim Enrollment, beim Check-in oder bei einer anderen Richtlinienauswertung geprüft. Eine Änderung in der Konsole erreicht ein lange offline gewesenes Gerät deshalb nicht zwingend sofort. Bei einem dringenden Rollout müssen letzter Kontakt und Deployment-Ergebnis beobachtet werden.

Wichtige Grenzen

• Ein verwaltetes Gerät muss in Intune registriert sein; der Filter ersetzt kein Enrollment.
• Ein Tenant kann höchstens 200 Assignment Filters haben, eine Regel ist auf 3.072 Zeichen begrenzt.
• Ein Filter kann in mehreren Zuweisungen wiederverwendet werden; eine Änderung kann daher mehrere Richtlinien betreffen.
• Include und Exclude beschreiben nicht dasselbe Ergebnis; die Richtung ist vor dem Speichern zu prüfen.
• Preview devices kontrolliert die Auswahl, beweist aber nicht den Erfolg einer App oder Richtlinie auf jedem Gerät.
• Unterstützte Workloads und Eigenschaften unterscheiden sich zwischen verwalteten Geräten und verwalteten Apps.

Checkliste vor dem produktiven Rollout

• dokumentieren, warum die OS-Version Kompatibilität oder Risiko beeinflusst;
• das Inventar mit den vom Anwendungsanbieter unterstützten Versionen vergleichen;
• Pilot- und Produktionswelle trennen und eine Abbruchbedingung festlegen;
• Associated Assignments prüfen, um alle Nutzer des Filters zu kennen;
• Check-in, Installationsfehler und Geräte außerhalb der erwarteten Version überwachen;
• nach dem Rollout entscheiden, ob der Filter Betriebsregel bleibt oder nur temporär war.

Wann fachliche Unterstützung sinnvoll ist

Ein Filter behebt kein inkonsistentes Inventar, unklare Gruppen oder einen fehlenden Testprozess. Bei der Betreuung von Microsoft-Cloud-Diensten kann Yenwa Gruppen, Intune-Richtlinien, Geräteversionen und Abhängigkeiten erfassen. Im Rahmen des IT-Outsourcings können wir Pilot, Kontrollpunkte und Rückweg vorbereiten, damit präzises Targeting nicht zu einer weiteren Regel ohne Eigentümer wird.

Prüfen Sie zuerst, ob der Filter die richtigen Geräte auswählt. Messen Sie erst danach, ob das Deployment auf ihnen wirklich erfolgreich war.