HU-MultiTenant

Microsoft 365 und Intune für mehrere Tenants aus einer Oberfläche: PowerShell im Tenant-Kontext mit eigener Snippet-Bibliothek, fertige Reports als Extensions, App-Verteilung mit Update-Erkennung, Wartungsskripte, Tenant-Vergleich, Konfigurations-Backup und das Ablaufdatum der Client Secrets im Blick.

Neu hier? Einstieg zeigt typische Situationen aus dem Alltag, Funktionen alles auf einer Seite.

1Einrichten

Tenant einrichten (empfohlen)

1. ⚙ Einstellungen › Reiter Tenants › ➕ Tenant einrichten (Admin-Anmeldung) … – beim allerersten Start wird das gleich angeboten.
2. Schlüssel (kurz, eindeutig, z. B. Schule-1 – so heißt der Tenant in Skripten als $TenantKey) und auf Wunsch einen Anzeigenamen eingeben (leer = Name der Organisation).
3. Rechte prüfen: vorausgewählt sind die Standard-Rechte für alle Reiter. Weitere per Haken oder unter Weiteres Recht (z. B. Mail.Send für eigene Skripte). Rot = weitreichendes Recht – wird nicht gesperrt, aber eigens bestätigt. Rot sind auch zwei Standard-Rechte: Geräteaktionen (PrivilegedOperations.All – erlaubt auch Löschen und Zurücksetzen von Geräten) und Wartungsskripte (DeviceManagementScripts.ReadWrite.All – Skripte als SYSTEM auf allen Geräten). Wer Wartung und „Jetzt auf Gerät ausführen“ nicht braucht, hakt sie ab.
4. Im Browser anmelden und einrichten – mit dem Admin-Konto anmelden und bei der Microsoft-App Microsoft Graph Command Line Tools auf Akzeptieren klicken.
5. HU-MultiTenant legt im Tenant die App-Registrierung HU-MultiTenant an, erzeugt auf diesem PC ein Zertifikat, erteilt die Rechte (Administratorzustimmung), testet die Anmeldung (bis zu 2 Minuten, Entra muss das erst verteilen) und trägt den Tenant ein. Bei einem Fehler wird Angelegtes wieder entfernt.
6. Nächster Tenant: neuer Schlüssel, nochmals anmelden. Danach Speichern.

Zertifikat statt Secret: Der private Schlüssel liegt nicht exportierbar im Zertifikatspeicher deines Windows-Benutzers (certmgr.msc › Eigene Zertifikate, Name HU-MultiTenant …). Er kann nicht kopiert und nicht abgetippt werden. Gültigkeit 12 Monate; 30 Tage vor Ablauf erneuert HU-MultiTenant es beim Start automatisch (ohne Admin), von Hand mit Zertifikat erneuern. Ein zweiter PC braucht ein eigenes Zertifikat: dort den Tenant ebenfalls einrichten.

Umsteigen von Secret auf Zertifikat: den bestehenden Tenant einfach einrichten – HU-MultiTenant erkennt ihn an der Tenant-ID und behält Schlüssel und Einstellungen. Danach die alte App-Registrierung (mit Secret) im Entra Admin Center löschen. Das alte Secret auf diesem PC löscht HU-MultiTenant selbst.

Tenant manuell anlegen (App-ID und Secret)

Für eine selbst angelegte App-Registrierung mit Client Secret – Schritt für Schritt in INSTALL.md im Programmordner.

1. ⚙ Einstellungen › Reiter Tenants › + Manuell
2. Anzeigename, Schlüssel (kurz, eindeutig, z. B. Tenant-1 – so heißt der Tenant in Skripten als $TenantKey), Tenant-ID, Anwendungs-ID, Domäne.
3. 🔐 Secret eingeben … – Wert einfügen. Gespeichert DPAPI-verschlüsselt in %APPDATA%\HU-MultiTenant\, nur für deinen Windows-Benutzer auf diesem PC lesbar.
4. Verbindung + Secret prüfen – zeigt Anmeldung, Anzahl Berechtigungen und das Ablaufdatum.
5. Speichern

⚙ Einstellungen › Allgemein › Autor (Apps und Wartung): steht in Intune bei hochgeladenen Apps als Besitzer und bei Wartungsskripten als Herausgeber (leer: Wartung mit „HU-MultiTenant“). Gilt ab dem nächsten Hochladen.

Ebenfalls unter Allgemein: Quelle für App-Updates (winget-Quelle, Standard winget), Backup-Ordner (leer = lokal unter %LOCALAPPDATA%) und Backup – automatisch beim Start einmal täglich für alle Tenants (Standard an) und wie viele Stände je Tenant bleiben (Standard 30).

Setup-Ordner (Apps): Beim Hinzufügen kopiert HU-MultiTenant die Setup-Datei (bei „Ganzen Ordner mitpacken“ den Ordner) nach <Setup-Ordner>\<App>\<Version>; je App bleiben die letzten zwei Versionen. Danach kann der Download weg. Vorschlag: OneDrive\HU-MultiTenant-Setups (gesichert, auf jedem PC da), ohne OneDrive lokal unter %LOCALAPPDATA%. Vorhandene übernehmen kopiert die Setups bestehender Bibliotheks-Apps, die noch woanders liegen.

Sperre

Warum? Mit HU-MultiTenant hat man Zugriff auf mehrere Tenants gleichzeitig – entsprechend groß ist die Verantwortung. Sperre und Not-Aus sind eine zusätzliche Sicherheitsebene: Sie sollen verhindern, dass jemand am unbeaufsichtigten PC in wenigen Sekunden etwas in allen Tenants verändert, und erlauben bei Verdacht auf Schadsoftware, die gespeicherten Zugänge sofort zu entfernen.

⚙ Einstellungen › Allgemein › Sperre: zuerst PIN festlegen …, dann sperren nach … Minuten ohne Eingabe in HU-MultiTenant und auf Wunsch auch beim Start. Entsperrt wird mit Windows Hello (Gesicht, Fingerabdruck, Windows-PIN) oder der PIN; Strg+L sperrt sofort. Laufende Aufträge laufen im Hintergrund weiter; die Handy-Fernbedienung kann – wenn so eingestellt (Standard) – auch bei gesperrter App starten. Das ist ein Schutz gegen schnelles Mitbenutzen am offenen PC – der eigentliche Schutz bleibt die Windows-Sperre. PIN vergessen und kein Hello: in Config\settings.json "lockEnabled": false setzen.

Not-Aus (⛔ oben rechts): bei Verdacht auf Schadsoftware nach Rückfrage alle auf diesem PC gespeicherten Secrets und Zertifikate von HU-MultiTenant löschen, die Handy-Fernbedienung beenden, gekoppelte Handys entfernen und HU-MultiTenant beenden. Danach öffnen sich die App-Registrierungen der Tenants – dort die Secrets widerrufen, denn bereits kopierte Secrets bleiben sonst gültig (Zertifikate sind nicht kopierbar). Anschließend die Tenants neu einrichten. Nur einen Tenant sperren: Einstellungen › Tenants › Zertifikat auf diesem PC löschen.

Verknüpfung

⚙ Einstellungen › Allgemein › Desktop-Verknüpfung oder Startmenü-Eintrag. Dabei entsteht HU-MultiTenant.exe im Programmordner: eigenes Logo, kein Konsolenfenster, an die Taskleiste anheftbar. Ohne Administratorrechte.

2Oberfläche

3Quick Script

Eigene PowerShell-Skripte direkt gegen einen Tenant – in einem eigenen Runspace, die Oberfläche bleibt bedienbar.

1. Tenant oben im Reiter wählen (eigene Auswahl, unabhängig von den Extensions).
2. Snippet wählen oder Skript in den Editor schreiben.
3. Strg+Enter – verbindet bei Bedarf automatisch und führt aus. Ausgabe erscheint Zeile für Zeile, Esc bricht ab. Alle Tasten: Tastenkürzel.

Eigene Snippets schreiben

Im Skript stehen $Token, $TenantKey und die Graph-Funktionen schon bereit. Alles zum Schreiben – Funktionen, Regeln, Parameter, Vorlagen – steht in SNIPPET-DEVELOPMENT.md im Programmordner (online: GitHub).

Lässt du das Snippet von einem KI-Assistenten schreiben, gib ihm den Skill skills/hu-snippet mit (Anleitung): Vorlagen und ein Prüfprogramm sorgen dafür, dass der Code beim ersten Lauf funktioniert.

Mehrere Tenants

Mehrere ▾ öffnet eine Liste mit Haken. Ab zwei Haken läuft das Skript nacheinander je Tenant – $Token und $TenantKey gelten jeweils für den laufenden Tenant. Ausgegebene Objekte bekommen die Spalte Tenant, ein Fehler bricht nur diesen Tenant ab. Keine schaltet zurück auf die Einzelauswahl.

Parameter

Enthält ein Snippet Zeilen wie # @param Tage|int|Ohne Sync seit Tagen|30, erscheinen über dem Editor Eingabefelder. Die Werte bleiben je Snippet gemerkt, solange das Programm läuft.

Tabelle und Export

Gibt das Skript Objekte aus ([pscustomobject], Select-Object), wird 📊 Tabelle aktiv: Filter über alle Spalten, CSV … (Semikolon, UTF-8), Excel … (benötigt das Modul ImportExcel) und Kopieren für Excel.

Verlauf

🕒 Verlauf zeigt alle Läufe mit Zeit, Snippet, Tenants, Dauer und Ergebnis. Doppelklick öffnet das komplette Protokoll (Logs\QuickScript\, aufbewahrt wie das Tagesprotokoll, Standard 30 Tage).

Write-Host -ForegroundColor erscheint farbig, Write-Warning orange, Fehler rot mit Zeilennummer. Ausgabe kopieren legt die ganze Ausgabe in die Zwischenablage. Rechtsklick in die Ausgabe (auch im Protokoll der Extensions): Kopieren, Alles kopieren, Ausgabe leeren.

4Snippets

Die Auswahl oben im Reiter lädt ein Snippet sofort. Darunter stehen Name und Kurzbeschreibung; ein oranger Punkt ● bedeutet ungespeicherte Änderungen – beim Wechseln und Beenden fragt das Tool nach.

Verwalten

• Favoriten: auf den Stern ☆ in der Zeile klicken (oder ★ Favorit für alle markierten). Favoriten stehen in der Auswahl im Quick Script ganz oben; nur Favoriten filtert die Liste. Im Quick Script schaltet der Stern vor dem Namen das geladene Snippet um.
• Suche in Name, Beschreibung und Code
• Eintrag markieren → Name / Kurzbeschreibung ändern → Änderung übernehmen; rechts die Code-Vorschau
• ▲ ▼ Reihenfolge, A-Z, Neueste zuerst, Duplizieren, 🗑 Löschen (mehrere mit Strg/Umschalt)
• Exportieren … markierte (oder alle) als JSON, Importieren … fügt hinzu – gleiche Namen: ersetzen oder als Kopie
• Kategorien: Feld Kategorie (oder vorhandene wählen) → übernehmen, gilt für alle markierten. Die Liste ist nach Kategorien gruppiert und filterbar.
• Beispiele lädt 12 fertige Snippets (Kategorie Beispiele) – vorhandene gleichen Namens bleiben unangetastet.
• Verlauf zeigt die Läufe des markierten Snippets; darunter steht Zuletzt ausgeführt.
• Doppelklick oder ▶ Im Editor öffnen lädt das Snippet

5Extensions

1. Tenant in der Tenant-Leiste wählen.
2. Extension links wählen – rechts stehen Beschreibung, benötigte Berechtigungen und Parameter.
3. Optional DRY-RUN (nur Vorschau, bei Extensions, die das unterstützen).
4. ▶ STARTEN – läuft im Hintergrund, Fortschritt im Protokoll. Reports landen in Reports\HU-Reports_JJJJ-MM-TT\ (Knopf Reports).

Kennzeichen in der Liste: DRY-RUN = Vorschau möglich, BATCH = für mehrere Tenants geeignet, SCHREIBT = verändert den Tenant (vor dem Start zusätzliche Rückfrage).

Berechtigungen

🛠 Berechtigungen zeigt je Tenant, welche Graph-Anwendungsberechtigungen erteilt sind – mit Risiko, Beschreibung und welche Extension sie nutzt. Ist eine Extension gewählt, steht oben, ob ihre Berechtigungen vorhanden sind. Alle Tenants vergleichen zeigt alles in einer Tabelle. Verbinden ist dafür nicht nötig. Nach einer Änderung in Entra (Administratorzustimmung) ↻ Neu lesen.

Fehlende Rechte erteilen … zeigt alle Rechte mit ✔ erteilt / ✖ fehlt – vorausgewählt sind die fehlenden Standard-Rechte und die der gewählten Extension; eigene (z. B. für Snippets) unter Weiteres Recht. Ein Global Administrator meldet sich im Browser an, die gewählten Rechte werden der App zusätzlich erteilt – entfernt wird nichts. Weitreichende Rechte sind rot und werden eigens bestätigt. Neue Rechte stehen nach etwa einer Minute im Token, dann ↻ Neu lesen. Danach gelten alle gewählten Rechte als erteilt – Weitere Rechte erteilen bietet sie im selben Tenant nicht noch einmal an. Öffnet ein Zusatzmodul das Fenster mit bestimmten Rechten, sind nur genau diese angehakt. Funktioniert für eingerichtete und manuell angelegte Tenants.

Eigene Extensions

Vorlage Extensions\Template.ps1 kopieren, Kopf ausfüllen (.REQUIRED_PERMISSIONS, .PARAM, .DRY_RUN_CAPABLE, .MODE, .RUNTIME) und ↻ drücken. Details: EXTENSION-DEVELOPMENT.md. Eigene Extensions bleiben bei Updates erhalten. Für KI-Assistenten gibt es den Skill skills/hu-extension mit Prüfprogramm (Anleitung).

6KI-Skills

Snippets und Extensions muss man nicht von Hand schreiben: Ein KI-Assistent kann das übernehmen. Damit der Code beim ersten Lauf funktioniert, liegen im Programmordner unter skills\ zwei fertige Anleitungen mit geprüften Vorlagen und einem Prüfprogramm.

So nutzt du sie

1. Ordner skills\hu-snippet bzw. skills\hu-extension im KI-Assistenten als Skill hinzufügen. Geht das nicht: SKILL.md in den Chat kopieren oder hochladen und dazusagen, dass sich der Assistent genau daran halten soll.
2. Beschreiben, was das Snippet oder die Extension tun soll (z. B. „Geräte zeigen, die seit 30 Tagen nicht synchronisiert haben“).
3. Der Assistent führt das Prüfprogramm aus und behebt alle FEHLER, bevor er den Code übergibt.
4. Snippet im Reiter Quick Script einfügen bzw. Extension in Extensions\ legen und ↻ drücken.

Code selbst prüfen

Das Prüfprogramm liest nur den Code, es verbindet sich mit nichts und führt nichts aus:

powershell -NoProfile -File skills\hu-snippet\tools\Test-HUSnippet.ps1 -Path .\mein-snippet.ps1
powershell -NoProfile -File skills\hu-extension\tools\Test-HUExtension.ps1 -Path .\Device-MeinReport.ps1

FEHLER = läuft so nicht oder ist unsicher, WARNUNG = prüfen, ob es Absicht ist.

7Apps verteilen

Programme (MSI, EXE) und Microsoft-Store-Apps an einen oder mehrere Tenants verteilen. Oben links umschalten: Bibliothek (eigene Apps, die HU-MultiTenant paketiert und hochlädt) oder In Intune (alle vorhandenen Apps verwalten).

1. + Setup … oder die Setup-Datei auf die Liste ziehen. Name, Version, Hersteller, Befehle und Erkennung werden ausgelesen – bei MSI vollständig, bei EXE mit stillem Schalter (Inno, NSIS, InstallShield, WiX, Advanced Installer, Squirrel). Auch ein Skript (.ps1, .cmd, .bat) geht, z. B. ein Plugin-Installer ohne eigenes Setup: Name und Version kommen aus dem Ordnernamen (HUScroll-0.5.2), der ganze Ordner wird mitgepackt; hat das Skript die Schalter -AllUsers/-Uninstall, stehen sie schon in den Befehlen. Die Erkennung (meist Datei) legst du selbst fest. Intune startet Skripte in einer 32-Bit-PowerShell.
2. Kategorien (Unternehmensportal): mit Komma getrennt eintragen oder Auswahl … – lädt die Kategorien der angehakten Tenants. Neue Kategorien legst Du in der Auswahl unter Neue Kategorie › Anlegen … an (mit Rückfrage, auch um eine vorhandene in fehlenden Tenants zu ergänzen; im Intune-Portal erst nach Neuladen der Seite sichtbar) und mit Löschen … oder Rechtsklick auf eine Kategorie wieder löschen. Fehlt eine Kategorie beim Hochladen in einem Tenant, wird sie dort übersprungen und gemeldet; leer = in Intune nichts ändern.
3. Testinstallation in der Windows Sandbox – schlägt Erkennung, Deinstallation und Symbol vor (siehe unten).
4. Tenants anhaken, Ziel wählen – Gruppe (🔍 sucht in den angehakten Tenants und zeigt, wo eine fehlt), Alle Geräte, Alle Benutzer oder Keine Zuweisung – dazu Erforderlich, Verfügbar (Unternehmensportal) oder Deinstallieren, optional Frist und Hinweise.
5. ⬆ Hochladen & zuweisen – das Paket wird einmal gebaut und in jeden Tenant hochgeladen; die Geräte holen die App beim nächsten Sync.
6. 📊 Status – je Gerät Installiert / Fehlgeschlagen / Nicht installiert mit Fehlertext und Export (der Intune-Bericht braucht nach dem Zuweisen oft 1–2 Stunden).

Testinstallation (Windows Sandbox)

Das Setup läuft in einem Wegwerf-Windows, dein PC bleibt sauber. Danach: Vorschlag übernehmen? (Erkennung, Deinstallationsbefehl, Symbol). Deinstallation mittesten prüft auch das Entfernen. Der Test meldet Fenster, die unter Intune hängen würden, Desktop-Verknüpfungen und Installationen nur ins Benutzerprofil; bei Fehlern stehen die Protokolle gleich in der Ausgabe. Stille Schalter werden automatisch ergänzt (Inno: /ALLUSERS beim Installieren, /VERYSILENT und Beenden der laufenden App beim Deinstallieren). Die Sandbox schließt sich danach selbst (Sandbox offen lassen zum Nachsehen).

32 oder 64 Bit: Intune startet Installations- und Deinstallationsbefehle aus einem 32-Bit-Prozess (Intune Management Extension). Ein schlichtes powershell.exe ist dort die 32-Bit-PowerShell – $env:ProgramFiles zeigt dann auf Program Files (x86), Registry-Zugriffe landen unter WOW6432Node. Für Skripte schlägt HU-MultiTenant deshalb %SystemRoot%\Sysnative\…\powershell.exe vor (64-Bit). Die Testinstallation startet standardmäßig wie Intune; mit Start 64-Bit (eigener PC) läuft sie wie ein Aufruf am eigenen PC.

Abhängigkeiten aus der Bibliothek werden in der Sandbox vorher installiert (z. B. Greenshot vor einem Greenshot-Plugin). Danach prüft der Test die Erkennungsregel wie Intune: „NICHT gefunden“ nach der Installation heißt, Intune würde „fehlgeschlagen“ melden; beim Deinstallationstest muss sie danach weg sein. Bei Apps ohne Eintrag in „Apps & Features“ (Skripte, Plugins) zählt dafür nur die Erkennungsregel.

Ist die Sandbox nicht aktiviert, öffnet sich ein Fenster mit Sandbox jetzt aktivieren (Administratorrechte, Neustart). Voraussetzung: Windows 10/11 Pro, Education oder Enterprise mit Virtualisierung; es läuft immer nur eine Sandbox.

Tipp – auch ohne Intune nützlich: Die Testinstallation braucht keinen Tenant und kein Hochladen. Damit lassen sich beliebig viele Programme ausprobieren, ohne den eigenen PC zu verunreinigen: Was installiert es mit, welche Fenster und Verknüpfungen entstehen, lässt es sich sauber entfernen? Nach dem Schließen ist alles weg. Hinweis: Die App-Sandbox hat Internetzugang (Setups, die nachladen, funktionieren), aber keinen Zugriff auf deine Dateien – nur der Setup-Ordner wird schreibgeschützt eingebunden. Die Sandbox für Wartungsskripte läuft dagegen ganz ohne Netzwerk.

Neue Version

Neue Setup-Datei auf die Liste ziehen (oder in der App Andere Datei …) und Ja wählen: dieselbe Intune-App wird aktualisiert, Zuweisungen bleiben. Versionsnummern im Namen werden dabei ignoriert; neue Apps bekommen einen Namen ohne Version vorgeschlagen. Bei EXE-Setups mit Registry-Erkennung die Versionsprüfung einschalten – sonst gilt die alte Version auf den Geräten als „installiert“.

Updates (winget)

Ansicht Updates (neben Bibliothek und In Intune): vergleicht die Setup-Apps der Bibliothek mit dem winget-Repository. Braucht winget auf deinem PC (App-Installer aus dem Microsoft Store; ist das Modul Microsoft.WinGet.Client installiert, wird es bevorzugt). Quelle: Einstellungen › Allgemein › Quelle für App-Updates – Standard winget (Community-Repository), sonst jede auf deinem PC eingerichtete Quelle (winget source list, z. B. eine eigene REST-Quelle).

1. ↻ Nach Updates suchen – je App einige Sekunden. Apps ohne winget-ID bekommen sie automatisch, wenn genau ein Paket gleich heißt (orange Meldung – bitte prüfen); sonst winget-ID zuordnen … (oder Doppelklick): Treffer anklicken oder ID eintragen.
2. Spalten: Version in der Bibliothek, neueste bei winget, Status (Update verfügbar, aktuell, Intune noch alt) und Stand je Tenant.
3. ⬇ Neue Version holen: lädt den Installer (x64, maschinenweit, bei MSI-Apps bevorzugt MSI) nach Downloads\HU-App-Updates\App\Version und übernimmt ihn als neue Version der App – wie „Andere Datei …“. Eigene Installationsschalter einer EXE bleiben; fehlen welche, kommen sie aus dem winget-Manifest. Hochgeladen wird noch nichts.
4. Weiter in der Bibliothek: Installationsbefehl prüfen → Testinstallation in der Sandbox → Hochladen mit Pilotgruppe → später freigeben.

Abhängigkeiten (Treiber, Laufzeitumgebungen)

Unter Abhängigkeiten: + Bibliothek … (eigene App, wird mit hochgeladen, auch mehrstufig) oder + Intune … (schon vorhandene Win32-App, je Tenant per Name verknüpft). Mit automatisch mitinstallieren installiert Intune sie vor der App. Store-Apps können keine Abhängigkeit sein.

Weitere Optionen

In Intune (vorhandene Apps)

Zeigt alle Windows-Apps der angehakten Tenants, auch von Hand angelegte. Gleiche Namen werden über die Tenants zusammengefasst; die Liste zeigt „alle 2“, „nur: …“ oder „fehlt: …“ (Maus darüber: alle Tenants), alle hakt alle Tenants an bzw. ab. Oben rechts steht je Tenant der Installationsstand (installiert, fehlgeschlagen, ausstehend – wie im Portal). Jede Änderung gilt für alle Tenants, in denen es die App gibt:

• Zuweisungen ergänzen (gleiche Gruppe = ersetzen, auch Ausschluss) oder markierte entfernen
• Abhängigkeiten und Ersetzungen (Win32), inkl. „Benötigt von“ / „Ersetzt durch“
• Eigenschaften: Name, Hersteller, Beschreibung, Symbol, Kategorien (Auswahl …; unterschiedliche Kategorien je Tenant werden darunter angezeigt)
• 📊 Status, Im Portal öffnen, Löschen … – bei mehreren Tenants per Haken wählen, in welchen; danach doppelte Rückfrage

8Wartung (Remediations)

Wartungspakete prüfen regelmäßig etwas auf den Geräten und reparieren es bei Bedarf – z. B. volle Festplatte, abgeschalteter Dienst. Ein Paket besteht aus Prüfskript (exit 1 = Problem) und optional Reparaturskript; ohne Reparatur wird nur berichtet. Oben links: Bibliothek oder In Intune.

1. + Neu oder Beispiele … (fünf fertige Pakete).
2. Mit KI erstellen: Aufgabe in einem Satz → Prompt kopieren → in ChatGPT, Claude oder Copilot einfügen → Antwort kopieren → Antwort einfügen (wird in Prüf- und Reparaturskript aufgeteilt). Der Prompt bittet die KI, änderbare Werte gleich als Felder (# @param) anzulegen.
3. ✔ Prüfen findet typische Fehler (fehlendes exit 1, Neustart, Eingaben, PowerShell-7-Syntax, Benutzerpfade unter SYSTEM, Secrets im Klartext). Prüfskript hier ausführen testet das Prüfskript auf deinem PC.
4. 🧪 In Sandbox testen (auch unter In Intune): läuft in der Windows Sandbox wie bei Intune ab – als SYSTEM bzw. Benutzer, 64- oder 32-Bit, ohne Netzwerk: Prüfskript → bei exit 1 Reparatur → Prüfskript erneut. Die Ausgabe zeigt je Schritt Exit-Code, Dauer, Konto und Text (Warnung über 2.048 Zeichen) und das Ergebnis, wie Intune es melden würde. Die Sandbox ist ein frisches Windows: Software, die das Skript sucht oder entfernt, ist dort meist nicht installiert – geprüft werden Ablauf, Exit-Codes, Ausgabe und Rechte. Mit Sandbox offen lassen lassen sich dort weitere Fälle nachstellen (z. B. Benutzer deaktivieren) und der Test mit & C:\HUTest\HURemTest.ps1 erneut starten.
5. Felder statt Werte im Code: eine Zeile # @param Name|Typ|Beschriftung|Standard am Skriptanfang (Typen string, int, bool, choice wie im Quick Script) wird zu einem Eingabefeld über den Skripten. Der Wert steht direkt darunter im Skript ($Name = 'Wert' # @value) – Intune kennt keine Parameter, hochgeladen wird genau das, was im Editor steht; ein Feld gilt für Prüf- und Reparaturskript. Dadurch funktioniert es auch unter In Intune: Wert ändern → Änderungen speichern. Werte als Felder übernehmen macht aus einfachen Zuweisungen am Skriptanfang ($PwPlain = '…') solche Felder. Nicht zusammen mit einem param()-Block verwenden.
6. Tenants, Ziel, Zeitplan (täglich, stündlich, einmal) und Kontext → ⬆ Hochladen & zuweisen (optional Pilotgruppe wie bei Apps).
7. 📊 Ergebnisse: je Gerät kein Problem / Problem / behoben / Fehler mit Skript-Ausgabe und Export. ▶ Jetzt auf Gerät … startet das Paket sofort (Gerät muss online sein).

In Intune (vorhandene Wartungsskripte)

Wie bei den Apps: alle Skripte der angehakten Tenants, auch die von Microsoft (nur lesen und zuweisen), nach Namen zusammengefasst; Filter Nicht überall zeigt Skripte, die in einem Tenant fehlen. Rechts stehen Zusammenfassung (ohne Problem, Problem, behoben, Fehler), Zuweisungen mit Zeitplan und „mit Reparatur“ sowie Skripte und Eigenschaften.

• Skripte ändern: werden vor dem Speichern geprüft. Unterscheiden sich die Skripte zwischen Tenants (z. B. eigene IDs), steht das darüber – sie werden nur überschrieben, wenn du sie im Editor änderst, und nur nach Rückfrage.
• In andere Tenants kopieren …: legt das Skript mit Hersteller und Kontext in weiteren Tenants an, auf Wunsch mit Zuweisungen (Gruppen per Name; fehlt eine: nicht zuweisen oder Alle Geräte). Gibt es dort schon eines mit diesem Namen, wird der Tenant übersprungen.
• In Bibliothek übernehmen: z. B. um ein Skript mit KI zu überarbeiten und neu zu verteilen.
• Rechtsklick › Duplizieren … (links in der Liste): Kopie mit neuem Namen in denselben Tenants, ohne Zuweisungen – sie läuft also noch auf keinem Gerät. In der Bibliothek legt Rechtsklick › Duplizieren eine lokale Kopie an.
• 📊 Ergebnisse, ▶ Jetzt auf Gerät …, Löschen … wie oben bzw. wie bei den Apps.

9Analyse

Vier Ansichten oben links. Die Tenants darunter anhaken (Standard: alle). Was bekommt …? ist nur lesend; im Tenant-Vergleich und im Backup wird nur nach Rückfrage etwas angelegt – immer neu und ohne Zuweisungen, Bestehendes wird nie überschrieben.

Was bekommt …?

Zeigt alles, was eine Gruppe, ein Gerät oder ein Benutzer in den angehakten Tenants bekommt: Apps (mit Absicht erforderlich / verfügbar / deinstallieren), Konfigurationsprofile, Einstellungskatalog, Administrative Vorlagen, Compliance-Richtlinien, Wartungsskripte, Plattformskripte, Feature-Updates und Autopilot-Profile.

1. Art wählen, Namen eingeben (Gruppe: 🔍 sucht in den angehakten Tenants; Gerät: Name wie in Intune; Benutzer: Benutzername ohne @domain – passt in jedem Tenant –, UPN oder Anzeigename; dabei zählen auch seine Intune-Geräte und deren Gruppen) → ▶ Anzeigen oder Enter.
2. Die Tabelle füllt sich je Tenant, sobald er fertig ist. Spalte Über: über welche Gruppe (auch verschachtelt) bzw. Alle Geräte / Alle Benutzer; Status ausgeschlossen, wenn eine Ausschlussgruppe greift.
3. Filter: Text (mehrere Wörter: alle müssen vorkommen, z. B. erforderlich chrome) und Art (App, Compliance, …). Alle Geräte/Benutzer abhaken blendet Zuweisungen aus, die nur über Alle Geräte / Alle Benutzer kommen – übrig bleibt, was gezielt über Gruppen kommt.
4. 📊 Tabelle / Export: Filter, CSV, Excel (wie angezeigt).

Tenant-Vergleich

Stellt den Bestand der angehakten Tenants (mindestens zwei) nebeneinander: Konfigurationsprofile, Einstellungskatalog, Administrative Vorlagen, Compliance, Wartung, Plattform-Skripte, Feature-Updates, Autopilot-Profile, Conditional Access und Apps. Gleich heißt: gleicher Name (Groß-/Kleinschreibung egal).

1. ▶ Vergleichen – je Tenant ✔ vorhanden oder — fehlt. Nur Unterschiede (Standard) blendet aus, was überall gleich ist; dazu Textfilter und Art.
2. Je Tenant: ✔ vorhanden, — fehlt, ? nicht lesbar (Berechtigung oder Fehler – dort wird nichts kopiert). Status: fehlt teilweise, nur in einem, doppelt (wird nicht kopiert) (zweimal im selben Tenant) und Einstellungen abweichend – Letzteres nur bei Profilen, Compliance, Feature-Updates und Autopilot, wo Intune die Einstellungen in der Liste mitliefert (IDs, Zeitstempel und Namen zählen nicht).
3. Doppelklick auf eine Zeile, die es in mehreren Tenants gibt: Tabelle der abweichenden Einstellungen (Einstellung, Wert je Tenant; Einstellungskatalog nach Einstellungs-ID, Reihenfolge egal; Skriptinhalte als Kurzform mit Prüfsumme; Gruppen, Benutzer, Rollen, Cloud-Apps und benannte Orte erscheinen mit Namen statt ID, bei Listen steht „(gleich: N)“ und je Tenant nur das Zusätzliche – dieselbe Gruppe mit anderer ID im anderen Tenant gilt also nicht als Unterschied). Geht für alle Arten außer Apps.
4. Einträge markieren (Strg/Shift) → Fehlendes kopieren …: legt sie in den angehakten Tenants an, in denen sie fehlen – ohne Zuweisungen, also noch ohne Wirkung. Danach im jeweiligen Tenant zuweisen (z. B. unter Wartung › In Intune).

Backup & Verlauf

Sichert die Konfiguration der angehakten Tenants als JSON-Dateien: Konfigurationsprofile, Einstellungskatalog, Administrative Vorlagen, Compliance, Wartung, Plattform-Skripte, Feature-Updates, Autopilot und Conditional Access, außerdem App-Schutz- und App-Konfigurationsrichtlinien, Registrierung (Einschränkungen, Statusseite/ESP, Windows Hello), Zuweisungsfilter, ältere Endpunktsicherheits-Richtlinien, Qualitäts- und Treiber-Updates, Gerätekategorien, Compliance-Skripte, Benachrichtigungsvorlagen, Nutzungsbedingungen, Unternehmensportal-Branding, Richtliniensätze, App-Kategorien, Defender-Connector sowie eigene Intune-Rollen und Bereichsmarkierungen – jeweils vollständig und, wo es sie gibt, mit Zuweisungen; Apps nur als Liste. Dazu die Entra-Einstellungen der Baseline: Autorisierungsrichtlinie, Sicherheitsstandards, Authentifizierungsmethoden, Administratorzustimmung (Anfragen), Cross-Tenant-Zugriff (Standard und Partner), benannte Orte, Verzeichniseinstellungen (u. a. Kennwortschutz und Sperrschwelle), den Kennwortablauf je Domain, Geräte-Registrierung (Beitritt, lokale Admins), eigene Authentifizierungsstärken, Token- und Zustimmungsrichtlinien, eigene Entra-Rollen und alle Rollenzuweisungen, Ablauf von M365-Gruppen (nur mit Directory.Read.All), Organisation sowie SharePoint/OneDrive- und Berichtseinstellungen. Je Tenant und Zeitpunkt ein eigener Ordner (Stand).

1. 💾 Backup jetzt – je Tenant 1–3 Minuten. Automatisch: Einstellungen › Allgemein › Backup „beim Start, einmal täglich“ (Standard: an); dort auch Ordner und wie viele Stände je Tenant bleiben (Standard 30).
2. Verlauf: Tenant und zwei Stände wählen → ▶ Anzeigen: neu, gelöscht, Einstellungen geändert, Zuweisungen geändert, Beschreibung geändert, umbenannt. Spalte Geändert von kommt aus dem Intune-Protokoll (wer hat dazwischen geändert). Rechts „(nur linken Stand zeigen)“ listet einen einzelnen Stand. Eingrenzen: Textfilter, Auswahl Art (z. B. nur Entra-Rollenzuweisungen, mit Anzahl je Art) und Nur Änderungen – auch kombiniert. War ein Stand nur teilweise lesbar, heißt er „(unvollst.)“; betroffene Einträge stehen dann als unbekannt statt gelöscht/neu. Unvollständige Stände verdrängen beim Aufräumen keine vollständigen; ist gar nichts lesbar (z. B. Secret abgelaufen), entsteht kein Stand. Fehlt nur ein Leserecht (z. B. Domain.Read.All), wird diese Art nicht gesichert, der Stand bleibt vollständig und das Protokoll nennt das fehlende Recht.
3. Doppelklick: was sich geändert hat (Einstellung, Wert vorher/nachher, inkl. Zuweisungen) bzw. bei einem einzelnen Stand alle Einstellungen.
4. Wiederherstellen …: legt markierte Einträge aus dem linken (älteren) Stand neu an – Name mit „(wiederhergestellt Datum)“, ohne Zuweisungen; Conditional Access deaktiviert. Der bestehende Eintrag bleibt unverändert: vergleichen, zuweisen, alten Eintrag selbst entfernen. Auch für gelöschte Einträge. Entra-Einstellungen werden gesichert und verglichen, lassen sich aber noch nicht zurückschreiben.

Sicherheit (Katalog)

Prüft die angehakten Tenants gegen 68 Regeln (Entra, Apps, Intune, Teams, SharePoint) – ausschließlich lesend, es wird nichts verändert. Die Regeln beruhen auf den Security Baselines und sind nach Schweregrad sortiert (Kritisch, Hoch, Mittel, Niedrig).

1. ▶ Prüfen – liest je Tenant die nötigen Einstellungen und zeigt eine Matrix: Zeile = Regel, Spalte = Tenant. Filter nach Text, Schweregrad und Bereich (Grade und Bereiche per Haken, einzelne lassen sich ausblenden; Farben färbt die Zeichen: grün ok, rot Abweichung, orange Ausnahme, grau nicht prüfbar; die Spalte Regel zeigt die Anzahl der angezeigten Regeln); Nur Abweichungen und Nur Unterschiede blenden Unauffälliges aus.
2. Zeichen: ✔ in Ordnung · ✖ Abweichung (die Zahl ist die Anzahl betroffener Einträge) · ◐ Ausnahme · ? nicht prüfbar (mit Grund: Recht fehlt, Lizenz fehlt, Technik = Abruf fehlgeschlagen) · ⚠ Fehler · i nur Information.
3. Soll speichern: speichert den aktuellen Stand (nur Status und Zahlen). Die Teams-Meldung Sicherheits-Änderung vergleicht danach nach Zeitplan und sendet nur bei Änderung; nicht prüfbare Regeln zählen nicht als Änderung und lösen allein nichts aus. Ohne gespeicherten Soll-Stand wird nichts gesendet. Verglichen werden nur Status und Zähler, keine Objekte. War eine Regel im Soll prüfbar und ist an 3 Läufen in Folge nicht prüfbar, kommt einmal Prüfung verloren.
4. Ampel (letzte Zeile): je Tenant „in Ordnung von geprüften“; rot ab 10 nicht erfüllten Regeln, gelb bei 1 bis 9, grün ohne Abweichung, grau = nichts geprüft. Gezählt werden nur Abweichungen und Fehler; „nicht prüfbar“ färbt nicht. Ist ein Grad, Bereich oder Suchtext gewählt, zählt die Ampel nur diese Regeln (Zeile Ampel (nur Auswahl …)); „Nur Abweichungen“ ändert die Ampel nicht.
5. Doppelklick auf eine Zelle: Begründung und Hinweis zur Regel; bei Zählregeln Konten anzeigen (lädt die betroffenen Einträge, solange steht am Knopf „Lade …“). Listen mit Personendaten sind nur zur Anzeige; die Listen von A42 (App-Namen und Rechte), C03 und C05 (Gruppennamen) lassen sich als CSV oder Excel speichern.
6. Soll speichern vergleicht vorher mit dem bisherigen Soll: ist der neue Stand bei einzelnen Regeln schlechter, sagt die Rückfrage das deutlich; die Teams-Meldung „Sicherheits-Änderung“ weist einmal darauf hin.
7. Das Protokoll unten lässt sich am Balken darüber höher oder niedriger ziehen; die Höhe wird gemerkt.
8. So behebst du es: Rechtsklick auf eine Regel (oder F1 auf der markierten Zeile, oder Knopf im Detailfenster) zeigt, wo im Portal die Einstellung liegt, die Schritte dazu und den passenden Microsoft-Learn-Artikel. Jede Anleitung trägt ein Prüfdatum; Menünamen sind wie in der englischen Portal-Oberfläche, maßgeblich ist der Learn-Artikel. Für Regeln ohne Anleitung öffnet sich die Learn-Suche. Am Handy steht dasselbe aufklappbar unter der Regel.
9. Ausnahme … / Ausnahmen …: eine Abweichung befristet und mit Begründung als gewollt eintragen – für einen oder mehrere Tenants auf einmal (Haken, „alle“). Nach Ablauf zählt sie wieder; zum Anwenden erneut ▶ Prüfen. Ausnahmen wirken nur auf Abweichungen; eine Regel, die mangels Lizenz nie prüfbar ist (z. B. A29, A30, K06 ohne P2), schaltest du in den Sollwerten unter Katalog disabled ab (in der Ausnahmen-Liste stehen solche Ausnahmen orange als „wirkungslos“ und können weg) – die Zelle zeigt dann „aus“ und zählt weder in der Ampel noch im Soll-Stand (Regeln mit Mindeststandard bleiben immer an).
10. 📊 Tabelle / Export: Matrix als Tabelle mit CSV/Excel-Export.

10Teams

Meldungen als Karte in Teams-Kanäle. Es gibt Ziele (Kanäle) und Meldungen: eingebaute Meldungen (Tages-Ampel, Secret-Countdown, Lizenzen, Defender, Sicherheits-Änderung) und Meldungen aus Skripten (Deine Quick-Script-Snippets). Jede Meldung hat ihre Ziele, sendet auf Knopfdruck und auf Wunsch nach Zeitplan. Gesendet wird über Teams-Workflows (Webhook) – keine App-Registrierung, keine zusätzlichen Graph-Rechte für das Senden.

Ziel einrichten

1. In Teams im gewünschten Kanal: ⋯ › Workflows › Vorlage Post to a channel when a webhook request is received (Webhookanforderung empfangen → im Kanal posten). Name vergeben, Team/Kanal bestätigen, Workflow hinzufügen und die angezeigte Adresse kopieren.
2. Reiter Teams › Ziele › + Neu: Name (z. B. Admin-Kanal), Adresse einfügen → 💾 Speichern. Unter Fehlermeldungen nur ein Haken: ob dieser Kanal einen Hinweis bekommt, wenn eine zeitgesteuerte Meldung nicht laufen kann. Welche Meldungen ein Kanal bekommt, stellst Du bei der Meldung ein (rechts, Senden an).
3. ✉ Test senden – die Testkarte muss im Kanal erscheinen. Fehler stehen im Klartext da (z. B. 404 = Workflow gelöscht/aus, Umleitung = Kurzlink statt vollständiger Adresse).

Meldungen

Rechts im Reiter steht die Liste Meldungen, getrennt in Eingebaute Meldungen und Meldungen aus Skripten. Jede Meldung hat dieselben Einstellungen: Senden an (Ziele), Tenants, ▶ Jetzt senden und – auf Wunsch – einen Zeitplan (Uhrzeit, Wochentage, Aufgabe anlegen).

1. Rechts + Neu: oben eine eingebaute Meldung wählen oder darunter eine Meldung aus Skript (siehe unten) – es gilt immer nur eines. Der Name folgt der Auswahl, bis Du ihn selbst änderst. Senden an (mindestens ein Ziel; alle angehakt = auch später angelegte), Tenants, Uhrzeit, Wochentage (keiner = täglich) → 💾 Speichern.
2. ▶ Jetzt senden sendet sofort an die angehakten Ziele (Fortschritt im Protokoll). An Kanal … sendet einmalig an genau ein Ziel – auch wenn es an der Meldung nicht angehakt ist.
3. Aufgabe anlegen trägt die Meldung in die Windows-Aufgabenplanung ein (\HU-MultiTenant\Teams-<Id>, eigenes Konto, ohne erhöhte Rechte, nur wenn angemeldet; verpasste Läufe werden nachgeholt). Sie ruft Main.ps1 -Headless -Job <Id> auf – dieser Modus führt nur gespeicherte Meldungen und die darin gewählten gespeicherten Snippets aus, keinen freien Code. Zeitplan aktiv aus = die geplante Aufgabe sendet nichts; Jetzt senden und An Kanal … senden trotzdem.

Die Aufgabenplanung zeigt 2 und 3 als (0x2) / (0x3) – das sieht aus wie ein Windows-Fehler („Datei nicht gefunden“), ist aber der Code von HU-MultiTenant. Der Reiter Teams zeigt ihn als Text. „Gesendet“ heißt: vom Workflow angenommen – ob Teams die Karte dann wirklich postet, steht im Verlauf des Workflows in Power Automate.

Zu große Karten (Teams nimmt etwa 28 KB) werden automatisch gekürzt und mit „Gekürzt …“ markiert; die vollständigen Daten stehen in HU-MultiTenant. Höchstens 5 Knöpfe je Karte. Das Sendeprotokoll unten (Höhe mit dem Griff verstellbar) zeigt die letzten 200 Sendungen ohne Adressen.

Meldungen aus Skripten

Eigene Meldungen – z. B. Drucker-Status, Backup, WSUS – schreibst Du als Snippet in Quick Script. Das Skript entscheidet, ob und was gemeldet wird: mit Send-HUNotify. Die Meldung im Reiter Teams entscheidet, an wen und wann – und mit zwei festen Einstellungen, wie:

• Skript läuft je Tenant (Standard): für jeden angehakten Tenant einzeln mit $TenantKey und $Token. einmal ($Tenants): ein einziger Lauf; $Tenants enthält die angehakten Tenant-Schlüssel, das Skript holt Tokens selbst (Get-HUToken -Tenant $k) – für eine Sammelkarte über alle Schulen.
• Ausgabe als Karte senden (Standard: aus): ruft das Skript kein Send-HUNotify auf, geht seine Ausgabe (Objekte/Text, sonst die Write-Host-Zeilen) als eine Karte (je Objekt eine Zeile, höchstens 6 Eigenschaften, höchstens 60 Zeilen). Die Ausgabe kann Geräte- und Benutzernamen enthalten – nur einschalten, wenn die Ziele das sehen dürfen. Ist der Haken an, kommen auch die Write-Host-Zeilen in die Karte. Aus: Write-Host geht nur ins Tagesprotokoll (höchstens 30 Zeilen je Lauf, Logs\HU-MultiTenant_<Datum>.log, aufbewahrt wie unten).

1. Quick Script: Snippet schreiben und unter einem Namen speichern (Beispiel unten).
2. Reiter Teams › Meldungen › + Neu › im Feld oder Meldung aus Skript das Snippet wählen. Ziele anhaken, Tenants wählen → 💾 Speichern.
3. ▶ Jetzt senden zum Ausprobieren, Aufgabe anlegen für den Zeitplan (Skript höchstens 25 Minuten). Das Snippet läuft je Lauf in einem eigenen, frischen Runspace mit den Werten seiner # @param-Zeilen: Unter der Skript-Auswahl stehen dieselben Felder wie oben im Quick Script; die Werte speichert jede Meldung für sich (leer = Standard). Ein DryRun-Haken bleibt also ein Probelauf. Steht ein Probelauf-Schalter (DryRun, WhatIf, Probelauf …) im Standard auf aus, fragt HU-MultiTenant beim Speichern und bei ▶ Jetzt senden „ECHTER LAUF“ – die Bestätigung beim Speichern gilt auch für den Zeitplan.
4. Skript geändert? Beim Speichern merkt sich die Meldung einen Fingerabdruck (SHA-256) des Snippets. Änderst Du das Snippet danach, läuft die Meldung nicht mehr (Ergebnis 3, in der Liste „! Skript … geändert“), bis Du sie einmal neu speicherst – so läuft zeitgesteuert nur Code, den Du bestätigt hast.

Im Quick-Script-Editor ausgeführt, gehen die Karten eines Snippets, das zu einer Meldung gehört, an deren Ziele – vorher fragt HU-MultiTenant einmal: Ja = ausführen und senden, Nein = ausführen ohne Teams, Abbrechen. Ein Snippet ohne Meldung sendet nur, wenn es Ziele selbst nennt (-TargetIds, alte Kategorie) und Du die Rückfrage mit Ja beantwortest – sonst nichts (Hinweis im Protokoll). Geplante Läufe und Jetzt senden fragen nicht – die gespeicherte Meldung ist die Freigabe. Gesperrt wird im Modul selbst: ohne Freigabe sendet ein Lauf nichts, auch nicht über Alias, Hilfsdatei oder eigenes Import-Module. Send-HUNotify -WhatIf zeigt nur, was gesendet würde.

# Snippet "Drucker-Status": Geraete ohne Sync melden
# @param Tage|int|Ohne Sync seit Tagen|30
$grenze = (Get-Date).AddDays(-$Tage)
$dev = @(Invoke-GraphRequestAll -Token $Token -Endpoint '/deviceManagement/managedDevices?$select=deviceName,lastSyncDateTime')
$alt = @($dev | Where-Object { [datetime]$_.lastSyncDateTime -lt $grenze })
$alt | ForEach-Object { Write-Host $_.deviceName }      # Namen nur ins Protokoll
if ($alt.Count) {
    $r = Send-HUNotify -Level Warning `
        -Title "$($TenantKey): $($alt.Count) Geraete ohne Sync seit $Tage Tagen" `
        -Preview "$($alt.Count) von $($dev.Count) Geraeten" `
        -Lines @("$($alt.Count) von $($dev.Count) Geraeten ohne Sync seit $Tage Tagen - Liste im Quick-Script-Verlauf")
    Write-Host $r.Text
}

In einem Skript außerhalb von HU-MultiTenant (z. B. Backup-Job in der Aufgabenplanung) – im selben Windows-Konto, sonst kann die Ziel-Ablage nicht entschlüsselt werden. Das Skript gibt das Senden selbst frei und nennt die Ziel-Id:

Import-Module 'C:\Pfad\zu\HU-MultiTenant\Core\HU.Notify.psm1' -DisableNameChecking
Grant-HUSendApproval -Reason 'Backup'
$r = Send-HUNotify -TargetIds 'a1b2c3d4' -Source 'Backup' -Title 'Backup Schule A fertig' -Level OK `
        -Facts ([ordered]@{ Dauer = '12 min'; Dateien = 4211; Ziel = 'NAS' })
if ($r.Failed) { Write-Warning $r.Text }

Rückgabe: Ok (Ziele beliefert), Failed (abgelehnt), Text (Ergebnis je Ziel oder der Grund, warum nichts gesendet wurde – ohne Adressen). Send-HUNotify wirft nie – ein Teams-Fehler bricht das Skript nicht ab. Text aus Tenants wird bereinigt (keine Links, kein Markdown). Keine Kennwörter, Secrets oder Wiederherstellungsschlüssel in Karten schreiben. Snippets laufen mit Deinen Rechten – nur Code ausführen, dem Du vertraust. Die Sendesperre schützt vor versehentlichem Senden; ein absichtlich bösartiges Skript im selben Windows-Konto könnte sie selbst aufheben oder die Webhook-Adressen lesen – das ist dieselbe Grenze wie bei den Graph-Zugängen. Wer Config\quick-snippets.json ändern kann, ändert auch, was geplante Meldungen ausführen; der Programmordner gehört deshalb nur Dir. Erweiterungen senden mit eigener Kategorie oder -TargetIds, jeweils nach der Rückfrage (nur Standard-Laufzeit Windows PowerShell 5.1, nicht .RUNTIME PS7).

Push-Vorschau am Handy

Karten, die ein Workflow postet, zeigen in der Handy-Benachrichtigung nur den Kanalnamen. Abhilfe: Der Workflow postet zuerst eine Textzeile (die Vorschau, die HU-MultiTenant als summary mitschickt) und hängt die Karte als Antwort darunter. Einmal je Workflow in Power Automate (make.powerautomate.com › Meine Flows › Workflow bearbeiten), ca. 10 Minuten:

1. Im Zweig Falsch der Bedingung Attachments is null, vor der Schleife For each: Aktion Nachricht in einem Chat oder Kanal veröffentlichen – Veröffentlichen als Flow-Bot, in Kanal, Team/Kanal wie bisher. Feld Meldung: als fx-Ausdruck (blaues fx-Symbol am Feldrand, nicht als Text eintippen) coalesce(triggerBody()?['summary'], 'HU-MultiTenant Meldung').
2. In der Schleife: Aktion Mit einer adaptiven Karte in einem Kanal antworten (nicht „Mit einer Nachricht …“). Flow-Bot, Team/Kanal wie oben; Nachrichten-ID: dynamischer Wert (⚡) Nachrichten-ID aus Schritt 1 – vorher ins Feld Nachrichten-ID klicken; Adaptive Karte: fx-Ausdruck item()?['content'].
3. Die alte Aktion Post card in a chat or channel in der Schleife löschen (sonst kommt jede Karte doppelt). Post card … 1 im Zweig Wahr bleibt. Speichern, mit Test senden prüfen.
4. In Teams beim Kanal › ⋯ › Kanalbenachrichtigungen › Benutzerdefiniert: Alle neuen Beiträge = Banner und Feed; Antworten einschließen nicht anhaken – sonst ersetzt die Benachrichtigung der Karten-Antwort die lesbare Vorschau.

Die Vorschau ist je Art eine Zusammenfassung ohne Gerätenamen, z. B. „Tages-Ampel - Fr 16.10. • 4 gruen, 1 gelb, 0 rot (gelb: Schule A) - 1234 Geraete, 7 nicht konform“ (Karten schreiben Umlaute als ae/oe/ue). Ohne den Umbau zeigt das Handy nur den Kanalnamen.

11Handy-Fernbedienung

Vom Handy aus Snippets, Erweiterungen und Teams-Meldungen am PC starten – mit Tenant-Auswahl, Parametern, Rückfrage und Live-Ausgabe. Gedacht für den eigenen PC (z. B. im Homeoffice): Das Handy erreicht ihn im Heimnetz oder unterwegs über das VPN des Routers. Gestartet wird immer am PC; Client Secrets und Webhook-Adressen verlassen ihn nie – was ein Skript selbst ausgibt, erscheint aber am Handy. Knopf 📱 Remote FB oben rechts (links neben Berechtigungen).

1. Einmal einrichten – Fenster Remote FB › Einstellungen › 🛡 Einrichten / erneuern. Windows fragt einmal nach Administratorrechten: Zertifikat (dieselbe Zertifizierungsstelle wie HUMig), HTTPS-Bindung, Port-Freigabe für Dein Konto, Firewall-Regel (lokales Subnetz + eingetragene Netze, z. B. das VPN). Danach läuft alles ohne Adminrechte. Standard-Port 8444 (HUMig: 8443) – beide können gleichzeitig laufen.
2. PIN festlegen – nur Ziffern, mindestens 4 Stellen. Sie wird am Handy bei jedem echten Lauf abgefragt; 3 falsche PINs sperren das Handy (entsperren nur am PC, Hinweis an Teams).
3. Freigeben – Reiter Freigaben fürs Handy: in der Spalte Handy je Snippet/Erweiterung nur lesend oder ändert Daten wählen und 💾 Freigaben speichern. Nur Freigegebenes erscheint am Handy. Wird der Code danach geändert, ist die Freigabe ungültig, bis sie neu gespeichert wird. Teams-Meldungen stehen immer zur Verfügung (auch einmalig an ein gespeichertes Ziel). Erweiterungen nur mit Windows PowerShell 5.1.
4. Einschalten und koppeln – Reiter Status › Einschalten › 📱 Handy koppeln: QR-Code scannen, am Handy zuerst das Zertifikat installieren (Anleitung auf der Seite, Fingerabdruck vergleichen), dann den Code eingeben und die Seite als App auf den Startbildschirm legen.

Am Handy: Starten zeigt Snippets, Erweiterungen und Meldungen. Tenants (vorausgewählt wie am Snippet bzw. an der Meldung) und Parameter wählen › Prüfen › Zusammenfassung (was, wo, Parameter, Teams-Ziel). Ein echter Lauf – Einstufung ändert Daten und kein Probelauf-Schalter angehakt – steht rot da und braucht das angezeigte Kürzel und die PIN. Die Bestätigung gilt 120 Sekunden. Lauf zeigt die Ausgabe live, Fortschritt je Tenant und Abbrechen (der laufende Tenant wird gestoppt, weitere nicht gestartet); das Feld Filter neben „Ausgabe“ zeigt nur passende Zeilen; die kleinen Symbole daneben wiederholen den letzten Lauf mit derselben Auswahl (↻, wieder mit Bestätigung), kopieren den (gefilterten) Inhalt in die Zwischenablage (⧉) bzw. leeren die Anzeige (🗑 – am PC bleibt alles erhalten). Unter Mehr lassen sich Benachrichtigungen einschalten: Wenn ein Lauf endet, kommt eine Meldung mit dem Ergebnis (das Handy holt es beim PC ab – nur im Heimnetz bzw. über VPN, sonst „Lauf beendet“).

Intune (Apps und Wartung): Reiter Intune am Handy – Tenant und Apps oder Wartung wählen, Eintrag antippen: Installationsstand (Anzahl Geräte, Geräte anzeigen für die Liste je Gerät, mit Filter nach Gerät, Benutzer oder Status), Zuweisungen mit ✕ zum Aufheben, darunter Zuweisen: Ziel (Gruppe suchen und antippen, Ausschluss, alle Geräte, alle Benutzer), bei Apps die Art (Erforderlich, Verfügbar, Deinstallieren), bei Wartung der Zeitplan (täglich, stündlich, einmalig). Lesen geht ohne PIN; Zuweisen und Aufheben sind immer ein echter Lauf mit Kürzel und PIN. Abschaltbar unter Remote FB › Einstellungen. Berechtigungen wie in Apps und Wartung am PC (DeviceManagementApps- bzw. DeviceManagementScripts.ReadWrite.All, Group.Read.All).

Sicherheit: Reiter Sicherheit am Handy – erscheint erst ab Tablet- bzw. Querformat-Breite (600 Pixel), weil die Matrix auf einem schmalen Handy nicht lesbar ist. Oben Tenants wählen und Prüfen tippen (Auswahl bleibt am Handy gespeichert); Grad und Bereich blenden Regeln ein und aus, die Ampel zählt dann nur die angezeigten Regeln; ausgeblendete Grade und Bereiche werden beim Prüfen gar nicht gelesen (schneller) – wer sie danach einschaltet, tippt erneut auf Prüfen. Zeigt je Tenant die Ampel, je Regel Status und Zahl; Regel antippen für Begründung und Kurztext je Tenant. Filter und ✕ (nur Abweichungen). Der PC prüft im Hintergrund nur lesend (etwa eine Minute) und merkt sich das Ergebnis 15 Minuten; ↻ prüft neu. Wie am PC gibt es bei Regeln mit Liste je Tenant einen Knopf (z. B. Konten anzeigen). Listen mit Personendaten (Konten, Geräte, Gäste; mit 🔒 markiert) brauchen die PIN der Fernbedienung; danach sind sie 5 Minuten ohne PIN abrufbar. Falsche PINs zählen wie beim Starten (nach 3 ist das Handy gesperrt). Die Listen sind nur zur Anzeige – kein Kopieren, nichts wird am Handy gespeichert. Die Matrix selbst braucht keine PIN. Abschaltbar unter Remote FB › Einstellungen.

Zusatzmodule: Bringt ein Zusatzmodul eigene Handy-Seiten mit (z. B. Kinderschutz), erscheint unten ein eigener Reiter mit kurzem Namen und Symbol (z. B. 🛡 KS; bei mehreren Modulen wählt man oben das Modul). Oben Tenant wählen, darunter die Seiten des Moduls; manche Seiten haben ein Suchfeld oder einen Link, der eine am PC gespeicherte Gruppe lädt. Zeilen sind nach Status gefärbt, Details klappt alle Werte auf. Was das Handy abfragen darf, legt das Modul fest und HU-MultiTenant prüft es am PC (Datei im Modulordner, fester Funktionsname, nur bekannte Abfragen); der Code läuft nur am PC im Hintergrund, das Handy bekommt nur Text. Listen mit Personendaten (z. B. Schüler, Geräte) brauchen die PIN – sie gilt wie bei Sicherheit 5 Minuten. Kennwörter (z. B. LAPS) brauchen immer die PIN, gehen nur an dieses Handy, werden am PC nach der Auslieferung sofort gelöscht und am Handy nach einer Minute ausgeblendet (Kopieren übernimmt das Kennwort). Am Handy wird nichts gespeichert. Abschaltbar unter Remote FB › Einstellungen › Zusatzmodule am Handy.

Am PC: Läuft etwas vom Handy, zeigen Titelleiste und Knopf „Remote FB ▶“, das Protokoll nennt Handy, Art, Tenants und „ECHTER LAUF“. Bei einem echten Lauf geht zusätzlich ein Hinweis an die Teams-Ziele mit „Hinweis, wenn eine zeitgesteuerte Meldung nicht laufen kann“. PC und Handy starten nie gleichzeitig (Quick Script, Erweiterungen, „Jetzt senden“). Am PC öffnet sich durch das Handy nie ein Dialog. Einstellung: Starten vom Handy auch bei gesperrter App (Standard an) und PC wach halten, solange die Fernbedienung an ist (sonst nur während eines Laufs).

12Secrets und Ablaufdatum

Bis wann das Client Secret gültig ist, steht in der Tenant-Leiste (Reiter Extensions) und unter Einstellungen › Tenants. Gewarnt wird ab 30 Tagen (einstellbar) in der Titelleiste – orange, ab 7 Tagen rot.

Secret erneuern

1. Entra: neuen geheimen Clientschlüssel anlegen (Knopf Entra Admin Center im Secret-Dialog öffnet die richtige Seite).
2. Einstellungen › Tenants › 🔐 Secret eingeben … – neuen Wert einfügen.
3. Verbindung + Secret prüfen – neues Datum wird angezeigt. Altes Secret in Entra löschen.

13Update

Beim Start wird im Hintergrund nach Updates gesucht; bei einer neuen Version wird Update gold. Klick: HU-MultiTenant schließt sich, Pull.ps1 lädt alle Dateien, prüft jede gegen die SHA-256-Liste und die Signatur des Herausgebers und ersetzt erst dann – mit Sicherung: ist eine Datei gesperrt, wird alles zurückgestellt (nie halb aktualisiert). Dateien, die es in der neuen Version nicht mehr gibt, werden entfernt (nie aus Config, Logs, Reports, Backups). Danach startet das Tool neu. Meldet das Programm beim Start „Ein Update läuft gerade oder wurde abgebrochen“: Pull.ps1 im Programmordner erneut ausführen.

Erhalten bleiben Config\settings.json, Config\quick-snippets.json, Config\apps.json, Config\remediations.json, Config\update.json, Config\teams-jobs.json, Logs\, Reports\, eigene Extensions, Zusatzmodule (Addons\) und HU-MultiTenant.exe.

14Dateien

15Tastenkürzel