Was kann mein Arbeitgeber über Intune sehen? Firmengerät und privates Gerät im Vergleich

Die kurze Antwort: Über Microsoft Intune sieht die IT Ihres Unternehmens Angaben zum Gerät, nicht zu Ihrem Privatleben. Bei einem registrierten Gerät sind laut Microsoft grundsätzlich der Geräteeigentümer, Gerätename, Seriennummer, Modell, Hersteller, Betriebssystem mit Version und die IMEI sichtbar. Nie sichtbar sind Anruf- und Browserverlauf, E-Mails und SMS, Kontakte, Kalender, Passwörter, Fotos und die Inhalte selbst erstellter Dokumente. Dazwischen liegt ein Bereich, der davon abhängt, wem das Gerät gehört: Bei Firmengeräten sieht die IT in der Regel alle installierten Apps und kann ein verlorenes Gerät orten. Bei privaten Geräten sieht sie in der Regel nur die verwalteten Firmen-Apps und nie den Standort. Dieser Beitrag geht Microsofts eigene Liste durch (Stand: Oktober 2026), zeigt die Unterschiede zwischen Firmengerät und privatem Gerät und erklärt, was in Betrieben mit Betriebsrat dazugehört. Wie Intune grundsätzlich arbeitet, beschreibt unser Beitrag zur Geräteverwaltung mit Intune.

Was Intune immer sieht

Microsoft nennt sieben Angaben, die ein Unternehmen bei einem registrierten Gerät immer sehen kann:

• den Geräteeigentümer
• den Gerätenamen
• die Seriennummer
• das Modell
• den Hersteller
• Betriebssystem und Version
• die IMEI

Ausnahmen gibt es etwa bei privaten iPhones und iPads, die über die Benutzerregistrierung von Apple eingebunden sind; dazu weiter unten mehr.

Dazu kommt der Sicherheitszustand. Mit Konformitätsrichtlinien legt Ihr Unternehmen Regeln fest, die ein verwaltetes Gerät erfüllen muss, unter Windows zum Beispiel eine BitLocker-Verschlüsselung, eine Mindestversion des Betriebssystems und einen eingeschalteten, aktuellen Virenschutz. Intune meldet dann für jedes Gerät, ob es die Regeln einhält. Mit bedingtem Zugriff kann ein Unternehmen Geräten, die die Regeln nicht erfüllen, den Zugang zu E-Mail und Firmendaten verweigern; wie das in der Praxis aussieht, zeigt unser Beitrag zum bedingten Zugriff in Microsoft 365.

Weitere Angaben kann die IT laut Microsoft einsehen, wenn sie bei Einrichtung oder Fehlersuche hilft, etwa den Speicherplatz, wenn sich eine vorgeschriebene App nicht installieren lässt.

Was Intune nie sieht

Genauso deutlich ist Microsofts Liste der Dinge, die Ihr Unternehmen über Intune nicht sehen kann:

• Anruf- und Browserverlauf
• E-Mails und SMS
• Kontakte
• Kalender
• Passwörter
• Fotos, auch in der Fotos-App und der Kamerarolle
• Inhalte selbst erstellter Dokumente

Für Hilfe aus der Ferne bietet Microsoft mit Remote Help ein eigenes Werkzeug, das in Intune standardmäßig ausgeschaltet ist. Bei einer begleiteten Sitzung nimmt die Person am Gerät teil und gibt den Zugriff frei. Microsoft rät Unternehmen ausdrücklich, ihren Beschäftigten zu sagen, dass sie jede Bildschirmfreigabe und jede Steuerung selbst erlauben müssen. Daneben gibt es eine unbeaufsichtigte Variante für Windows-Firmengeräte: Anders als die begleitete Sitzung, die die laufende Sitzung der Person zeigt, öffnet sie eine eigene, getrennte Windows-Sitzung, in der sich der Helfer mit seinen eigenen Zugangsdaten anmeldet. Auf Android ist eine unbeaufsichtigte Verbindung nur bei Geräten möglich, die als dediziertes Gerät registriert sind. Wer wem auf welchem Gerät wie lange geholfen hat, hält Intune in Berichten fest.

Intune ist nicht das einzige Werkzeug

Microsofts Liste beschreibt, was die Geräteverwaltung sieht. Zu einer vollständigen Antwort gehören zwei weitere Punkte:

• Dienstliche Inhalte in Microsoft 365. Dienstliche E-Mails, Teams-Chats und Dateien in OneDrive und SharePoint liegen in den Diensten von Microsoft 365, die Ihr Unternehmen gebucht hat. Für Untersuchungen und Rechtsfälle kann ein Unternehmen diese Inhalte mit Microsoft Purview eDiscovery durchsuchen, unabhängig davon, ob ein Gerät in Intune verwaltet wird.
• Sicherheitssoftware auf dem Gerät. Für Microsoft Defender for Endpoint und Defender for Business nennt Microsoft als erhobene Daten unter anderem Dateinamen, laufende Prozesse, Daten aus der Registrierung, Netzwerkverbindungen mit IP-Adressen und Ports sowie Gerätedetails. Diese Daten dienen dazu, Angriffe zu erkennen und Warnungen auszulösen.

Wer seinem Team Intune erklärt, legt deshalb am besten das Gesamtpaket offen und nicht nur die Liste der Geräteverwaltung.

Was Intune je nach Gerät sieht

Der Bereich dazwischen hängt davon ab, ob ein Gerät in Intune als Firmengerät oder als privates Gerät geführt wird. Die Einstufung sehen Beschäftigte selbst im Unternehmensportal unter den Gerätedetails.

Die Geräteabfrage verdient einen zweiten Blick. Bei Windows-Firmengeräten kann die IT damit Hardware- und Systemangaben, installierte Zertifikate, Dateipfade und Dateinamen, Benutzer und Gruppen des Betriebssystems, Einträge aus Registrierung und Ereignisprotokoll sowie laufende Prozesse abfragen. Das sind keine Dokumentinhalte, aber deutlich mehr als die Grundliste. Die Funktion gehört zu Intune Advanced Analytics, setzt laut Microsoft eine Lizenz zusätzlich zu Intune Plan 1 oder Plan 2 voraus und steht nur Konten mit einer eigens vergebenen Berechtigung zur Verfügung.

Den Standort zeigt Intune nur für Firmengeräte. Laut Microsoft werden die Standortdaten erst erhoben, wenn die IT die Aktion „Locate device" auslöst, und nach 24 Stunden automatisch gelöscht. Bei iPhones und iPads setzt die Ortung den verwalteten Verlustmodus voraus: Das Gerät wird gesperrt, und auf dem Sperrbildschirm erscheint eine Erklärung. Unter Windows muss die IT die Ortung vorher per Richtlinie erlauben; auf Android-Firmengeräten erhalten Nutzer eine Benachrichtigung, sobald Intune den Standort verwenden darf. Eine Ausnahme sind dedizierte Android-Geräte: Bei ihnen speichert Intune den zuletzt bekannten Standort regelmäßig und hält ihn bis zu sieben Tage vor.

Firmengerät oder privates Gerät: der entscheidende Unterschied

Für private Smartphones und Tablets bietet Intune drei Wege, die Firmendaten von privaten Daten trennen:

1. App-Schutz ohne Registrierung. Das Gerät wird nicht in Intune registriert. Die Regeln gelten nur für Firmen-Apps wie Outlook oder OneDrive und nur, wenn darin mit dem Firmenkonto gearbeitet wird, etwa eine PIN beim Öffnen oder das Verbot, Firmendaten in private Apps zu kopieren. Microsoft schreibt dazu, dass die Richtlinien im privaten Kontext nicht greifen und Firmendaten geschützt werden, ohne persönliche Daten zu berühren.
2. Arbeitsprofil auf Android. Auf dem privaten Gerät entsteht ein getrennter Bereich, den Intune verwalten kann. Für App-Schutz und Arbeitsprofil hält Microsoft gleichermaßen fest: IT-Administratoren können Daten, die den Nutzern gehören oder von ihnen kontrolliert werden, weder lesen noch darauf zugreifen oder sie löschen. Beim Ausmustern verschwinden nur die Daten, Apps und Einstellungen im Arbeitsprofil.
3. Benutzerregistrierung bei iPhone und iPad. Apple User Enrollment legt Firmendaten auf einem eigenen Speicherbereich und in verwalteten Apps ab, getrennt von privaten Daten und Apps. Intune erhebt dabei weder Seriennummer noch IMEI oder Telefonnummer und erfasst keine Apps außerhalb des verwalteten Bereichs. Als Fernaktionen für Administratoren nennt Microsoft Ausmustern, Entfernen aus Intune, Sperren und Synchronisieren; das Zurücksetzen auf Werkseinstellungen gehört nicht dazu.

Wird ein privates Gerät dagegen vollständig registriert, sieht die IT die volle Grundliste, und welche Aktionen möglich sind, hängt von Plattform und Registrierungsart ab. Für private Geräte empfehlen wir deshalb einen der drei getrennten Wege. Welche Risiken private Android-Geräte mitbringen, beschreibt unser Beitrag zu Android und BYOD.

Was der Arbeitgeber am Gerät tun kann

Neben dem Sehen geht es um das Handeln. Diese Eingriffe sind für die Frage nach der Kontrolle entscheidend:

• Regeln durchsetzen. Eine PIN für Firmen-Apps, die Verschlüsselung oder eine Mindestversion des Betriebssystems. Erfüllt ein Gerät die Regeln nicht, wird es als nicht konform markiert; mögliche Folgen sind eine E-Mail an die Nutzerin oder den Nutzer, eine Sperre aus der Ferne oder der gesperrte Zugriff auf Firmendaten.
• Firmendaten aus Apps löschen. Das selektive Löschen entfernt Firmendaten aus geschützten Apps; persönliche App-Daten und die Apps selbst bleiben. Der Befehl wirkt, wenn die App das nächste Mal geöffnet wird, und kann bis zu 30 Minuten brauchen.
• Ausmustern. Die Aktion Retire entfernt Firmendaten, verwaltete Apps, Einstellungen und Profile und nimmt das Gerät aus der Verwaltung; persönliche Daten bleiben erhalten. Microsoft nennt sie besonders geeignet für private Geräte.
• Zurücksetzen. Die Aktion Wipe setzt das Gerät auf Werkseinstellungen zurück und löscht dabei alle persönlichen und geschäftlichen Daten. Für private Android-Geräte mit Arbeitsprofil ist das nicht vorgesehen. Wie der Ablauf im Verlustfall aussieht, beschreibt unser Beitrag Notebook verloren.
• Sperren und orten. Ein verlorenes Firmengerät kann die IT je nach Plattform sperren und den ungefähren Standort auf einer Karte anzeigen lassen.

Für Löschbefehle lässt sich in Intune außerdem festlegen, dass ein zweiter Administrator zustimmen muss, bevor die Aktion ausgeführt wird.

Mitbestimmung: Was der Betriebsrat damit zu tun hat

Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat mitzubestimmen bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen". Das Bundesarbeitsgericht legt das Wort „bestimmt" objektiv aus: Es reicht, dass eine Einrichtung objektiv geeignet ist, Verhaltens- oder Leistungsinformationen über Beschäftigte zu erheben und aufzuzeichnen; auf die Überwachungsabsicht des Arbeitgebers kommt es nicht an. Im Beschluss vom 8. März 2022 (1 ABR 20/21) ging es um die unternehmenseinheitliche Nutzung von Microsoft Office 365 „mit der Möglichkeit einer zentralen Kontrolle von Verhalten und Leistung der Arbeitnehmer"; das Gericht sah dafür den Gesamtbetriebsrat als zuständig an.

Intune speichert Gerätedaten zusammen mit dem Geräteeigentümer und hält zum Beispiel fest, wer wem per Remote Help geholfen hat. Wer einen Betriebsrat hat, bespricht die Einführung deshalb am besten früh mit ihm. Hilfreich ist, konkret festzuhalten, welche Funktionen genutzt werden: ob die Ortung erlaubt ist, ob die Geräteabfrage lizenziert ist, ob Remote Help unbeaufsichtigt arbeiten darf und welcher Weg für private Geräte gilt. Kommt keine Einigung zustande, entscheidet nach § 87 Abs. 2 BetrVG die Einigungsstelle. Ohne Betriebsrat entfällt dieses Mitbestimmungsrecht; offen erklären sollten Sie die Verwaltung Ihrem Team trotzdem.

So erklären Sie Intune Ihrem Team

Aus unseren Einführungsprojekten: An der Technik scheitert eine Einführung selten, eher an der offenen Frage, was das Gerät eigentlich meldet. Fünf Schritte schaffen Klarheit:

1. Eigentumsart festlegen. Entscheiden Sie, welche Geräte als Firmengerät und welche als privat geführt werden. Die Einstufung können Beschäftigte im Unternehmensportal selbst nachsehen.
2. Für private Geräte einen getrennten Weg wählen. App-Schutz ohne Registrierung, Arbeitsprofil auf Android oder Benutzerregistrierung bei Apple.
3. Den Datenschutztext im Unternehmensportal anpassen. Für iPhones und iPads lassen sich dort eigene Hinweise hinterlegen, was der Support sieht und was nicht, dazu ein Link auf Ihre Datenschutzerklärung.
4. Die Liste ehrlich ergänzen. Geben Sie Microsofts Liste weiter und nennen Sie die Werkzeuge, die zusätzlich laufen, etwa den Virenschutz.
5. Zusatzfunktionen bewusst entscheiden. Remote Help ist standardmäßig ausgeschaltet, die Ortung braucht unter Windows eine eigene Richtlinie und bei voll verwalteten Android-Firmengeräten eine ausdrückliche Freigabe, die Geräteabfrage eine Zusatzlizenz.

Häufige Fragen

Sieht mein Arbeitgeber über Intune, wo ich bin?

Bei privaten Geräten nicht, das schließt Microsoft ausdrücklich aus. Bei Firmengeräten kann die IT ein verlorenes Gerät orten; die Standortdaten werden laut Microsoft grundsätzlich erst beim Auslösen der Aktion erhoben und nach 24 Stunden gelöscht. Bei iPhones und iPads ist dafür der verwaltete Verlustmodus nötig, der das Gerät sperrt und eine Meldung auf dem Sperrbildschirm zeigt.

Kann die IT mein privates Handy komplett löschen?

Das hängt davon ab, wie das Gerät eingebunden ist; bei vollständiger Registrierung ist das je nach Plattform möglich. Beim App-Schutz ohne Registrierung und beim Arbeitsprofil auf Android entfernt die IT nur Firmendaten; für private Android-Geräte mit Arbeitsprofil sieht Microsoft das Zurücksetzen auf Werkseinstellungen nicht vor. Bei der Benutzerregistrierung privater iPhones und iPads gehört das Zurücksetzen nicht zu den Fernaktionen für Administratoren.

Sieht die IT, welche Webseiten ich aufrufe?

Über Intune nicht: Den Browserverlauf zählt Microsoft zu den Dingen, die Ihr Unternehmen nie sieht. Auf Firmengeräten kann aber weitere Sicherheitssoftware laufen, die eigene Daten erhebt, etwa Microsoft Defender mit Angaben zu Netzwerkverbindungen. Fragen Sie im Zweifel nach, welche Werkzeuge auf Ihrem Gerät aktiv sind.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH führt Intune in kleinen und mittleren Unternehmen so ein, dass die Frage nach der Überwachung von Anfang an beantwortet ist. Wir legen mit Ihnen fest, welche Geräte als Firmengerät laufen, welchen Weg private Smartphones nehmen und welche Zusatzfunktionen aktiv sind, und hinterlegen den passenden Hinweis im Unternehmensportal. Für das Gespräch mit Ihrem Team oder Ihrem Betriebsrat bekommen Sie eine verständliche Übersicht, was die Verwaltung bei Ihnen sieht und was nicht. Mehr zu unseren Leistungen finden Sie unter Geräteverwaltung (MDM) und Intune und Defender. Im kostenlosen Erstgespräch klären wir, welcher Weg zu Ihren Geräten passt.

Dieser Beitrag bietet allgemeine Informationen und ersetzt keine Rechtsberatung.

Quellen

• Microsoft Learn, What info can your organization see when you enroll your device?, Stand 27.01.2025, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/user-help/enrollment/data-visibility
• Microsoft Learn, Device compliance policies in Microsoft Intune, Stand 02.07.2026, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/device-security/compliance/overview
• Microsoft Learn, Windows compliance settings in Microsoft Intune, Stand 17.09.2026, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/device-security/compliance/ref-windows-settings
• Microsoft Learn, Use Remote Help to Assist Users Authenticated by your Organization, Stand 13.08.2026, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/remote-help/
• Microsoft Learn, Deploy Remote Help with Microsoft Intune, Stand 13.08.2026, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/remote-help/deploy
• Microsoft Learn, Learn about eDiscovery, Stand 29.06.2026, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/purview/edisc
• Microsoft Learn, Microsoft Defender for Endpoint data storage and privacy, Stand 27.05.2026, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/defender-endpoint/data-storage-privacy
• Microsoft Learn, Device Query, Stand 01.09.2026, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/advanced-analytics/device-query
• Microsoft Learn, Advanced Analytics Overview, Stand 24.03.2026, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/advanced-analytics/
• Microsoft Learn, Device Action: Locate Device, Stand 27.10.2025, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/device-management/actions/locate
• Microsoft Learn, App Protection Policies Overview, Stand 04.03.2026, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/app-management/protection/overview
• Microsoft Learn, Mobile Application Management (MAM) and Android Enterprise Personally-Owned Work Profiles in Microsoft Intune, Stand 12.06.2025, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/app-management/protection/mam-vs-work-profiles-android
• Microsoft Learn, Overview of Apple User Enrollment in Microsoft Intune, Stand 19.08.2024, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/device-enrollment/apple/user-enrollment-methods-ios
• Microsoft Learn, How to Wipe Only Corporate Data From Apps, Stand 12.06.2024, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/app-management/protection/wipe-corporate-data
• Microsoft Learn, Device Action: Retire, Stand 06.08.2026, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/device-management/actions/retire
• Microsoft Learn, Wipe devices with Microsoft Intune, Stand 16.09.2026, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/device-management/actions/wipe
• Microsoft Learn, Device Actions: Wipe, Lock, Locate, and More, Stand 16.09.2026, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/device-management/actions/
• Microsoft Learn, How to Configure the Intune Company Portal Apps, Company Portal Website, and Intune App, Stand 02.10.2025, abgerufen am 20.10.2026, https://learn.microsoft.com/en-us/intune/app-management/configuration/configure-company-portal
• Bundesministerium der Justiz, § 87 Betriebsverfassungsgesetz (Mitbestimmungsrechte), abgerufen am 20.10.2026, https://www.gesetze-im-internet.de/betrvg/__87.html
• Bundesarbeitsgericht, Beschluss vom 08.03.2022, 1 ABR 20/21, abgerufen am 20.10.2026, https://www.bundesarbeitsgericht.de/entscheidung/1-abr-20-21/