Intune CNAME-Abschaltung: Windows MDM-only ab Januar 2027

Ab dem 15. Januar 2027 beziehungsweise kurz danach unterstützt Microsoft Intune keine DNS-CNAME-basierte Auto-Discovery mehr für das Windows MDM-only Enrollment. Wenn dein Onboarding diesen Mechanismus verwendet, müssen deine User künftig die Adresse des Enrollment-Servers eingeben – sofern der verwendete Enrollment-Prozess sie nicht bereits bereitstellt.

Bereits registrierte Geräte bleiben von der Änderung unberührt. Auch MDM-only Enrollment bleibt weiterhin unterstützt. Du musst also prüfen, wie deine Geräte beim Enrollment den Intune-Service finden. Genau an dieser Stelle setzt die Änderung aus der Message-Center-Mitteilung MC1509780 vom 15. Oktober 2026 an. Microsoft-Ankündigung

Was Windows MDM-only Enrollment eigentlich macht

Um die Auswirkungen einzuordnen, hilft es, drei Dinge auseinanderzuhalten: Geräteverwaltung, Enrollment und Discovery.

MDM steht für Mobile Device Management. Trotz des Namens gehört auch die Verwaltung von Windows-PCs dazu. Über Intune kannst du beispielsweise Konfigurationen und Sicherheitsrichtlinien auf Geräte bringen. Damit das funktioniert, muss das Gerät zunächst in die Verwaltung aufgenommen werden. Diesen Vorgang nennt man Enrollment.

Die Discovery findet davor statt: Windows muss herausfinden, welchen Enrollment-Service es kontaktieren soll. Erst danach folgen die weiteren Schritte wie Anmeldung und Aufnahme in die Geräteverwaltung.

Beim MDM-only Enrollment stellst du gezielt diese Verwaltungsverbindung her. Der entsprechende Einstieg befindet sich in den Windows-Einstellungen unter Accounts → Access work or school → Enroll only in device management. Du gibst deine geschäftliche E-Mail-Adresse ein und durchläufst den Enrollment-Prozess.

Dieser Schritt führt selbst keinen Microsoft Entra Join und keine Microsoft Entra Registration durch. Er kann also dazu genutzt werden, ein Gerät in die Verwaltung aufzunehmen, ohne über denselben Vorgang seine Geräteidentität mit Entra ID zu verbinden. Welche Identitätsbindung vorher bereits besteht, ist eine separate Frage.

Das erklärt auch den Unterschied zum üblichen Automatic Enrollment: Dort kann die Intune-Aufnahme beim Join oder bei der Registrierung in Entra ID automatisch mitlaufen. MDM-only ist ein eigener Enrollment-Pfad. Microsoft empfiehlt diesen übrigens nicht für persönliche beziehungsweise BYOD-Geräte – auch wenn er weiterhin unterstützt wird.

Für Automatic Enrollment brauchst du Entra ID P1

Wenn du Windows-Geräte beim Entra Join oder bei der Entra Registration automatisch in Intune aufnehmen willst, gehört auch die Lizenzierung zum Setup: Automatic MDM Enrollment benötigt eine Intune-Lizenz und mindestens Microsoft Entra ID P1. Entra ID P2 erfüllt die Voraussetzung ebenfalls. Microsoft nennt beide Anforderungen in den Voraussetzungen für Automatic Enrollment.

Wichtig

Entra ID P1 ist für Automatic MDM Enrollment erforderlich. Das Ende der CNAME Auto-Discovery führt aber keine neue P1-Pflicht für das manuelle MDM-only Enrollment ein. Dieser Weg bleibt mit der angegebenen Server-URL weiterhin unterstützt. Die angekündigte Änderung betrifft die Serversuche.

Wenn du die Umstellung zum Anlass nimmst, von MDM-only auf Automatic Enrollment zu wechseln, prüfe deshalb vorher die vorhandenen Lizenzen. Entra ID P1 ersetzt die Intune-Lizenz nicht – für die Geräteverwaltung brauchst du weiterhin eine passende Intune-Lizenz.

So hat die CNAME Auto-Discovery funktioniert

Der CNAME hat bisher die Suche nach dem richtigen Server vereinfacht. Ein CNAME ist ein DNS-Alias: Ein Name verweist auf einen anderen Hostnamen. Für Intune konnte das beispielsweise so aussehen:

DNS-Name deiner Organisation	Typ	Ziel
`EnterpriseEnrollment.contoso.com`	CNAME	`EnterpriseEnrollment-s.manage.microsoft.com`

Wenn ein User beim Enrollment alex@contoso.com eingibt, lässt sich aus der Domain der passende Discovery-Name ableiten. Über den hinterlegten Alias findet Windows den Microsoft-Service. Der User muss dessen technische Adresse nicht kennen.

Der praktische Nutzen war ziemlich direkt: E-Mail-Adresse eingeben, anmelden, Enrollment fortsetzen. Die IT pflegte den passenden DNS-Eintrag und ersparte den Usern eine zusätzliche Serverabfrage.

Der CNAME selbst hat dabei weder Zugangsdaten gespeichert noch das Gerät eigenständig in Intune aufgenommen. Er half Windows dabei, den richtigen Einstiegspunkt zu finden. Authentifizierung und Enrollment waren weiterhin eigene Schritte.

Warum Microsoft den Support beendet

Microsoft begründet das Supportende mit einer Vereinfachung und Modernisierung des Enrollments. Konkret soll die Abhängigkeit von DNS-basierter Discovery sinken und das Enrollment-Erlebnis konsistenter werden. Das ist die offiziell genannte Begründung.

Technisch ist die Richtung nachvollziehbar: Wenn die Serverinformation direkt im Enrollment-Prozess vorliegt oder ausdrücklich eingegeben wird, hängt dieser Schritt nicht mehr vom organisationsspezifischen Discovery-Eintrag ab.

Aus User-Sicht kann dadurch allerdings zunächst ein zusätzlicher Handgriff entstehen. Wer bisher nur seine E-Mail-Adresse eingeben musste, bekommt möglicherweise eine Serverabfrage angezeigt. Genau deshalb gehört diese Änderung rechtzeitig in deine Onboarding-Anleitung. Eine fehlende URL sollte nicht erst während der Einrichtung zum Helpdesk-Ticket werden.

Prüfe, ob dein Enrollment-Workflow betroffen ist

Ob du betroffen bist, entscheidet dein tatsächlicher Enrollment-Workflow. Ein vorhandener EnterpriseEnrollment-Eintrag allein reicht für diese Einschätzung nicht aus. Er kann noch im DNS stehen, obwohl eure Geräte längst über andere Wege aufgenommen werden.

Dein Szenario	Auswirkung dieser Änderung
Windows MDM-only Enrollment nutzt den CNAME zur Serversuche	Betroffen: Serverinformation muss künftig anderweitig bereitstehen.
MDM-only Enrollment erhält die Server-URL bereits direkt	Keine zusätzliche manuelle Eingabe nötig, sofern der Prozess die URL weiterhin bereitstellt.
Ein Gerät ist bereits erfolgreich in Intune aufgenommen	Die bestehende Registrierung bleibt unberührt.
Enrollment läuft über Microsoft Entra ID	Laut Ankündigung nicht betroffen.

Auch beim üblichen Windows Autopilot mit Entra-Anbindung und Automatic MDM Enrollment ergibt sich aus dieser Ankündigung kein zusätzlicher Schritt zur manuellen Servereingabe. Automatic Enrollment nutzt die konfigurierte MDM-Anbindung und wird unter anderem von Autopilot verwendet.

Prüfe trotzdem eure Sonderfälle. Wenn das reguläre Deployment über Autopilot läuft, der Helpdesk bei Problemen aber eine separate Anleitung für MDM-only Enrollment verwendet, gehört genau diese Anleitung in den Review. Entscheidend ist der jeweils genutzte Weg.

Diese Server-URL brauchen deine User künftig

Für betroffene User läuft die Änderung auf Folgendes hinaus: Fragt Windows nach dem Enrollment-Server, muss die vollständige von Microsoft angegebene URL eingetragen werden:

https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc

Danach kann das Enrollment fortgesetzt werden. Falls euer Enrollment-Prozess diese Information bereits mitliefert, entfällt die manuelle Eingabe.

Die URL gehört in das Feld MDM Server URL des Enrollment-Dialogs. Stelle sie in deiner Anleitung direkt kopierbar bereit.

So kann die zusätzliche Serverabfrage aussehen: Trage die vollständige Enrollment-URL in MDM Server URL ein und setze das Enrollment mit Next fort. Der Screenshot lässt sich per Klick in voller Größe öffnen.

So bereitest du dein Onboarding vor

Für die Vorbereitung würde ich diese Schritte einplanen:

Prüfe eure tatsächlich verwendeten Enrollment-Wege.
Schau dir das reguläre Onboarding und die manuellen Helpdesk-Anleitungen an. Suche gezielt nach dem Einstieg „Enroll only in device management“ und nach Abläufen, die eine automatische Serversuche voraussetzen.
Gleiche den Workflow mit der DNS-Konfiguration ab.
Prüfe, ob passende EnterpriseEnrollment-CNAMEs vorhanden sind und ob eure MDM-only-Prozesse davon abhängen. Berücksichtige auch weitere verwendete Anmeldedomänen beziehungsweise UPN-Suffixe.
Aktualisiere die betroffenen Anleitungen.
Ergänze die vollständige Enrollment-URL, den zugehörigen Dialog und den nächsten Schritt. Prüfe dabei auch Knowledge-Base-Artikel, Provisioning-Dokumentation und Unterlagen, die externe Deployment-Teams verwenden.
Bereite den Helpdesk vor.
Das Support-Team sollte die zusätzliche Serverabfrage kennen und die passende URL griffbereit haben. Wenn ein User an dieser Stelle stehen bleibt, lässt sich der Vorgang gezielt fortsetzen.
Teste den Ablauf mit einem geeigneten Testgerät.
Gehe den betroffenen Enrollment-Pfad vollständig durch. Prüfe, woher die Serverinformation kommt und ob sich das Enrollment mit eurer aktualisierten Anleitung erfolgreich abschließen lässt.

Diese Vorbereitung sollte vor dem 15. Januar 2027 abgeschlossen sein. Die Formulierung „oder kurz danach“ ist kein sinnvoller Puffer für eure Planung.

Was jetzt mit deinen DNS-Einträgen passiert

Aus der Ankündigung folgt außerdem keine pauschale Aufforderung, DNS-Einträge zu löschen. Microsoft fordert ausdrücklich dazu auf, die Anforderungen der eigenen Umgebung zu prüfen. Ob ein vorhandener EnterpriseEnrollment-Record noch gebraucht wird, solltest du deshalb anhand seiner tatsächlichen Verwendung entscheiden.

Achte dabei auf die ähnlich benannten Einträge: EnterpriseRegistration hat eine andere Aufgabe und gehört zur Entra-Geräteregistrierung. Die beiden Records sollten bei einem DNS-Cleanup nicht miteinander verwechselt werden.

Denk auch an das spätere Re-Enrollment

Plane in deinen Test auch ein späteres Re-Enrollment ein, wenn dieser Ablauf bei euch vorkommt. Ein heute verwaltetes Gerät ist als Bestandsgerät nicht betroffen. Wird es später zurückgesetzt und erneut über den betroffenen MDM-only-Pfad aufgenommen, muss die Serversuche wieder funktionieren.

Ein erfolgreicher Sync eines bestehenden Geräts bestätigt deshalb noch nicht, dass euer künftiges Onboarding vorbereitet ist. Der aussagekräftige Check ist ein vollständiger Enrollment-Durchlauf mit der Anleitung, die deine User nach der Umstellung tatsächlich verwenden.