Intune Enterprise App Management mit Auto-Update: der Third-Party-Patcher, den du nicht blind anschaltest
Der Enterprise App Catalog war lange eine bequeme Abkürzung. Du suchst 7-Zip, Notepad++ oder den Cisco Secure Client, klickst auf hinzufügen, und Intune füllt Install-Kommandos, Detection Rules und Requirements selbst aus. Kein PSADT-Wrapper, keine handgeschriebenen Detection Rules, kein Ratespiel bei den Return Codes.
Eine Sache konnte der Katalog bisher nicht: Apps aktuell halten, ohne dass du bei jeder neuen Version nacharbeitest. Genau das ändert Service Release 2606.
Seit 2606 aktualisiert Intune Enterprise App Catalog Apps automatisch. Du setzt ein Häkchen, und sobald eine neue Version im Katalog liegt, zieht Intune sie auf deine Geräte. Ohne neue App, ohne Supersedence-Kette. Damit ist Intune still und leise zum Third-Party-Patcher geworden.
Der Haken sitzt nicht in der Idee. Der Haken sitzt darin, wie Intune diese Updates verteilt.
Was 2606 technisch ändert
Bisher lief die Update-Pflege im Katalog über einen Report. Unter Apps zeigt dir Intune die Enterprise App Catalog apps with updates, und du legst pro Update eine neue App mit einer Supersedence-Beziehung an. Das nennt Microsoft Guided Update Supersedence. Du behältst die Kontrolle, zahlst aber mit Handarbeit pro Version.
Auto-Update dreht das um. Du aktivierst es beim Hinzufügen oder Bearbeiten einer Katalog-App im Schritt Assignments. Ab dann erkennt Intune neue Versionen im Katalog und rollt sie selbst aus. Die Installation übernimmt weiterhin die Intune Management Extension, nicht Winget, und der Content kommt aus Microsoft Storage über *.manage.microsoft.com.
Drei Bedingungen musst du kennen, bevor du das Häkchen suchst:
- Auto-Update greift nur bei Apps mit einer Required-Zuweisung. Available-Apps bleiben beim alten Report-Weg.
- Es gilt für Enterprise App Catalog Apps, nicht für beliebige Win32-Pakete.
- Unterstützt werden Windows 10 und Windows 11.
Auto-Update ist nicht dasselbe wie Self-Update
Manche Katalog-Apps aktualisieren sich selbst über den Mechanismus des Herstellers. Intune stellt dann nur eine Mindestversion sicher und meldet die gefundene Version. Auto-Update ist der Intune-gesteuerte Weg, bei dem Intune die neue Version aus dem Katalog aktiv verteilt. Beides sieht im Ergebnis ähnlich aus, hat aber unterschiedliche Besitzer.
Drei Wege, eine Katalog-App aktuell zu halten
Wenn du die Optionen sauber trennst, fällt die Entscheidung pro App leichter.
| Weg | Wer entscheidet über die Version | Deine Kontrolle |
|---|---|---|
| Guided Supersedence | Du, pro Update manuell. | Volle Kontrolle über Timing, Ringe und Rollback. |
| Auto-Update | Intune, sobald der Katalog eine neue Version führt. | Häkchen an oder aus. Dazwischen wenig. |
| Self-Update | Der Hersteller im laufenden Betrieb. | Intune prüft nur eine Mindestversion. |
Für den Alltag heißt das: Auto-Update nimmt dir die Arbeit ab, gibt dafür aber die Steuerung an den Katalog ab. Genau da wird es interessant.
Der Haken: keine Ringe, kein Rollback, alles gleichzeitig
Microsoft ist bei den Grenzen erfreulich offen, und die Liste gehört gelesen, bevor du produktiv anschaltest.
Auto-Update kennt keine Rollout-Ringe und keine gestaffelte Verteilung. Sobald eine neue Version im Katalog steht, geht sie an alle Zielgeräte der App gleichzeitig. Das Pilot-Fast-Broad-Modell, das du bei Compliance und Windows Update selbstverständlich baust, fehlt hier komplett.
Auto-Update kennt außerdem kein Rollback und keine automatische Deinstallation. Wenn eine Version Ärger macht, musst du selbst gegensteuern, etwa mit einer Uninstall-Zuweisung oder einem Remediation-Skript. Es gibt keinen Knopf, der die Flotte auf die letzte gute Version zurückholt.
Eine schlechte Version trifft sofort die ganze App-Zielgruppe
Weil es weder Ringe noch Rollback gibt, ist der Blast-Radius einer fehlerhaften Version genau so groß wie deine Required-Zuweisung. Reserviere Auto-Update für Apps, bei denen eine kaputte Version wehtut, aber nicht den Betrieb anhält.
Dazu kommen Details, die im Ernstfall zählen:
- Katalog-Cache bis zu einer Stunde. Der Katalog wird bis zu 60 Minuten gecacht. Wird eine Version wegen eines Sicherheitsproblems zurückgezogen, können Geräte in diesem Fenster weiter die alte Version bekommen.
- Revocation ist deine Aufgabe. Erkennt Microsoft eine bösartige Version, entfernt sie die App aus dem Katalog und meldet das im Admin Center. Betroffene Geräte finden und bereinigen musst du selbst.
- Reporting kennt nur den letzten Stand. Intune speichert pro Gerät nur den aktuellen Status, keine Versionshistorie. Wer wann auf welcher Version war, rekonstruierst du daraus nicht.
- Kein Blocking App in ESP oder Autopilot Device Preparation. Eine Auto-Update-App kannst du nicht als blockierende App im Enrollment Status Page oder in der Device Preparation setzen.
- Konflikte mit anderen Deployment-Typen. Zielt gleichzeitig eine Line-of-Business-App auf dieselbe Anwendung, entsteht eine Race Condition zwischen den Versionen. Verwalte jede App über genau einen Deployment-Typ.
Wie die zwei Wege wirklich laufen
Der Unterschied lässt sich an einer einzigen neuen Version festmachen.
Auto-Update ist der schnelle Pfad für Security-Patches. Guided Supersedence ist der kontrollierte Pfad für alles, was du gestaffelt und mit Rückweg ausrollen willst. Die Kunst liegt darin, jede App bewusst dem richtigen Pfad zuzuordnen.
Wie ich es einordnen würde
Auto-Update ist kein Ersatz für ein Update-Ring-Modell. Es ist ein Werkzeug für eine bestimmte App-Klasse.
Ich würde Apps in zwei Töpfe sortieren. In den ersten Topf kommen breit verteilte, unkritische Tools, bei denen schnelles Patchen mehr wert ist als eine Pilotphase. 7-Zip, Notepad++, VLC oder ein PDF-Reader gehören dorthin. Eine neue Version bringt selten einen Betriebsausfall, und der Sicherheitsgewinn durch zeitnahe Updates überwiegt.
In den zweiten Topf kommen Apps, die an Workflows hängen. VPN-Clients, Branchensoftware, alles mit Treiberanteil oder Lizenzserver. Hier will ich Ringe, einen Testlauf und einen Rückweg. Für diese Apps bleibe ich bei Guided Supersedence, auch wenn es mehr Arbeit macht.
Faustregel für den Auto-Update-Kandidaten
Frag dich pro App: Wenn heute Nacht eine kaputte Version an alle Zielgeräte geht, ist das ein Ticket oder ein Incident? Bei Ticket kannst du über Auto-Update nachdenken. Bei Incident gehört die App in den kontrollierten Pfad.
Und die Zielgruppe der Required-Zuweisung ist bei Auto-Update wichtiger als sonst, weil sie exakt dem Blast-Radius entspricht. Eine großzügige All-Devices-Zuweisung mit Auto-Update ist dieselbe Art Blindflug wie eine tenantweite Compliance-Policy ohne Filter.
Die Lizenzfrage kommt gleich hinterher
Enterprise App Management ist kein Gratis-Feature. Es braucht ein Abo zusätzlich zu Intune Plan 1 oder Plan 2, entweder als eigenständige SKU oder als Teil der Intune Suite.
Seit dem Umbau rund um den 1. Juli 2026 stecken Endpoint Privilege Management, Enterprise App Management und Cloud PKI zusätzlich in Microsoft 365 E3 und E5. Wenn dein Tenant dort provisioniert wird, hast du Auto-Update unter Umständen bereits lizenziert, ohne es aktiv gekauft zu haben. Was das für die Lizenzierung insgesamt bedeutet, habe ich im Beitrag zur Intune Suite in E3 und E5 auseinandergenommen.
Verfügbarkeit gestaffelt, prüfe deinen Tenant
Sowohl die E3- und E5-Einschließung als auch einzelne Katalog-Funktionen rollen schrittweise aus. Prüfe im Admin Center, ob Auto-Update in deinem Tenant sichtbar ist, bevor du ein Rollout-Konzept darauf aufbaust.
Fazit
Auto-Update im Enterprise App Catalog ist ein ehrlicher Fortschritt. Für die lange Liste unkritischer Standard-Apps verschwindet endlich die Paketier- und Supersedence-Arbeit, und Security-Patches landen schneller auf den Geräten.
Genau deshalb solltest du es nicht auf alles werfen. Es hat keine Ringe, keinen Rollback und keine Historie, und ein Katalog-Fehler trifft sofort die ganze Zielgruppe.
Sortiere deine Apps. Gib den unkritischen Tools Auto-Update und eine enge Zielgruppe. Lass die workflow-nahen Apps im kontrollierten Pfad mit Ringen und Rückweg. Und spiel den Revocation-Fall einmal durch, bevor er dich das erste Mal echt trifft.
Dann wird aus dem Third-Party-Patcher ein Werkzeug und keine Wundertüte, die freitags um kurz vor Feierabend die Flotte aktualisiert.