En ny medarbejder starter mandag. Fredag før sidder IT stadig og installerer Windows, henter drivere og opdaterer manuelt – 2 til 5 timer pr. maskine (CloudCapsule, 2024). Med Microsoft Intune og Windows Autopilot pakker medarbejderen selv PC’en ud, logger på med sin firma-mail, og maskinen konfigurerer sig selv på 30–60 minutter. Ingen IT-hænder involveret. Denne guide viser jer, hvordan I kommer dertil – og hvorfor I sandsynligvis allerede betaler for det.

Key takeaways

• Zero-Touch = Autopilot + Intune: PC’en sendes direkte til medarbejderen og konfigurerer sig selv ved første login. Skab én Autopilot-profil, og genbrug den på hver ny enhed.
• I betaler nok allerede: Autopilot har ingen separat licens – den låses op med Intune og Entra ID, som ligger i Microsoft 365 Business Premium (Communications Square).
• Luk admin-hullet: Brugere oprettes automatisk som Standard Users, ikke lokale administratorer. Det stopper størstedelen af malware, der kræver admin-rettigheder.
• Compliance før første login: Enrollment Status Page blokerer skrivebordet, indtil BitLocker, Defender og apps er på plads (Microsoft Learn).
• Sikker offboarding: Ét klik (“Wipe”/Autopilot Reset) renser en PC og gør den klar til næste medarbejder.

Hvorfor koster manuel PC-opsætning mere, end I tror?

Regn det ud. Tager en manuel klargøring 3 timer, og koster en IT-time 650 kr., er det knap 2.000 kr. pr. maskine – før I overhovedet tæller ventetid og fejl. Ved 20 nye eller udskiftede PC’er om året løber det op i cirka 40.000 kr. i ren spildtid.

Forrester fandt, at Autopilot reducerer IT’s konfigurationstid med 25 minutter pr. enhed, og at app-provisionering falder med 2,6 timer pr. forespørgsel (Forrester/Microsoft). Og I slipper for at bygge og vedligeholde “gyldne images” – Autopilot bruger OEM-versionen af Windows direkte fra fabrikken (The Deployment Guy, 2025).

Før: IT pakker hver PC ud, installerer image, drivere og apps i 3 timer, før medarbejderen får maskinen.
Efter: Distributøren sender PC’en direkte hjem til medarbejderen, som logger på og er kørende på under en time – uden IT-tid.

Sådan fungerer Zero-Touch udrulning med Windows Autopilot

Flowet er enkelt, når det først er sat op. Enheden registreres i Autopilot (typisk automatisk via leverandøren). Medarbejderen tænder PC’en, vælger sprog og forbinder til wifi. Herefter logger de på med firma-mailen, og Intune tager over: politikker, kryptering, apps og profiler ruller ud automatisk (Sourcepass).

Fordi enheden tilmeldes ved første login med firma-mail, forsvinder friktionen for hybride og remote medarbejdere. Hardware kan sendes direkte til privatadressen. Vil I koble det sammen med jeres øvrige Microsoft 365-opsætning, sker det i samme miljø.

Hvordan lukker Intune jeres største sikkerhedshul?

Det største hul i mange SMV’er er, at brugerne er lokale administratorer på deres egen PC. Det gør det nemt for ransomware at installere sig selv. Med Autopilot oprettes brugere som Standard Users som standard (CyberOne Security), så admin-rettigheder ikke længere ligger frit tilgængeligt.

Enrollment Status Page (ESP) er den anden lås. Den blokerer adgangen til skrivebordet, indtil alle krævede sikkerhedspolitikker og apps er installeret (Microsoft Learn). Ingen kan åbne Word, før BitLocker og Defender er aktive. Det er praktisk endpoint-sikkerhed – og direkte anvendeligt til at dokumentere kontrol under NIS2.

Før: Medarbejderen kan bruge PC’en, mens sikkerhedspolitikker “kommer senere” – hvis nogen husker det.
Efter: PC’en er krypteret og beskyttet, før medarbejderen overhovedet ser skrivebordet.

Tjekliste: Er I klar til Zero-Touch med Intune?

1. Licens: Har I Microsoft 365 Business Premium? Så har I allerede Intune og Entra ID P1 – Autopilot koster ikke ekstra.
2. Entra ID: Er jeres brugere i Microsoft Entra ID (tidl. Azure AD)? Det er fundamentet for tilmelding.
3. App-inventar: Har I en liste over de 5–10 apps, alle skal have? Dem pakker I én gang og udruller automatisk.
4. Standardpolitik: Har I besluttet BitLocker, Defender-baseline og adgangskodekrav? Dem tvinger ESP igennem.
5. Admin-model: Har I aftalt, hvem der må være lokal admin (helst ingen)? Definer håndteringen af undtagelser.
6. Leverandør: Kan jeres hardwareleverandør registrere enheder i jeres Autopilot direkte? Det fjerner det sidste manuelle led.
7. Offboarding: Har I en fast rutine for Wipe/Autopilot Reset, når nogen stopper?

Sådan bruger I Intune på jeres eksisterende PC’er

I behøver ikke købe nye maskiner for at komme i gang. Eksisterende Windows 10/11-enheder kan konverteres til Autopilot via Intune (Microsoft Learn). Det kræver Entra ID P1, som allerede ligger i Business Premium. I praksis betyder det, at I kan starte med den flåde, I har, og lade nye indkøb glide ind i samme flow.

Når en medarbejder stopper, gør Autopilot Reset genbrug til en 1-kliks operation: data slettes, men Intune-tilknytningen bevares (MDM and GP Answers). PC’en er klar til næste person på minutter i stedet for en halv arbejdsdag. Det samme gælder ved tyveri eller bortkomst – en fjernsletning beskytter virksomhedens data uanset hvor enheden er.

Intune som NIS2-hardwareregister

NIST anbefaler centraliseret MDM til at håndhæve Zero Trust på endpoint-niveau, herunder kryptering og fjernsletning (NIST SP 800-124 Rev. 2). Intune holder samtidig et automatisk opdateret overblik over, hvem der har hvilke enheder, og om de er compliant. Det er både et driftsværktøj og et dokumentationsværktøj, når I skal vise compliance.

Ofte stillede spørgsmål om Microsoft Intune for SMV

Hvad koster Microsoft Intune for en SMV?

Har I Microsoft 365 Business Premium, er Intune og Entra ID allerede inkluderet, og Autopilot koster ikke ekstra. Har I kun Business Standard, skal I opgradere eller tilkøbe Intune separat. Tjek jeres licens før I køber tredjeparts-MDM.

Hvor lang tid tager en Zero-Touch opsætning at komme i gang med?

Selve grundopstillingen – Autopilot-profil, ESP, basispolitikker og app-pakker – tager typisk nogle dage. Derefter er hver ny PC kørende på 30–60 minutter uden IT-tid.

Kan vi bruge Intune på PC’er, vi allerede har?

Ja. Eksisterende Windows 10/11-enheder kan konverteres til Autopilot via Intune, så I ikke skal vente på en hardwareudskiftning for at få gevinsten.

Skal medarbejderne miste deres lokale administrator-rettigheder?

Ja, som udgangspunkt. Autopilot opretter brugere som Standard Users, hvilket lukker et af de største ransomware-huller. Behov for installationer løses via app-udrulning i Intune, så produktiviteten ikke lider.

Hvad sker der med PC’en, når en medarbejder stopper?

I kører en Wipe eller Autopilot Reset fra Intune. Data slettes, Intune-tilknytningen bevares, og maskinen er klar til næste medarbejder. Ved tab eller tyveri fjernsletter I enheden, uanset hvor den er.

Virker Windows Autopilot for remote og hybride medarbejdere?

Ja – det er en af de største fordele. Hardware sendes direkte til privatadressen, og medarbejderen logger blot på med firma-mail. Al konfiguration sker over internettet.

Hjælper Intune med NIS2-compliance?

Det leverer flere af de kontroller, NIS2 forudsætter: gennemtvunget kryptering, centraliseret enhedsstyring, fjernsletning og et opdateret enhedsoverblik til dokumentation.

Sådan kommer I i gang – konkrete skridt

1. Tjek jeres licens: Bekræft at I har Microsoft 365 Business Premium (eller planlæg opgradering).
2. Lav en app-liste: Skriv de 5–10 apps ned, alle nyansatte skal have fra dag ét.
3. Definer basispolitik: BitLocker, Defender-baseline, adgangskodekrav og Standard User som standard.
4. Byg én Autopilot-profil og én ESP i Intune, og test den på en pilotmaskine.
5. Aftal med jeres hardwareleverandør, at nye enheder registreres direkte i jeres Autopilot.
6. Konvertér den eksisterende flåde løbende, og indfør Wipe/Reset som fast offboarding-rutine.
7. Book et Intune-tjek hos A-one Solutions, hvis I vil have flowet sat rigtigt op fra start.