HowTo: DATEV Sicherheitspaket mit Microsoft365 InTune automatisiert verteilen & installieren

[#1]

Hallo Gemeinde, 

dieses HowTo richtet sich an alle Kanzleien, die Microsoft365 im Einsatz haben und z.B. per Business Premium Lizenz den Microsoft Endpoint Manager nutzen können. 

Diese Anleitung ist fürs DATEV Sicherheitspaket compact geschrieben; kann aber auch auf alle anderen Programme migriert werden, welche kein MSI Paket zur Installation nutzen (zum Beispiel Jabra Direct). MSI Installationspakete lassen sich sehr einfach per Microsoft InTune verwalten; EXE Installationsdateien bedürfen allerdings etwas mehr Vorarbeit. 

Ziel 🏁: automatisierte Installation des DATEV Sicherheitspakets compact 

Grundlage dieses HowTos ist folgende Anleitung, die man allerdings in einigen Punkten etwas abwandeln muss.

1. Download DATEV Sicherheitspaket compact
2. Download Microsoft Win32 Content Prep Tool
3. EXE Datei des Sicherheitspakets mit diesem Tool in eine InTune-fähige Datei umwandeln 
4. Microsoft InTune Admin Center > Apps > Windows > hinzufügen > umgewandelte Datei hochladen
5. Installationsbefehl: sipacompact.exe /install /quiet /norestart
6. Deinstallationsbefehl: sipacompact.exe /uninstall /quiet /norestart
7. Regelformat: Erkennungsregeln manuell konfigurieren (wer hier ein PowerShell Skript schreiben kann: sehr gerne)

Hier muss man aktuell unterscheiden, ob man das SiPa erstmalig installiert oder nur aktualisieren will. Ist das SiPa noch nicht installiert würde ich die Erkennungsmethode auf Datei oder Ordner ist vorhanden setzen. Gibt es die Datei SiPaHost.exe nicht, wird das SiPa installiert. 

Möchte man ein vorhandenes SiPa aktualisieren, ist die SiPaHost.exe schon vorhanden. Das heißt, auch eine neuere Version wird nicht installiert, sodass ich mich für eine Versionsabfrage entschieden habe. Ist die SiPaHost.exe mit der aktuellen Version vorhanden: passt ✅ - wenn nicht, wird installiert. 

Heißt: Jede neue Version muss man mit dem o.g. Tool umwandeln und die Version einmalig anpassen. Das ließe sich sicher auch mit einem benutzerdefinierten Powershell Skript noch weiter vereinfachen. Leider bin ich da kein Experte drin. Wer hier unterstützen möchte: feel free 😃!

Danach legt man fest, auf welchen Geräten installiert werden soll (Zuweisungen) und welche dennoch ausgeschlossen werden sollen: fertig 👍. Beim nächsten Login am per InTune verwalteten Windows PC wird das Sicherheitspaket compact vollautomatisch, ohne Abfragen, ohne Benutzeraktion im Hintergrund installiert 😍. 

#ThinkBIG #GetReadyForAutomation

viel Erfolg! 💪

Daniel

[#2]

Wir haben 46 Endgeräte (PCs, ThinkClients, Laptops) im Einsatz. Statt 46x die gleiche Arbeit und gleichen Klicks an gleicher Stelle manuell zu machen (lieben Gruß an DATEV Software 👋) : it just works like designed, expected und ist skalierbar dazu. Wird ein neuer PC angeschafft: Mit dem Microsoft Konto anmelden und fertig. 

Automatisch wird bei uns installiert: 

1. VPN Software
2. Teamviewer
3. Jabra Direct
4. Office365 Apps
5. BlueJeans
6. SiPa compact
7. SwyxIt
8. Zoom
9. individueller Teams Hintergrund auf den man sich Kanzlei-weit geeinigt hat
10. RDP-Verknüpfung ins PARTNERasp

Weil man auf den PCs im Besprechungsraum kein Swyx braucht: Gruppe erstellt, alle Besprechungsraumgeräte hinzugefügt, in der Swyx Zuweisung einen Filter hinterlegt und schon wird Swyx auf diesen PCs nicht installiert. Wechselt man die PCs durch, muss man nur die Gruppenzugehörigkeit anpassen. 

Microsoft365 - I love it so much 😍 

#KeineMachtDemManuel

P.S. liebe DATEV : wann können wir mir einer MSI Version rechnen? 🤔

[#3]

Und wer noch mehr automatisieren will: Golem.de Live: Windows Autopilot - Devices einrichten & härten ❤️

Flexibel skalierbar von 10 Personen bis hin zum Konzern 😍. 

Wäre interessant, wie weit man das zusammen mit DATEVnet (zum Beispiel Telearbeitsplatz) treiben kann 🤓. Sicherlich wird's DATEV intern bereits ähnlich machen, oder @Dieter_Schröter? 

Welcher Solution Partner heute noch manuell PCs aufsetzt, von Hand und dafür hohe Entgelte verlangt - hm, nicht mehr zeitgemäß. 

[#4]

Hallo @metalposaunist 

da habe ich leider keine Erfahrungen,

Bitte an den DATEVnet Service wenden

Danke

Dieter

[#5]

Servicewüste Deutschland 😶. Andere hätten die Anfrage vielleicht intern schon weitergegeben, sodass sich ohne mein Zutun jemand Passendes bei mir gemeldet hätte. Mache ich bei unseren Mandanten auch so. Ich bin nur IT - ruf' meine Kollegin selber nochmal an 😂. 

Nein, danke. 

[#6]

Hallo metalposaunist,

vielen Dank für das Erstellen des Posts - die Methode nutzen wir genauso über Intune und es funktioniert top. Zur Position 10) RDP-Verknüpfung ins PARTNERasp hätte ich die Frage zum Vorgehen. Bisher lassen wir über Intune die Dateien (.RDPs) übertragen und dann per Script auf den PublicDesktop zu installieren... Nun meine Frage: Gibt es hier eine einfachere Möglichkeit (z.B. direkt zum PublicDesktop übertragen) ?

[#7]

Du kannst aus dem Script doch direkt die RDP Datei erstellen. Das ist ja unterm Strich ja nur eine Textdatei:

$RDPPath = Join-Path -Path $env:PUBLIC `
    -ChildPath "Desktop\ASP-WTS.rdp"

$RDPContent = @("
screen mode id:i:2
use multimon:i:1
desktopwidth:i:1920
desktopheight:i:1080
session bpp:i:16
winposstr:s:0,1,2325,491,3189,1247
compression:i:1
keyboardhook:i:2
audiocapturemode:i:0
videoplaybackmode:i:1
connection type:i:6
networkautodetect:i:0
bandwidthautodetect:i:1
displayconnectionbar:i:1
enableworkspacereconnect:i:0
disable wallpaper:i:1
allow font smoothing:i:1
allow desktop composition:i:1
disable full window drag:i:0
disable menu anims:i:0
disable themes:i:0
disable cursor setting:i:0
bitmapcachepersistenable:i:1
full address:s:<Broker Hostname>
audiomode:i:0
redirectprinters:i:0
redirectcomports:i:0
redirectsmartcards:i:0
redirectclipboard:i:1
redirectposdevices:i:0
autoreconnection enabled:i:1
authentication level:i:0
prompt for credentials:i:0
negotiate security layer:i:1
remoteapplicationmode:i:0
alternate shell:s:
shell working directory:s:
gatewayhostname:s:<Ggfs. Gateway>
gatewayusagemethod:i:0
gatewaycredentialssource:i:4
gatewayprofileusagemethod:i:1
promptcredentialonce:i:1
gatewaybrokeringtype:i:0
use redirection server name:i:1
loadbalanceinfo:s:tsv://MS Terminal Services Plugin.1.<Name der Sammlung>
rdgiskdcproxy:i:0
kdcproxyname:s:
drivestoredirect:s:
username:s:<Username>
redirectwebauthn:i:1
enablerdsaadauth:i:0
domain:s:<Domäne>
")

Out-File -FilePath $RDPPath `
    -InputObject $RDPContent

Bzw. den Inhalt am besten aus einer eurer WTS Verbindungen Copy&Pasten. 😉

[#8]

Bingo - da ist der Groschen gefallen - Vielen Dank ...

[#9]

Vielen Dank für die Anleitung. Ich hatte den Fall eine bestehende Version aktualisieren zu wollen.
Leider hat ein Spezialist bei Datev das Versionsattribut mit Komma und Leerzeichen ausgefüllt. Damit kann Intune nicht umgehen.

Als work around empfehle ich allen die vor der gleichen Herausforderung stehen das modification date vom SiPaHost zu nutzen. Siehe Screenshots anbei.

[#10]

---

@patrickfa schrieb:

Leider hat ein Spezialist bei Datev das Versionsattribut mit Komma und Leerzeichen ausgefüllt.

---

Warum nimmst Du nicht die Dateiversion, die . statt , hat? So mache ich das immer. Läuft zuverlässig. 

[#11]

Hallo Metalposaunist,

unser IT-Mann hat mir mitgeteilt, dass hierfür wohl ein Administratorenzugang notwendig ist. Können Sie mir bitte sagen, wo ich den beauftragen kann? Herzlichen Dank!

Viele Grüße

Daniela

[#12]

Es wird ein M365 User mit Berechtigungen für Intune und einer Intune Lizenz benötigt oder die "unlicensed Admins" müssen aktiviert werden (Unlicensed admins in Microsoft Intune - Microsoft Intune | Microsoft Learn).

(Die User (oder Devices) brauchen nachher natürlich auch Intune Lizenzen.)

[#13]

Habe heute ein Windows Laptop mit Windows 11 (weil Windows 10 in 1 Jahr auch hin ist) vom Kanzleiinhaber neu installieren müssen. Wie geil das einfach war 😍, wenn man sich nur noch um die Ausnahmen aka SFirm kümmern muss. Der Rest war einfach da. In Teamviewer noch ein festes Passwort hinterlegen und fertig. Das 20 Zeichen WLAN Kennwort für den internen Zugriff war auch nur eine Gruppenzuweisung und Synchronisation weit weg: kein manuelles Eintippen, kein manuelles Vertippen, keine Rückfrage: wie lautet das Kennwort vom Kanzlei WLAN. Verbinden, fertig. Und das kann man sicher noch 10x mehr automatisieren. I like 👍!

Und den gewerblich kostenlosen Veeam kann ich auch empfehlen. Klappt ebenfalls wie geplant: sichern, vom USB-Stick booten, vom NAS das Image wählen, neu starten & fertig. Alles 1:1 wieder da, wie es vorher war 👍.