Windows Autopilot: Hybrid-Join-Vorbereitung scheitert, wenn Richtlinienkonflikt Domänencontroller braucht
Zusammenfassung
Bei der Windows-Autopilot-Vorabbereitstellung (Pre-provisioning) für Microsoft Entra Hybrid Join kann der Technikerablauf scheitern, wenn eine zugewiesene Richtlinie einen Domänencontroller zur Auflösung eines Richtlinienkonflikts benötigt. Microsoft beschreibt dies als bekannte Einschränkung und erwartetes Verhalten, wenn das Gerät keine direkte Verbindung zu einem Domänencontroller hat. Microsoft dokumentiert Möglichkeiten, das Problem zu vermeiden.
Symptome
Der Technikerablauf schlägt fehl. Das Ereignisprotokoll enthält einen Fehler ähnlich: MDM PolicyManager: Merge string, Area: (UserRights), Policy: (DenyLocalLogOn), Result:(0x800706FD) The trust relationship between this workstation and the primary domain failed. Bei Szenarien ausserhalb des Firmennetzes mit einem eigenen VPN (BYO, Bring Your Own) steht das VPN während des Technikerablaufs nicht zur Verfügung, daher kann das Gerät den Richtlinienstatus nicht auflösen.
Betroffen
- Windows Autopilot Pre-provisioning (Technikerablauf) mit Microsoft Entra Hybrid Join
- Geräte mit zugewiesenen Richtlinien, bei denen der Client-Stack für die Geräteverwaltung (DM) zur Konfliktauflösung einen Active-Directory-Domänencontroller kontaktieren muss
- Insbesondere Bereitstellung ausserhalb des Firmennetzes mit BYO-VPN
Workaround
- Keine Richtlinien zuweisen, die während des Technikerablaufs eine Verbindung zum Domänencontroller benötigen.
- Alternativ das Gerät in einem Netzwerk vorbereiten, das eine direkte Verbindung zu einem Domänencontroller hat.
Lösung
Noch nicht behoben. Microsoft beschreibt dies als bekannte Einschränkung.
Empfehlung
Prüfen Sie die Richtlinien in Hybrid-Join-Autopilot-Profilen, insbesondere Benutzerrechte wie DenyLocalLogOn, und vermeiden Sie Konflikte, die einen Domänencontroller erfordern. Führen Sie das Pre-provisioning im Firmennetz oder in einem anderen Netzwerk mit Zugang zu einem Domänencontroller durch, nicht über ein BYO-VPN.
Quellen
- Windows Autopilot: known issues Hersteller · learn.microsoft.com
Aus den genannten Quellen zusammengestellt und übersetzt mit AI (Claude); Status und Daten stammen vom Hersteller. Massgebend sind die Angaben des Herstellers. Aktualisiert 01.11.2026 18:36.
Woher die Angaben stammen
Wir lesen laufend die offiziellen Quellen der Hersteller, Meldungen aus der Community und Fachmedien und fassen die Angaben in eigenen Worten zusammen, mit Link zur Quelle:
- Microsoft: Windows Release Health (Windows 10/11, Server 2016 bis 2025), Windows Message Center, bekannte Probleme von Microsoft 365 Apps (Outlook, Excel, Word, PowerPoint), Edge, Intune, Autopilot, Windows 365 und Entra Connect, Microsoft-KB mit Zeitplänen, Exchange- und Windows-IT-Pro-Blog, optional Microsoft 365 Dienststatus und Message Center
- weitere Hersteller: Veeam KB, Citrix (bekannte Probleme), Ubuntu und Debian (Regressionen), Broadcom (VMware), Fortinet, Cisco, Mozilla, Let’s Encrypt
- Community (nur Titel, kurzer Auszug und Link, ohne Namen der Verfasser): Microsoft Q&A, Microsoft Tech Community (Diskussionen), Veeam R&D Forums, Eleven Forum
- gezielte Websuche mit AI (Claude), z. B. zu den Updates des Monats – findet auch Diskussionen auf Reddit und in Foren; solche Einträge sind als Community-Meldung gekennzeichnet, bis der Hersteller sie bestätigt
- Frühwarnung aus Fachmedien (nur Titel und Link): Borns IT- und Windows-Blog, BleepingComputer, AskWoody, Windows Latest, Windows Central, gHacks, The Windows Club, Deskmodder, Dr. Windows, WindowsArea, Frankys Web, heise online
Zusammenfassung und Übersetzung mit AI (Claude von Anthropic) – ohne Daten von Besucherinnen und Besuchern.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, setzen Workarounds sauber um und planen Stichtage rechtzeitig ein.