Was PSADT-Package Forge im Intune-Mandanten darf

Für den Import nach Intune wird eine App-Registrierung in Microsoft Entra ID benötigt. Sie entsteht im eigenen Mandanten, gehört dem eigenen Unternehmen und lässt sich jederzeit entziehen. Diese Seite listet vollständig auf, welche Berechtigungen dabei angefordert werden, wofür — und was die Anwendung davon tatsächlich nutzt.

Die angeforderten Berechtigungen

Berechtigung Typ Wofür
DeviceManagementApps.ReadWrite.All Application Permission Win32-App in Intune anlegen und Paketinhalt hochladen — ausschließlich für den Import
DeviceManagementRBAC.Read.All Delegiert, nur lesend — nicht Teil der App-Registrierung Vorhandene Scope Tags einlesen (Name und ID). Nur wenn Scope Tags verwendet werden; über eine Benutzeranmeldung bei Microsofts eigener Anwendung „Microsoft Graph Command Line Tools"

Die App-Registrierung trägt genau eine Application Permission; sie erfordert eine Administratorzustimmung. Scope Tags werden getrennt davon eingelesen: Ein Benutzer meldet sich im Browser an, die Abfrage läuft mit seinen Rechten und nur lesend. Dafür braucht er eine Intune-Rolle mit Leserecht auf die rollenbasierte Zugriffssteuerung. Im Zustimmungsdialog der App-Registrierung steht zusätzlich „Anmelden und Benutzerprofil lesen" (User.Read). Diesen Eintrag legt Microsoft Entra in jeder neuen App-Registrierung an; PSADT-Package Forge verwendet ihn nicht. Weitere Berechtigungen gibt es nicht — was hier nicht steht, wird nicht angefragt. Die App-Registrierung ist Single-Tenant und für den eigenen Mandanten ausgelegt.

DeviceManagementApps.ReadWrite.All erlaubt laut Microsoft mehr, als PSADT-Package Forge nutzt — auch das Ändern, Löschen und Zuweisen von Intune-Anwendungen. Feiner lässt sich die Berechtigung bei Microsoft nicht schneiden. Die Anwendung selbst kann nur importieren: keine Verwaltung, keine Änderung bestehender Pakete, kein Löschen. Die Zuweisung an Gruppen erfolgt im Intune-Portal.

Was die Anwendung nicht tut

  • Keine Geräteverwaltung. Es werden keine Geräte gelesen, registriert, zurückgesetzt oder konfiguriert.
  • Keine Benutzer- oder Gruppenverwaltung. Benutzerkonten und Verzeichnisobjekte werden weder gelesen noch verändert. Gruppen werden einer Anwendung nicht zugewiesen — das geschieht im Intune-Portal.
  • Keine Verwaltung bestehender Anwendungen. Vorhandene Intune-Anwendungen werden weder gelesen noch geändert oder gelöscht. Angelegt wird nur, was gerade importiert wird.
  • Keine Richtlinien außerhalb des App-Kontextes. Compliance-, Konfigurations- und Update-Richtlinien bleiben unberührt.
  • Keine eigene Schnittstelle. Die App-Registrierung stellt selbst keine API bereit, definiert keine Scopes und keine App-Rollen.
  • Kein Zugriff durch DBLAN. Die App-Registrierung liegt im Mandanten des Kunden. DBLAN hat darauf keinen Zugriff.

Rückgängig in zwei Minuten

Die App-Registrierung ist ein gewöhnliches Objekt im eigenen Entra-Mandanten. Wird sie deaktiviert oder gelöscht, endet jeder Zugriff sofort — unabhängig davon, ob die Anwendung installiert bleibt. Bereits importierte Intune-Anwendungen sind davon nicht betroffen; sie gehören dem Mandanten und bleiben bestehen.

Microsoft Entra Admin Center → App-Registrierungen → PSADT-Package Forge → Löschen oder unter Eigenschaften deaktivieren

Welche Daten das Haus verlassen

Vorgang Übertragen wird Empfänger Wann
Lizenzaktivierung und -aktualisierung Produktschlüssel, Benutzername, Systemname DBLAN-Lizenzserver nur beim Aktivieren oder Aktualisieren
Updateprüfung Produkt-GUID, Produktname, Produktversion DBLAN bei jedem Programmstart
Supportticket aus der Anwendung vom Nutzer erfasste Angaben Supportsystem nur bei bewusster Erstellung
Intune-Import Paketdaten Microsoft-Mandant des Kunden beim Import

Die Updateprüfung überträgt ausschließlich Produkt-GUID, Produktname und Produktversion — keinen Benutzernamen, keinen Systemnamen, keine Paketdaten. Wie bei jedem Aufruf einer Webadresse ist die IP-Adresse des anfragenden Systems technisch sichtbar.

Pakete, Skripte, Protokolle und Paketablagen verlassen das eigene Netz nicht. Es gibt keine Cloud-Ablage und keine Telemetrie über die Nutzung einzelner Funktionen. Für den Import nach Intune fließen die Paketdaten ausschließlich in den Mandanten des Kunden.

Netzwerk und Firewall

Für Lizenzprüfung und Updates wird ausgehender Zugriff auf https://*.psadt-packageforge.com benötigt. Diese eine Adresse gehört in Firewall-, Proxy- und Sicherheitsrichtlinien. Für den Intune-Import gelten zusätzlich die üblichen Microsoft-Graph-Endpunkte.

Ein Punkt, der offen gehört

Client Secret statt Zertifikat. Die Authentifizierung nutzt derzeit ein Client Secret, damit mehrere Systeme dieselbe App-Registrierung verwenden können. Eine Umstellung auf zertifikatsbasierte Authentifizierung ist vorgesehen.

Sicherheitskontakt: security@dblan.eu

Kostenlos herunterladen
Editionen vergleichen