Wer Matrix42 Empirum seit Jahren im Einsatz hat, kennt die Umgebung meist bis ins Detail: Softwarepakete sind gewachsen, Prozesse eingespielt und viele Abläufe auf die bestehende Infrastruktur abgestimmt. Genau deshalb ist der Wechsel zu Microsoft Intune mehr als nur ein Austausch der Endpoint Management Lösung.
Die eigentliche Frage lautet: Welche bestehenden Strukturen solltet ihr übernehmen – und wo lohnt es sich, bewusst neu zu denken?
Das Wichtigste in Kürze
- Intune ersetzt Matrix42 Empirum nicht automatisch 1:1: Vor der Migration solltet ihr prüfen, welche Prozesse übernommen, vereinfacht oder neu gedacht werden müssen.
- Softwarepakete und Patch Management sind zentrale Aufwandstreiber: Bereinigt euren Softwarekatalog und nutzt Automatisierung für Standardsoftware, wo es sinnvoll ist.
- Co-Management kann den Übergang erleichtern: Empirum, Intune und gegebenenfalls SCCM oder baramundi können zeitweise parallel betrieben werden, bevor Altstrukturen zurückgebaut werden.
- Zielbild und Lizenzierung früh klären: Legt fest, welche Funktionen künftig über Intune laufen und welche Microsoft-Lizenzen beziehungsweise Zusatzlösungen ihr dafür wirklich benötigt.
1. Warum von Matrix42 Empirum zu Microsoft Intune wechseln?
Matrix42 Empirum ist klassisch stark in On-Premises-orientierten Client-Management-Szenarien. Microsoft Intune verfolgt dagegen einen Cloud-basierten Ansatz für das Unified Endpoint Management.
Der Wechsel kann deshalb vor allem dann interessant werden, wenn ihr eure Endgeräte zunehmend unabhängig vom Unternehmensnetz verwalten und eure bestehende Microsoft-Umgebung stärker nutzen möchtet.
Typische Gründe für eine Migration sind:
- zentrale Verwaltung von Windows-, macOS-, iOS-, Android- und Linux-Endgeräten über Intune
- stärkere Verzahnung mit Microsoft Entra ID und Microsoft 365
- Cloud-native Bereitstellung neuer Geräte mit Windows Autopilot
- Compliance Policies und Conditional Access
- weniger Abhängigkeit von eigener Endpoint-Management-Infrastruktur
- Konsolidierung bestehender Management- und Security-Lösungen
Letzterer Punkt spiegelt sich auch in unseren eigenen Daten wider: Viele Unternehmen nutzen eine anstehende Migration nicht nur für einen Technologiewechsel, sondern eben auch zur Konsolidierung.
In unserer State of Endpoint Studie wird deutlich, dass 61 % der Organisationen mit konkreten Migrationsplänen in den kommenden zwölf Monaten mehrere bestehende UEM-Lösungen auf einer zentralen Plattform zusammenführen wollen. Als Zielsystem wurde meistens Microsoft Intune genannt.
SOFTTAILOR begleitet genau dieses Szenario bereits in der Praxis. Bei einem überregionalen Sozialträger wurde Matrix42 Empirum durch Intune in einem Cloud-only-Szenario ersetzt. Bestandteil des Projekts waren neben der Intune-Implementierung unter anderem Configuration Profiles, Security Baselines, Autopilot, Systemhärtung und Softwarepaketierung.
Häufig berät SOFTTAILOR ehemalige Matrix42 Empirum Kunden auch bei der Auswahl der richtigen Alternative zur Matrix PackageCloud: Patch My PC für Intune und/oder SCCM, bzw. Robopack für Intune. Für die Pakete, die nicht im neuen 3rd-Party-Patch Management Katalog enthalten sind, führen wir die Migration der Matrix42 Emprium Softwarepakete zu Intune- oder baramundi Softwarepaketen durch.
Auch für die Lizenzierung ergeben sich Vorteile: Microsoft Intune Plan 1 ist unter anderem Bestandteil von Microsoft 365 E3 und E5. Zusätzliche Funktionen können je nach benötigtem Umfang über weitere Intune-Lizenzen oder die Intune Suite hinzukommen. Seit Juni 2026 sind allerdings schon zentrale Funktionen der Intune Suite in E3 und E5 integriert wurden. Bevor ihr also zusätzliche Lizenzen einplant, lohnt sich ein genauer Blick darauf, welche Funktionen in eurem bestehenden Microsoft-Setup bereits enthalten sind.
2. Was muss von Matrix42 zu Intune migriert werden?
Bei einer Matrix42-zu-Intune-Migration geht es um deutlich mehr als die Geräte selbst. In der Bestandsaufnahme solltet ihr mindestens folgende Bereiche erfassen:
Gerade bestehende Konfigurationen sollten dabei nicht ungeprüft nachgebaut werden. Policies und GPOs, die vor Jahren für lokale Client-Management-Strukturen entstanden sind, ergeben in einem Cloud-native-Szenario möglicherweise keinen Sinn mehr.
Das gilt auch für eure Serverlandschaft. Die Server, auf denen Empirum selbst betrieben wird, können nach einer erfolgreichen Migration schrittweise zurückgebaut werden. Verwaltet ihr dagegen zusätzlich Windows Server über Empirum, braucht ihr dafür eine separate Lösung wie die baramundi Management Suite. Intune ist primär auf die Verwaltung von Clients und Mobiles ausgelegt und kann keine Server verwalten.
3. Direkt zu Intune oder zunächst Co-Management?
Eine Migration muss nicht als Big Bang stattfinden. Gerade bei größeren Empirum-Umgebungen kann es sinnvoll sein, Matrix42 und Intune für einen begrenzten Zeitraum parallel einzusetzen. So könnt ihr einzelne Funktionen und Gerätegruppen schrittweise überführen.
Welche Aufgaben welches System übernimmt und wann die verbliebenen Empirum-Workloads abgeschaltet werden sollen, sollte natürlich im Vorhinein klar definiert werden.
Matrix42 unterscheidet selbst zwischen „Classic“, „Modern“ und „Co-Managed“. Als Co-Managed gelten Geräte, die sowohl über die klassische Empirum-Agent-Schicht als auch über eine moderne Management-Schicht wie Intune verwaltet werden.
Intune kann dabei bereits Policies, Security-Einstellungen oder neue Cloud-native Prozesse übernehmen, während bestimmte Softwarepakete vorübergehend weiterhin über den Empirum Agent verteilt werden.
Das kann besonders dann sinnvoll sein, wenn ihr einen großen oder komplexen Softwarekatalog habt und diesen nicht vollständig vor dem ersten Intune-Rollout migrieren möchtet.
4. Softwarepakete und Patch Management: der Knackpunkt der Migration
Die Migration der Softwarepakete von Matrix42 Empirum zu Intune gehört häufig zu den aufwendigsten Teilen des Projekts.
Empirum-Pakete lassen sich nicht einfach exportieren und anschließend unverändert in Intune importieren. Das Ziel sollte deshalb auch nicht sein, jeden bestehenden Prozess exakt nachzubauen.
Stattdessen lohnt sich vor der Migration eine Bereinigung des Softwarekatalogs. Einige Anwendungen werden häufig überhaupt nicht mehr benötigt.
Wichtig für das Patch Management: Die Zahl notwendiger Patches steigt, während gleichzeitig das Zeitfenster für deren Rollout kleiner wird. Wie deutlich KI diese Entwicklung beschleunigen kann, zeigt aktuell Claude Mythos: Moderne KI-Modelle können Schwachstellen in großem Umfang aufdecken, wodurch Hersteller schneller und häufiger reagieren müssen. Gleichzeitig hilft KI auch Angreifern dabei, veröffentlichte Schwachstellen schneller zu analysieren und auszunutzen.
Wer einen größeren Softwarebestand weiterhin überwiegend manuell paketiert, testet und aktualisiert, stößt deshalb schnell an Grenzen. Automatisierung wird im Patch Management zunehmend zur Voraussetzung, um mit der Geschwindigkeit neuer Releases und Security Updates Schritt halten zu können.
Bei Standardsoftware können Lösungen wie Patch My PC oder Robopack einen großen Teil dieser Arbeit übernehmen. Sie sind auf die Bereitstellung und Aktualisierung von Anwendungen über Microsoft Intune ausgerichtet und reduzieren den manuellen Aufwand für Paketierung und wiederkehrende Updates. Übrigens: Das äquivalente Add-on für baramundi heißt Managed Software.
Für individuelle Fachanwendungen, eigene Installer oder komplexe Installationslogiken reicht ein solcher Katalog dagegen nicht immer aus. Diese Anwendungen müssen häufig weiterhin individuell für Intune paketiert, getestet und ausgerollt werden werden.
Die Migration zu Intune ist deshalb ein guter Zeitpunkt, nicht nur bestehende Empirum-Pakete zu übertragen. Ihr solltet gleichzeitig festlegen, welche Anwendungen künftig automatisiert gepflegt werden können und wo eine individuelle Paketierung weiterhin notwendig bleibt. So schafft ihr einen Software- und Patch-Prozess, der auch bei kürzeren Release- und Patch-Zyklen skalierbar bleibt.
Als Format empfehlen wir übrigens die Migration von Matrix42 Emprium Paketen zu PSADT. Dies hat unter anderem den Vorteil, dass Pakete Verteilungslösungs-unabhängig paketiert werden und über verschiedene Systeme verteilt werden können, bzw. Bei einer erneuten Migration der Endpoint Managemen Lösung nicht komplett neu paketiert werden müssen.
5. So läuft eine Matrix42-zu-Intune-Migration ab
Ein bewährter Migrationsprozess lässt sich kompakt in acht Schritte unterteilen:
- Empirum-Umgebung analysieren: Geräte, Softwarepakete, Policies, Server, Abhängigkeiten und bestehende Prozesse erfassen.
- Intune-Zielbild definieren: Festlegen, was zukünftig über Intune und was gegebenenfalls über andere Systeme verwaltet wird.
- Lizenzierung prüfen: Vorhandene Microsoft-365-Lizenzen, benötigte Intune-Funktionen und mögliche Zusatzlizenzen bewerten.
- Intune vorbereiten: Entra ID, Gruppen, Rollen, Configuration Profiles, Compliance und Security konfigurieren.
- Softwarekatalog migrieren: Nicht mehr benötigte Pakete entfernen, Standardsoftware automatisieren und individuelle Anwendungen für Intune neu paketieren.
- Pilotgruppe migrieren: Enrollment, Software, Policies, Security und User Experience mit repräsentativen Geräten testen.
- Rollout in Wellen durchführen: Weitere Geräte kontrolliert zu Intune überführen und bei Bedarf zeitweise Co-Management nutzen.
- Empirum zurückbauen: Erst wenn alle relevanten Funktionen migriert und getestet wurden, Agenten, Infrastruktur und nicht mehr benötigte Server kontrolliert außer Betrieb nehmen.
Der Ablauf zeigt auch, warum sich einzelne Arbeitspakete nicht isoliert betrachten lassen. Softwarepaketierung, Policies, Enrollment und Co-Management greifen direkt ineinander. Werden Anwendungen beispielsweise erst kurz vor dem Rollout migriert oder fehlen klare Zuständigkeiten zwischen Empirum und Intune, entstehen schnell unnötige Abhängigkeiten und Verzögerungen.
Entscheidend ist deshalb, das Zielbild früh festzulegen und die Migration anschließend kontrolliert in Wellen umzusetzen. So könnt ihr neue Intune-Prozesse bereits produktiv testen, während Empirum für noch nicht migrierte Funktionen vorübergehend bestehen bleibt. Erst wenn alle relevanten Workloads zuverlässig über das neue Setup laufen, sollte die alte Infrastruktur zurückgebaut werden.
6. Fazit: Matrix42 nicht einfach durch Intune ersetzen
Eine erfolgreiche Migration von Matrix42 Empirum zu Microsoft Intune besteht nicht darin, die bestehende Umgebung möglichst exakt in der Cloud nachzubauen.
Der größere Mehrwert entsteht, wenn ihr den Wechsel nutzt, um eure bisherigen Prozesse zu hinterfragen: Welche Software muss noch individuell paketiert werden? Welche Anwendungen können Patch My PC oder Robopack automatisiert verwalten? Welche Systeme benötigen außerhalb von Intune weiterhin ein eigenes Management? Und welche bestehende Infrastruktur kann nach der Migration tatsächlich entfallen?
Wenn diese Fragen vor dem Rollout geklärt sind, wird aus einer reinen Produktmigration ein zukunftsfähiges Endpoint-Management-Konzept.
SOFTTAILOR unterstützt euch dabei von der Analyse und Planung über die Migration von Matrix42 Emprium Softwarepaketen bis zum Aufbau und laufenden Betrieb von Microsoft Intune. Mehr dazu findet ihr auf unserer Seite zur Migration von UEM-Lösungen.
Thore beschäftigt sich seit 2011 ausschließlich mit Endpoint Management und Endpoint Security Themen. Anfangs fokussiert auf Softwarepaketierung und Softwareverteilung mit Microsoft MECM/SCCM und Ivanti DSM ist er heute gefragter Gesprächspartner, wenn es um Unified Endpoint Management, Systemhärtung, Patch Management und Endpoint Protection geht. Im Fokus stehen dabei insbesondere die Microsoft Technologien Intune, Configuration Manager, Entra und Defender. Thore ist Mitgründer des Expertenzirkels "Endpoint Management" im IAMCP e.V.
Jahre Erfarung
Verwaltete Endgeräte
