Ein natives Setting für Netzlaufwerke gibt es in Intune bis heute nicht – weder im Settings Catalog noch als Vorlage. Der praxistauglichste Weg ist der Import einer kleinen benutzerdefinierten ADMX: Danach lassen sich die Laufwerksbuchstaben D bis Z wie ganz normale Richtlinieneinstellungen setzen, sichtbar in der Oberfläche und ohne Skript. Diese Anleitung führt einmal komplett durch den Ablauf.
Voraussetzungen
- Zugriff auf das Intune Admin Center mit ausreichenden Rechten
- Erreichbarkeit der Freigabe vom Client aus: LAN, VPN oder Entra Private Access
- Kerberos-Authentifizierung: hybrid eingebundene Geräte oder Entra-joined Geräte mit Cloud Kerberos Trust. Ohne das fragt Windows nach Zugangsdaten.
- Die Dateien Windows.admx und Windows.adml, wobei die ADML zwingend in en-US vorliegen muss (Bezugsquelle in Schritt 1)
- Die DriveMapping-ADMX und die passende ADML (Download-Links in Schritt 2)
Schritt 1: Windows.admx in Intune importieren
Fast jede benutzerdefinierte ADMX verweist auf den Namensraum von Windows. Deshalb muss die Windows.admx zuerst hochgeladen werden, sonst bricht der Import mit der Meldung „NamespaceMissing:Microsoft.Policies.Windows“ ab.
Im Intune Admin Center unter Geräte – Windows – Konfiguration den Reiter ADMX importieren öffnen und auf Importieren klicken. Dann die beiden Dateien auswählen:
ADMX-Datei: C:\Windows\PolicyDefinitions\Windows.admx
ADML-Datei: Windows.adml aus dem Unterordner en-US
Wichtig ist die Sprache: Intune unterstützt ausschließlich ADML-Dateien in en-US. Und genau da hakt es auf deutschen Systemen – der Ordner C:\Windows\PolicyDefinitions\en-US existiert dort meist gar nicht, weil Windows nur die ADML-Dateien der installierten Anzeigesprache mitbringt, also de-DE.
Die en-US-Dateien holt man sich deshalb einmalig direkt bei Microsoft: Administrative Templates (.admx) for Windows 11 25H2. Nach der Installation liegen sie unter C:\Program Files (x86)\Microsoft Group Policy\<Version>\PolicyDefinitions, die Windows.adml im Unterordner en-US. Einmal ablegen, danach für jeden weiteren Tenant wiederverwenden.
Nach kurzer Zeit steht die Vorlage auf Verfügbar. Bleibt sie hängen oder schlägt der Upload fehl: Vorlage löschen und erneut hochladen.
Schritt 2: DriveMapping-ADMX importieren
Die ADMX für die Laufwerkszuordnungen stammt ursprünglich von Rudy Ooms und liegt gepflegt im scloud-Repo von Florian Salzmann. Beide Dateien herunterladen (Rechtsklick, Ziel speichern unter):
Anschließend im selben Reiter erneut auf Importieren klicken und die beiden Dateien als ADMX und ADML hinterlegen. Auch hier gilt: warten, bis der Status auf Verfügbar steht.
Die ADMX deckt die Laufwerksbuchstaben D bis Z ab und bringt zusätzlich eine Einstellung für die Reconnect-Benachrichtigung mit.
Schritt 3: Konfigurationsprofil anlegen
Zurück im Reiter Profile auf Profil erstellen klicken und auswählen:
Plattform: Windows 10 and later
Profiltyp: Templates – Imported Administrative templates
Als Namensschema hat sich bei uns KUNDENKÜRZEL – Netzlaufwerke bewährt. Wenn die Laufwerke auf mehrere Zielgruppen aufgeteilt werden, kommt der Laufwerksbuchstabe hinten dran: KUNDENKÜRZEL – Netzlaufwerke – H.
Schritt 4: Laufwerke konfigurieren
In den Konfigurationseinstellungen unter User Configuration die Kategorie Network Drive Mappings öffnen. Dort für jeden benötigten Buchstaben:
Einstellung auswählen, zum Beispiel Drive H
auf Aktiviert setzen
den UNC-Pfad eintragen, zum Beispiel \\fileserver\abteilung
Direkt mit erledigen: die Einstellung „Display a notification if a mapped drive fails to re-connect“ auf Deaktiviert setzen. Das ist die Einstellung, die später das rote X am Laufwerk verhindert.
Schritt 5: Zuweisen und testen
Das Profil einer Benutzergruppe zuweisen – nicht einer Gerätegruppe. Die Richtlinie schreibt in den Benutzerzweig der Registry (HKCU) und greift deshalb pro Benutzer.
Danach am Testgerät ab- und wieder anmelden. Vorher taucht das Laufwerk in der Regel nicht auf.
Ein Laufwerk wieder entfernen
Dieser Punkt kostet erfahrungsgemäß die meiste Zeit im Support, wenn man ihn nicht kennt. Ein Laufwerk wird entfernt, indem die zugehörige Einstellung im Profil auf Deaktiviert gesetzt wird – nicht, indem man das Profil oder die Einstellung löscht.
Bleibt beim Benutzer ein Rest unter HKCU:\Network\<Laufwerksbuchstabe> liegen, verschwinden nämlich nicht nur dieses Laufwerk, sondern alle Laufwerke mit einem nachfolgenden Buchstaben. Wer L: entfernt und danach Meldungen bekommt, dass auch M: und P: fehlen, sucht sonst an der völlig falschen Stelle. Für solche Fälle lohnt ein kleines Remediation-Skript, das verwaiste Einträge unter HKCU:\Network aufräumt.
Wenn es nicht funktioniert
Der Import schlägt fehl: Windows.admx zuerst importieren, ADML aus en-US verwenden. Es gelten außerdem Grenzen von 20 ADMX-Dateien pro Upload und 1 MB je Datei; Einstellungen vom Typ Combo-Box werden nicht unterstützt.
Das Laufwerk erscheint nicht: Ist das Profil einer Benutzergruppe zugewiesen? Wurde neu angemeldet? Ist die Freigabe vom Client aus überhaupt erreichbar?
Windows fragt nach Zugangsdaten: Dann fehlt in der Regel das Kerberos-Ticket – auf Entra-joined Geräten also Cloud Kerberos Trust prüfen.
Das Laufwerk ist als Administrator unsichtbar: Ohne EnableLinkedConnections sieht die nicht erhöhte Sitzung die Zuordnung der erhöhten nicht und umgekehrt.
Und die Zukunft?
Die klassischen Administrative Templates in Intune sind seit dem Release 2412 abgekündigt und schreibgeschützt. Das betrifft den ADMX-Import nicht: Imported Administrative templates bleibt laut Microsoft-Dokumentation der Weg für eigene und Drittanbieter-ADMX. Ein Auge sollte man trotzdem darauf haben, denn das Feature trägt seit Jahren den Zusatz Preview.
Und die ehrlichere Frage vor jedem Rollout: Muss es wirklich ein Laufwerksbuchstabe sein? Für Fachanwendungen mit fest verdrahteten Pfaden ja. Für klassische Abteilungsablagen sind SharePoint, OneDrive oder Azure Files mit Entra-Identitäten oft die bessere Zielarchitektur.
Geschrieben von:
