MTR Zero-Touch Strategie

Ausgangslage

Heute ist jeder Raum ein Einzelprojekt.

Der manuelle Prozess bindet qualifiziertes IT-Personal, begrenzt die Hardware-Auswahl und skaliert nicht mit der Flotte.

Manuelle Einrichtung pro Raum

OOBE durchklicken, Updates abwarten, Ressourcenkonto an der Konsole eintippen, Enrollment prüfen – mehrere Stunden bis Tage pro Rollout, Techniker vor Ort zwingend.

Hardware-Lock-in

Von rund 150 Räumen laufen alle bis auf zwei Crestron-Systeme auf Lenovo; Android ist noch gar nicht im Einsatz. Für die Beschaffung heißt das: kein Preiswettbewerb, keine Lieferalternativen, keine Formfaktor-Auswahl vom Hörsaal bis zum Besprechungsraum.

Passwörter vor Ort

Ressourcenkonto-Passwörter wandern zu Technikern und Dienstleistern; das lokale Admin-Konto trägt ab Werk das bekannte Standardpasswort sfb – ein Audit- und Sicherheitsrisiko.

Kern des Problems: Der Aufwand wächst linear mit jedem Raum – Standardisierung und Skaleneffekte fehlen.

Der Vorschlag

Zwei Plattformen. Ein standardisierter Prozess.

Vom Hörsaal bis zum Besprechungsraum: Nicht jeder Raumtyp braucht dieselbe Technik. Die Plattform folgt dem Raumprofil – der Bereitstellungs- und Betriebsprozess bleibt einheitlich. Die finale Zuordnung je Raum legen wir gemeinsam im Workshop fest.

MTR on Windows · Zero-Touch

Hörsäle & Seminarräume

Windows 11 MTR + Autopilot & Autologin

Auspacken, Strom + LAN anstecken, einschalten – niemand bedient das Gerät
Multi-Kamera, Sonder-Audio, Raumsteuerung – typisch für Hörsäle & große Seminarräume
Updates direkt von Microsoft, einheitlich über alle Hersteller
Recovery & Redeployment remote per Intune-Wipe

MTR on Android · Low-Touch

Collaboration Rooms & Besprechungsräume

Zertifizierte Android-Geräte + Remote Provisioning (TAC) – heute noch nicht im Bestand, als zweite Schiene neu

Vor Ort nur ein Verifizierungscode – Anmeldung macht der Admin remote
All-in-One-Bars: günstiger, Appliance-Charakter, wenig Wartung
Freie Herstellerwahl im zertifizierten Ökosystem
Verwaltung über Teams Admin Center + Intune (AOSP)

Gemeinsame Basis beider Schienen Ressourcenkonto-Passwort nie vor Ort Gleiches Ressourcenkonto-Modell (Exchange + Entra ID) Conditional Access & Intune-Compliance One-Touch-Join & identische Meeting-Kernfunktionen

So läuft die Bereitstellung

Einmal konfigurieren, beliebig oft ausrollen.

Die Intune- und Portal-Konfiguration fällt einmalig an. Danach kostet jeder weitere Raum fast nur noch die Kontozuweisung.

Windows: Autopilot + Autologin

Zero-Touch

Gerät registrierenHardware-Hash via OEM/CSP oder CSV, GroupTag MTR-… → dynamische Gerätegruppe
Konto remote zuweisenRessourcenkonto im Pro Management Portal zuweisen – Passwort automatisch generiert, 90 Tage gültig
Vor Ort: nur ansteckenAV-Monteur steckt Strom + Ethernet – kein IT-Personal nötig
SelbstprovisionierungEntra Join, Intune-Enrollment, App-Update, Autologin – automatisch

~10 Min.bis meeting-ready, davon nahezu keine aktive Arbeitszeit

Android: Remote Provisioning

Low-Touch

MAC-Adressen hochladenEinzeln oder per CSV im Teams Admin Center, inkl. Standortangabe
Verifizierungscode erzeugenPro Gerät, auch in Bulk – 24 Stunden gültig, Liste geht an den Monteur
Vor Ort: Code eingeben„Gerät bereitstellen" am Display – die einzige Aktion am Gerät
Remote Sign-inAdmin meldet das Ressourcenkonto aus dem TAC an – Passwort bleibt im Backend

MinutenAufwand vor Ort; kein Passwort verlässt die IT

Zeit & Wirkung

Aus Stunden werden Minuten – pro Raum.

Bereitstellungszeit pro Raum (MTR on Windows)

Quelle: Microsoft-Dokumentation & Praxiswerte, Stand Juli 2026

Manuell (heute)

mehrere Stunden bis Tage

Autopilot + Autologin

~10 Min. (Ziel < 30 Min.)

Balkenlängen illustrativ (Stunden vs. Minuten); exakte Hochrechnung auf Ihre ~150 Bestandsräume und geplante Neuräume folgt mit der Standortverteilung ‹ Standorte ›

Kein Technikereinsatz pro RaumReise- und Arbeitszeit entfällt; die physische Montage übernimmt der AV-Monteur mit.

Lifecycle remoteReset, Recovery und Neuzuweisung laufen über Intune + Pro Portal statt Vor-Ort-Einsatz.

Keine ZusatzlizenzenDie Teams Rooms Pro-Lizenz enthält die nötigen Intune- und Entra-ID-P1-Rechte bereits.

Plattformvergleich kompakt

Die Entscheidungsmatrix für IT & Beschaffung.

Kriterium	MTR on Windows	MTR on Android
Automatisierung	Zero-Touchniemand bedient das Gerät	Low-TouchCode-Eingabe vor Ort
Vorbereitungsfenster	Kontozuweisung 90 Tage gültig	Verifizierungscode 24 h gültig
Lizenz	Teams Rooms Pro zwingend	Provisioning auch mit Basic; Pro für erweiterte Verwaltung
Updates	Direkt von Microsoft, OEM-unabhängig	Vom OEM abhängig, zeitverzögert; Rollout via TAC
Feature-Verfügbarkeit	Neue Teams-Features zuerst	Kernfunktionen identisch, erweiterte später/teils gar nicht
Verwaltung	Pro Management Portal + Intune	TAC + Intune (AOSP-Profile Pflicht)
Reset / Redeployment	Remote per Intune-Wipe	Factory Reset am Gerät nötig
Kostenprofil	Höhere Hardware- & Betriebskosten	Günstigere Hardware, weniger Wartung
Typischer Einsatz	Hörsäle & Seminarräume	Collaboration Rooms & Besprechungsräume

Beschaffung

Vom Ein-Hersteller-Prozess zum zertifizierten Ökosystem.

Beide Schienen arbeiten mit jedem Microsoft-zertifizierten Gerät. Das gibt der Beschaffung Preiswettbewerb, Lieferalternativen und den passenden Formfaktor je Raumtyp zurück.

Lenovo ~148 Räume heute

Crestron 2 Räume heute

Yealink

Logitech

Poly

Neat

weitere zertifizierte OEMs

Planungshinweis · Crestron

Crestron-Räume mit Netzwerk-Touchpanel brauchen eine LAPS-Ausnahme.

Das betrifft Ihre zwei bestehenden Crestron-Räume unmittelbar, sobald LAPS flottenweit ausgerollt wird. Netzwerkgekoppelte Touchpanels (z. B. TS-/TSS-1070 am UC-ENGINE) authentifizieren sich mit dem lokalen Windows-Admin-Konto des MTR. Jede automatische Passwortrotation (LAPS) trennt die Panel-Verbindung – der Raum steht ohne Bedienoberfläche da. Das ist planbar, wenn man es von Anfang an berücksichtigt:

Eigene Intune-GruppeCrestron-Räume mit Netzwerkpanel von der LAPS-Policy ausnehmen oder Rotation mit Crestron abstimmen.
Direktkopplung prüfenWo baulich möglich, Panel per USB statt Netzwerk anbinden – die Abhängigkeit entfällt.
Betriebsprozess definierenNach jeder Passwortänderung Panel-Zugangsdaten per dokumentierter Routine aktualisieren.

Voraussetzungen

Was vor dem Rollout stehen muss.

Windows-Schiene (Autopilot)

Teams Rooms Pro-Lizenz pro Gerät (Basic reicht nicht)
Windows-11-basierte MTR-Geräte
Entra ID Join – Self-Deploying Mode unterstützt kein Hybrid Join
Automatisches Intune-Enrollment aktiv, Ressourcenkonten vorhanden
Autopilot-Registrierung idealerweise ab Werk (OEM/CSP), GroupTag MTR-…
Kabelgebundenes Netzwerk beim ersten Boot empfohlen

Android-Schiene (Remote Provisioning)

Microsoft-zertifizierte Android-Geräte (MTRoA)
MAC-Adressen der Geräte für den TAC-Upload
AOSP-Device-Management-Profile in Intune (ADA ist seit 31.12.2024 abgekündigt)
Update-Strategie je OEM festlegen (Firmware-Auto-Update via TAC)
Provisioning nur vor der Erstanmeldung nutzbar – danach Factory Reset nötig

Vorgehen

In drei Phasen zur neuen Flotte.

Phase 01

Proof of Concept

5–10 Piloträume: je Raumtyp eine Schiene validieren, Autopilot-Profil, ESP und Remote Provisioning in Ihrem Tenant durchspielen – inkl. erster Android-Geräte, die heute noch nicht im Bestand sind.

‹ Zeitraum ›

Phase 02

Standardisierung

Profile, Policies und LAPS (inkl. Ausnahmegruppe für die zwei Crestron-Räume) finalisieren, Raumtyp-Katalog – Hörsaal, Seminarraum, Collaboration Room, Besprechungsraum – und Hardware-Warenkorb mit der Beschaffung festlegen.

‹ Zeitraum ›

Phase 03

Flächenrollout

Rollout über alle Standorte – Geräte werden zentral vorbereitet, vor Ort nur montiert und angesteckt. Betrieb und Recovery laufen remote.

‹ Zeitraum ›