v0.1.30 — Policy-Bulk-Import gehaertet, macOS-Apps, Gruppen-Suche & Direkt-Zuweisung

- Bulk-Import von Policies (Batches + Fortschritt, Fehler-Isolierung)
- Export/Import-Treue via Raw-JSON (-OutputType Json), null-Collections-Strip,
  Settings-Catalog-Reparatur + Korruptions-Erkennung, Git-Resolver
- macOS-Apps in Liste/Suche + Plattform-Filter
- "Gruppe"-Tab durchsucht alle Gruppen (Live-Suche) statt nur Praefix-Gruppen
- Bestehende Gruppe(n) direkt an Apps zuweisen inkl. Mehrfachauswahl
- Fix: Add-GraphAppAssignment merged bestehende Zuweisungen (/assign ersetzt sonst
  die komplette Liste) -> kein Ueberschreiben mehr, ein Request fuer alle Ziele

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

src/Api.ps1

@@ -2805,23 +2805,29 @@ function Add-AppAssignmentEndpoint {
     if ($intent -notin @("required","available")) {
         return @{ __status = 400; error = "intent muss 'required' oder 'available' sein" }
     }
-    $target = [string]$Body.target
-    if ([string]::IsNullOrWhiteSpace($target)) {
-        return @{ __status = 400; error = "target fehlt (ALL_USERS / ALL_DEVICES / <group-guid>)" }
+    # Ein ODER mehrere Ziele akzeptieren: 'targets' (Array) hat Vorrang, sonst 'target'.
+    $targets = @()
+    if ($Body.targets) { $targets = @($Body.targets | ForEach-Object { [string]$_ }) }
+    elseif ($Body.target) { $targets = @([string]$Body.target) }
+    $targets = @($targets | Where-Object { $_ -and $_.Trim() })
+    if ($targets.Count -eq 0) {
+        return @{ __status = 400; error = "target/targets fehlt (ALL_USERS / ALL_DEVICES / <group-guid>)" }
     }
-    # Bei Group-Target: zumindest grobe Hex/GUID-Form pruefen damit wir keine
-    # Garbage an Graph schicken.
-    if ($target -notin @("ALL_USERS","ALL_DEVICES") -and $target -notmatch '^[0-9a-fA-F-]{8,}$') {
-        return @{ __status = 400; error = "Ungueltige target-GUID: $target" }
+    # Jedes Group-Target grob auf Hex/GUID-Form pruefen (keine Garbage an Graph).
+    foreach ($t in $targets) {
+        if ($t -notin @("ALL_USERS","ALL_DEVICES") -and $t -notmatch '^[0-9a-fA-F-]{8,}$') {
+            return @{ __status = 400; error = "Ungueltige target-GUID: $t" }
+        }
     }
 
     # App-Cache fuer logging
     $cachedApp = $script:State.Apps | Where-Object { $_.AppId -eq $AppId } | Select-Object -First 1
     $appName = if ($cachedApp) { $cachedApp.AppName } else { $AppId }
 
-    Write-Host "[ADD ASSIGN] $appName -> intent=$intent target=$target" -ForegroundColor Yellow
+    Write-Host "[ADD ASSIGN] $appName -> intent=$intent targets=$($targets -join ', ')" -ForegroundColor Yellow
     try {
-        Add-GraphAppAssignment -AppId $AppId -Intent $intent -GroupId $target
+        # EIN Request fuer alle Ziele: bestehende Zuweisungen werden gemergt.
+        Add-GraphAppAssignment -AppId $AppId -Intent $intent -GroupId $targets
     } catch {
         $graphBody = $null
         try { $graphBody = $_.ErrorDetails.Message } catch {}
@@ -2836,38 +2842,46 @@ function Add-AppAssignmentEndpoint {
         return @{ __status = $status; error = $friendly; code = $details.Code; graph = $graphBody }
     }
 
-    # Cache aktualisieren — neue Zuweisung im App-Eintrag ergaenzen
+    # Cache aktualisieren — neue Zuweisung(en) im App-Eintrag ergaenzen.
+    # (Das Frontend laedt danach ohnehin neu; das haelt die UI aber sofort konsistent.)
     if ($cachedApp) {
-        $entry = if ($target -eq "ALL_USERS") {
-            @{ GroupId = "ALL_USERS"; GroupName = "All Users"; IsNative = $true }
-        } elseif ($target -eq "ALL_DEVICES") {
-            @{ GroupId = "ALL_DEVICES"; GroupName = "All Devices"; IsNative = $true }
-        } else {
-            # Group-Namen aus den geladenen Gruppen oder Graph nachschlagen
-            $groupName = $target
-            $lookup = @{}
-            foreach ($g in $script:State.Groups)    { $lookup[$g.Id] = $g.DisplayName }
-            foreach ($g in $script:State.RpaGroups) { $lookup[$g.Id] = $g.DisplayName }
-            if ($lookup.ContainsKey($target)) { $groupName = $lookup[$target] }
-            else {
-                try {
-                    $g = Get-GraphGroupById -Id $target -Property @("id","displayName")
-                    if ($g.displayName) { $groupName = [string]$g.displayName }
-                } catch {}
+        $lookup = @{}
+        foreach ($g in $script:State.Groups)    { $lookup[$g.Id] = $g.DisplayName }
+        foreach ($g in $script:State.RpaGroups) { $lookup[$g.Id] = $g.DisplayName }
+        foreach ($target in $targets) {
+            $entry = if ($target -eq "ALL_USERS") {
+                @{ GroupId = "ALL_USERS"; GroupName = "All Users"; IsNative = $true }
+            } elseif ($target -eq "ALL_DEVICES") {
+                @{ GroupId = "ALL_DEVICES"; GroupName = "All Devices"; IsNative = $true }
+            } else {
+                $groupName = $target
+                if ($lookup.ContainsKey($target)) { $groupName = $lookup[$target] }
+                else {
+                    try {
+                        $g = Get-GraphGroupById -Id $target -Property @("id","displayName")
+                        if ($g.displayName) { $groupName = [string]$g.displayName }
+                    } catch {}
+                }
+                @{ GroupId = $target; GroupName = $groupName; IsNative = $false }
+            }
+            $exists = if ($intent -eq "available") {
+                @($cachedApp.AvailableGroups | Where-Object { $_.GroupId -eq $entry.GroupId }).Count -gt 0
+            } else {
+                @($cachedApp.RequiredGroups  | Where-Object { $_.GroupId -eq $entry.GroupId }).Count -gt 0
+            }
+            if ($exists) { continue }
+            if ($intent -eq "available") {
+                $cachedApp.AvailableGroups = @($cachedApp.AvailableGroups + $entry)
+                $cachedApp.AvailableCount  = $cachedApp.AvailableGroups.Count
+            } else {
+                $cachedApp.RequiredGroups  = @($cachedApp.RequiredGroups + $entry)
+                $cachedApp.RequiredCount   = $cachedApp.RequiredGroups.Count
             }
-            @{ GroupId = $target; GroupName = $groupName; IsNative = $false }
-        }
-        if ($intent -eq "available") {
-            $cachedApp.AvailableGroups = @($cachedApp.AvailableGroups + $entry)
-            $cachedApp.AvailableCount  = $cachedApp.AvailableGroups.Count
-        } else {
-            $cachedApp.RequiredGroups  = @($cachedApp.RequiredGroups + $entry)
-            $cachedApp.RequiredCount   = $cachedApp.RequiredGroups.Count
         }
     }
 
-    Write-Host "[ADD ASSIGN] OK" -ForegroundColor Green
-    return @{ ok = $true; appId = $AppId; intent = $intent; target = $target }
+    Write-Host "[ADD ASSIGN] OK ($($targets.Count) Ziel(e))" -ForegroundColor Green
+    return @{ ok = $true; appId = $AppId; intent = $intent; targets = @($targets); count = $targets.Count }
 }
 
 function Remove-AppAssignmentEndpoint {

src/Graph.ps1

@@ -33,7 +33,13 @@ function Invoke-MgGraphRequestRetry {
         $Body,
         [string]$ContentType,
         [hashtable]$Headers,
-        [int]$MaxRetries = 3
+        [int]$MaxRetries = 3,
+        # Rohes JSON von Graph holen und selbst parsen. Noetig fuer Policy-Exporte:
+        # Invoke-MgGraphRequest liefert unter Windows PowerShell 5.1 im Hashtable-
+        # Modus Ein-Element-Collections als Skalar (z.B. printerNames), was beim
+        # Re-Import 400 "A 'StartArray' node was expected" ausloest. -OutputType Json
+        # umgeht das: ConvertFrom-Json bewahrt Arrays.
+        [switch]$AsRawJson
     )
     $attempt = 0
     while ($true) {
@@ -42,6 +48,13 @@ function Invoke-MgGraphRequestRetry {
             if ($PSBoundParameters.ContainsKey('Body') -and $null -ne $Body) { $params.Body = $Body }
             if ($ContentType) { $params.ContentType = $ContentType }
             if ($Headers)     { $params.Headers = $Headers }
+            if ($AsRawJson) {
+                $params.OutputType = 'Json'
+                $raw = Invoke-MgGraphRequest @params
+                if ([string]::IsNullOrWhiteSpace([string]$raw)) { return $null }
+                if ($PSVersionTable.PSVersion.Major -ge 6) { return ($raw | ConvertFrom-Json -AsHashtable) }
+                return ($raw | ConvertFrom-Json)
+            }
             return Invoke-MgGraphRequest @params
         } catch {
             $msg = $_.Exception.Message
@@ -64,11 +77,15 @@ function Invoke-MgGraphRequestRetry {
 }
 
 function Get-GraphPaged {
-    param([Parameter(Mandatory=$true)][string]$Uri)
+    param(
+        [Parameter(Mandatory=$true)][string]$Uri,
+        # An Invoke-MgGraphRequestRetry durchreichen: bewahrt Arrays fuer Exporte.
+        [switch]$AsRawJson
+    )
     $results = @()
     $next = $Uri
     do {
-        $response = Invoke-MgGraphRequestRetry -Uri $next -Method GET
+        $response = Invoke-MgGraphRequestRetry -Uri $next -Method GET -AsRawJson:$AsRawJson
         if ($response.value) { $results += $response.value }
         $next = $response.'@odata.nextLink'
     } while ($next)
@@ -376,21 +393,51 @@ function Add-GraphAppAssignment {
     param(
         [string]$AppId,
         [string]$Intent,         # "available" | "required"
-        [string]$GroupId         # GUID oder "ALL_USERS" / "ALL_DEVICES"
+        [string[]]$GroupId       # eine ODER mehrere: GUID(s) und/oder "ALL_USERS"/"ALL_DEVICES"
     )
-    $target = switch ($GroupId) {
-        "ALL_USERS"   { @{ "@odata.type" = "#microsoft.graph.allLicensedUsersAssignmentTarget" } }
-        "ALL_DEVICES" { @{ "@odata.type" = "#microsoft.graph.allDevicesAssignmentTarget" } }
-        default       { @{ "@odata.type" = "#microsoft.graph.groupAssignmentTarget"; "groupId" = $GroupId } }
+    # WICHTIG: Die /assign-Action ERSETZT die komplette Zuweisungsliste der App.
+    # Ein einzelnes POST wuerde also alle bestehenden Zuweisungen loeschen. Daher:
+    # bestehende Zuweisungen laden, die neuen mergen (Duplikate ueberspringen) und
+    # den VOLLEN Satz in EINEM Request schicken. Das haelt mehrere neue Gruppen
+    # zusammen (kein Read-after-Write-Rennen) und bewahrt vorhandene Zuweisungen.
+    $newTargets = @()
+    foreach ($gid in @($GroupId)) {
+        if ([string]::IsNullOrWhiteSpace([string]$gid)) { continue }
+        $newTargets += switch ([string]$gid) {
+            "ALL_USERS"   { @{ "@odata.type" = "#microsoft.graph.allLicensedUsersAssignmentTarget" } }
+            "ALL_DEVICES" { @{ "@odata.type" = "#microsoft.graph.allDevicesAssignmentTarget" } }
+            default       { @{ "@odata.type" = "#microsoft.graph.groupAssignmentTarget"; "groupId" = [string]$gid } }
+        }
     }
-    $body = @{
-        mobileAppAssignments = @(@{
-            "@odata.type" = "#microsoft.graph.mobileAppAssignment"
+
+    $existing    = Get-GraphMobileAppAssignments -AppId $AppId
+    $assignments = @()
+    $seen        = @{}   # Schluessel intent|type|groupId -> Duplikate vermeiden
+    foreach ($a in $existing) {
+        $tgt = $a.target
+        if (-not $tgt) { continue }
+        $key = ([string]$a.intent) + '|' + ([string]$tgt.'@odata.type') + '|' + ([string]$tgt.groupId)
+        $seen[$key] = $true
+        $assignments += @{
+            '@odata.type' = '#microsoft.graph.mobileAppAssignment'
+            intent        = [string]$a.intent
+            target        = $tgt          # inkl. evtl. Filter -> unveraendert beibehalten
+            settings      = $a.settings   # bestehende Assignment-Settings bewahren
+        }
+    }
+    foreach ($t in $newTargets) {
+        $key = $Intent + '|' + [string]$t['@odata.type'] + '|' + [string]$t['groupId']
+        if ($seen.ContainsKey($key)) { continue }   # bereits (mit diesem Intent) zugewiesen
+        $seen[$key] = $true
+        $assignments += @{
+            '@odata.type' = '#microsoft.graph.mobileAppAssignment'
             intent        = $Intent
-            target        = $target
+            target        = $t
             settings      = $null
-        })
+        }
     }
+
+    $body = @{ mobileAppAssignments = @($assignments) }
     Invoke-MgGraphRequest -Uri "https://graph.microsoft.com/beta/deviceAppManagement/mobileApps/$AppId/assign" -Method POST -Body $body
 }
 
@@ -827,16 +874,15 @@ function Remove-GraphMobileApp {
     }
 }
 
-# Excluded App-Typen aus dem Original-Script
+# Ausgeschlossene App-Typen: iOS/Android bleiben ausgeblendet (dieses Tool ist auf
+# Windows + macOS ausgelegt). macOS-Typen sind bewusst NICHT mehr ausgeschlossen,
+# damit Mac-Apps in Liste/Suche erscheinen.
 $script:ExcludedAppTypes = @(
     '#microsoft.graph.iosLobApp', '#microsoft.graph.iosStoreApp', '#microsoft.graph.iosVppApp',
     '#microsoft.graph.managedIOSLobApp', '#microsoft.graph.managedIOSStoreApp',
     '#microsoft.graph.androidLobApp', '#microsoft.graph.androidStoreApp', '#microsoft.graph.androidForWorkApp',
     '#microsoft.graph.androidManagedStoreApp', '#microsoft.graph.androidManagedStoreWebApp',
-    '#microsoft.graph.managedAndroidLobApp', '#microsoft.graph.managedAndroidStoreApp',
-    '#microsoft.graph.macOSDmgApp', '#microsoft.graph.macOSLobApp', '#microsoft.graph.macOSMicrosoftDefenderApp',
-    '#microsoft.graph.macOSMicrosoftEdgeApp', '#microsoft.graph.macOSOfficeSuiteApp', '#microsoft.graph.macOSPkgApp',
-    '#microsoft.graph.macOsVppApp'
+    '#microsoft.graph.managedAndroidLobApp', '#microsoft.graph.managedAndroidStoreApp'
 )
 
 function Test-AppTypeAllowed {
@@ -858,6 +904,13 @@ function ConvertTo-AppFriendlyType {
         '#microsoft.graph.windowsAppX'                  { 'APPX' }
         '#microsoft.graph.windowsUniversalAppX'         { 'APPX' }
         '#microsoft.graph.windowsMobileMSI'             { 'MSI' }
+        '#microsoft.graph.macOSDmgApp'                  { 'macOS DMG' }
+        '#microsoft.graph.macOSPkgApp'                  { 'macOS PKG' }
+        '#microsoft.graph.macOSLobApp'                  { 'macOS LOB' }
+        '#microsoft.graph.macOSMicrosoftDefenderApp'    { 'macOS Defender' }
+        '#microsoft.graph.macOSMicrosoftEdgeApp'        { 'macOS Edge' }
+        '#microsoft.graph.macOSOfficeSuiteApp'          { 'macOS M365' }
+        '#microsoft.graph.macOsVppApp'                  { 'macOS VPP' }
         default {
             ($Type -replace '#microsoft\.graph\.','')
         }

src/PolicyIO.ps1

@@ -186,10 +186,12 @@ function Get-GraphPolicyDetail {
 
     # Administrative Vorlagen: Basis-Objekt holen und die konfigurierten Werte
     # (definitionValues inkl. Definition + Presentation-Werten) separat expandieren.
+    # -AsRawJson durchgaengig: bewahrt Ein-Element-Collections als Array (PS-5.1-
+    # Hashtable-Modus wuerde sie skalarisieren -> 400 beim Re-Import).
     if ($cfg.Key -eq 'administrativetemplate') {
-        $base = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/deviceManagement/groupPolicyConfigurations/$Id" -Method GET
+        $base = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/deviceManagement/groupPolicyConfigurations/$Id" -Method GET -AsRawJson
         $dvUri = "https://graph.microsoft.com/beta/deviceManagement/groupPolicyConfigurations/$Id/definitionValues?`$expand=definition(`$select=id,classType,displayName,policyType,version),presentationValues(`$expand=presentation)"
-        $dvs = @(Get-GraphPaged -Uri $dvUri)
+        $dvs = @(Get-GraphPaged -Uri $dvUri -AsRawJson)
         if ($base -is [System.Collections.IDictionary]) { $base['definitionValues'] = $dvs }
         else { $base | Add-Member -NotePropertyName definitionValues -NotePropertyValue $dvs -Force }
         return $base
@@ -197,7 +199,7 @@ function Get-GraphPolicyDetail {
 
     $uri = "https://graph.microsoft.com/beta/deviceManagement/$($cfg.Collection)/$Id"
     if ($cfg.ExportExpand) { $uri += "?`$expand=$($cfg.ExportExpand)" }
-    return Invoke-MgGraphRequestRetry -Uri $uri -Method GET
+    return Invoke-MgGraphRequestRetry -Uri $uri -Method GET -AsRawJson
 }
 
 # PSCustomObject/Hashtable -> bereinigte Hashtable ohne Read-Only-Felder.
@@ -229,10 +231,23 @@ function ConvertTo-ImportBody {
 function Repair-SettingsCatalogArrays {
     param($Node)
     $arrayKeys = @('settings','children','groupSettingCollectionValue','simpleSettingCollectionValue','values')
+    # *TemplateReference-Keys tragen ein Objekt ODER null. Ein alter Export mit zu
+    # geringer ConvertTo-Json-Tiefe hat solche (tief liegenden) Objekte zu ".ToString()"
+    # stringifiziert -> "System.Collections.Hashtable". Graph lehnt das ab
+    # ('Property settingValueTemplateReference ... does not match schema'). Der bloße
+    # String ist eindeutig korrupt und nicht rekonstruierbar -> auf null setzen; die
+    # (optionale) Template-Bindung entfaellt, die eigentlichen Werte bleiben erhalten.
+    $refKeys = @('settingInstanceTemplateReference','settingValueTemplateReference')
 
-    # Array-Property normalisieren: $null -> @() (Graph-Schema: Collections sind
-    # Nullable=False, ein 'children': null wird abgelehnt), Einzelobjekt -> @(obj).
-    # Inline (nicht als Funktion), sonst entpackt der Return ein Ein-Element-Array.
+    # Array-Property normalisieren — WICHTIG inline (Zuweisung, KEIN Funktions-
+    # Return): ein leeres Array aus einer Funktion zurueckzugeben entpackt PS zu
+    # $null, was zu 'children: {}' statt '[]' fuehrt. Als Zuweisung bleibt @() ein @().
+    #   $null        -> @()      (Graph-Schema: Collections sind Nullable=False)
+    #   Einzelobjekt -> @(obj)   (Ein-Element-Array wurde vom Roundtrip skalarisiert)
+    #   leere/Whitespace-STRING-Elemente entfernen: ein PS-JSON-Roundtrip macht aus
+    #   einer leeren Collection [] teils ""/[""] -> Graph lehnt das als
+    #   'Property children ... does not match schema' ab. Diese Keys tragen nie bare
+    #   Strings -> gefahrlos filtern; wird die Collection dadurch leer, bleibt [].
     if ($Node -is [System.Collections.IDictionary]) {
         $out = [ordered]@{}
         foreach ($k in @($Node.Keys)) {
@@ -240,7 +255,9 @@ function Repair-SettingsCatalogArrays {
             if ($k -in $arrayKeys) {
                 if ($null -eq $fixed) { $fixed = @() }
                 elseif (-not ($fixed -is [System.Collections.IList])) { $fixed = @($fixed) }
+                $fixed = @($fixed | Where-Object { -not (($_ -is [string]) -and [string]::IsNullOrWhiteSpace($_)) })
             }
+            elseif ($k -in $refKeys -and ($fixed -is [string])) { $fixed = $null }
             $out[$k] = $fixed
         }
         return $out
@@ -252,7 +269,9 @@ function Repair-SettingsCatalogArrays {
             if ($p.Name -in $arrayKeys) {
                 if ($null -eq $fixed) { $fixed = @() }
                 elseif (-not ($fixed -is [System.Collections.IList])) { $fixed = @($fixed) }
+                $fixed = @($fixed | Where-Object { -not (($_ -is [string]) -and [string]::IsNullOrWhiteSpace($_)) })
             }
+            elseif ($p.Name -in $refKeys -and ($fixed -is [string])) { $fixed = $null }
             $out[$p.Name] = $fixed
         }
         return $out
@@ -267,6 +286,43 @@ function Repair-SettingsCatalogArrays {
     return $Node
 }
 
+# Entfernt rekursiv alle Properties mit $null-Wert. Configuration Profiles
+# exportieren nicht genutzte Collection-Properties als null; beim POST lehnt Graph
+# null fuer 'Collection(...)[Nullable=False]' ab (400 ModelValidationFailure, z.B.
+# 'defenderAdditionalGuardedFolders'). Weggelassene Properties belegt Graph mit
+# Defaults -> sicheres Strippen. Array-Typen werden am Parent wieder in @()
+# gewrappt, damit ein Ein-Element-Array beim Return nicht zum Skalar entpackt wird.
+function Remove-PolicyNullProps {
+    param($Node)
+    if ($Node -is [System.Collections.IDictionary]) {
+        $out = @{}
+        foreach ($k in @($Node.Keys)) {
+            $v = $Node[$k]
+            if ($null -eq $v) { continue }
+            $fixed = Remove-PolicyNullProps $v
+            if (($v -is [System.Collections.IEnumerable]) -and -not ($v -is [string]) -and -not ($v -is [System.Collections.IDictionary])) {
+                $out[$k] = @($fixed)
+            } else { $out[$k] = $fixed }
+        }
+        return $out
+    }
+    if ($Node -is [System.Management.Automation.PSCustomObject]) {
+        $out = @{}
+        foreach ($p in $Node.PSObject.Properties) {
+            if ($null -eq $p.Value) { continue }
+            $fixed = Remove-PolicyNullProps $p.Value
+            if (($p.Value -is [System.Collections.IEnumerable]) -and -not ($p.Value -is [string]) -and -not ($p.Value -is [System.Collections.IDictionary])) {
+                $out[$p.Name] = @($fixed)
+            } else { $out[$p.Name] = $fixed }
+        }
+        return $out
+    }
+    if (($Node -is [System.Collections.IEnumerable]) -and -not ($Node -is [string])) {
+        return @($Node | ForEach-Object { Remove-PolicyNullProps $_ })
+    }
+    return $Node
+}
+
 function New-DefaultComplianceScheduledActions {
     # Compliance Policies verlangen beim Anlegen mindestens einen
     # scheduledActionsForRule-Block, sonst antwortet Graph mit 400.
@@ -320,6 +376,8 @@ function Import-GraphConfigurationProfile {
     if (-not $body['@odata.type']) {
         throw 'Configuration Profile benoetigt @odata.type fuer den Import.'
     }
+    # null-Properties strippen: Graph lehnt null fuer nicht-nullbare Collections ab.
+    $body = Remove-PolicyNullProps $body
     $json = $body | ConvertTo-Json -Depth 50
     return Invoke-MgGraphRequestRetry -Uri 'https://graph.microsoft.com/beta/deviceManagement/deviceConfigurations' -Method POST -Body $json -ContentType 'application/json'
 }
@@ -350,6 +408,17 @@ function Import-GraphSettingsCatalogPolicy {
         $body['settings'] = @()
     }
     $json = $body | ConvertTo-Json -Depth 50
+
+    # Korruptions-Check: enthaelt der Payload noch stringifizierte .NET-Objekte
+    # ("System.Collections.Hashtable" / "System.Object[]"), stammt die Quelldatei aus
+    # einem alten Export mit zu geringer ConvertTo-Json-Tiefe. *TemplateReference
+    # (optionale Metadaten) wurde oben bereits gerettet; verbleibende Marker sitzen in
+    # WERT-tragenden Feldern (z.B. groupSettingCollectionValue) -> echte Konfiguration
+    # ist verloren und nicht rekonstruierbar. Klar abbrechen statt kaputt zu importieren.
+    if ($json -match 'System\.Collections\.Hashtable|System\.Object\[\]') {
+        throw 'Quelldatei beschaedigt: Teile der Konfiguration wurden von einem alten Export (zu geringe JSON-Tiefe) zu ".ToString()" verstuemmelt und sind nicht wiederherstellbar. Bitte die Policy neu aus Graph exportieren und die frische Datei importieren.'
+    }
+
     return Invoke-MgGraphRequestRetry -Uri 'https://graph.microsoft.com/beta/deviceManagement/configurationPolicies' -Method POST -Body $json -ContentType 'application/json'
 }
 
@@ -692,9 +761,27 @@ function ConvertTo-StableObject {
     return $InputObject
 }
 
+# git muss nicht im PATH des Server-Prozesses liegen (haeufig, wenn der Server vor
+# der Git-Installation gestartet wurde oder mit eingefrorener Umgebung laeuft).
+# Erst PATH probieren, dann bekannte Installationsorte. Ergebnis wird gecacht.
+function Get-GitExe {
+    if ($script:GitExe -and (Test-Path $script:GitExe)) { return $script:GitExe }
+    $cmd = Get-Command git -CommandType Application -ErrorAction SilentlyContinue | Select-Object -First 1
+    if ($cmd) { $script:GitExe = $cmd.Source; return $script:GitExe }
+    $cands = @()
+    if ($env:ProgramFiles)        { $cands += (Join-Path $env:ProgramFiles 'Git\cmd\git.exe') }
+    if (${env:ProgramFiles(x86)}) { $cands += (Join-Path ${env:ProgramFiles(x86)} 'Git\cmd\git.exe') }
+    if ($env:LOCALAPPDATA)        { $cands += (Join-Path $env:LOCALAPPDATA 'Programs\Git\cmd\git.exe') }
+    if ($env:LOCALAPPDATA)        { $cands += (Join-Path $env:LOCALAPPDATA 'Microsoft\WinGet\Links\git.exe') }
+    foreach ($c in $cands) { if ($c -and (Test-Path $c)) { $script:GitExe = $c; return $c } }
+    return $null
+}
+
 function Invoke-Git {
     param([Parameter(Mandatory=$true)][string]$RepoPath, [Parameter(Mandatory=$true)][string[]]$GitArgs)
-    $out = & git -C $RepoPath @GitArgs 2>&1
+    $exe = Get-GitExe
+    if (-not $exe) { return @{ exit = 9009; out = 'git nicht gefunden (weder im PATH noch an bekannten Installationsorten).' } }
+    $out = & $exe -C $RepoPath @GitArgs 2>&1
     return @{ exit = $LASTEXITCODE; out = (@($out) -join "`n").Trim() }
 }
 
@@ -717,9 +804,10 @@ function Invoke-PolicyGitSnapshotEndpoint {
         return @{ __status = 400; error = 'Kein Git-Repo-Pfad konfiguriert (Einstellungen -> Policy-Backup).' }
     }
 
-    # git verfuegbar?
-    try { $null = & git --version 2>&1; if ($LASTEXITCODE -ne 0) { throw 'x' } }
-    catch { return @{ __status = 500; error = 'git ist nicht installiert oder nicht im PATH.' } }
+    # git verfuegbar? (PATH + bekannte Installationsorte)
+    if (-not (Get-GitExe)) {
+        return @{ __status = 500; error = 'git ist nicht auffindbar (weder im PATH des Server-Prozesses noch an den Standard-Installationsorten). Ggf. Server nach der Git-Installation neu starten.' }
+    }
 
     # Repo-Ordner + .git sicherstellen
     if (-not (Test-Path $repo)) { New-Item -ItemType Directory -Path $repo -Force | Out-Null }