Doku: vollständige Graph-Berechtigungen für den vollen Funktionsumfang

README: Berechtigungstabelle nach Bereich gruppiert (Kern, Geräte-Tab,
Offboarding, Read-Only) inkl. der neuen Abhängigkeiten
DeviceManagementServiceConfig.* (Autopilot-Status im Geräte-Detail,
Autopilot-Suche im Offboarding). App-Registration.md entsprechend ergänzt.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

README.md

@@ -105,24 +105,63 @@ Settings → Verbindung
   Scopes RO:               DeviceManagementApps.Read.All ...
 ```
 
-### Benoetigt Graph-Berechtigungen
+### Benoetigte Graph-Berechtigungen (voller Funktionsumfang)
 
-| Funktion                         | Benoetigt                                    |
+Alle Berechtigungen sind **delegiert** (Microsoft Graph) — die App handelt im Namen
-|----------------------------------|----------------------------------------------|
+des angemeldeten Admins. Der **Kern** deckt App-Management, Group-Management und
-| Apps anzeigen                    | `DeviceManagementApps.Read.All`              |
+Policies ab; die **Geräte-** und **Offboarding**-Scopes sind optional und nur für
-| Gruppen anzeigen / Mitglieder    | `GroupMember.Read.All`                       |
+den jeweiligen Tab nötig. `offline_access` liefert das Refresh-Token (Device-Code-Flow).
-| User suchen                      | `User.Read.All`                              |
+
-| Zuweisungen aendern              | `DeviceManagementApps.ReadWrite.All`         |
+**Kern — immer erforderlich (App Management, Group Management, App Report, Policies)**
-| Gruppen-Mitglieder aendern       | `GroupMember.ReadWrite.All`                  |
+
-| App-Installationszaehler (Report)| `DeviceManagementManagedDevices.Read.All` ⚠  |
+| Berechtigung | Wofür |
-| Geraete-Exportliste pro App      | `DeviceManagementManagedDevices.Read.All` ⚠  |
+|---|---|
+| `Group.ReadWrite.All` | Gruppen anlegen, App-/Policy-Zuweisungen setzen |
+| `GroupMember.ReadWrite.All` | Gruppenmitglieder lesen/hinzufügen/entfernen, CSV-Import |
+| `User.Read.All` | Benutzersuche, UPN-Auflösung |
+| `DeviceManagementApps.ReadWrite.All` | Apps auflisten, zuweisen, umbenennen, löschen, Setup-Datei aktualisieren |
+| `DeviceManagementConfiguration.ReadWrite.All` | Policies (Settings Catalog, Compliance, Konfigurationsprofile, Administrative Vorlagen) lesen, exportieren, importieren, **zuweisen (Bulk)**, konsolidieren, Git-Snapshot |
+| `DeviceManagementManagedDevices.Read.All` | App-Report (Installationszähler) und Geräte-Export pro App ⚠ |
+| `offline_access` | Refresh-Token |
 
 > ⚠ Ohne `DeviceManagementManagedDevices.Read.All` zeigt der App-Report nur
-> Zaehler = 0 und der Geraete-Export liefert keine Eintraege.
+> Zähler = 0 und der Geräte-Export liefert keine Einträge. Dieser Scope ist
+> zugleich die Basis für den gesamten Geräte-Tab (siehe unten).
 
-**Vollstaendige Berechtigungsliste, Redirect-URIs und ein Skript, das die
+**Geräte-Tab (optional)** — Geräte suchen, Detail-Panel, Aktionen
-App-Registrierung automatisch anlegt/konfiguriert:**
+
-[docs/App-Registration.md](docs/App-Registration.md) — inkl.
+| Berechtigung | Wofür |
+|---|---|
+| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten, Detail-Panel, Spalte „Verwaltung" (Intune/Co-Managed) |
+| `DeviceManagementServiceConfig.Read.All` | Autopilot-Status im Detail-Panel (Profil-Zuweisung / letzter Kontakt) |
+| `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation |
+| `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset |
+
+**Geräte-Offboarding (optional)** — Geräte aus Intune + Autopilot + Entra entfernen, Recovery-Keys lesen
+
+| Berechtigung | Wofür |
+|---|---|
+| `DeviceManagementManagedDevices.Read.All` | Geräte-Suche (Intune) |
+| `DeviceManagementServiceConfig.ReadWrite.All` | Autopilot-Suche **und** Löschen aus Autopilot |
+| `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen |
+| `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren |
+| `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen |
+| `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen |
+
+> **Rollen:** Das Löschen aus Entra/Intune/Autopilot benötigt bei delegierter
+> Anmeldung zusätzlich passende **Verzeichnis-/Intune-Rollen** (z. B. *Cloud Device
+> Administrator* bzw. *Intune Administrator*) — die Scopes allein reichen nicht
+> (sonst `403`). Alle optionalen Scopes müssen außerdem in den **Read/Write-Scopes**
+> des Tools stehen (Einstellungen → Verbindung), damit sie im Token landen.
+
+**Read-Only-Variante** (reine Anzeige-App als `clientIdRo`): die `*.Read.All`-Pendants —
+`Group.Read.All`, `GroupMember.Read.All`, `User.Read.All`,
+`DeviceManagementApps.Read.All`, `DeviceManagementConfiguration.Read.All`,
+`offline_access` (+ optional `DeviceManagementManagedDevices.Read.All` und
+`DeviceManagementServiceConfig.Read.All` für den Geräte-Tab).
+
+**Redirect-URIs und ein Skript, das die App-Registrierung automatisch
+anlegt/konfiguriert:** [docs/App-Registration.md](docs/App-Registration.md) — inkl.
 [`Setup-AppRegistration.ps1`](docs/Setup-AppRegistration.ps1).
 
 ---

docs/App-Registration.md

@@ -38,7 +38,8 @@ Nur nötig, wenn der **Geräte-Tab** (Sync/Reboot/Lock/Diagnose/Wipe/Retire) gen
 
 | Berechtigung | Wofür |
 |---|---|
-| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten und Details anzeigen |
+| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten und Details anzeigen, Spalte „Verwaltung" (Intune/Co-Managed) |
+| `DeviceManagementServiceConfig.Read.All` | Autopilot-Status im Detail-Panel (Profil-Zuweisung / letzter Kontakt) |
 | `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation |
 | `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset |
 
@@ -51,7 +52,7 @@ entfernen, Recovery-Keys lesen) genutzt wird:
 |---|---|
 | `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren |
 | `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen |
-| `DeviceManagementServiceConfig.ReadWrite.All` | Gerät aus Autopilot löschen |
+| `DeviceManagementServiceConfig.ReadWrite.All` | Autopilot durchsuchen und Gerät aus Autopilot löschen |
 | `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen |
 | `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen |