Policies: ADMX-Presentation-Matching Hashtable-Bug behoben (PS7/Container)

Where-Object liefert bei einem Treffer ein Einzelobjekt. Ist das eine Hashtable
(PS7 ConvertFrom-Json -AsHashtable, wie im Docker-Container), war $sameType[0]
eine Schluessel-Suche nach Key 0 (=> $null) statt Array-Index -> Presentation
wurde als "nicht zuordenbar" gewertet und die Einstellung uebersprungen. Unter
Windows PowerShell 5.1 (PSCustomObjects) trat der Fehler nicht auf.
Fix: Where-Object-Ergebnis vor dem Indexieren in @() zwingen. Verifiziert per
Simulation gegen die realen Firefox-ADMX-Exportdaten (Default Search Engine,
URL for Home page).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.gitattributes

@@ -0,0 +1,4 @@
+# Shell-Scripts muessen LF behalten - CRLF zerschiesst den Shebang auf macOS/Linux
+# ("bad interpreter"). Gilt unabhaengig von core.autocrlf.
+*.sh        text eol=lf
+*.command   text eol=lf

.github/workflows/release.yml

@@ -31,8 +31,8 @@ jobs:
         run: |
           $stage = "${{ runner.temp }}\stage"
           New-Item -ItemType Directory -Force $stage | Out-Null
-          # Copy everything except .git, .github, installer
-          Get-ChildItem -Path . -Exclude '.git','.github','installer' |
+          # Copy everything except Repo-/CI-/Dev-/macOS-only Dateien.
+          Get-ChildItem -Path . -Exclude '.git','.github','installer','start-macos.command','tests','.gitattributes' |
             Copy-Item -Destination $stage -Recurse -Force
 
       - name: Install WiX Toolset v4
@@ -107,3 +107,50 @@ jobs:
             - `Microsoft.Graph.Authentication` Modul (wird beim ersten Start automatisch angeboten)
           files: "IntuneManager-${{ steps.ver.outputs.TAG }}.msi"
           generate_release_notes: false
+
+      - name: Mirror MSI to Gitea release
+        shell: pwsh
+        env:
+          GITEA_TOKEN: ${{ secrets.GITEA_TOKEN }}
+          GITEA_BASE:  https://git.wende.it/api/v1
+          GITEA_OWNER: marco
+          GITEA_REPO:  Intune-Manager
+          TAG:         ${{ steps.ver.outputs.TAG }}
+          MSI_NAME:    ${{ steps.build.outputs.MSI_NAME }}
+          COMMIT_SHA:  ${{ github.sha }}
+        run: |
+          if ([string]::IsNullOrWhiteSpace($env:GITEA_TOKEN)) {
+            Write-Host "::notice::GITEA_TOKEN nicht gesetzt — Gitea-Upload uebersprungen."
+            exit 0
+          }
+          $headers = @{ Authorization = "token $env:GITEA_TOKEN" }
+          $repoUrl = "$($env:GITEA_BASE)/repos/$($env:GITEA_OWNER)/$($env:GITEA_REPO)"
+
+          # Release per Tag suchen; sonst anlegen (Tag wird bei Bedarf am Commit erzeugt).
+          $rel = $null
+          try { $rel = Invoke-RestMethod -Headers $headers -Uri "$repoUrl/releases/tags/$($env:TAG)" -Method GET } catch { $rel = $null }
+          if (-not $rel) {
+            $body = @{
+              tag_name         = $env:TAG
+              target_commitish = $env:COMMIT_SHA
+              name             = "Intune Manager $($env:TAG)"
+              body             = "Automatisch aus der GitHub-CI gespiegelt."
+            } | ConvertTo-Json
+            $rel = Invoke-RestMethod -Headers $headers -Uri "$repoUrl/releases" -Method POST -ContentType 'application/json' -Body $body
+          }
+          $relId = $rel.id
+
+          # Vorhandenes Asset gleichen Namens entfernen (idempotent bei Re-Runs).
+          try {
+            $assets = Invoke-RestMethod -Headers $headers -Uri "$repoUrl/releases/$relId/assets" -Method GET
+            foreach ($a in @($assets)) {
+              if ($a.name -eq $env:MSI_NAME) {
+                Invoke-RestMethod -Headers $headers -Uri "$repoUrl/releases/$relId/assets/$($a.id)" -Method DELETE | Out-Null
+              }
+            }
+          } catch {}
+
+          # MSI als Attachment hochladen (multipart, Feldname 'attachment').
+          $assetUri = "$repoUrl/releases/$relId/assets?name=$([uri]::EscapeDataString($env:MSI_NAME))"
+          Invoke-RestMethod -Headers $headers -Uri $assetUri -Method POST -Form @{ attachment = Get-Item -LiteralPath $env:MSI_NAME } | Out-Null
+          Write-Host "MSI '$($env:MSI_NAME)' -> Gitea-Release '$($env:TAG)' hochgeladen."

CHANGELOG.md

@@ -5,6 +5,181 @@ Versionierung folgt [Semantic Versioning](https://semver.org/lang/de/) — solan
 
 ---
 
+## [0.1.36] - 2026-09-16
+
+Bulk-Gruppenzuweisung für Policies und Autopilot im Offboarding.
+
+### Neu
+
+- **Gruppen zuweisen (Bulk)** im Policies-Tab: mehreren ausgewählten Policies (typübergreifend) in einem Schritt dieselben **Include-/Exclude-Gruppen** zuweisen — plus die integrierten Ziele **Alle Geräte** und **Alle Benutzer**. Zwei Modi: **Hinzufügen** (bestehende Zuweisungen bleiben erhalten und werden gemergt, da Graph `/assign` die komplette Liste ersetzt) und **Ersetzen**. Neuer Parameter `mode`/`allDevices`/`allUsers` an `POST /api/policies/assign`.
+- **Offboarding durchsucht jetzt auch Autopilot**: Reine Autopilot-Geräte (registriert, aber nicht/nicht mehr in Intune enrolled) tauchten bisher nicht auf. Die Suche fragt zusätzlich `windowsAutopilotDeviceIdentities` ab (Seriennummer bzw. Anzeigename), dedupliziert gegen die Intune-Treffer und lädt für Autopilot-only-Geräte das Entra-Objekt per `azureAdDeviceId` nach.
+
+### Doku
+
+- README: vollständige Graph-Berechtigungen für den vollen Funktionsumfang, nach Bereich gruppiert (Kern, Geräte-Tab, Offboarding, Read-Only) — inkl. `DeviceManagementServiceConfig.*` (Autopilot-Status im Geräte-Detail, Autopilot-Suche im Offboarding). `docs/App-Registration.md` und `docs/Setup-AppRegistration.ps1` (`-IncludeDeviceActions`) entsprechend ergänzt.
+
+---
+
+## [0.1.35] - 2026-09-15
+
+Settings-Catalog-Import-Fix und Update-Check hinter Proxy.
+
+### Behoben
+
+- **Settings-Catalog-Import** (400 „Property choiceSettingCollectionValue … does not match schema"): `choiceSettingCollectionValue` fehlte in der Array-Normalisierung. Beim JSON-Roundtrip unter PowerShell 5.1 wurde ein Ein-Element-`choiceSettingCollectionValue` zum Einzelobjekt entpackt und von Graph abgelehnt (z. B. „Default Defender Antivirus Policy"). Wird jetzt wie `group-`/`simpleSettingCollectionValue` behandelt.
+- **Update-Check hinter authentifiziertem Proxy** (HTTP 407): Der Versions-Check schlug hinter Unternehmens-Proxys (NTLM/Kerberos) still fehl, weil `Invoke-RestMethod` keine Anmeldeinformationen an den Proxy sendete. Die angemeldeten Windows-Credentials werden jetzt an den System-Proxy durchgereicht; optionaler expliziter Proxy über `settings.json → update.proxy`.
+
+---
+
+## [0.1.34] - 2026-09-14
+
+Verwaltungsart in der Geräteliste, Autopilot-Zeitstempel im Detail.
+
+### Neu
+
+- **Spalte „Verwaltung"** in der Geräteliste: zeigt je Gerät, ob es **Intune** (reines MDM) oder **Co-Managed** (ConfigMgr + Intune) ist — abgeleitet aus `managementAgent`. Farbige Badges, sortierbar, auch im CSV-Export und im Detail-Panel.
+- **Autopilot-Infos im Geräte-Detail**: Beim Auswählen eines Windows-Geräts wird die Autopilot-Identity per Seriennummer nachgeladen und zeigt **Registrierungsstatus**, **Profil zugewiesen am** (`deploymentProfileAssignedDateTime`) und **letzter Autopilot-Kontakt** (`lastContactedDateTime`). Hinweis: Ein exaktes Autopilot-Importdatum liefert Microsoft Graph nicht; angezeigt werden die verfügbaren Zeitstempel. Kein Performance-Einfluss auf die Liste (Lookup nur pro ausgewähltem Gerät), keine neue Berechtigung nötig.
+
+---
+
+## [0.1.33] - 2026-09-13
+
+Offboarding-Report und Update-Hinweis.
+
+### Neu
+
+- **Offboarding-Report**: Nach dem Ausführen erzeugt das Offboarding einen **HTML-Report** (`/reports/offboard-report-<zeit>.html`) im Stil des Zuweisungs-Reports — mit KPIs (Geräte / Aktionen / Erfolg / Fehler) und **pro Gerät** einer Tabelle der ausgeführten Löschungen (Dienst · Aktion · Status · Meldung). Das Ergebnis im Dialog ist jetzt ebenfalls **pro Gerät gruppiert**, plus ein Button „HTML-Report öffnen".
+- **Update-Hinweis**: Beim Start prüft die App (nicht-blockierend) die neueste Release-Version über **Gitea** und zeigt bei einer neueren Version ein **Badge in der Kopfzeile** mit Link zur Release-Seite (dort MSI herunterladen → In-Place-Upgrade). Nur Lesezugriff; optionaler read-only Token via `settings.json → update.token`, falls das Repo privat ist. Neuer Endpoint `GET /api/update/check`.
+
+---
+
+## [0.1.32] - 2026-09-11
+
+Bulk-Offboarding aus dem Geräte-Tab, Geräte-Ladefehler behoben, bessere Graph-Diagnose.
+
+### Neu
+
+- **Bulk-Offboarding aus dem Geräte-Tab**: Geräte per Checkbox (inkl. „Alle sichtbaren") auswählen und über den Button **„Offboarden"** direkt in den Offboard-Dialog übergeben — kombinierbar mit dem Gruppen-Filter (z. B. alle Geräte einer Gruppe). Die Auswahl wird server-seitig zu vollständigen Offboard-Objekten aufgelöst (Entra-Object-Id + Autopilot-Id nachgeladen). Neuer Endpoint `POST /api/offboard/resolve`. Im Read-Only-Modus ausgeblendet.
+
+### Behoben
+
+- **„Geräte konnten nicht geladen werden" (400 BadRequest)**: Intunes DeviceFE-Backend lehnte die Abfrage ab. Ursachen entfernt: `managementState` ist kein gültiges `$select`-Feld (raus), `$orderby` wird nicht mehr gesendet (Sortierung macht das Frontend), und der Namensfilter fällt bei nicht unterstütztem `startswith` automatisch auf `deviceName`-only zurück. Geräte-Endpoints nutzen jetzt `beta` (wie der Offboard-Abruf).
+- **Bessere Graph-Fehler-Diagnose**: Bei Nicht-Retry-Fehlern wird der **Graph-Fehler-Body** an die Meldung gehängt (statt nur „BadRequest") — die eigentliche Ursache steht jetzt im Log/Toast.
+- **Offboarding**: Wird eine Autopilot-Zuordnung nicht gefunden, zeigt der Dialog jetzt den **Grund** (fehlende Berechtigung vs. kein Seriennummer-Treffer), statt kommentarlos „Autopilot: –".
+
+---
+
+## [0.1.31] - 2026-09-11
+
+Policy-Konsolidierung, Geräte-Export nach Gruppe, Gruppen-in-Gruppen, Geräte-Fixes.
+
+### Neu
+
+- **Policies zusammenführen** (Settings Catalog): Mehrere Settings-Catalog-Policies zu **einer neuen** Policy vereinen. Gleiche Einstellungen werden einmal übernommen, **Konflikte** (gleiche `settingDefinitionId`, anderer Wert) werden vor dem Anlegen angezeigt und pro Konflikt aufgelöst. Button „Konsolidieren" im Policies-Tab (ab 2 gewählten Settings-Catalog-Policies). Neuer Endpoint `POST /api/policies/consolidate`.
+- **Geräte nach Gruppe exportieren**: Im **Geräte**-Tab neuer **Gruppen-Filter** (Live-Suche) — die Liste zeigt nur die Geräte der Gruppen-User (inkl. verschachtelter Gruppen) — plus **CSV-Export** der aktuell angezeigten Liste. Kombinierbar mit Suche/OS/Compliance. Neuer Endpoint `GET /api/groups/{id}/devices/export`.
+- **Gruppen zu Gruppen hinzufügen**: Im Group-Management-Tab „Benutzer | Gruppen hinzufügen" ein Umschalter **Benutzer / Gruppen** — eine bestehende Gruppe als Mitglied (verschachtelte Gruppe) zur gewählten Gruppe hinzufügen.
+
+### Behoben
+
+- **Geräte „Invalid Date"**: `lastSyncDateTime`/`enrolledDateTime` werden jetzt server-seitig als ISO 8601 normalisiert (`ConvertTo-IsoDate`) — vorher kam unter PowerShell 5.1 ein nicht parsbares Format an. Anzeige zusätzlich robust (ungültig → „—").
+- **Geräte-Sortierung**: Die Spalten-Sortierung war komplett wirkungslos (Header-Feldnamen ≠ Item-Properties). Jetzt sortieren alle Spalten korrekt, **Datums-Spalten numerisch** nach Zeitstempel (Klick auf „Letzter Sync" / „Eingeschrieben").
+
+---
+
+## [0.1.30] - 2026-09-03
+
+Policy-Bulk-Import gehärtet, macOS-Apps, Gruppen-Suche & Direkt-Zuweisung an Apps.
+
+### Neu
+
+- **Bulk-Import von Policies**: Mehrere Policy-Dateien (oder eine Bundle-Datei) auf einmal importieren. Läuft server-seitig in Batches à 5 mit Fortschrittsanzeige und Fehler-Isolierung pro Batch — umgeht das 180-s-Timeout einzelner Requests.
+- **macOS-Apps** erscheinen jetzt in App-Liste und -Suche (DMG, PKG, LOB, Defender, Edge, M365, VPP) mit eigenen Typ-Labels. Neuer **Plattform-Filter** (Alle / Windows / macOS).
+- **Gruppen-Suche** im Ziel-Panel: Der frühere „Abteilung"-Tab heißt jetzt **„Gruppe"** und durchsucht per Live-Suche **alle** Tenant-Gruppen (statt nur Präfix-Gruppen). Auswahl bleibt über mehrere Suchen erhalten.
+- **Bestehende Gruppe(n) direkt einer App zuweisen**: Im Dialog „Zuweisung hinzufügen" neue Option „Bestehende Gruppe" (Required/Available) mit Gruppensuche und **Mehrfachauswahl** (Chips).
+
+### Behoben
+
+- **App-Zuweisung überschrieb bestehende Zuweisungen**: `Add-GraphAppAssignment` nutzte die `/assign`-Action mit nur einer Zuweisung — diese ersetzt aber die komplette Liste. Jetzt werden bestehende Zuweisungen geladen, neue gemergt (Duplikate übersprungen) und in **einem** Request geschickt. Behebt sowohl die Mehrfach-Zuweisung als auch stillen Verlust vorhandener Zuweisungen beim Einzel-Hinzufügen.
+- **Policy-Export/-Import-Treue** (Windows PowerShell 5.1): Policy-Details werden als **rohes JSON** von Graph geholt (`-OutputType Json`), sonst skalarisierte der Hashtable-Modus Ein-Element-Collections (z. B. `printerNames`) → 400 beim Re-Import.
+- **Configuration-Profile-Import**: `null`-Werte für nicht-nullbare Collections werden entfernt (400 `ModelValidationFailure`).
+- **Settings-Catalog-Import**: Reparatur leerer/verstümmelter Collections (`[""]`, `{}`), Rettung stringifizierter `*TemplateReference`-Felder und **klarer Abbruch** bei irreparabel beschädigten Quelldateien (alte Exporte mit zu geringer JSON-Tiefe).
+- **Git-Snapshot**: `git` wird jetzt auch über bekannte Installationsorte gefunden, falls es nicht im (veralteten) PATH des Server-Prozesses liegt.
+
+---
+
+## [0.1.29] - 2026-08-24
+
+Geräte-Offboarding (v1).
+
+### Neu
+
+- **Geräte-Offboarding** als neue Ansicht: Geräte über **Intune, Autopilot und Entra ID** hinweg entfernen (Decommissioning). Portiert aus dem [Device Offboarding Manager](https://github.com/ugurkocde/DeviceOffboardingManager) von Ugur Koc (MIT-Lizenz).
+  - Suche per Gerätename/Seriennummer, Auflösung der IDs über alle drei Dienste (`$batch`)
+  - **Recovery-Keys vor dem Löschen**: BitLocker/FileVault und LAPS-Passwörter werden angezeigt
+  - Bestätigungs-Dialog mit Dienst-Auswahl (Entra löschen/deaktivieren, Intune, Autopilot), Pflicht-Bestätigung und Ergebnis-Liste; **403/Multi-Admin-Approval** wird abgefangen
+  - Im **Read-Only-Modus gesperrt**
+  - Neue Endpoints: `GET /api/offboard/search`, `POST /api/offboard/keys`, `POST /api/offboard/execute` (neues Modul `src/Offboard.ps1`)
+  - Zusätzliche Berechtigungen dokumentiert; Setup-Skript-Schalter `-IncludeOffboarding`. (MDE-Offboarding bewusst nicht in v1.)
+
+---
+
+## [0.1.28] - 2026-08-24
+
+Umbenennen beim Import, UI-Fixes, Geräte-Export repariert.
+
+### Neu
+
+- **Umbenennen beim Import**: Vor dem Anlegen kann jeder importierten Policy im neuen Dialog „Policies importieren" ein anderer Name gegeben werden (das richtige Namensfeld je Typ — `name`/`displayName` — wird gesetzt).
+
+### Behoben
+
+- **Geräte-Export im App Report**: Der von Graph entfernte synchrone Endpoint `getDeviceInstallStatusReport` (400 „Resource not found for the segment") ist durch den asynchronen Export-Job **`DeviceInstallStatusByApp`** ersetzt (ZIP/CSV-Auswertung, tolerantes Spalten-Mapping). ZIP/CSV-Logik in `Get-IntuneReportRows` ausgelagert.
+- **Darkmode-Kontrast** im Zuweisungs-Dialog: Gruppen-Chips nutzen jetzt die Theme-Variablen (`--surface-strong`/`--ink` statt fester heller Farben) — heller Text auf hellem Chip behoben.
+- **Dialog-Breite**: Lange Policy-Namen im Zuweisungs-/Import-Dialog brechen jetzt um (`overflow-wrap`/`flex-wrap`) statt horizontal zu scrollen; das Fenster passt sich der Breite an.
+
+---
+
+## [0.1.27] - 2026-08-23
+
+Policy-Import härter, Administrative Vorlagen, Zuweisung nach Import, Git-Snapshot, App-Registrierungs-Doku.
+
+### Neu
+
+- **Administrative Vorlagen (ADMX / `groupPolicyConfigurations`)** als vierter Policy-Typ für Export und Import. Beim Import wird die Konfigurations-Hülle angelegt und jede Einstellung einzeln über `definition@odata.bind` / `presentation@odata.bind` angehängt (eingebaute ADMX-Definitionen sind tenantübergreifend gültig). Neuer Endpoint `GET /api/policies/administrativetemplate`.
+- **Zuweisung direkt nach Import**: Dialog listet die neu angelegten Policies und lässt **pro Policy Include-/Exclude-Gruppen** im Ziel-Tenant zuweisen (Typeahead über die vorhandene Gruppensuche). Neuer Endpoint `POST /api/policies/assign` (nutzt die typ-spezifische `/assign`-Action für alle vier Typen).
+- **Git-Snapshot (versioniertes Policy-Backup)**: Button „Git-Snapshot" schreibt alle Policies aller Typen als JSON in einen konfigurierten lokalen Git-Ordner und committet sie (optional `git push` über den vorhandenen Credential-Helper). Stabile Dateinamen + deterministische, zeitstempel-freie Ausgabe → saubere Diffs. Neue Settings-Sektion `policyBackup` (`gitRepoPath`, `push`).
+- Import akzeptiert jetzt auch **Git-Snapshot-Dateien** (Feld `policyType` zusätzlich zu `exportType`).
+- **Doku + Provisioning-Skript für die App-Registrierung**: [`docs/App-Registration.md`](docs/App-Registration.md) listet alle benötigten delegierten Graph-Berechtigungen (Kern, Geräte-Tab, Read-Only) samt Auth-Konfiguration; [`docs/Setup-AppRegistration.ps1`](docs/Setup-AppRegistration.ps1) legt die Registrierung automatisch an bzw. aktualisiert sie (Rechte, Public-Client-Flow, Redirect-URIs, optional Admin-Consent) — Berechtigungs-IDs werden live aufgelöst, keine fest verdrahteten GUIDs.
+
+### Behoben
+
+- **Settings-Catalog-Import** war gegen Graph-Schema-Fehler anfällig: verschachtelte Collection-Properties (`children`, `*SettingCollectionValue`) werden jetzt konsequent als Arrays serialisiert (repariert PowerShell-5.1-JSON-Roundtrip-Schäden), `null`-Collections werden zu `[]` (Graph verlangt `Nullable=False`), der Wrapper-`@odata.type` wird je Setting gesetzt und das read-only `id`-Feld entfernt.
+- **Phantom-Fehler beim Import**: ein fehlendes `fileNames`-Feld erzeugte über `@($null)` einen Geisterdurchlauf im Archiv-Pfad und meldete fälschlich „1 fehlgeschlagen".
+- **Tenant-Wechsel**: das Frontend zeigte weiter die Apps/Gruppen des vorherigen Tenants, weil die Lade-Guards nicht zurückgesetzt wurden. Alle datentragenden Caches werden jetzt beim Wechsel verworfen (`resetClientState`).
+- **WAM-Anmeldefenster** kommt beim Login/Tenant-Wechsel zuverlässig in den Vordergrund (AttachThreadInput + kurzer ALT-Tap zum Lösen des Windows-Foreground-Locks).
+
+---
+
+## [0.1.26] - 2026-08-21
+
+Multi-Tenant, Pro-Tenant-Vorgaben, RPA entfernt.
+
+### Neu
+
+- **Multi-Tenant-Modus** (umschaltbar in den Einstellungen, Single/Multi): mehrere Mandanten mit **je eigener App-Registrierung**; Umschalter in der Topbar mit **Sofort-Reconnect**. Bestehende Single-Tenant-Konfiguration wird verlustfrei übernommen.
+- **Pro-Tenant-Vorgaben** mit globalem Fallback: **Abteilungs-Präfixe** sowie **Required-/Available-Gruppen-Naming** je Profil überschreibbar (leer = globale Vorgabe).
+- **Policy-Export als Einzeldateien** bei Mehrfachauswahl (statt Bundle).
+- **CI**: gebaute MSI wird zusätzlich als **Gitea-Release-Asset** gespiegelt (Secret `GITEA_TOKEN`).
+- Hilfe-Fenster: Hinweis „Entwickelt von WendeIT – Marco Wende".
+
+### Geändert / Entfernt
+
+- **RPA-Funktion entfernt**: RPA-Tab, RPA-Einstellungen und RPA-Test-Anzeige sind nicht mehr vorhanden.
+- Setup-Zwang gelockert: nur **Tenant ID + Client ID** sind Pflicht; Abteilungs-Präfixe sind optional.
+- Klarere Fehlermeldung bei nicht erreichbarem lokalen Server (statt „Failed to fetch").
+
+---
+
 ## [0.1.25] - 2026-08-19
 
 Policy Export/Import und Geräte-Tab.

README.md

@@ -39,6 +39,43 @@ Beenden: `Ctrl+C` im Terminal.
 
 ---
 
+## Single- vs. Multi-Tenant
+
+Unter **Settings → Verbindung → Verbindungsmodus** wählst du zwischen:
+
+| Modus         | Verhalten                                                                 |
+|---------------|---------------------------------------------------------------------------|
+| Single-Tenant | Klassisch: ein Mandant (Tenant ID + App-Registrierung). Standard.         |
+| Multi-Tenant  | Mehrere Mandanten mit **je eigener App-Registrierung**; Umschalten oben rechts |
+
+Im Multi-Tenant-Modus legst du pro Mandant ein Profil an (Bezeichnung, Tenant ID,
+Client-ID Read/Write, optional Client-ID Read-Only). Der **aktive** Mandant ist
+markiert. Über das **Dropdown in der Topbar** wechselst du zwischen den Mandanten —
+der Wechsel trennt die aktuelle Verbindung und verbindet **sofort neu** mit dem
+gewählten Tenant (Login-Prompt erscheint). Alle Caches werden beim Wechsel geleert.
+
+> Die Scopes (RW/RO) gelten **global** für alle Profile. Jeder Mandant benötigt
+> eine eigene App-Registrierung mit denselben delegierten Berechtigungen und
+> (Admin-)Consent im jeweiligen Tenant. Bestehende Single-Tenant-Konfigurationen
+> werden verlustfrei übernommen (Umschalten auf Multi bietet an, das vorhandene
+> Setup als erstes Profil zu übernehmen).
+
+### Pro-Tenant-Vorgaben
+
+Jedes Tenant-Profil kann **eigene Vorgaben** hinterlegen (z. B. Kunde A → `abt-hm-*`,
+Kunde B → `dept-*`):
+
+- **Abteilungs-Präfixe**
+- **Required-Gruppen-Naming** (Präfix/Suffix)
+- **Available-Gruppen-Naming** (Präfix/Suffix)
+
+Bleibt ein Feld **leer, gilt die globale Vorgabe** aus den entsprechenden
+Einstellungs-Abschnitten (bei Naming greift der Fallback pro Feld einzeln). Beim
+Mandantenwechsel werden die Caches geleert, sodass die passenden Vorgaben gegen
+den aktiven Tenant wirken.
+
+---
+
 ## Verbindungsmodus (Read/Write vs. Read-Only)
 
 Der Server probiert beim Verbinden **zuerst die Read/Write-App-ID** (`clientId`).
@@ -53,7 +90,7 @@ Schlaegt diese fehl, wird automatisch auf die **Read-Only-App-ID** (`clientIdRo`
 
 - App-Zuweisung (Required / Available hinzufuegen und entfernen)
 - Gruppen erstellen und loeschen
-- Tab „Benutzer hinzufuegen" im Group Management
+- Tab „Benutzer | Gruppen hinzufuegen" im Group Management
 - Tab „CSV-Import" im Group Management
 - Session-Ausfuehren-Button
 - Alle Rename-/Delete-Buttons
@@ -68,20 +105,64 @@ Settings → Verbindung
   Scopes RO:               DeviceManagementApps.Read.All ...
 ```
 
-### Benoetigt Graph-Berechtigungen
+### Benoetigte Graph-Berechtigungen (voller Funktionsumfang)
 
-| Funktion                         | Benoetigt                                    |
-|----------------------------------|----------------------------------------------|
-| Apps anzeigen                    | `DeviceManagementApps.Read.All`              |
-| Gruppen anzeigen / Mitglieder    | `GroupMember.Read.All`                       |
-| User suchen                      | `User.Read.All`                              |
-| Zuweisungen aendern              | `DeviceManagementApps.ReadWrite.All`         |
-| Gruppen-Mitglieder aendern       | `GroupMember.ReadWrite.All`                  |
-| App-Installationszaehler (Report)| `DeviceManagementManagedDevices.Read.All` ⚠  |
-| Geraete-Exportliste pro App      | `DeviceManagementManagedDevices.Read.All` ⚠  |
+Alle Berechtigungen sind **delegiert** (Microsoft Graph) — die App handelt im Namen
+des angemeldeten Admins. Der **Kern** deckt App-Management, Group-Management und
+Policies ab; die **Geräte-** und **Offboarding**-Scopes sind optional und nur für
+den jeweiligen Tab nötig. `offline_access` liefert das Refresh-Token (Device-Code-Flow).
+
+**Kern — immer erforderlich (App Management, Group Management, App Report, Policies)**
+
+| Berechtigung | Wofür |
+|---|---|
+| `Group.ReadWrite.All` | Gruppen anlegen, App-/Policy-Zuweisungen setzen |
+| `GroupMember.ReadWrite.All` | Gruppenmitglieder lesen/hinzufügen/entfernen, CSV-Import |
+| `User.Read.All` | Benutzersuche, UPN-Auflösung |
+| `DeviceManagementApps.ReadWrite.All` | Apps auflisten, zuweisen, umbenennen, löschen, Setup-Datei aktualisieren |
+| `DeviceManagementConfiguration.ReadWrite.All` | Policies (Settings Catalog, Compliance, Konfigurationsprofile, Administrative Vorlagen) lesen, exportieren, importieren, **zuweisen (Bulk)**, konsolidieren, Git-Snapshot |
+| `DeviceManagementManagedDevices.Read.All` | App-Report (Installationszähler) und Geräte-Export pro App ⚠ |
+| `offline_access` | Refresh-Token |
 
 > ⚠ Ohne `DeviceManagementManagedDevices.Read.All` zeigt der App-Report nur
-> Zaehler = 0 und der Geraete-Export liefert keine Eintraege.
+> Zähler = 0 und der Geräte-Export liefert keine Einträge. Dieser Scope ist
+> zugleich die Basis für den gesamten Geräte-Tab (siehe unten).
+
+**Geräte-Tab (optional)** — Geräte suchen, Detail-Panel, Aktionen
+
+| Berechtigung | Wofür |
+|---|---|
+| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten, Detail-Panel, Spalte „Verwaltung" (Intune/Co-Managed) |
+| `DeviceManagementServiceConfig.Read.All` | Autopilot-Status im Detail-Panel (Profil-Zuweisung / letzter Kontakt) |
+| `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation |
+| `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset |
+
+**Geräte-Offboarding (optional)** — Geräte aus Intune + Autopilot + Entra entfernen, Recovery-Keys lesen
+
+| Berechtigung | Wofür |
+|---|---|
+| `DeviceManagementManagedDevices.Read.All` | Geräte-Suche (Intune) |
+| `DeviceManagementServiceConfig.ReadWrite.All` | Autopilot-Suche **und** Löschen aus Autopilot |
+| `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen |
+| `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren |
+| `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen |
+| `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen |
+
+> **Rollen:** Das Löschen aus Entra/Intune/Autopilot benötigt bei delegierter
+> Anmeldung zusätzlich passende **Verzeichnis-/Intune-Rollen** (z. B. *Cloud Device
+> Administrator* bzw. *Intune Administrator*) — die Scopes allein reichen nicht
+> (sonst `403`). Alle optionalen Scopes müssen außerdem in den **Read/Write-Scopes**
+> des Tools stehen (Einstellungen → Verbindung), damit sie im Token landen.
+
+**Read-Only-Variante** (reine Anzeige-App als `clientIdRo`): die `*.Read.All`-Pendants —
+`Group.Read.All`, `GroupMember.Read.All`, `User.Read.All`,
+`DeviceManagementApps.Read.All`, `DeviceManagementConfiguration.Read.All`,
+`offline_access` (+ optional `DeviceManagementManagedDevices.Read.All` und
+`DeviceManagementServiceConfig.Read.All` für den Geräte-Tab).
+
+**Redirect-URIs und ein Skript, das die App-Registrierung automatisch
+anlegt/konfiguriert:** [docs/App-Registration.md](docs/App-Registration.md) — inkl.
+[`Setup-AppRegistration.ps1`](docs/Setup-AppRegistration.ps1).
 
 ---
 
@@ -90,10 +171,10 @@ Settings → Verbindung
 | Tab                | Beschreibung                                                |
 |--------------------|-------------------------------------------------------------|
 | App Management     | Haupt-Ansicht: Apps laden, Gruppen zuweisen / entfernen     |
-| Group Management   | Mitglieder anzeigen, exportieren, Benutzer hinzufuegen, CSV-Import |
+| Group Management   | Mitglieder anzeigen/exportieren, Benutzer **und Gruppen** hinzufuegen, CSV-Import |
 | App Report         | Installationszaehler pro App, Geraete-Export als CSV        |
-| Geräte             | Geraete suchen, Detail-Panel, Aktionen (Sync, Wipe, …)      |
-| Policies           | Policies exportieren (JSON-Download) und importieren (Neuanlage) |
+| Geräte             | Geraete suchen, Filter (auch nach **Gruppe**), Spalte **Verwaltung** (Intune / Co-Managed), CSV-Export, **Bulk-Offboarding**, Detail-Panel (inkl. **Autopilot**-Status) und Aktionen (Sync, Wipe, …) |
+| Policies           | Policies exportieren/importieren (Neuanlage), **zusammenfuehren** (Settings Catalog) und **Gruppen zuweisen** (Bulk) |
 
 ---
 
@@ -106,10 +187,11 @@ Settings → Verbindung
 - Filter zum Einschraenken der Anzeige
 - **Als CSV exportieren** laedt alle Mitglieder als `members-<Gruppe>-<Datum>.csv`
 
-### Benutzer hinzufuegen *(nur Read/Write)*
+### Benutzer | Gruppen hinzufuegen *(nur Read/Write)*
 
-- Benutzer per Name, UPN oder E-Mail suchen
-- Mehrere Benutzer auswaehlen und gemeinsam hinzufuegen
+- Umschalter **Benutzer / Gruppen** oben im Tab
+- Benutzer per Name, UPN oder E-Mail suchen — oder Gruppen per Name (verschachtelte Gruppen)
+- Mehrere Eintraege auswaehlen und gemeinsam zur gewaehlten Gruppe hinzufuegen
 
 ### CSV-Import *(nur Read/Write)*
 
@@ -193,6 +275,39 @@ neu an. Unterstuetzte Typen:
 > bekommen bei Bedarf einen Default-`scheduledActionsForRule`-Block, den Graph
 > beim Anlegen zwingend verlangt.
 
+### Konsolidieren *(nur Read/Write, nur Settings Catalog)*
+
+- Mindestens zwei **Settings-Catalog**-Policies per Checkbox waehlen →
+  **„Konsolidieren"**
+- Die Einstellungen werden zu **einer neuen** Policy vereint (Neuanlage) — gleiche
+  `settingDefinitionId` mit gleichem Wert wird einmal uebernommen
+- **Konflikte** (gleiche Einstellung, unterschiedlicher Wert) werden vor dem
+  Anlegen angezeigt; pro Konflikt waehlst du, welche Policy gewinnt
+- Voraussetzung: gleiche Plattform. Zuweisungen werden nicht uebernommen.
+
+### Gruppen zuweisen (Bulk) *(nur Read/Write)*
+
+Weist mehreren ausgewaehlten Policies **in einem Schritt** dieselben Gruppen zu —
+typuebergreifend (Settings Catalog, Compliance, Konfigurationsprofil,
+Administrative Vorlage gemischt).
+
+- Eine oder mehrere Policies per Checkbox waehlen → Button
+  **„Gruppen zuweisen"** in der Toolbar.
+- Im Dialog **Include-** und/oder **Exclude-Gruppen** einmal waehlen; zusaetzlich
+  die integrierten Include-Ziele **Alle Geraete** und **Alle Benutzer**.
+- **Zwei Modi:**
+  - **Hinzufuegen** (Default): bestehende Zuweisungen jeder Policy bleiben
+    erhalten, die gewaehlten Gruppen/Ziele kommen hinzu (dedupliziert, inkl.
+    vorhandener Filter- und Alle-Geraete/Benutzer-Ziele).
+  - **Ersetzen**: alle bisherigen Zuweisungen der Policy werden durch die
+    Auswahl ersetzt.
+- Hintergrund: Die Graph-`/assign`-Action ersetzt immer die **komplette**
+  Zuweisungsliste — der Hinzufuegen-Modus liest die bestehenden Zuweisungen
+  daher zuerst aus und schickt sie zusammen mit den neuen mit. Ist das Auslesen
+  fuer eine Policy nicht moeglich, wird sie uebersprungen (statt versehentlich
+  bestehende Zuweisungen zu loeschen).
+- Ergebnis-Toast meldet Erfolg/Fehler pro Policy.
+
 ### Benoetigt Graph-Berechtigung
 
 `DeviceManagementConfiguration.ReadWrite.All` (Import) bzw.
@@ -200,6 +315,21 @@ neu an. Unterstuetzte Typen:
 automatisch zur Verbindung ergaenzt — in der Azure-App-Registration muss die
 Berechtigung aber vorhanden und (Admin-)zugestimmt sein.
 
+### Git-Snapshot (versioniertes Backup)
+
+Button **„Git-Snapshot"** im Policies-Tab schreibt **alle** Policies aller Typen
+als JSON in einen konfigurierten **lokalen Git-Ordner** und committet sie
+automatisch — ideal als versioniertes Backup mit nachvollziehbarer History.
+
+- Konfiguration: **Settings → Policy-Backup (Git)** — lokaler Repo-Pfad (wird bei
+  Bedarf angelegt und `git init`-isiert) + optional **automatischer `git push`**
+  (nutzt den vorhandenen Git-Credential-Helper; **kein Token in der App**).
+- **Stabile Dateinamen** (`<tenant>/<typ>/<name>__<id8>.json`) und deterministische,
+  zeitstempel-freie JSON-Ausgabe → saubere Git-Diffs zwischen Snapshots. Entfernte
+  Policies verschwinden aus dem Snapshot.
+- Multi-Tenant: je Mandant ein eigener Unterordner (nach Profil-Label bzw. Tenant-ID).
+- Gibt es keine Aenderungen seit dem letzten Snapshot, wird nichts committet.
+
 ---
 
 ## Architektur
@@ -238,8 +368,9 @@ Intune Manager/
 | POST    | `/api/groups/resolve-upns`                | Read      | UPN-Liste → UserId + DisplayName         |
 | GET     | `/api/groups/{id}/members`                | Read      | Mitglieder einer Gruppe                  |
 | GET     | `/api/groups/{id}/members/export`         | Read      | Mitglieder als CSV                       |
-| POST    | `/api/groups/{id}/members`                | **Write** | Benutzer zur Gruppe hinzufuegen          |
-| DELETE  | `/api/groups/{id}/members/{uid}`          | **Write** | Benutzer aus Gruppe entfernen            |
+| POST    | `/api/groups/{id}/members`                | **Write** | Benutzer/Gruppen zur Gruppe hinzufuegen  |
+| DELETE  | `/api/groups/{id}/members/{uid}`          | **Write** | Benutzer/Gruppe aus Gruppe entfernen     |
+| GET     | `/api/groups/{id}/devices/export`         | Read+MDM  | Geraete der Gruppen-User als CSV         |
 | GET     | `/api/users?q=`                           | Read      | Benutzer suchen                          |
 | GET     | `/api/apps`                               | Read      | Apps laden (cached)                      |
 | POST    | `/api/apps/refresh`                       | Read      | Apps neu laden                           |
@@ -254,6 +385,8 @@ Intune Manager/
 | POST    | `/api/policies/export`                     | Read+Cfg  | Ausgewaehlte Policies als JSON exportieren |
 | GET     | `/api/policies/exports`                    | —         | Server-Archiv der Exporte auflisten      |
 | POST    | `/api/policies/import`                     | **Write** | Policies als Neuanlage importieren       |
+| POST    | `/api/policies/consolidate`                | **Write** | Settings-Catalog-Policies zusammenfuehren |
+| POST    | `/api/policies/assign`                     | **Write** | Policies Gruppen/Alle-Geraete/-Benutzer zuweisen (Bulk, Add/Replace) |
 
 > **Read+MDM** = benoetigt zusaetzlich `DeviceManagementManagedDevices.Read.All`
 > **Read+Cfg** = benoetigt `DeviceManagementConfiguration.Read.All` (Export) bzw. `.ReadWrite.All` (Import)

Start.ps1

@@ -137,6 +137,7 @@ if (-not $SkipModuleCheck) {
 . (Join-Path $root "src/Graph.ps1")
 . (Join-Path $root "src/Api.ps1")
 . (Join-Path $root "src/PolicyIO.ps1")
+. (Join-Path $root "src/Offboard.ps1")
 . (Join-Path $root "src/Router.ps1")
 . (Join-Path $root "src/Server.ps1")
 
@@ -148,14 +149,17 @@ if ($ClientId) { $script:Settings.connection.clientId = $ClientId }
 # Globale Konfiguration. TenantId/ClientId/Scopes spiegeln die Settings �
 # Connect-Endpoint und Co. lesen weiterhin $script:Config, das nach jedem
 # Settings-Save aktualisiert wird.
+# Im Multi-Tenant-Modus kommen TenantId/ClientId aus dem aktiven Profil.
+$script:StartupConn = Get-ActiveConnection -Settings $script:Settings
 $script:Config = @{
-    TenantId   = $script:Settings.connection.tenantId
-    ClientId   = $script:Settings.connection.clientId
-    ClientIdRo = $script:Settings.connection.clientIdRo
+    TenantId   = $script:StartupConn.tenantId
+    ClientId   = $script:StartupConn.clientId
+    ClientIdRo = $script:StartupConn.clientIdRo
     Scopes     = @($script:Settings.connection.scopes)
     ScopesRo   = @($script:Settings.connection.scopesRo)
     WebRoot    = (Join-Path $root "www")
-    ReportDir  = (Join-Path $env:TEMP "IntuneAppManager-Reports")
+    # Plattformneutrales Temp-Verzeichnis ($env:TEMP ist auf macOS/Linux leer).
+    ReportDir  = (Join-Path ([System.IO.Path]::GetTempPath()) "IntuneAppManager-Reports")
 }
 
 if (-not (Test-Path $script:Config.ReportDir)) {
@@ -186,7 +190,7 @@ $script:State = [pscustomobject]@{
     Session        = @()      # geplante Zuweisungen
 }
 
-$script:ToolVersion = "0.1.25"
+$script:ToolVersion = "0.1.36"
 $script:BuildStamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
 
 Write-Host ""
@@ -203,7 +207,12 @@ Write-Host ""
 # das alte Fenster bedient weiter mit altem Code. Darum alle anderen Start.ps1-
 # Prozesse DIESES Pfads vorher beenden, damit ein Neustart wirklich neu laedt.
 # ============================================================
-try {
+# Nur auf Windows: die WMI-basierte Instanz-Erkennung (Win32_Process) gibt es
+# nur dort. Auf macOS/Linux uebernimmt das der Listener selbst (Port belegt ->
+# Fehler beim Start), ein manueller Neustart genuegt.
+$isWin = ($env:OS -eq 'Windows_NT') -or ($PSVersionTable.PSVersion.Major -lt 6) -or $IsWindows
+if ($isWin) {
+  try {
     $thisScript = $PSCommandPath
     if ([string]::IsNullOrWhiteSpace($thisScript)) { $thisScript = Join-Path $PSScriptRoot 'Start.ps1' }
     # Nur echte Server-Instanzen treffen: per -File gestartet UND auf diesen
@@ -217,8 +226,9 @@ try {
         catch { Write-Host "   konnte PID $($p.ProcessId) nicht beenden: $($_.Exception.Message)" -ForegroundColor DarkYellow }
     }
     if ($stale.Count -gt 0) { Start-Sleep -Milliseconds 800 }  # kurz warten bis der Port frei ist
-} catch {
+  } catch {
     Write-Host " (Konnte alte Instanzen nicht pruefen: $($_.Exception.Message))" -ForegroundColor DarkGray
+  }
 }
 
 $url = "http://localhost:$Port/"
@@ -229,7 +239,15 @@ Write-Host " Beenden:    Ctrl+C" -ForegroundColor DarkGray
 Write-Host ""
 
 if (-not $NoBrowser) {
-    Start-Process $url
+    # Browser plattformneutral oeffnen.
+    try {
+        if ($isWin)        { Start-Process $url }
+        elseif ($IsMacOS)  { & /usr/bin/open $url }
+        elseif ($IsLinux)  { & xdg-open $url }
+        else               { Start-Process $url }
+    } catch {
+        Write-Host " (Browser konnte nicht automatisch geoeffnet werden - bitte $url manuell aufrufen.)" -ForegroundColor DarkGray
+    }
 }
 
 Start-WebServer -Port $Port

docker/Dockerfile

@@ -0,0 +1,37 @@
+# Intune Manager - Test-Image (self-hosted).
+# WICHTIG: Der bestehende App-/Client-Teil wird NICHT veraendert - Start.ps1, src/
+# und www/ werden nur unveraendert ins Image kopiert. Die einzigen Container-
+# Spezifika (Bridge fuer den localhost-Listener, Datenpfad, Login) laufen ueber
+# Env-Variablen bzw. das Entrypoint-Script - ohne Codeaenderung.
+FROM mcr.microsoft.com/powershell:7.4-debian-12
+
+# nginx = interner Reverse-Proxy, der den Host-Header auf "localhost" umschreibt
+#         (HttpListener-Prefix http://localhost:8077/ bedient nur Host: localhost).
+# git   = fuer das optionale Policy-Git-Snapshot-Feature.
+RUN apt-get update \
+ && apt-get install -y --no-install-recommends nginx git ca-certificates \
+ && rm -rf /var/lib/apt/lists/* \
+ && pwsh -NoProfile -Command "Install-Module Microsoft.Graph.Authentication -Scope AllUsers -Force"
+
+WORKDIR /app
+
+# Bestehende App unveraendert ins Image kopieren (Build-Kontext = Repo-Root).
+COPY Start.ps1 ./
+COPY src/ ./src/
+COPY www/ ./www/
+
+# Interner nginx-Reverse-Proxy (Host-Rewrite) + Entrypoint (neu, nur fuer Container).
+COPY docker/nginx.conf /etc/nginx/nginx.conf
+COPY docker/docker-entrypoint.sh /usr/local/bin/docker-entrypoint.sh
+RUN chmod +x /usr/local/bin/docker-entrypoint.sh
+
+# Datenverzeichnis: Get-AppDataDir nutzt auf Linux $XDG_CONFIG_HOME ->
+# Settings/Policy-Exporte landen im Volume /data. Kein Codeeingriff noetig.
+ENV XDG_CONFIG_HOME=/data \
+    APP_PORT=8077 \
+    BRIDGE_PORT=8080
+
+VOLUME /data
+EXPOSE 8080
+
+ENTRYPOINT ["/usr/local/bin/docker-entrypoint.sh"]

docker/README.md

@@ -0,0 +1,76 @@
+# Intune Manager - Docker-Test (self-hosted)
+
+Test-Aufbau, um den Intune Manager als Container zu verproben. **Der bestehende
+App-/Client-Teil (`Start.ps1`, `src/`, `www/`) wird nicht verändert** — er wird nur
+unverändert ins Image kopiert. Container-Spezifika laufen über Env-Variablen und ein
+Entrypoint-Script.
+
+> Kein Caddy/TLS enthalten — der **vorhandene Reverse-Proxy** zieht den
+> veröffentlichten Port (`8080`) an. HTTPS macht der Proxy.
+
+## Wie es funktioniert
+- Die App bindet unverändert auf `http://localhost:8077/` (nur containerintern) und
+  bedient — bedingt durch .NET-`HttpListener` — **nur Requests mit `Host: localhost`**.
+- Ein **interner nginx** (Port 8080) leitet auf die App weiter und schreibt dabei den
+  **`Host`-Header auf `localhost`** um. Ohne dieses Rewrite käme bei Zugriff über IP/Proxy
+  ein `404`. Der App-Code bleibt unangetastet.
+- Settings/Policy-Exporte liegen im Volume `/data` (`XDG_CONFIG_HOME=/data`, wird von
+  `Get-AppDataDir` auf Linux automatisch genutzt).
+
+## Bauen & starten
+```bash
+docker compose -f docker/docker-compose.yml up --build -d
+```
+Logs ansehen:
+```bash
+docker compose -f docker/docker-compose.yml logs -f
+```
+Erwartet: „Intune Manager - Web Edition" und „URL: http://localhost:8077/".
+
+Den Reverse-Proxy auf `http://<docker-host>:8080` zeigen lassen (reiner HTTP-Proxy,
+keine WebSockets/Callbacks nötig).
+
+## Erststart: Verbindung konfigurieren
+Beim ersten Start ist noch kein Tenant hinterlegt. Zwei Wege:
+
+- **UI:** Seite öffnen → *Einstellungen* → **Tenant-ID**, **Client-ID** (Read/Write),
+  optional **Client-ID (Read-Only)** und **Scopes** eintragen und speichern. Landet in
+  `/data/IntuneAppManager-Web/settings.json`.
+- **oder** eine vorhandene `settings.json` ins Volume legen:
+  ```bash
+  docker cp settings.json intune-manager-test:/data/IntuneAppManager-Web/settings.json
+  docker compose -f docker/docker-compose.yml restart
+  ```
+
+## Login (Device-Code)
+Der interaktive „Verbinden"-Button nutzt WAM/Loopback und **funktioniert im Container
+nicht** — das ist erwartet. Für den Test den bereits vorhandenen **Device-Code-Flow**
+per `curl` anstoßen (Host = euer Reverse-Proxy oder `http://<docker-host>:8080`):
+
+```bash
+curl -s -X POST http://<host>/api/connect/start
+```
+Antwort enthält `code` und `urlComplete`. Dann:
+1. `urlComplete` im Browser öffnen und als Admin anmelden.
+2. Status pollen, bis verbunden:
+   ```bash
+   curl -s http://<host>/api/status
+   ```
+   (Feld `connected` wird `true`.)
+3. Die UI im Browser **neu laden** → jetzt verbunden. Geräte/Gruppen/Policies laden
+   zum Verifizieren.
+
+## Stoppen / Aufräumen
+```bash
+docker compose -f docker/docker-compose.yml down          # Daten bleiben im Volume
+docker compose -f docker/docker-compose.yml down -v       # inkl. Daten löschen
+```
+
+## Wichtige Hinweise (für den echten Einsatz)
+- **Kein eigener UI-Login und geteilte Sitzung:** Wer die URL erreicht, kann den Login
+  auslösen; die verbundene Graph-Sitzung gilt prozessweit. Die Instanz **zwingend hinter
+  Zugangsschutz** stellen (Reverse-Proxy-Auth / Netzsegment / VPN). Eine Instanz =
+  eine Team-Sitzung, kein sauberes Multi-Admin.
+- Reports liegen unter `/tmp` (nicht persistent) — für den Test ausreichend.
+- Das ist ein **Test-Setup**. Echtes Mehrbenutzer (Login pro Admin) wäre ein separater
+  Ausbau (Auth-Code-Flow + Sitzungs-Isolation).

docker/docker-compose.yml

@@ -0,0 +1,22 @@
+# Intune Manager - Test-Compose (self-hosted).
+# Kein Caddy/TLS: der bestehende Reverse-Proxy zieht den veroeffentlichten Port an.
+services:
+  intune-manager:
+    build:
+      context: ..                 # Build-Kontext = Repo-Root (fuer COPY Start.ps1/src/www)
+      dockerfile: docker/Dockerfile
+    image: intune-manager-test
+    container_name: intune-manager-test
+    ports:
+      # linke Zahl = Host-Port. Frei waehlen, falls belegt (z. B. "8477:8080").
+      - "8080:8080"
+    volumes:
+      # Named Volume (portabel). Alternativ Bind-Mount: "/pfad/auf/nas/data:/data".
+      - im-data:/data
+    environment:
+      - XDG_CONFIG_HOME=/data
+      - APP_PORT=8077
+    restart: unless-stopped
+
+volumes:
+  im-data:

docker/docker-entrypoint.sh

@@ -0,0 +1,30 @@
+#!/usr/bin/env bash
+# Startet die App unveraendert (bindet auf localhost:APP_PORT) und stellt einen
+# internen nginx davor, der den Host-Header auf "localhost" umschreibt.
+#
+# WARUM nginx statt socat: .NET-HttpListener bedient den Prefix
+# http://localhost:APP_PORT/ NUR bei Host: localhost. socat (reiner TCP-Proxy)
+# reicht den originalen Host-Header durch -> von aussen 404. nginx schreibt den
+# Host-Header um -> jeder Zugriffsweg funktioniert, ohne den App-Code zu aendern.
+set -e
+
+: "${APP_PORT:=8077}"
+
+# App im Hintergrund starten. -NoBrowser: im Container kein Desktop/open.
+pwsh -NoProfile -File /app/Start.ps1 -NoBrowser -Port "${APP_PORT}" &
+APP_PID=$!
+
+# Best-effort warten, bis der App-Listener antwortet (IPv6 oder IPv4).
+# nginx wuerde sonst kurz 502 liefern, bis die App oben ist.
+for i in $(seq 1 30); do
+  if (exec 3<>"/dev/tcp/::1/${APP_PORT}") 2>/dev/null; then exec 3>&-; break; fi
+  if (exec 3<>"/dev/tcp/127.0.0.1/${APP_PORT}") 2>/dev/null; then exec 3>&-; break; fi
+  kill -0 "$APP_PID" 2>/dev/null || { echo "[entrypoint] App-Prozess beendet - Abbruch."; wait "$APP_PID"; exit $?; }
+  sleep 1
+done
+
+echo "[entrypoint] Starte nginx (Host-Rewrite -> localhost) auf :8080"
+nginx -g 'daemon off;' &
+
+# Am Leben des App-Prozesses haengen (Container endet, wenn die App endet).
+wait "$APP_PID"

docker/nginx.conf

@@ -0,0 +1,31 @@
+# Interner Reverse-Proxy im Container.
+# Zweck: den Host-Header auf "localhost" umschreiben. Die App bindet den
+# HttpListener-Prefix http://localhost:8077/ und bedient NUR Requests mit
+# Host: localhost - ohne dieses Rewrite kaeme von aussen 404.
+worker_processes 1;
+events { worker_connections 1024; }
+
+http {
+    access_log /dev/stdout;
+    error_log  /dev/stderr;
+
+    # App-Listener: bevorzugt IPv6-Loopback (so bindet HttpListener "localhost"
+    # im Container), IPv4 als Fallback.
+    upstream imapp {
+        server [::1]:8077;
+        server 127.0.0.1:8077 backup;
+    }
+
+    server {
+        listen 8080;
+        listen [::]:8080;
+
+        location / {
+            proxy_pass http://imapp;
+            proxy_set_header Host localhost;   # <- der entscheidende Punkt
+            proxy_http_version 1.1;
+            proxy_set_header Connection "";
+            proxy_read_timeout 300s;           # Device-Code-Login/Graph koennen dauern
+        }
+    }
+}

docs/App-Registration.md

@@ -0,0 +1,156 @@
+# App-Registrierung & Berechtigungen
+
+Der Intune Manager meldet sich als **delegierte** Anwendung an (Device-Code- bzw.
+WAM-Login) — er handelt also immer **im Namen des angemeldeten Admins**, nie mit
+Anwendungsrechten. Die App-Registrierung braucht daher **delegierte
+Microsoft-Graph-Berechtigungen** plus die passende Authentifizierungs-Konfiguration.
+
+> **Schnellweg:** Statt alles von Hand zu klicken, legt das Skript
+> [`Setup-AppRegistration.ps1`](Setup-AppRegistration.ps1) die Registrierung
+> komplett an (Rechte + Public-Client-Flow + Redirect-URIs + optional Consent).
+> Siehe [Automatische Einrichtung](#automatische-einrichtung).
+
+---
+
+## Benötigte Berechtigungen
+
+Alle Berechtigungen sind vom Typ **Delegiert** (Microsoft Graph).
+
+### Kern (immer erforderlich)
+
+| Berechtigung | Wofür |
+|---|---|
+| `Group.ReadWrite.All` | Gruppen anlegen, App-/Policy-Zuweisungen setzen |
+| `GroupMember.ReadWrite.All` | Gruppenmitglieder lesen/hinzufügen/entfernen, CSV-Import |
+| `User.Read.All` | Benutzersuche, UPN-Auflösung |
+| `DeviceManagementApps.ReadWrite.All` | Apps auflisten, zuweisen, umbenennen, löschen, Setup-Datei aktualisieren, App-Report |
+| `DeviceManagementConfiguration.ReadWrite.All` | Policies (Settings Catalog, Compliance, Konfigurationsprofile, Administrative Vorlagen) lesen, exportieren, importieren, zuweisen |
+| `offline_access` | Refresh-Token (Device-Code-Flow) |
+
+> `DeviceManagementConfiguration.ReadWrite.All` wird vom Tool automatisch zur
+> Verbindung ergänzt — die App-Registrierung muss die Berechtigung aber besitzen
+> und (Admin-)zugestimmt bekommen haben, sonst schlägt der Policy-Import mit
+> `403 Forbidden` fehl.
+
+### Geräte-Tab (optional)
+
+Nur nötig, wenn der **Geräte-Tab** (Sync/Reboot/Lock/Diagnose/Wipe/Retire) genutzt wird:
+
+| Berechtigung | Wofür |
+|---|---|
+| `DeviceManagementManagedDevices.Read.All` | Geräte auflisten und Details anzeigen, Spalte „Verwaltung" (Intune/Co-Managed) |
+| `DeviceManagementServiceConfig.Read.All` | Autopilot-Status im Detail-Panel (Profil-Zuweisung / letzter Kontakt) |
+| `DeviceManagementManagedDevices.ReadWrite.All` | Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation |
+| `DeviceManagementManagedDevices.PrivilegedOperations.All` | Wipe, Retire, Autopilot-Reset |
+
+### Geräte-Offboarding (optional)
+
+Nur nötig, wenn die **Offboarding**-Ansicht (Geräte aus Intune + Autopilot + Entra
+entfernen, Recovery-Keys lesen) genutzt wird:
+
+| Berechtigung | Wofür |
+|---|---|
+| `Device.ReadWrite.All` | Gerät aus Entra ID löschen/deaktivieren |
+| `DeviceManagementManagedDevices.ReadWrite.All` | Gerät aus Intune löschen |
+| `DeviceManagementServiceConfig.ReadWrite.All` | Autopilot durchsuchen und Gerät aus Autopilot löschen |
+| `BitlockerKey.Read.All` | BitLocker-Recovery-Keys lesen |
+| `DeviceLocalCredential.Read.All` | LAPS-Passwörter lesen |
+
+> **Wichtig:** Löschen aus Entra/Intune/Autopilot benötigt bei delegierter
+> Anmeldung zusätzlich **Verzeichnis-/Intune-Rollen** (Cloud Device Administrator
+> bzw. Intune Administrator) — die Scopes allein reichen nicht, sonst `403`.
+> Diese Scopes müssen außerdem in den **Read/Write-Scopes** des Tools eingetragen
+> sein (Einstellungen → Verbindung), damit sie im Token landen.
+> Skript: `.\docs\Setup-AppRegistration.ps1 -IncludeOffboarding -GrantAdminConsent`
+
+### Read-Only-Variante
+
+Für eine reine Anzeige-App (im Tool als `clientIdRo` hinterlegbar) genügen die
+`*.Read.All`-Pendants:
+
+`Group.Read.All`, `GroupMember.Read.All`, `User.Read.All`,
+`DeviceManagementApps.Read.All`, `DeviceManagementConfiguration.Read.All`,
+`offline_access` (+ optional `DeviceManagementManagedDevices.Read.All`).
+
+---
+
+## Authentifizierungs-Konfiguration
+
+Zusätzlich zu den Berechtigungen muss die App als **öffentlicher Client** nutzbar
+sein — sonst scheitert der erste Login (`AADSTS500113` bzw. `AADSTS50011`):
+
+1. **Öffentliche Clientflows zulassen** → **Ja**
+   (Entra → App-Registrierung → *Authentifizierung* → ganz unten;
+   im Manifest `isFallbackPublicClient = true`).
+2. **Redirect-URIs** unter *Mobilgerät- und Desktopanwendungen*:
+   ```
+   https://login.microsoftonline.com/common/oauth2/nativeclient
+   http://localhost
+   ms-appx-web://Microsoft.AAD.BrokerPlugin/<CLIENT-ID>
+   ```
+   - Zeile 1 → **Device-Code-Flow**
+   - Zeile 2 → **Loopback / interaktiver Browser-Login** — nötig auf **macOS/Linux**
+     (und überall, wo kein WAM-Broker läuft). Ohne diese URI schlägt der Login mit
+     `AADSTS50011` fehl (`http://localhost:<Port>` passt nicht). `http://localhost`
+     ist portagnostisch, deckt also den zufälligen Port ab.
+   - Zeile 3 → **WAM-Broker** (Windows-Anmeldefenster); `<CLIENT-ID>` ist die
+     AppId der Registrierung selbst.
+3. **Multi-Tenant:** Wird dieselbe App gegen fremde Tenants genutzt, muss
+   `signInAudience` auf *Accounts in any organizational directory*
+   (`AzureADMultipleOrgs`) stehen und im Ziel-Tenant per Admin-Consent
+   bereitgestellt werden. Bei einer eigenen App **pro** Tenant ist Single-Tenant
+   ausreichend.
+
+---
+
+## Automatische Einrichtung
+
+Das Skript [`Setup-AppRegistration.ps1`](Setup-AppRegistration.ps1) erledigt alles
+oben Genannte über Microsoft Graph. Es braucht nur das Modul
+`Microsoft.Graph.Authentication` (dieselbe Abhängigkeit wie das Tool) und löst die
+Berechtigungs-IDs **live** aus dem Graph-Service-Principal auf — keine fest
+verdrahteten GUIDs.
+
+```powershell
+# Einmalig:
+Install-Module Microsoft.Graph.Authentication -Scope CurrentUser
+
+# Neue Single-Tenant-App inkl. Admin-Consent:
+.\docs\Setup-AppRegistration.ps1 -GrantAdminConsent
+
+# Mit Geräte-Rechten:
+.\docs\Setup-AppRegistration.ps1 -IncludeDeviceActions -GrantAdminConsent
+
+# Multi-Tenant-App:
+.\docs\Setup-AppRegistration.ps1 -MultiTenant -GrantAdminConsent
+
+# Bestehende App nur um Rechte/Redirect-URIs ergänzen:
+.\docs\Setup-AppRegistration.ps1 -ClientId "<APP-ID>" -GrantAdminConsent
+
+# Nur das Manifest-Snippet ausgeben (ohne etwas anzulegen wäre -WhatIf-artig —
+# hier zusätzlich zum Anlegen):
+.\docs\Setup-AppRegistration.ps1 -EmitManifest
+```
+
+Am Ende gibt das Skript **Tenant ID** und **Client ID** aus — diese Werte im
+Intune Manager unter *Einstellungen → Verbindung* (bzw. im Tenant-Profil)
+eintragen.
+
+Die zum Anlegen/Ändern nötigen Admin-Rechte (`Application.ReadWrite.All`, für
+Consent zusätzlich `DelegatedPermissionGrant.ReadWrite.All`) werden beim
+`Connect-MgGraph`-Aufruf des Skripts einmalig abgefragt.
+
+---
+
+## Manuelle Einrichtung (Portal)
+
+1. **Entra** → *App-Registrierungen* → *Neue Registrierung* → Name vergeben,
+   Kontotyp wählen (Single- oder Multi-Tenant) → **Registrieren**.
+2. *API-Berechtigungen* → *Berechtigung hinzufügen* → **Microsoft Graph** →
+   **Delegierte Berechtigungen** → die [Kern-Berechtigungen](#kern-immer-erforderlich)
+   (und bei Bedarf die [Geräte-Berechtigungen](#geräte-tab-optional)) auswählen →
+   **Administratorzustimmung erteilen**.
+3. *Authentifizierung* → [Authentifizierungs-Konfiguration](#authentifizierungs-konfiguration)
+   wie oben setzen (Public-Client-Flow + beide Redirect-URIs).
+4. **Übersichtsseite**: *Anwendungs-(Client-)ID* und *Verzeichnis-(Mandanten-)ID*
+   in den Intune Manager übernehmen.

docs/Setup-AppRegistration.ps1

@@ -0,0 +1,241 @@
+<#
+.SYNOPSIS
+    Legt die App-Registrierung fuer den Intune Manager an (oder aktualisiert sie)
+    inkl. Graph-Berechtigungen, Public-Client-Flow und Redirect-URIs.
+
+.DESCRIPTION
+    Deckt genau die Punkte ab, an denen der erste Login sonst mit
+    AADSTS500113 / AADSTS50011 scheitert:
+      * Delegierte Microsoft-Graph-Berechtigungen (nach Bedarf: RW, RO, Geraete)
+      * "Oeffentliche Clientflows zulassen" (isFallbackPublicClient = true)
+      * Redirect-URIs fuer Device-Code (nativeclient), Loopback/Browser
+        (http://localhost, noetig auf macOS/Linux) und WAM-Broker
+      * optional Admin-Consent
+
+    Nutzt nur Microsoft.Graph.Authentication (Invoke-MgGraphRequest) — dieselbe
+    Abhaengigkeit wie das Tool selbst. Berechtigungs-IDs werden LIVE aus dem
+    Graph-Service-Principal aufgeloest, es sind also keine fest verdrahteten
+    GUIDs noetig (die sonst leicht veralten).
+
+.PARAMETER DisplayName
+    Anzeigename der App-Registrierung. Default: "Intune Manager".
+
+.PARAMETER ClientId
+    AppId einer BESTEHENDEN Registrierung, die aktualisiert werden soll.
+    Ohne diesen Parameter wird eine NEUE App angelegt.
+
+.PARAMETER MultiTenant
+    App fuer mehrere Tenants (signInAudience = AzureADMultipleOrgs).
+    Default: nur der aktuelle Tenant (AzureADMyOrg).
+
+.PARAMETER ReadOnly
+    Verwendet die Read-Only-Berechtigungen (fuer eine reine Anzeige-/RO-App,
+    passend zu clientIdRo im Tool).
+
+.PARAMETER IncludeDeviceActions
+    Nimmt zusaetzlich die Berechtigungen fuer den Geraete-Tab auf
+    (Read + ReadWrite + PrivilegedOperations = Sync/Reboot/Lock/Wipe/Retire)
+    sowie DeviceManagementServiceConfig.Read.All fuer den Autopilot-Status
+    im Detail-Panel.
+
+.PARAMETER GrantAdminConsent
+    Erteilt direkt tenantweiten Admin-Consent fuer die gesetzten Scopes.
+    Benoetigt entsprechend privilegierte Anmeldung.
+
+.PARAMETER EmitManifest
+    Gibt zusaetzlich den requiredResourceAccess-Block als JSON aus (zum manuellen
+    Einfuegen in das App-Manifest im Portal).
+
+.EXAMPLE
+    # Neue Single-Tenant-App inkl. Consent:
+    .\Setup-AppRegistration.ps1 -GrantAdminConsent
+
+.EXAMPLE
+    # Bestehende App um Geraete-Rechte erweitern:
+    .\Setup-AppRegistration.ps1 -ClientId "51477347-...." -IncludeDeviceActions -GrantAdminConsent
+
+.NOTES
+    Vorher einmalig:  Install-Module Microsoft.Graph.Authentication -Scope CurrentUser
+#>
+[CmdletBinding()]
+param(
+    [string]$DisplayName = 'Intune Manager',
+    [string]$ClientId,
+    [switch]$MultiTenant,
+    [switch]$ReadOnly,
+    [switch]$IncludeDeviceActions,
+    [switch]$IncludeOffboarding,
+    [switch]$GrantAdminConsent,
+    [switch]$EmitManifest
+)
+
+$ErrorActionPreference = 'Stop'
+$GraphAppId = '00000003-0000-0000-c000-000000000000'   # Microsoft Graph
+
+# --- Benoetigte delegierte Berechtigungen zusammenstellen ---------------------
+$perms = if ($ReadOnly) {
+    @('Group.Read.All','GroupMember.Read.All','User.Read.All',
+      'DeviceManagementApps.Read.All','DeviceManagementConfiguration.Read.All','offline_access')
+} else {
+    @('Group.ReadWrite.All','GroupMember.ReadWrite.All','User.Read.All',
+      'DeviceManagementApps.ReadWrite.All','DeviceManagementConfiguration.ReadWrite.All','offline_access')
+}
+if ($IncludeDeviceActions) {
+    # DeviceManagementServiceConfig.Read.All: Autopilot-Status im Geraete-Detail
+    # (Profil-Zuweisung / letzter Kontakt) — ansonsten bleibt das Feld leer.
+    $perms += if ($ReadOnly) {
+        @('DeviceManagementManagedDevices.Read.All',
+          'DeviceManagementServiceConfig.Read.All')
+    } else {
+        @('DeviceManagementManagedDevices.Read.All',
+          'DeviceManagementManagedDevices.ReadWrite.All',
+          'DeviceManagementManagedDevices.PrivilegedOperations.All',
+          'DeviceManagementServiceConfig.Read.All')
+    }
+}
+if ($IncludeOffboarding) {
+    # Geraete ueber Intune/Autopilot/Entra entfernen + Recovery-Keys lesen.
+    # ACHTUNG: Loeschen braucht zusaetzlich Verzeichnis-/Intune-ROLLEN (Cloud
+    # Device Administrator / Intune Administrator) — nicht nur diese Scopes.
+    $perms += @(
+        'Device.ReadWrite.All',
+        'DeviceManagementManagedDevices.ReadWrite.All',
+        'DeviceManagementServiceConfig.ReadWrite.All',
+        'BitlockerKey.Read.All',
+        'DeviceLocalCredential.Read.All'
+    )
+}
+$perms = $perms | Select-Object -Unique
+# ServiceConfig: ReadWrite (Offboarding) schliesst Read (Autopilot-Anzeige) ein
+# -> die Read-Variante nicht zusaetzlich anfordern.
+if ($perms -contains 'DeviceManagementServiceConfig.ReadWrite.All') {
+    $perms = @($perms | Where-Object { $_ -ne 'DeviceManagementServiceConfig.Read.All' })
+}
+
+# --- Verbinden ----------------------------------------------------------------
+Write-Host "[1/6] Mit Microsoft Graph verbinden (Admin noetig)..." -ForegroundColor Cyan
+$connectScopes = @('Application.ReadWrite.All')
+if ($GrantAdminConsent) { $connectScopes += 'DelegatedPermissionGrant.ReadWrite.All' }
+Import-Module Microsoft.Graph.Authentication -ErrorAction Stop
+Connect-MgGraph -Scopes $connectScopes -NoWelcome
+$ctx = Get-MgContext
+if (-not $ctx) { throw 'Keine Graph-Verbindung.' }
+Write-Host "      verbunden mit Tenant $($ctx.TenantId) als $($ctx.Account)" -ForegroundColor DarkGray
+
+# --- Graph-Service-Principal + Berechtigungs-IDs aufloesen --------------------
+Write-Host "[2/6] Graph-Berechtigungen aufloesen..." -ForegroundColor Cyan
+$graphSp = (Invoke-MgGraphRequest -Method GET `
+    -Uri "https://graph.microsoft.com/v1.0/servicePrincipals?`$filter=appId eq '$GraphAppId'&`$select=id,oauth2PermissionScopes").value | Select-Object -First 1
+if (-not $graphSp) { throw 'Graph-Service-Principal nicht gefunden.' }
+$graphSpId = $graphSp.id
+
+$scopeMap = @{}
+foreach ($s in $graphSp.oauth2PermissionScopes) { $scopeMap[$s.value] = $s.id }
+
+$resourceAccess = @()
+foreach ($p in $perms) {
+    if (-not $scopeMap.ContainsKey($p)) { throw "Delegierte Berechtigung '$p' nicht im Graph-SP gefunden." }
+    $resourceAccess += @{ id = $scopeMap[$p]; type = 'Scope' }
+}
+$requiredResourceAccess = @(@{ resourceAppId = $GraphAppId; resourceAccess = $resourceAccess })
+
+if ($EmitManifest) {
+    Write-Host "`n--- requiredResourceAccess (Manifest) ---" -ForegroundColor Yellow
+    ($requiredResourceAccess | ConvertTo-Json -Depth 6)
+    Write-Host "-----------------------------------------`n" -ForegroundColor Yellow
+}
+
+# --- App anlegen oder aktualisieren -------------------------------------------
+$signInAudience = if ($MultiTenant) { 'AzureADMultipleOrgs' } else { 'AzureADMyOrg' }
+
+if ($ClientId) {
+    Write-Host "[3/6] Bestehende App $ClientId laden..." -ForegroundColor Cyan
+    $app = (Invoke-MgGraphRequest -Method GET `
+        -Uri "https://graph.microsoft.com/v1.0/applications?`$filter=appId eq '$ClientId'&`$select=id,appId").value | Select-Object -First 1
+    if (-not $app) { throw "App mit appId $ClientId nicht gefunden." }
+    $objId = $app.id
+    $appId = $ClientId
+    $patch = @{
+        signInAudience          = $signInAudience
+        isFallbackPublicClient  = $true
+        requiredResourceAccess  = $requiredResourceAccess
+        publicClient            = @{ redirectUris = @(
+            'https://login.microsoftonline.com/common/oauth2/nativeclient'
+            'http://localhost'
+            "ms-appx-web://Microsoft.AAD.BrokerPlugin/$appId"
+        ) }
+    }
+    Invoke-MgGraphRequest -Method PATCH -Uri "https://graph.microsoft.com/v1.0/applications/$objId" `
+        -Body ($patch | ConvertTo-Json -Depth 8) -ContentType 'application/json' | Out-Null
+    Write-Host "      App aktualisiert." -ForegroundColor Green
+} else {
+    Write-Host "[3/6] Neue App '$DisplayName' anlegen..." -ForegroundColor Cyan
+    # Broker-Redirect-URI braucht die appId -> erst mit nativeclient anlegen,
+    # danach die Broker-URI per PATCH ergaenzen.
+    $create = @{
+        displayName             = $DisplayName
+        signInAudience          = $signInAudience
+        isFallbackPublicClient  = $true
+        requiredResourceAccess  = $requiredResourceAccess
+        publicClient            = @{ redirectUris = @('https://login.microsoftonline.com/common/oauth2/nativeclient') }
+    }
+    $app = Invoke-MgGraphRequest -Method POST -Uri 'https://graph.microsoft.com/v1.0/applications' `
+        -Body ($create | ConvertTo-Json -Depth 8) -ContentType 'application/json'
+    $objId = $app.id
+    $appId = $app.appId
+
+    $patch = @{ publicClient = @{ redirectUris = @(
+        'https://login.microsoftonline.com/common/oauth2/nativeclient'
+        'http://localhost'
+        "ms-appx-web://Microsoft.AAD.BrokerPlugin/$appId"
+    ) } }
+    Invoke-MgGraphRequest -Method PATCH -Uri "https://graph.microsoft.com/v1.0/applications/$objId" `
+        -Body ($patch | ConvertTo-Json -Depth 6) -ContentType 'application/json' | Out-Null
+    Write-Host "      App angelegt: appId $appId" -ForegroundColor Green
+}
+
+# --- Service-Principal (Enterprise-App) sicherstellen -------------------------
+Write-Host "[4/6] Service-Principal sicherstellen..." -ForegroundColor Cyan
+$sp = (Invoke-MgGraphRequest -Method GET `
+    -Uri "https://graph.microsoft.com/v1.0/servicePrincipals?`$filter=appId eq '$appId'&`$select=id").value | Select-Object -First 1
+if (-not $sp) {
+    $sp = Invoke-MgGraphRequest -Method POST -Uri 'https://graph.microsoft.com/v1.0/servicePrincipals' `
+        -Body (@{ appId = $appId } | ConvertTo-Json) -ContentType 'application/json'
+}
+$spId = $sp.id
+
+# --- Optional: Admin-Consent --------------------------------------------------
+Write-Host "[5/6] Admin-Consent..." -ForegroundColor Cyan
+if ($GrantAdminConsent) {
+    $scopeString = ($perms -join ' ')
+    # Bestehenden Grant fuer (Client -> Graph) suchen und ersetzen, sonst neu.
+    $existing = (Invoke-MgGraphRequest -Method GET `
+        -Uri "https://graph.microsoft.com/v1.0/oauth2PermissionGrants?`$filter=clientId eq '$spId' and resourceId eq '$graphSpId'").value | Select-Object -First 1
+    $grantBody = @{
+        clientId    = $spId
+        consentType = 'AllPrincipals'
+        resourceId  = $graphSpId
+        scope       = $scopeString
+    }
+    if ($existing) {
+        Invoke-MgGraphRequest -Method PATCH -Uri "https://graph.microsoft.com/v1.0/oauth2PermissionGrants/$($existing.id)" `
+            -Body (@{ scope = $scopeString } | ConvertTo-Json) -ContentType 'application/json' | Out-Null
+    } else {
+        Invoke-MgGraphRequest -Method POST -Uri 'https://graph.microsoft.com/v1.0/oauth2PermissionGrants' `
+            -Body ($grantBody | ConvertTo-Json) -ContentType 'application/json' | Out-Null
+    }
+    Write-Host "      Admin-Consent erteilt fuer: $scopeString" -ForegroundColor Green
+} else {
+    Write-Host "      uebersprungen (-GrantAdminConsent nicht gesetzt)." -ForegroundColor DarkGray
+    Write-Host "      Consent im Portal: Entra -> App-Registrierungen -> $DisplayName -> API-Berechtigungen -> Administratorzustimmung erteilen" -ForegroundColor DarkGray
+}
+
+# --- Ergebnis -----------------------------------------------------------------
+Write-Host "[6/6] Fertig." -ForegroundColor Cyan
+Write-Host ""
+Write-Host "  Im Intune Manager eintragen:" -ForegroundColor White
+Write-Host "    Tenant ID : $($ctx.TenantId)"
+Write-Host "    Client ID : $appId"
+Write-Host ""
+Write-Host "  Gesetzte delegierte Berechtigungen:" -ForegroundColor White
+$perms | ForEach-Object { Write-Host "    - $_" }

installer/build-local.ps1

@@ -12,7 +12,7 @@ if (Test-Path "$x64Dotnet\dotnet.exe") {
     $env:DOTNET_ROOT = "C:\Program Files\dotnet"
 }
 
-$version      = "0.1.25"
+$version      = "0.1.36"
 $src          = "\\Mac\Home\ClaudePRJ\Intune Manager"
 $stage        = "$env:TEMP\IntuneManagerStage"
 $installerDir = "$src\installer"

src/Graph.ps1

@@ -33,7 +33,13 @@ function Invoke-MgGraphRequestRetry {
         $Body,
         [string]$ContentType,
         [hashtable]$Headers,
-        [int]$MaxRetries = 3
+        [int]$MaxRetries = 3,
+        # Rohes JSON von Graph holen und selbst parsen. Noetig fuer Policy-Exporte:
+        # Invoke-MgGraphRequest liefert unter Windows PowerShell 5.1 im Hashtable-
+        # Modus Ein-Element-Collections als Skalar (z.B. printerNames), was beim
+        # Re-Import 400 "A 'StartArray' node was expected" ausloest. -OutputType Json
+        # umgeht das: ConvertFrom-Json bewahrt Arrays.
+        [switch]$AsRawJson
     )
     $attempt = 0
     while ($true) {
@@ -42,6 +48,13 @@ function Invoke-MgGraphRequestRetry {
             if ($PSBoundParameters.ContainsKey('Body') -and $null -ne $Body) { $params.Body = $Body }
             if ($ContentType) { $params.ContentType = $ContentType }
             if ($Headers)     { $params.Headers = $Headers }
+            if ($AsRawJson) {
+                $params.OutputType = 'Json'
+                $raw = Invoke-MgGraphRequest @params
+                if ([string]::IsNullOrWhiteSpace([string]$raw)) { return $null }
+                if ($PSVersionTable.PSVersion.Major -ge 6) { return ($raw | ConvertFrom-Json -AsHashtable) }
+                return ($raw | ConvertFrom-Json)
+            }
             return Invoke-MgGraphRequest @params
         } catch {
             $msg = $_.Exception.Message
@@ -58,17 +71,26 @@ function Invoke-MgGraphRequestRetry {
                 Start-Sleep -Seconds $wait
                 continue
             }
+            # Nicht-Retry-Fehler: den Graph-Fehler-Body (mit dem eigentlichen Grund)
+            # an die Meldung haengen — sonst steht im Log nur "BadRequest".
+            $gbody = $null
+            try { $gbody = [string]$_.ErrorDetails.Message } catch {}
+            if ($gbody) { throw [System.Exception]::new("$msg | Graph: $gbody", $_.Exception) }
             throw
         }
     }
 }
 
 function Get-GraphPaged {
-    param([Parameter(Mandatory=$true)][string]$Uri)
+    param(
+        [Parameter(Mandatory=$true)][string]$Uri,
+        # An Invoke-MgGraphRequestRetry durchreichen: bewahrt Arrays fuer Exporte.
+        [switch]$AsRawJson
+    )
     $results = @()
     $next = $Uri
     do {
-        $response = Invoke-MgGraphRequestRetry -Uri $next -Method GET
+        $response = Invoke-MgGraphRequestRetry -Uri $next -Method GET -AsRawJson:$AsRawJson
         if ($response.value) { $results += $response.value }
         $next = $response.'@odata.nextLink'
     } while ($next)
@@ -376,21 +398,51 @@ function Add-GraphAppAssignment {
     param(
         [string]$AppId,
         [string]$Intent,         # "available" | "required"
-        [string]$GroupId         # GUID oder "ALL_USERS" / "ALL_DEVICES"
+        [string[]]$GroupId       # eine ODER mehrere: GUID(s) und/oder "ALL_USERS"/"ALL_DEVICES"
     )
-    $target = switch ($GroupId) {
-        "ALL_USERS"   { @{ "@odata.type" = "#microsoft.graph.allLicensedUsersAssignmentTarget" } }
-        "ALL_DEVICES" { @{ "@odata.type" = "#microsoft.graph.allDevicesAssignmentTarget" } }
-        default       { @{ "@odata.type" = "#microsoft.graph.groupAssignmentTarget"; "groupId" = $GroupId } }
+    # WICHTIG: Die /assign-Action ERSETZT die komplette Zuweisungsliste der App.
+    # Ein einzelnes POST wuerde also alle bestehenden Zuweisungen loeschen. Daher:
+    # bestehende Zuweisungen laden, die neuen mergen (Duplikate ueberspringen) und
+    # den VOLLEN Satz in EINEM Request schicken. Das haelt mehrere neue Gruppen
+    # zusammen (kein Read-after-Write-Rennen) und bewahrt vorhandene Zuweisungen.
+    $newTargets = @()
+    foreach ($gid in @($GroupId)) {
+        if ([string]::IsNullOrWhiteSpace([string]$gid)) { continue }
+        $newTargets += switch ([string]$gid) {
+            "ALL_USERS"   { @{ "@odata.type" = "#microsoft.graph.allLicensedUsersAssignmentTarget" } }
+            "ALL_DEVICES" { @{ "@odata.type" = "#microsoft.graph.allDevicesAssignmentTarget" } }
+            default       { @{ "@odata.type" = "#microsoft.graph.groupAssignmentTarget"; "groupId" = [string]$gid } }
+        }
     }
-    $body = @{
-        mobileAppAssignments = @(@{
-            "@odata.type" = "#microsoft.graph.mobileAppAssignment"
+
+    $existing    = Get-GraphMobileAppAssignments -AppId $AppId
+    $assignments = @()
+    $seen        = @{}   # Schluessel intent|type|groupId -> Duplikate vermeiden
+    foreach ($a in $existing) {
+        $tgt = $a.target
+        if (-not $tgt) { continue }
+        $key = ([string]$a.intent) + '|' + ([string]$tgt.'@odata.type') + '|' + ([string]$tgt.groupId)
+        $seen[$key] = $true
+        $assignments += @{
+            '@odata.type' = '#microsoft.graph.mobileAppAssignment'
+            intent        = [string]$a.intent
+            target        = $tgt          # inkl. evtl. Filter -> unveraendert beibehalten
+            settings      = $a.settings   # bestehende Assignment-Settings bewahren
+        }
+    }
+    foreach ($t in $newTargets) {
+        $key = $Intent + '|' + [string]$t['@odata.type'] + '|' + [string]$t['groupId']
+        if ($seen.ContainsKey($key)) { continue }   # bereits (mit diesem Intent) zugewiesen
+        $seen[$key] = $true
+        $assignments += @{
+            '@odata.type' = '#microsoft.graph.mobileAppAssignment'
             intent        = $Intent
-            target        = $target
+            target        = $t
             settings      = $null
-        })
+        }
     }
+
+    $body = @{ mobileAppAssignments = @($assignments) }
     Invoke-MgGraphRequest -Uri "https://graph.microsoft.com/beta/deviceAppManagement/mobileApps/$AppId/assign" -Method POST -Body $body
 }
 
@@ -827,16 +879,15 @@ function Remove-GraphMobileApp {
     }
 }
 
-# Excluded App-Typen aus dem Original-Script
+# Ausgeschlossene App-Typen: iOS/Android bleiben ausgeblendet (dieses Tool ist auf
+# Windows + macOS ausgelegt). macOS-Typen sind bewusst NICHT mehr ausgeschlossen,
+# damit Mac-Apps in Liste/Suche erscheinen.
 $script:ExcludedAppTypes = @(
     '#microsoft.graph.iosLobApp', '#microsoft.graph.iosStoreApp', '#microsoft.graph.iosVppApp',
     '#microsoft.graph.managedIOSLobApp', '#microsoft.graph.managedIOSStoreApp',
     '#microsoft.graph.androidLobApp', '#microsoft.graph.androidStoreApp', '#microsoft.graph.androidForWorkApp',
     '#microsoft.graph.androidManagedStoreApp', '#microsoft.graph.androidManagedStoreWebApp',
-    '#microsoft.graph.managedAndroidLobApp', '#microsoft.graph.managedAndroidStoreApp',
-    '#microsoft.graph.macOSDmgApp', '#microsoft.graph.macOSLobApp', '#microsoft.graph.macOSMicrosoftDefenderApp',
-    '#microsoft.graph.macOSMicrosoftEdgeApp', '#microsoft.graph.macOSOfficeSuiteApp', '#microsoft.graph.macOSPkgApp',
-    '#microsoft.graph.macOsVppApp'
+    '#microsoft.graph.managedAndroidLobApp', '#microsoft.graph.managedAndroidStoreApp'
 )
 
 function Test-AppTypeAllowed {
@@ -858,6 +909,13 @@ function ConvertTo-AppFriendlyType {
         '#microsoft.graph.windowsAppX'                  { 'APPX' }
         '#microsoft.graph.windowsUniversalAppX'         { 'APPX' }
         '#microsoft.graph.windowsMobileMSI'             { 'MSI' }
+        '#microsoft.graph.macOSDmgApp'                  { 'macOS DMG' }
+        '#microsoft.graph.macOSPkgApp'                  { 'macOS PKG' }
+        '#microsoft.graph.macOSLobApp'                  { 'macOS LOB' }
+        '#microsoft.graph.macOSMicrosoftDefenderApp'    { 'macOS Defender' }
+        '#microsoft.graph.macOSMicrosoftEdgeApp'        { 'macOS Edge' }
+        '#microsoft.graph.macOSOfficeSuiteApp'          { 'macOS M365' }
+        '#microsoft.graph.macOsVppApp'                  { 'macOS VPP' }
         default {
             ($Type -replace '#microsoft\.graph\.','')
         }

src/Models.ps1

@@ -26,13 +26,37 @@ function ConvertTo-IsoDate {
     return $s
 }
 
+# ============================================================
+# Plattform-Helfer: App-Daten-Verzeichnis (Settings, Exporte).
+# Windows: %APPDATA%\IntuneAppManager-Web (unveraendert).
+# macOS:   ~/Library/Application Support/IntuneAppManager-Web
+# Linux:   $XDG_CONFIG_HOME bzw. ~/.config/IntuneAppManager-Web
+# ============================================================
+function Test-IsWindows {
+    # PS5.1 kennt $IsWindows nicht -> $env:OS faengt das ab.
+    return (($env:OS -eq 'Windows_NT') -or ($PSVersionTable.PSVersion.Major -lt 6) -or $IsWindows)
+}
+
+function Get-AppDataDir {
+    $base = if ($env:APPDATA) {
+        $env:APPDATA
+    } elseif ($IsMacOS) {
+        Join-Path $HOME 'Library/Application Support'
+    } elseif ($IsLinux) {
+        if ($env:XDG_CONFIG_HOME) { $env:XDG_CONFIG_HOME } else { Join-Path $HOME '.config' }
+    } else {
+        [Environment]::GetFolderPath('ApplicationData')
+    }
+    return (Join-Path $base 'IntuneAppManager-Web')
+}
+
 # ============================================================
 # Settings: editierbare Konfiguration, persistiert als JSON
-# unter %APPDATA%\IntuneAppManager-Web\settings.json
+# unter <AppData>\IntuneAppManager-Web\settings.json
 # ============================================================
 
 function Get-SettingsPath {
-    $dir = Join-Path $env:APPDATA "IntuneAppManager-Web"
+    $dir = Get-AppDataDir
     if (-not (Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force | Out-Null }
     return Join-Path $dir "settings.json"
 }
@@ -44,6 +68,10 @@ function Get-DefaultSettings {
     # Theme) sind branchenuebliche Startpunkte und bleiben besetzt.
     return [pscustomobject]@{
         connection = [pscustomobject]@{
+            # Verbindungsmodus:
+            #   $false = Single-Tenant (klassisch: die flachen Felder unten)
+            #   $true  = Multi-Tenant  (Liste 'tenants' + 'activeTenantId')
+            multiTenant = $false
             tenantId   = ""
             clientId   = ""
             clientIdRo = ""
@@ -53,6 +81,10 @@ function Get-DefaultSettings {
             # msgraph-Skill gegen den offiziellen Graph-Permission-Index.
             scopes   = @("Group.ReadWrite.All", "GroupMember.ReadWrite.All", "User.Read.All", "DeviceManagementApps.ReadWrite.All")
             scopesRo = @("Group.Read.All", "GroupMember.Read.All", "User.Read.All", "DeviceManagementApps.Read.All")
+            # Multi-Tenant-Profile: je Tenant eigene App-Registrierung(en).
+            # [{ id, label, tenantId, clientId, clientIdRo }]. Scopes gelten global.
+            tenants        = @()
+            activeTenantId = ""
         }
         departments = [pscustomobject]@{
             # Ein oder mehrere Praefixe fuer den Abteilungs-Modus (linke Spalte).
@@ -66,6 +98,13 @@ function Get-DefaultSettings {
             # Explizite Liste der RPA-Gruppen. Leer = RPA-Tab zeigt Hinweis.
             groupNames = @()
         }
+        policyBackup = [pscustomobject]@{
+            # Lokaler Git-Repo-Ordner fuer Policy-Snapshots. Leer = Funktion aus.
+            gitRepoPath = ""
+            # Nach dem Commit automatisch 'git push' ausfuehren (nutzt den
+            # vorhandenen Git-Credential-Helper; kein Token in der App).
+            push = $false
+        }
         userSearch = [pscustomobject]@{
             # In welchen Feldern bei der Benutzersuche gesucht wird.
             # Erlaubt: displayName, userPrincipalName, mail, department.
@@ -164,18 +203,27 @@ function Merge-Settings {
 }
 
 function Get-DepartmentPrefixes {
-    # Zentrale Quelle fuer die Abteilungs-Praefixe. Bevorzugt das neue
-    # 'prefixes'-Array; faellt sonst auf den alten Single-String 'prefix'
-    # zurueck (Rueckwaerts-Kompatibilitaet mit existierenden settings.json).
-    # Liefert immer ein String-Array (getrimmt, dedupliziert, ohne leere
-    # Eintraege), ggf. leer wenn nichts konfiguriert ist.
+    # Zentrale Quelle fuer die Abteilungs-Praefixe. Multi-Tenant: hat das aktive
+    # Profil eigene 'prefixes', gelten diese (Override); sonst die globalen
+    # departments.prefixes / alter Single-String 'prefix' (Rueckwaerts-Kompat).
+    # Liefert immer ein String-Array (getrimmt, dedupliziert, ohne leere).
     param($Settings)
     $out = [System.Collections.Generic.List[string]]::new()
-    if ($null -eq $Settings -or $null -eq $Settings.departments) { return ,$out.ToArray() }
-    $d = $Settings.departments
+    if ($null -eq $Settings) { return ,$out.ToArray() }
+
     $candidates = @()
-    if ($d.PSObject.Properties['prefixes']) { $candidates += @($d.prefixes) }
-    if ($d.PSObject.Properties['prefix']    -and $d.prefix) { $candidates += @([string]$d.prefix) }
+    # 1) Tenant-Override (aktives Profil)
+    $prof = Get-ActiveTenantProfile -Settings $Settings
+    if ($prof -and $prof.PSObject.Properties['prefixes']) {
+        $profPfx = @($prof.prefixes | Where-Object { $_ -and ([string]$_).Trim() })
+        if ($profPfx.Count -gt 0) { $candidates = $profPfx }
+    }
+    # 2) Globale Vorgabe (Fallback, wenn kein Profil-Override)
+    if ($candidates.Count -eq 0 -and $null -ne $Settings.departments) {
+        $d = $Settings.departments
+        if ($d.PSObject.Properties['prefixes']) { $candidates += @($d.prefixes) }
+        if ($d.PSObject.Properties['prefix'] -and $d.prefix) { $candidates += @([string]$d.prefix) }
+    }
     $seen = @{}
     foreach ($p in $candidates) {
         if ($null -eq $p) { continue }
@@ -189,6 +237,100 @@ function Get-DepartmentPrefixes {
     return $out.ToArray()
 }
 
+function Get-RpaGroupNames {
+    # RPA-Gruppennamen fuer den aktuell aktiven Kontext. Multi-Tenant: aktives
+    # Profil kann eigene 'rpaGroups' definieren (Override); sonst global.
+    param($Settings)
+    if ($null -eq $Settings) { return ,@() }
+    $prof = Get-ActiveTenantProfile -Settings $Settings
+    if ($prof -and $prof.PSObject.Properties['rpaGroups']) {
+        $names = @($prof.rpaGroups | Where-Object { $_ -and ([string]$_).Trim() })
+        if ($names.Count -gt 0) { return ,@($names | ForEach-Object { [string]$_ }) }
+    }
+    if ($Settings.rpa -and $Settings.rpa.PSObject.Properties['groupNames']) {
+        return ,@($Settings.rpa.groupNames | Where-Object { $_ -and ([string]$_).Trim() } | ForEach-Object { [string]$_ })
+    }
+    return ,@()
+}
+
+function Get-GroupNaming {
+    # Naming-Schema (prefix/suffix) fuer required/available. Multi-Tenant: das
+    # aktive Profil kann prefix und/oder suffix ueberschreiben (pro Feld: nicht-
+    # leerer Profilwert gewinnt, sonst globale Vorgabe, sonst Default).
+    param($Settings, [string]$Intent)
+    $isAvail   = ($Intent -eq 'available')
+    $defPrefix = 'intune-win-app-'
+    $defSuffix = if ($isAvail) { '-available' } else { '-required' }
+
+    $globalObj = if ($Settings) { if ($isAvail) { $Settings.availableGroupNaming } else { $Settings.requiredGroupNaming } } else { $null }
+    $prefix = if ($globalObj -and $globalObj.prefix) { [string]$globalObj.prefix } else { $defPrefix }
+    $suffix = if ($globalObj -and $globalObj.suffix) { [string]$globalObj.suffix } else { $defSuffix }
+
+    $prof = Get-ActiveTenantProfile -Settings $Settings
+    if ($prof) {
+        $key  = if ($isAvail) { 'availableGroupNaming' } else { 'requiredGroupNaming' }
+        $pObj = if ($prof.PSObject.Properties[$key]) { $prof.$key } else { $null }
+        if ($pObj) {
+            if ($pObj.PSObject.Properties['prefix'] -and ([string]$pObj.prefix).Trim()) { $prefix = [string]$pObj.prefix }
+            if ($pObj.PSObject.Properties['suffix'] -and ([string]$pObj.suffix).Trim()) { $suffix = [string]$pObj.suffix }
+        }
+    }
+    return @{ prefix = $prefix; suffix = $suffix }
+}
+
+function Get-ActiveTenantProfile {
+    # Liefert das aktive Tenant-Profil-Objekt (Multi-Tenant) oder $null im
+    # Single-Tenant-Modus / wenn keine Profile existieren.
+    param($Settings)
+    if ($null -eq $Settings) { return $null }
+    $c = $Settings.connection
+    if ($null -eq $c) { return $null }
+    if (-not ($c.PSObject.Properties['multiTenant'] -and [bool]$c.multiTenant)) { return $null }
+    $tenants = @()
+    if ($c.PSObject.Properties['tenants']) { $tenants = @($c.tenants | Where-Object { $_ }) }
+    if ($tenants.Count -eq 0) { return $null }
+    $activeId = if ($c.PSObject.Properties['activeTenantId']) { [string]$c.activeTenantId } else { "" }
+    $p = $tenants | Where-Object { [string]$_.id -eq $activeId } | Select-Object -First 1
+    if (-not $p) { $p = $tenants[0] }
+    return $p
+}
+
+function Get-ActiveConnection {
+    # Liefert die aktuell zu verwendenden Verbindungswerte als PSCustomObject
+    # { tenantId; clientId; clientIdRo; label }. Im Multi-Tenant-Modus das
+    # aktive Profil (activeTenantId, sonst erstes Profil); sonst die flachen
+    # connection-Felder (Rueckwaerts-Kompatibilitaet / Single-Tenant).
+    param($Settings)
+    $c = $Settings.connection
+    $empty = [pscustomobject]@{ tenantId = ""; clientId = ""; clientIdRo = ""; label = "" }
+    if ($null -eq $c) { return $empty }
+
+    $isMulti = $false
+    if ($c.PSObject.Properties['multiTenant']) { $isMulti = [bool]$c.multiTenant }
+
+    if ($isMulti) {
+        $tenants = @()
+        if ($c.PSObject.Properties['tenants']) { $tenants = @($c.tenants | Where-Object { $_ }) }
+        if ($tenants.Count -eq 0) { return $empty }
+        $activeId = if ($c.PSObject.Properties['activeTenantId']) { [string]$c.activeTenantId } else { "" }
+        $profile  = $tenants | Where-Object { [string]$_.id -eq $activeId } | Select-Object -First 1
+        if (-not $profile) { $profile = $tenants[0] }
+        return [pscustomobject]@{
+            tenantId   = [string]$profile.tenantId
+            clientId   = [string]$profile.clientId
+            clientIdRo = [string]$profile.clientIdRo
+            label      = [string]$profile.label
+        }
+    }
+
+    return [pscustomobject]@{
+        tenantId   = [string]$c.tenantId
+        clientId   = [string]$c.clientId
+        clientIdRo = [string]$c.clientIdRo
+        label      = ""
+    }
+}
+
 function Read-Settings {
     $path = Get-SettingsPath
     $defaults = Get-DefaultSettings
@@ -216,14 +358,39 @@ function Get-SettingsValidationErrors {
     # Rudimentaere Validierung. Schwere Fehler -> Speichern ablehnen.
     param($S)
     $errs = @()
-    if (-not $S.connection.tenantId -or $S.connection.tenantId -notmatch '^[0-9a-fA-F-]{36}$') {
-        $errs += "Tenant ID muss eine GUID sein."
-    }
-    if (-not $S.connection.clientId -or $S.connection.clientId -notmatch '^[0-9a-fA-F-]{36}$') {
-        $errs += "Client ID (Read/Write) muss eine GUID sein."
-    }
-    if ($S.connection.clientIdRo -and $S.connection.clientIdRo.Trim() -and $S.connection.clientIdRo -notmatch '^[0-9a-fA-F-]{36}$') {
-        $errs += "Client ID (Read Only) muss eine GUID sein (oder leer lassen)."
+    $isMulti = $false
+    if ($S.connection.PSObject.Properties['multiTenant']) { $isMulti = [bool]$S.connection.multiTenant }
+
+    if ($isMulti) {
+        # Multi-Tenant: jedes Profil validieren; mindestens eines erforderlich.
+        $tenants = @()
+        if ($S.connection.PSObject.Properties['tenants']) { $tenants = @($S.connection.tenants | Where-Object { $_ }) }
+        if ($tenants.Count -eq 0) {
+            $errs += "Multi-Tenant aktiv, aber kein Tenant-Profil angelegt."
+        } else {
+            $seenIds = @{}
+            foreach ($t in $tenants) {
+                $lbl = if ($t.label) { [string]$t.label } else { [string]$t.tenantId }
+                if (-not $t.id -or [string]::IsNullOrWhiteSpace($t.id)) { $errs += "Tenant-Profil ohne interne id."; continue }
+                if ($seenIds.ContainsKey([string]$t.id)) { $errs += "Tenant-Profil-id nicht eindeutig: $($t.id)"; continue }
+                $seenIds[[string]$t.id] = $true
+                if (-not $t.label -or [string]::IsNullOrWhiteSpace($t.label)) { $errs += "Tenant-Profil '$lbl': Bezeichnung erforderlich." }
+                if (-not $t.tenantId -or $t.tenantId -notmatch '^[0-9a-fA-F-]{36}$') { $errs += "Tenant-Profil '$lbl': Tenant ID muss eine GUID sein." }
+                if (-not $t.clientId -or $t.clientId -notmatch '^[0-9a-fA-F-]{36}$') { $errs += "Tenant-Profil '$lbl': Client ID (Read/Write) muss eine GUID sein." }
+                if ($t.clientIdRo -and ([string]$t.clientIdRo).Trim() -and $t.clientIdRo -notmatch '^[0-9a-fA-F-]{36}$') { $errs += "Tenant-Profil '$lbl': Client ID (Read Only) muss eine GUID sein (oder leer)." }
+            }
+        }
+    } else {
+        # Single-Tenant: klassische flache Felder.
+        if (-not $S.connection.tenantId -or $S.connection.tenantId -notmatch '^[0-9a-fA-F-]{36}$') {
+            $errs += "Tenant ID muss eine GUID sein."
+        }
+        if (-not $S.connection.clientId -or $S.connection.clientId -notmatch '^[0-9a-fA-F-]{36}$') {
+            $errs += "Client ID (Read/Write) muss eine GUID sein."
+        }
+        if ($S.connection.clientIdRo -and $S.connection.clientIdRo.Trim() -and $S.connection.clientIdRo -notmatch '^[0-9a-fA-F-]{36}$') {
+            $errs += "Client ID (Read Only) muss eine GUID sein (oder leer lassen)."
+        }
     }
     if (-not $S.connection.scopes -or @($S.connection.scopes).Count -eq 0) {
         $errs += "Mindestens ein Scope erforderlich."

src/Offboard.ps1

@@ -0,0 +1,384 @@
+# Geraete-Offboarding: ein Geraet ueber Intune, Autopilot und Entra ID hinweg
+# entfernen (Decommissioning). Vor dem Loeschen koennen BitLocker-/FileVault-Keys
+# und LAPS-Passwoerter ausgelesen werden, damit sie nicht verloren gehen.
+#
+# Portiert aus dem "Device Offboarding Manager" (Ugur Koc, MIT-Lizenz) — dort
+# WPF, hier als Web-Endpoints in den Intune Manager integriert.
+#
+# Loeschen ist destruktiv -> im Read-Only-Modus gesperrt, harte Bestaetigung im UI.
+
+# Generischer Microsoft-Graph-$batch-Helper. Nimmt Sub-Requests
+# ( @{ id; method; url; body?; headers? } ) und liefert eine Map id -> Response.
+function Invoke-GraphBatch {
+    param([Parameter(Mandatory=$true)][object[]]$Requests)
+    $map = @{}
+    for ($i = 0; $i -lt $Requests.Count; $i += 20) {
+        $chunk = $Requests[$i .. [Math]::Min($i + 19, $Requests.Count - 1)]
+        $body  = @{ requests = @($chunk) } | ConvertTo-Json -Depth 10 -Compress
+        $resp  = Invoke-MgGraphRequestRetry -Uri 'https://graph.microsoft.com/beta/$batch' -Method POST -Body $body -ContentType 'application/json'
+        foreach ($r in @($resp.responses)) { $map[[string]$r.id] = $r }
+    }
+    return $map
+}
+
+# Graph-Fehlermeldung aus einer Exception ziehen (Body statt generischer Text).
+function Get-OffboardGraphErr {
+    param($ErrorRecord)
+    $m = $ErrorRecord.Exception.Message
+    try { if ($ErrorRecord.ErrorDetails.Message) { $m = $ErrorRecord.ErrorDetails.Message } } catch {}
+    return $m
+}
+
+# Geraete suchen und ueber die drei Dienste hinweg aufloesen.
+# Query: query=<text>, type=name|serial
+function Search-OffboardDevicesEndpoint {
+    param([hashtable]$Query)
+    $err = Test-Connected
+    if ($err) { return $err }
+
+    $q    = [string]$Query['query']
+    $type = [string]$Query['type']
+    if ([string]::IsNullOrWhiteSpace($q)) { return @{ __status = 400; error = 'Suchbegriff fehlt' } }
+    $qEsc = $q -replace "'", "''"
+
+    # managedDevices unterstuetzt startswith(deviceName) bzw. serialNumber eq.
+    $filter = if ($type -eq 'serial') { "serialNumber eq '$qEsc'" } else { "startswith(deviceName,'$qEsc')" }
+    $sel    = 'id,deviceName,serialNumber,operatingSystem,osVersion,userPrincipalName,lastSyncDateTime,azureADDeviceId,managedDeviceOwnerType,managementAgent'
+    $uri    = "https://graph.microsoft.com/beta/deviceManagement/managedDevices?`$filter=$([Uri]::EscapeDataString($filter))&`$select=$sel&`$top=50&`$orderby=deviceName"
+    try {
+        $intune = @(Get-GraphPaged -Uri $uri)
+    } catch {
+        $m = Get-OffboardGraphErr $_
+        if ($m -match '403|Forbidden') {
+            return @{ __status = 403; error = 'Keine Berechtigung fuer die Geraete-Suche. Scope "DeviceManagementManagedDevices.Read.All" muss in den Read/Write-Scopes stehen UND per Admin-Consent zugestimmt sein (siehe docs/App-Registration.md). Nach dem Ergaenzen: ab- und neu anmelden.' }
+        }
+        return @{ __status = 500; error = "Graph-Fehler bei der Suche: $m" }
+    }
+    $items = @()
+    if ($intune.Count -gt 0) { $items = @(Resolve-OffboardItems -IntuneDevices $intune) }
+
+    # Zusaetzlich Autopilot direkt durchsuchen: Geraete, die in Autopilot registriert,
+    # aber (noch) nicht in Intune enrolled sind (oder aus Intune entfernt wurden),
+    # tauchen in der managedDevices-Suche nicht auf.
+    $apItems = @(Search-AutopilotOnly -Query $q -Type $type -ExistingItems $items)
+    $items   = @($items) + @($apItems)
+
+    return @{ items = @($items); count = @($items).Count }
+}
+
+# Durchsucht windowsAutopilotDeviceIdentities direkt und liefert Offboard-Items fuer
+# Geraete, die noch nicht ueber die Intune-Suche abgedeckt sind. Namenssuche laeuft
+# ueber displayName (nicht garantiert unterstuetzt -> Fehler werden still ignoriert),
+# Seriennummer ueber contains(serialNumber).
+function Search-AutopilotOnly {
+    param([string]$Query, [string]$Type, [object[]]$ExistingItems)
+    $qEsc = $Query -replace "'", "''"
+    $apFilter = if ($Type -eq 'serial') { "contains(serialNumber,'$qEsc')" } else { "startswith(displayName,'$qEsc')" }
+    $sel = 'id,serialNumber,displayName,azureAdDeviceId,managedDeviceId,userPrincipalName,model,manufacturer,groupTag,enrollmentState'
+    $uri = "https://graph.microsoft.com/beta/deviceManagement/windowsAutopilotDeviceIdentities?`$filter=$([Uri]::EscapeDataString($apFilter))&`$select=$sel&`$top=50"
+    $ap  = @()
+    try {
+        $ap = @(Get-GraphPaged -Uri $uri)
+    } catch {
+        $m = Get-OffboardGraphErr $_
+        Write-Host "  [OFFBOARD] Autopilot-Suche ($Type='$Query'): $m" -ForegroundColor DarkYellow
+        return @()
+    }
+    if ($ap.Count -eq 0) { return @() }
+
+    # Bereits durch die Intune-Suche abgedeckte Geraete rausfiltern (Seriennummer/Autopilot-Id).
+    $seenSer = @{}; $seenApId = @{}
+    foreach ($it in @($ExistingItems)) {
+        $s = ([string]$it.serialNumber).Trim().ToLower(); if ($s) { $seenSer[$s] = $true }
+        $aid = [string]$it.autopilotId; if ($aid) { $seenApId[$aid] = $true }
+    }
+    $new = @($ap | Where-Object {
+        $s   = ([string]$_.serialNumber).Trim().ToLower()
+        $aid = [string]$_.id
+        -not ($seenApId[$aid] -or ($s -and $seenSer[$s]))
+    })
+    if ($new.Count -eq 0) { return @() }
+
+    # Entra-Objekt per azureAdDeviceId nachladen (fuer Delete).
+    $reqs = @(); $idx = 0
+    foreach ($a in $new) {
+        $aad = [string]$a.azureAdDeviceId
+        if ($aad -and $aad -ne '00000000-0000-0000-0000-000000000000') {
+            $f = [Uri]::EscapeDataString("deviceId eq '$aad'")
+            $reqs += @{ id = "e$idx"; method = 'GET'; url = "/devices?`$filter=$f&`$select=id,deviceId,displayName,accountEnabled&`$top=1" }
+        }
+        $idx++
+    }
+    $batch = if ($reqs.Count -gt 0) { Invoke-GraphBatch -Requests $reqs } else { @{} }
+
+    $items = @(); $idx = 0
+    foreach ($a in $new) {
+        $entra = $null
+        $er = $batch["e$idx"]; if ($er -and [int]$er.status -eq 200) { $entra = @($er.body.value)[0] }
+        $mdid = [string]$a.managedDeviceId
+        $hasIntune = ($mdid -and $mdid -ne '00000000-0000-0000-0000-000000000000')
+        $dn = [string]$a.displayName
+        if (-not $dn) { $dn = if ($a.serialNumber) { "SN $([string]$a.serialNumber)" } else { '(Autopilot-Geraet)' } }
+        $items += [pscustomobject]@{
+            deviceName      = $dn
+            serialNumber    = [string]$a.serialNumber
+            operatingSystem = 'Windows'
+            osVersion       = ''
+            primaryUser     = [string]$a.userPrincipalName
+            lastSync        = $null
+            ownership       = ''
+            coManaged       = $false
+            intuneDeviceId  = if ($hasIntune) { $mdid } else { '' }
+            azureADDeviceId = [string]$a.azureAdDeviceId
+            entraObjectId   = if ($entra) { [string]$entra.id } else { '' }
+            entraEnabled    = if ($entra) { [bool]$entra.accountEnabled } else { $null }
+            autopilotId     = [string]$a.id
+            autopilotNote   = ''
+            inIntune        = [bool]$hasIntune
+            inEntra         = [bool]$entra
+            inAutopilot     = $true
+        }
+        $idx++
+    }
+    return @($items)
+}
+
+# Reichert Intune-managedDevice-Objekte mit Entra-Objekt-Id + Autopilot-Id an
+# (per $batch) und liefert die Offboard-Item-Struktur fuers Frontend.
+function Resolve-OffboardItems {
+    param([object[]]$IntuneDevices)
+    $intune = @($IntuneDevices)
+    if ($intune.Count -eq 0) { return @() }
+
+    # Entra-Objekt (fuer Delete) + Autopilot-Identity (fuer Delete) per Batch nachladen.
+    $reqs = @()
+    $idx  = 0
+    foreach ($d in $intune) {
+        $aad = [string]$d.azureADDeviceId
+        $ser = [string]$d.serialNumber
+        if ($aad -and $aad -ne '00000000-0000-0000-0000-000000000000') {
+            $f = [Uri]::EscapeDataString("deviceId eq '$aad'")
+            $reqs += @{ id = "e$idx"; method = 'GET'; url = "/devices?`$filter=$f&`$select=id,deviceId,displayName,accountEnabled&`$top=1" }
+        }
+        if ($ser) {
+            $sf = [Uri]::EscapeDataString("contains(serialNumber,'$($ser -replace "'","''")')")
+            $reqs += @{ id = "a$idx"; method = 'GET'; url = "/deviceManagement/windowsAutopilotDeviceIdentities?`$filter=$sf&`$top=1" }
+        }
+        $idx++
+    }
+    $batch = if ($reqs.Count -gt 0) { Invoke-GraphBatch -Requests $reqs } else { @{} }
+
+    $items = @()
+    $idx   = 0
+    foreach ($d in $intune) {
+        $ser   = [string]$d.serialNumber
+        $entra = $null; $autop = $null; $apNote = ''
+        $er = $batch["e$idx"]; if ($er -and [int]$er.status -eq 200) { $entra = @($er.body.value)[0] }
+        $ar = $batch["a$idx"]
+        if ($ar) {
+            $ast = [int]$ar.status
+            if ($ast -eq 200) {
+                $autop = @($ar.body.value)[0]
+                if (-not $autop) { $apNote = 'Kein Autopilot-Treffer fuer Seriennummer' }
+            } else {
+                $acode = ''; try { $acode = [string]$ar.body.error.code } catch {}
+                $apNote = "Autopilot-Lookup fehlgeschlagen: HTTP $ast" + $(if ($acode) { " ($acode)" } else { '' })
+                Write-Host "  [OFFBOARD] Autopilot-Lookup ($($d.deviceName), SN=$ser): HTTP $ast $acode" -ForegroundColor DarkYellow
+            }
+        } elseif (-not $ser) {
+            $apNote = 'Keine Seriennummer am Intune-Geraet'
+        }
+        $items += [pscustomobject]@{
+            deviceName      = [string]$d.deviceName
+            serialNumber    = [string]$d.serialNumber
+            operatingSystem = [string]$d.operatingSystem
+            osVersion       = [string]$d.osVersion
+            primaryUser     = [string]$d.userPrincipalName
+            lastSync        = $d.lastSyncDateTime
+            ownership       = [string]$d.managedDeviceOwnerType
+            coManaged       = ([string]$d.managementAgent -match 'configurationManager')
+            intuneDeviceId  = [string]$d.id
+            azureADDeviceId = [string]$d.azureADDeviceId
+            entraObjectId   = if ($entra) { [string]$entra.id } else { '' }
+            entraEnabled    = if ($entra) { [bool]$entra.accountEnabled } else { $null }
+            autopilotId     = if ($autop) { [string]$autop.id } else { '' }
+            autopilotNote   = $apNote
+            inIntune        = $true
+            inEntra         = [bool]$entra
+            inAutopilot     = [bool]$autop
+        }
+        $idx++
+    }
+    return @($items)
+}
+
+# Offboard-Items zu einer Liste von Intune-Device-Ids aufloesen (fuer Bulk-
+# Offboarding aus dem Geraete-Tab). Body: { ids: [intuneDeviceId, ...] }
+function Get-OffboardResolveEndpoint {
+    param($Body)
+    $err = Test-Connected
+    if ($err) { return $err }
+    $ids = @(Get-PolicyProp $Body 'ids') | Where-Object { $_ }
+    if (@($ids).Count -eq 0) { return @{ items = @(); count = 0 } }
+
+    $sel  = 'id,deviceName,serialNumber,operatingSystem,osVersion,userPrincipalName,lastSyncDateTime,azureADDeviceId,managedDeviceOwnerType,managementAgent'
+    $reqs = @()
+    $i    = 0
+    foreach ($id in $ids) {
+        $reqs += @{ id = "d$i"; method = 'GET'; url = "/deviceManagement/managedDevices/$([string]$id)?`$select=$sel" }
+        $i++
+    }
+    $batch = Invoke-GraphBatch -Requests $reqs
+    $devs  = @()
+    foreach ($k in @($batch.Keys)) {
+        $r = $batch[$k]
+        if ($r -and [int]$r.status -eq 200 -and $r.body) { $devs += $r.body }
+    }
+    return @{ items = @(Resolve-OffboardItems -IntuneDevices $devs); count = @($devs).Count }
+}
+
+# Recovery-Keys eines Geraets holen (vor dem Loeschen). Body:
+#   { intuneDeviceId, azureADDeviceId, operatingSystem }
+function Get-OffboardKeysEndpoint {
+    param($Body)
+    $err = Test-Connected
+    if ($err) { return $err }
+
+    $intuneId = [string](Get-PolicyProp $Body 'intuneDeviceId')
+    $aad      = [string](Get-PolicyProp $Body 'azureADDeviceId')
+    $os       = [string](Get-PolicyProp $Body 'operatingSystem')
+
+    $bitlocker = @()
+    $fileVault = $null
+    $laps      = $null
+    $notes     = @()
+
+    if ($os -eq 'Windows' -and $aad) {
+        try {
+            $keyIds = @(Get-GraphPaged -Uri "https://graph.microsoft.com/beta/informationProtection/bitlocker/recoveryKeys?`$filter=deviceId eq '$aad'")
+            foreach ($k in $keyIds) {
+                try {
+                    $kd = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/informationProtection/bitlocker/recoveryKeys/$($k.id)?`$select=key,volumeType" -Method GET
+                    if ($kd.key) { $bitlocker += @{ volumeType = [string]$kd.volumeType; key = [string]$kd.key } }
+                } catch {}
+            }
+            if ($bitlocker.Count -eq 0) { $notes += 'Kein BitLocker-Key gefunden.' }
+        } catch {
+            $m = Get-OffboardGraphErr $_
+            $notes += if ($m -match '403') { 'BitLocker: Zugriff verweigert (BitlockerKey.Read.All noetig).' } else { "BitLocker: $m" }
+        }
+    }
+    elseif ($os -eq 'macOS' -and $intuneId) {
+        try {
+            $fv = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/deviceManagement/managedDevices('$intuneId')/getFileVaultKey" -Method GET
+            if ($fv.value) { $fileVault = [string]$fv.value } else { $notes += 'Kein FileVault-Key gefunden.' }
+        } catch { $notes += "FileVault: $(Get-OffboardGraphErr $_)" }
+    }
+
+    # LAPS (jede Plattform, ueber die Entra-Device-Id).
+    if ($aad) {
+        try {
+            $resp  = Invoke-MgGraphRequestRetry -Uri "https://graph.microsoft.com/beta/directory/deviceLocalCredentials/$aad`?`$select=credentials" -Method GET
+            $creds = @($resp.credentials)
+            if ($creds.Count -gt 0) {
+                $latest = $creds | Sort-Object -Property backupDateTime -Descending | Select-Object -First 1
+                $pw     = [System.Text.Encoding]::UTF8.GetString([Convert]::FromBase64String([string]$latest.passwordBase64))
+                $laps   = @{ account = [string]$latest.accountName; password = $pw }
+            }
+        } catch {
+            $m = Get-OffboardGraphErr $_
+            if ($m -notmatch '404') { $notes += "LAPS: $m" }
+        }
+    }
+
+    return @{ ok = $true; keys = @{ bitlocker = @($bitlocker); fileVault = $fileVault; laps = $laps; notes = @($notes) } }
+}
+
+# Offboarding ausfuehren. Body:
+#   devices  = [ { deviceName, intuneDeviceId, entraObjectId, autopilotId } ]
+#   services = { entra: 'delete'|'disable'|'none', intune: bool, autopilot: bool }
+function Invoke-OffboardExecuteEndpoint {
+    param($Body)
+    $err = Test-Connected
+    if ($err) { return $err }
+    if ($script:State.ReadOnly) { return @{ __status = 403; error = 'Read-Only-Modus: Offboarding ist deaktiviert.' } }
+
+    $devices = @(Get-PolicyProp $Body 'devices') | Where-Object { $_ }
+    $svc     = Get-PolicyProp $Body 'services'
+    if (@($devices).Count -eq 0) { return @{ __status = 400; error = 'Keine Geraete uebergeben' } }
+
+    $entraAction = [string](Get-PolicyProp $svc 'entra')
+    $doIntune    = [bool](Get-PolicyProp $svc 'intune')
+    $doAutopilot = [bool](Get-PolicyProp $svc 'autopilot')
+
+    $reqs = @()
+    $meta = @{}
+    $n    = 0
+    foreach ($d in $devices) {
+        $name = [string](Get-PolicyProp $d 'deviceName')
+        $iid  = [string](Get-PolicyProp $d 'intuneDeviceId')
+        $eid  = [string](Get-PolicyProp $d 'entraObjectId')
+        $aid  = [string](Get-PolicyProp $d 'autopilotId')
+
+        if ($entraAction -eq 'delete' -and $eid) {
+            $rid = "r$n"; $reqs += @{ id = $rid; method = 'DELETE'; url = "/devices/$eid" }
+            $meta[$rid] = @{ name = $name; svc = 'Entra ID'; action = 'geloescht' }; $n++
+        } elseif ($entraAction -eq 'disable' -and $eid) {
+            $rid = "r$n"; $reqs += @{ id = $rid; method = 'PATCH'; url = "/devices/$eid"; body = @{ accountEnabled = $false }; headers = @{ 'Content-Type' = 'application/json' } }
+            $meta[$rid] = @{ name = $name; svc = 'Entra ID'; action = 'deaktiviert' }; $n++
+        }
+        if ($doIntune -and $iid) {
+            $rid = "r$n"; $reqs += @{ id = $rid; method = 'DELETE'; url = "/deviceManagement/managedDevices/$iid" }
+            $meta[$rid] = @{ name = $name; svc = 'Intune'; action = 'geloescht' }; $n++
+        }
+        if ($doAutopilot -and $aid) {
+            $rid = "r$n"; $reqs += @{ id = $rid; method = 'DELETE'; url = "/deviceManagement/windowsAutopilotDeviceIdentities/$aid" }
+            $meta[$rid] = @{ name = $name; svc = 'Autopilot'; action = 'geloescht' }; $n++
+        }
+    }
+    if ($reqs.Count -eq 0) { return @{ __status = 400; error = 'Keine ausfuehrbaren Aktionen (fehlende IDs oder nichts ausgewaehlt).' } }
+
+    Write-Host "[OFFBOARD] Fuehre $($reqs.Count) Aktion(en) fuer $(@($devices).Count) Geraet(e) aus..." -ForegroundColor Yellow
+    $batch = Invoke-GraphBatch -Requests $reqs
+
+    $results = @()
+    foreach ($rid in ($meta.Keys | Sort-Object { [int]($_ -replace '\D','') })) {
+        $m      = $meta[$rid]
+        $r      = $batch[$rid]
+        $status = if ($r) { [int]$r.status } else { 0 }
+        $ok     = $status -in @(200, 204)
+        $errMsg = ''
+        if (-not $ok) {
+            $code = ''
+            try { $code = [string]$r.body.error.code } catch {}
+            if ($status -eq 403 -and $code -match 'multipleAdminApproval|protectedOperation') {
+                $errMsg = 'Erfordert Multi-Admin-Approval'
+            } elseif ($status -eq 403) {
+                $errMsg = "403 - fehlende Rolle/Berechtigung fuer $($m.svc)"
+            } elseif ($status -eq 0) {
+                $errMsg = 'Keine Antwort'
+            } else {
+                $errMsg = "HTTP $status" + $(if ($code) { " ($code)" } else { '' })
+            }
+        }
+        $results += [pscustomobject]@{
+            deviceName = $m.name; service = $m.svc; action = $m.action
+            success = $ok; error = $errMsg
+        }
+    }
+    $okCount  = @($results | Where-Object { $_.success }).Count
+    $errCount = $results.Count - $okCount
+    Write-Host "  -> $okCount/$($results.Count) erfolgreich" -ForegroundColor DarkGray
+
+    # HTML-Report erzeugen (pro Geraet die ausgefuehrten Loeschungen) und verlinken.
+    $reportUrl = ""
+    try {
+        $reportFile = New-OffboardHtmlReport -Devices $devices -Results $results -Success $okCount -Errors $errCount -Total $results.Count -EntraAction $entraAction -DoIntune $doIntune -DoAutopilot $doAutopilot
+        if ($reportFile) { $reportUrl = "/reports/" + (Split-Path $reportFile -Leaf) }
+        Write-Host "[OFFBOARD] HTML-Report: $reportFile" -ForegroundColor DarkGray
+    } catch {
+        Write-Host "[OFFBOARD] Report-Erstellung fehlgeschlagen: $($_.Exception.Message)" -ForegroundColor Red
+    }
+
+    return @{ ok = $true; successCount = $okCount; total = $results.Count; results = @($results); reportUrl = [string]$reportUrl }
+}

start-macos.command

@@ -0,0 +1,54 @@
+#!/usr/bin/env bash
+#
+# Intune Manager - Start auf macOS (funktioniert auch unter Linux).
+#
+# Verwendung:
+#   - Im Finder doppelklicken (Datei muss ausfuehrbar sein: chmod +x start-macos.command)
+#   - oder im Terminal:   ./start-macos.command
+#                         ./start-macos.command -Port 8090
+#                         ./start-macos.command -NoBrowser
+#
+# Alle Argumente werden unveraendert an Start.ps1 durchgereicht.
+#
+set -euo pipefail
+
+# In das Verzeichnis dieses Scripts wechseln (= Repo-Root), egal von wo gestartet.
+cd "$(dirname "$0")"
+
+echo "=============================================="
+echo " Intune Manager - Start (macOS)"
+echo "=============================================="
+
+# 1) PowerShell 7 vorhanden?
+if ! command -v pwsh >/dev/null 2>&1; then
+  echo "FEHLER: PowerShell 7 (pwsh) ist nicht installiert."
+  echo "        Installieren mit:  brew install --cask powershell"
+  exit 1
+fi
+
+# 2) Graph-Auth-Modul vorhanden? Sonst einmalig installieren.
+if ! pwsh -NoProfile -Command "if (Get-Module -ListAvailable Microsoft.Graph.Authentication) { exit 0 } else { exit 1 }"; then
+  echo "Installiere Microsoft.Graph.Authentication (einmalig, CurrentUser)..."
+  pwsh -NoProfile -Command "Install-Module Microsoft.Graph.Authentication -Scope CurrentUser -Force"
+fi
+
+# 3) Port aus den Argumenten lesen (Default 8077) - nur fuer die Port-Freigabe unten.
+PORT=8077
+args=("$@")
+for ((i=0; i<${#args[@]}; i++)); do
+  if [[ "${args[$i]}" == "-Port" && $((i+1)) -lt ${#args[@]} ]]; then
+    PORT="${args[$((i+1))]}"
+  fi
+done
+
+# 4) Belegten Port freigeben (auf macOS gibt es keinen automatischen Instanz-Kill).
+if lsof -ti ":$PORT" >/dev/null 2>&1; then
+  echo "Port $PORT ist belegt - beende alte Instanz..."
+  lsof -ti ":$PORT" | xargs kill 2>/dev/null || true
+  sleep 1
+fi
+
+# 5) Server starten. Argumente 1:1 an Start.ps1 weitergeben.
+echo "Starte Server auf http://localhost:$PORT/  (Beenden mit Ctrl+C)"
+echo ""
+exec pwsh -NoProfile -File ./Start.ps1 "$@"

tests/PolicyIO.Transform.Tests.ps1

@@ -0,0 +1,89 @@
+# Pester-Tests fuer die Payload-Transformationen in PolicyIO.ps1.
+# Diese reinen Funktionen sind genau die Bug-Klasse, die uns mehrfach getroffen
+# hat: der JSON-Roundtrip unter Windows PowerShell 5.1 entpackt Ein-Element-Arrays
+# zu Einzelobjekten -> Graph antwortet mit 400 "... does not match schema".
+#
+# Ausfuehren:  Invoke-Pester .\tests
+# (klassische Pester-3/4-Syntax, passend zur mit Windows gelieferten Version.)
+
+$here = Split-Path -Parent $MyInvocation.MyCommand.Path
+. (Join-Path $here '..\src\PolicyIO.ps1')
+
+Describe 'Repair-SettingsCatalogArrays' {
+
+    It 'macht aus einem skalaren choiceSettingCollectionValue ein Array' {
+        # Genau der Fall aus dem gefixten Defender-Antivirus-Import.
+        $node = @{
+            settingInstance = @{
+                '@odata.type'                = '#microsoft.graph.deviceManagementConfigurationChoiceSettingCollectionInstance'
+                choiceSettingCollectionValue = @{ value = 'x'; children = @() }
+            }
+        }
+        $fixed = Repair-SettingsCatalogArrays $node
+        $ccv   = $fixed.settingInstance.choiceSettingCollectionValue
+        ($ccv -is [System.Collections.IList]) | Should Be $true
+        @($ccv).Count | Should Be 1
+    }
+
+    It 'erzwingt auch group- und simpleSettingCollectionValue als Array' {
+        $node = @{
+            settingInstance = @{
+                groupSettingCollectionValue  = @{ children = @() }
+                simpleSettingCollectionValue = @{ value = 1 }
+            }
+        }
+        $fixed = Repair-SettingsCatalogArrays $node
+        ($fixed.settingInstance.groupSettingCollectionValue  -is [System.Collections.IList]) | Should Be $true
+        ($fixed.settingInstance.simpleSettingCollectionValue -is [System.Collections.IList]) | Should Be $true
+    }
+
+    It 'macht aus einem einzelnen settings-Objekt ein Array' {
+        $node  = @{ settings = @{ id = '0'; settingInstance = @{} } }
+        $fixed = Repair-SettingsCatalogArrays $node
+        ($fixed.settings -is [System.Collections.IList]) | Should Be $true
+        @($fixed.settings).Count | Should Be 1
+    }
+
+    It 'ersetzt null-Collections durch ein leeres Array (nicht {})' {
+        $node  = @{ settingInstance = @{ children = $null } }
+        $fixed = Repair-SettingsCatalogArrays $node
+        ($fixed.settingInstance.children -is [System.Collections.IList]) | Should Be $true
+        @($fixed.settingInstance.children).Count | Should Be 0
+    }
+
+    It 'ist idempotent: ein bereits korrektes Array bleibt ein Array gleicher Laenge' {
+        $node  = @{ choiceSettingCollectionValue = @( @{ value = 'a' }, @{ value = 'b' } ) }
+        $fixed = Repair-SettingsCatalogArrays $node
+        ($fixed.choiceSettingCollectionValue -is [System.Collections.IList]) | Should Be $true
+        @($fixed.choiceSettingCollectionValue).Count | Should Be 2
+    }
+
+    It 'filtert leere String-Elemente aus einer Collection heraus' {
+        $node  = @{ children = @('', @{ value = 'x' }, '   ') }
+        $fixed = Repair-SettingsCatalogArrays $node
+        @($fixed.children).Count | Should Be 1
+    }
+
+    It 'setzt einen zu String stringifizierten *TemplateReference auf null' {
+        $node  = @{ settingInstance = @{ settingInstanceTemplateReference = 'System.Collections.Hashtable' } }
+        $fixed = Repair-SettingsCatalogArrays $node
+        $fixed.settingInstance.settingInstanceTemplateReference | Should Be $null
+    }
+}
+
+Describe 'Remove-PolicyNullProps' {
+
+    It 'entfernt Properties mit null-Wert' {
+        $node  = @{ keep = 'a'; drop = $null }
+        $fixed = Remove-PolicyNullProps $node
+        $fixed.ContainsKey('keep') | Should Be $true
+        $fixed.ContainsKey('drop') | Should Be $false
+    }
+
+    It 'behaelt Array-Properties als Array' {
+        $node  = @{ values = @( @{ a = 1 } ) }
+        $fixed = Remove-PolicyNullProps $node
+        ($fixed.values -is [System.Collections.IList]) | Should Be $true
+        @($fixed.values).Count | Should Be 1
+    }
+}

www/help.md

@@ -16,13 +16,16 @@ Web-Frontend für Microsoft Intune. Lädt Apps und Gruppen aus deinem Tenant üb
 
 ## Navigation
 
-Der Header enthält drei Tabs:
+Der Header enthält diese Tabs:
 
 | Tab | Funktion |
 |---|---|
 | **App Management** | Haupt-Workflow: Apps laden, Gruppen zuweisen und entfernen |
 | **Group Management** | Mitglieder anzeigen, exportieren, hinzufügen, CSV-Import |
 | **App Report** | Installationszähler pro App, Geräte-Export als CSV |
+| **Geräte** | Geräte suchen/filtern, Verwaltungsart (Intune/Co-Managed), Detail-Panel, Aktionen, Bulk-Offboarding |
+| **Policies** | Policies exportieren/importieren, konsolidieren, **Gruppen zuweisen (Bulk)**, Git-Snapshot |
+| **Offboarding** | Geräte über Intune + Autopilot + Entra entfernen, Recovery-Keys sichern |
 
 > Im **Read-Only-Modus** (Fallback auf eingeschränkte App-ID) sind die Tabs *Benutzer hinzufügen* und *CSV-Import* ausgeblendet. Alle Schreib-Buttons verschwinden automatisch.
 
@@ -141,6 +144,59 @@ Ohne Header: erste Spalte mit `@` wird verwendet. Quoted fields und `,`/`;`/Tab
 
 ---
 
+## Geräte
+
+Geräte des Tenants suchen, filtern und verwalten.
+
+- **Suche & Filter** — Freitext (Gerätename, Benutzer, UPN, Seriennummer), OS- und Compliance-Filter. Zusätzlich lässt sich nach **Gruppe** filtern (alle Geräte der Gruppenmitglieder).
+- **Spalte „Verwaltung"** — zeigt je Gerät, ob es **Intune** (reines MDM) oder **Co-Managed** (ConfigMgr + Intune) ist. Sortierbar, auch im CSV-Export enthalten.
+- **Detail-Panel** (Klick auf eine Zeile) — Benutzer, OS, Compliance, Speicher, Seriennummer, Join-/Besitzertyp und der **Autopilot-Status** (registriert, Profil zugewiesen am, letzter Kontakt). Ein exaktes Autopilot-Importdatum liefert Microsoft Graph nicht — angezeigt werden die verfügbaren Zeitstempel.
+- **Geräte-Aktionen** *(nur Read/Write)* — Sync, Neustart, Remote-Lock, Diagnose, BitLocker-Key-Rotation sowie Wipe / Retire / Autopilot-Reset (Letztere brauchen `…PrivilegedOperations.All`).
+- **CSV-Export** — die aktuell gefilterte Liste als CSV.
+- **Bulk-Offboarding** — Geräte per Checkbox wählen und über **„Offboarden"** direkt in den Offboarding-Dialog übergeben.
+
+---
+
+## Policies
+
+Intune-Policies verwalten: Settings Catalog, Compliance, Konfigurationsprofile und Administrative Vorlagen.
+
+- **Neu laden** — lädt alle vier Typen. Tabelle sortier-/durchsuchbar, Typ-Filter oben.
+- **Spalte „Zuweisungen"** — zeigt die Anzahl der Ziele je Policy; Klick öffnet die Detail-Ansicht mit den konkreten Include-/Exclude-Gruppen bzw. „Alle Geräte / Alle Benutzer".
+- **Export** — ausgewählte Policies als JSON (einzeln oder gebündelt); zusätzlich im Server-Archiv abgelegt.
+- **Import** *(nur Read/Write)* — legt Policies **immer als neue Policy** an (nichts wird überschrieben). Nach dem Import kann optional pro Policy zugewiesen werden.
+- **Konsolidieren** *(nur Read/Write, nur Settings Catalog)* — mehrere Settings-Catalog-Policies zu einer neuen zusammenführen; Konflikte werden pro Einstellung aufgelöst.
+- **Gruppen zuweisen (Bulk)** *(nur Read/Write)* — siehe unten.
+- **Git-Snapshot** — alle Policies als JSON in einen konfigurierten lokalen Git-Ordner schreiben und committen (versioniertes Backup).
+
+### Gruppen zuweisen (Bulk)
+
+Weist mehreren ausgewählten Policies **in einem Schritt** dieselben Gruppen zu — auch typübergreifend.
+
+1. Eine oder mehrere Policies anhaken → Button **„Gruppen zuweisen"**.
+2. Im Dialog **Include-/Exclude-Gruppen** wählen; zusätzlich die integrierten Ziele **Alle Geräte** und **Alle Benutzer**.
+3. **Modus** wählen:
+   - **Hinzufügen** (Default) — bestehende Zuweisungen bleiben erhalten, die Auswahl kommt hinzu.
+   - **Ersetzen** — alle bisherigen Zuweisungen werden durch die Auswahl ersetzt.
+4. **Zuweisen** — das Ergebnis wird pro Policy (Erfolg / übersprungen / Fehler) angezeigt.
+
+> Hintergrund: Die Graph-`/assign`-Action ersetzt immer die komplette Zuweisungsliste. Der Hinzufügen-Modus liest deshalb die bestehenden Zuweisungen zuerst aus und sendet sie zusammen mit den neuen — ist das Auslesen nicht möglich, wird die Policy übersprungen statt versehentlich überschrieben.
+
+---
+
+## Offboarding
+
+Geräte am Ende ihres Lebenszyklus sauber über alle Dienste entfernen.
+
+- **Suche** — nach Gerätename oder Seriennummer. Durchsucht **Intune und Autopilot** — reine Autopilot-Geräte (registriert, aber nicht in Intune enrolled) werden also ebenfalls gefunden.
+- Pro Treffer zeigen Badges, in welchen Diensten das Gerät vorhanden ist: **Intune**, **Entra**, **Autopilot** (und **Co-Mgmt**).
+- **Recovery-Keys sichern** — vor dem Löschen lassen sich BitLocker-Keys und LAPS-Passwörter auslesen (`BitlockerKey.Read.All` / `DeviceLocalCredential.Read.All`).
+- **Offboarden** — löscht pro Gerät wahlweise aus Intune, Autopilot und Entra (Entra: löschen oder nur deaktivieren). Nach dem Ausführen öffnet sich ein **HTML-Report** mit dem Ergebnis pro Gerät.
+
+> **Wichtig:** Das Löschen benötigt bei delegierter Anmeldung zusätzlich passende Verzeichnis-/Intune-**Rollen** (z. B. Cloud Device Administrator / Intune Administrator) — die Graph-Scopes allein reichen nicht.
+
+---
+
 ## Header
 
 | Element | Funktion |

www/index.html

@@ -37,9 +37,14 @@
     <button class="nav-tab" data-view="report" aria-selected="false">App Report</button>
     <button class="nav-tab" data-view="devices" aria-selected="false">Geräte</button>
     <button class="nav-tab" data-view="policies" aria-selected="false">Policies</button>
+    <button class="nav-tab" data-view="offboard" aria-selected="false">Offboarding</button>
   </nav>
 
   <div class="header-actions">
+    <a id="updateBadge" class="update-badge hidden" href="#" target="_blank" rel="noopener" title="Update verfügbar — Release-Seite öffnen">
+      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M21 12a9 9 0 1 1-3-6.7"/><polyline points="21 3 21 9 15 9"/></svg>
+      <span id="updateBadgeText">Update</span>
+    </a>
     <button id="btnSettings" class="icon-btn icon-btn-header" title="Einstellungen" aria-label="Einstellungen öffnen">
       <svg width="16" height="16" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><circle cx="12" cy="12" r="3"/><path d="M19.4 15a1.7 1.7 0 0 0 .34 1.86l.06.06a2 2 0 0 1-2.83 2.83l-.06-.06a1.7 1.7 0 0 0-1.86-.34 1.7 1.7 0 0 0-1.04 1.57V21a2 2 0 0 1-4 0v-.09a1.7 1.7 0 0 0-1.1-1.57 1.7 1.7 0 0 0-1.86.34l-.06.06a2 2 0 1 1-2.83-2.83l.06-.06a1.7 1.7 0 0 0 .34-1.86 1.7 1.7 0 0 0-1.57-1.04H3a2 2 0 0 1 0-4h.09A1.7 1.7 0 0 0 4.66 9a1.7 1.7 0 0 0-.34-1.86l-.06-.06a2 2 0 1 1 2.83-2.83l.06.06a1.7 1.7 0 0 0 1.86.34H9a1.7 1.7 0 0 0 1.04-1.57V3a2 2 0 0 1 4 0v.09c0 .68.42 1.29 1.04 1.57.62.27 1.36.13 1.86-.34l.06-.06a2 2 0 1 1 2.83 2.83l-.06.06a1.7 1.7 0 0 0-.34 1.86V9a1.7 1.7 0 0 0 1.57 1.04H21a2 2 0 0 1 0 4h-.09a1.7 1.7 0 0 0-1.51 1z"/></svg>
     </button>
@@ -53,6 +58,7 @@
         <span class="theme-knob"></span>
       </span>
     </button>
+    <select id="tenantSwitch" class="tenant-switch hidden" title="Aktiven Mandanten wechseln"></select>
     <div id="connStatus" class="conn-pill conn-off" title="Verbindungsstatus">
       <span class="dot"></span>
       <span class="conn-text">Offline</span>
@@ -80,7 +86,7 @@
         Es öffnet sich ein Microsoft-Anmeldefenster. Wähle den gewünschten Account aus.
       </p>
       <div id="onboardingSetupHint" class="banner-warning hidden">
-        Konfiguration unvollständig — bitte zuerst <a href="#" id="onboardingOpenSettings">Einstellungen</a> öffnen und Tenant ID, Client ID und Abteilungs-Präfix setzen.
+        Konfiguration unvollständig — bitte zuerst <a href="#" id="onboardingOpenSettings">Einstellungen</a> öffnen und Tenant ID und Client ID setzen.
       </div>
       <button id="btnConnect" class="btn btn-primary btn-lg">
         <svg width="16" height="16" viewBox="0 0 24 24" fill="currentColor"><path d="M11.4 2.4H2.4v9h9v-9zm10.2 0h-9v9h9v-9zm-10.2 10.2H2.4v9h9v-9zm10.2 0h-9v9h9v-9z"/></svg>
@@ -124,7 +130,7 @@
   <section class="panel panel-targets">
     <div class="panel-head">
       <div class="panel-title">
-        <h2>Abteilungen &amp; Benutzer</h2>
+        <h2>Gruppen &amp; Benutzer</h2>
         <span id="targetCount" class="count-badge">0</span>
       </div>
       <button id="btnReloadTargets" class="icon-btn" title="Neu laden" aria-label="Neu laden">
@@ -133,8 +139,7 @@
     </div>
 
     <div class="mode-segment" role="tablist">
-      <button class="seg active" data-mode="dept" role="tab">Abteilung</button>
-      <button class="seg" data-mode="rpa" role="tab">RPA</button>
+      <button class="seg active" data-mode="dept" role="tab">Gruppe</button>
       <button class="seg" data-mode="user" role="tab">Benutzer</button>
     </div>
 
@@ -192,6 +197,11 @@
         <option value="srcIntune">Nur Intune-Apps</option>
         <!-- Vendor-Optionen werden dynamisch von rebuildVendorFilterOptions() ergaenzt -->
       </select>
+      <select id="appPlatformFilter" class="select" title="Nach Plattform filtern">
+        <option value="all">Alle Plattformen</option>
+        <option value="windows">Windows</option>
+        <option value="macos">macOS</option>
+      </select>
       <select id="appCategoryFilter" class="select" title="Nach App-Kategorie filtern">
         <option value="">Alle Kategorien</option>
         <!-- Kategorie-Optionen werden dynamisch von rebuildCategoryFilterOptions() befuellt -->
@@ -243,7 +253,7 @@
         <div class="summary-section">
           <div class="summary-section-title">Ausgewählte Empfänger</div>
           <div class="summary-row sub">
-            <span class="muted">Abteilungsgruppen</span>
+            <span class="muted">Gruppen</span>
             <span id="sumGroupsSel">0</span>
           </div>
           <div class="summary-row sub">
@@ -254,7 +264,7 @@
         <div class="summary-section">
           <div class="summary-section-title">Zuweisungen erhalten</div>
           <div class="summary-row sub">
-            <span class="muted">Abteilungsgruppen</span>
+            <span class="muted">Gruppen</span>
             <span id="sumGroupsOps">0</span>
           </div>
           <div class="summary-row sub">
@@ -291,7 +301,7 @@
     <!-- Tab-Leiste -->
     <div class="gex-tab-bar group-mgmt-tabs">
       <button class="gex-tab active" data-tab="export">Mitglieder &amp; Export</button>
-      <button class="gex-tab gex-add-pane" data-tab="add">Benutzer hinzufügen</button>
+      <button class="gex-tab gex-add-pane" data-tab="add">Benutzer | Gruppen hinzufügen</button>
       <button class="gex-tab gex-add-pane" data-tab="import">CSV-Import</button>
       <button class="gex-tab" data-tab="user">Benutzer</button>
     </div>
@@ -380,7 +390,11 @@
 
       <!-- Rechte Spalte: Benutzer hinzufügen -->
       <div class="gex-right hidden" id="gexPaneAdd">
-        <div class="gex-section-title">Benutzer suchen</div>
+        <div class="gex-addmode">
+          <button type="button" class="gex-addmode-btn active" data-addmode="user">Benutzer</button>
+          <button type="button" class="gex-addmode-btn" data-addmode="group">Gruppen</button>
+        </div>
+        <div class="gex-section-title" id="gexAddSearchTitle">Benutzer suchen</div>
         <div class="search-wrap" style="margin-bottom:10px;">
           <svg class="search-ico" width="14" height="14" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2"><circle cx="11" cy="11" r="7"/><path d="M21 21l-4.3-4.3"/></svg>
           <input type="search" id="gexUserSearch" class="input input-search" placeholder="Name, UPN oder E-Mail…" autocomplete="off">
@@ -486,6 +500,21 @@
       <option value="noncompliant">Non-Compliant</option>
       <option value="unknown">Unbekannt</option>
     </select>
+    <div id="devGroupWrap" style="position:relative;">
+      <input type="search" id="devGroupSearch" placeholder="Nach Gruppe filtern…" autocomplete="off"
+        style="height:34px;padding:0 24px 0 10px;border:1px solid var(--hairline);border-radius:6px;background:var(--canvas);color:var(--ink);font-size:12.5px;width:200px;box-sizing:border-box;">
+      <button id="devGroupClear" type="button" title="Gruppen-Filter entfernen" hidden
+        style="position:absolute;right:6px;top:50%;transform:translateY(-50%);background:none;border:none;color:var(--muted);cursor:pointer;font-size:16px;line-height:1;padding:0;">×</button>
+      <div id="devGroupResults" class="dev-group-results hidden"></div>
+    </div>
+    <button id="btnDevExport" class="btn btn-secondary btn-sm" disabled title="Angezeigte Geräte als CSV exportieren">
+      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M21 15v4a2 2 0 0 1-2 2H5a2 2 0 0 1-2-2v-4"/><polyline points="7 10 12 15 17 10"/><line x1="12" y1="15" x2="12" y2="3"/></svg>
+      CSV
+    </button>
+    <button id="btnDevOffboard" class="btn btn-danger btn-sm dev-offboard-btn" disabled title="Ausgewählte Geräte offboarden (Intune / Autopilot / Entra)">
+      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M9 21H5a2 2 0 0 1-2-2V5a2 2 0 0 1 2-2h4"/><polyline points="16 17 21 12 16 7"/><line x1="21" y1="12" x2="9" y2="12"/></svg>
+      Offboarden (<span id="devOffboardCount">0</span>)
+    </button>
   </div>
 
   <div class="dev-layout">
@@ -494,9 +523,11 @@
       <table class="dev-table" id="devTable">
         <thead>
           <tr>
+            <th class="dev-col-check"><input type="checkbox" id="devCheckAll" title="Alle sichtbaren auswählen"></th>
             <th class="sortable" data-col="deviceName">Gerät <span class="sort-ico"></span></th>
             <th class="sortable" data-col="userDisplayName">Benutzer <span class="sort-ico"></span></th>
             <th class="sortable" data-col="operatingSystem">OS <span class="sort-ico"></span></th>
+            <th class="sortable" data-col="managementType">Verwaltung <span class="sort-ico"></span></th>
             <th class="sortable" data-col="complianceState">Compliance <span class="sort-ico"></span></th>
             <th class="sortable" data-col="lastSyncDateTime">Letzter Sync <span class="sort-ico"></span></th>
           </tr>
@@ -572,6 +603,7 @@
       <option value="settingscatalog">Settings Catalog</option>
       <option value="compliance">Compliance</option>
       <option value="configuration">Konfigurationsprofil</option>
+      <option value="administrativetemplate">Administrative Vorlage</option>
     </select>
     <span class="pol-toolbar-spacer" style="flex:1;"></span>
     <button class="btn btn-secondary btn-sm" id="btnPolRefresh" title="Policies neu laden">
@@ -583,6 +615,18 @@
       Import…
     </button>
     <input type="file" id="polImportFile" accept=".json,application/json" multiple style="display:none;">
+    <button class="btn btn-secondary btn-sm" id="btnPolGitSnapshot" title="Alle Policies als Snapshot in den konfigurierten Git-Ordner schreiben und committen">
+      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><circle cx="12" cy="12" r="3"/><line x1="12" y1="3" x2="12" y2="9"/><line x1="12" y1="15" x2="12" y2="21"/><circle cx="12" cy="3" r="1"/><circle cx="12" cy="21" r="1"/></svg>
+      Git-Snapshot
+    </button>
+    <button class="btn btn-secondary btn-sm pol-write" id="btnPolAssignGroups" disabled title="Ausgewählten Policies Gruppen zuweisen (Bulk)">
+      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M17 21v-2a4 4 0 0 0-4-4H5a4 4 0 0 0-4 4v2"/><circle cx="9" cy="7" r="4"/><path d="M23 21v-2a4 4 0 0 0-3-3.87"/><path d="M16 3.13a4 4 0 0 1 0 7.75"/></svg>
+      Gruppen zuweisen (<span id="polAssignSelCount">0</span>)
+    </button>
+    <button class="btn btn-secondary btn-sm pol-write" id="btnPolConsolidate" disabled title="Ausgewählte Settings-Catalog-Policies zu einer neuen Policy zusammenführen">
+      <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M7 3v6a3 3 0 0 0 3 3h4a3 3 0 0 1 3 3v6"/><polyline points="3 7 7 3 11 7"/><polyline points="13 17 17 21 21 17"/></svg>
+      Konsolidieren
+    </button>
     <button class="btn btn-primary btn-sm" id="btnPolExport" disabled title="Ausgewählte Policies als JSON exportieren">
       <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round"><path d="M21 15v4a2 2 0 0 1-2 2H5a2 2 0 0 1-2-2v-4"/><polyline points="7 10 12 15 17 10"/><line x1="12" y1="15" x2="12" y2="3"/></svg>
       Export (<span id="polSelCount">0</span>)
@@ -596,11 +640,50 @@
           <th class="sortable" data-col="name">Name <span class="sort-ico"></span></th>
           <th class="sortable" data-col="typeLabel">Typ <span class="sort-ico"></span></th>
           <th class="sortable" data-col="platform">Plattform <span class="sort-ico"></span></th>
+          <th class="sortable" data-col="assignmentCount">Zuweisungen <span class="sort-ico"></span></th>
           <th class="sortable" data-col="lastModifiedDateTime">Geändert <span class="sort-ico"></span></th>
         </tr>
       </thead>
       <tbody id="polBody">
-        <tr><td colspan="5" class="pol-hint">Klicke auf „Neu laden" um Policies zu laden.</td></tr>
+        <tr><td colspan="6" class="pol-hint">Klicke auf „Neu laden" um Policies zu laden.</td></tr>
+      </tbody>
+    </table>
+  </div>
+</section>
+
+<!-- ======================= OFFBOARDING ======================= -->
+<section class="off-view hidden" id="offView">
+  <div class="off-bar">
+    <select id="offSearchType" class="input" style="height:34px;max-width:170px;">
+      <option value="name">Gerätename</option>
+      <option value="serial">Seriennummer</option>
+    </select>
+    <input id="offSearch" class="input" placeholder="Suchen… (Enter)" style="max-width:320px;height:34px;">
+    <button class="btn btn-secondary btn-sm" id="offSearchBtn">Suchen</button>
+    <span class="off-bar-spacer" style="flex:1;"></span>
+    <span id="offSelCount" class="muted">0 ausgewählt</span>
+    <button class="btn btn-danger btn-sm" id="offBtn" disabled>Offboarding…</button>
+  </div>
+  <div class="off-note muted">
+    Entfernt Geräte aus <b>Intune</b>, <b>Autopilot</b> und <b>Entra ID</b>. BitLocker-/FileVault-Keys und
+    LAPS-Passwörter werden vor dem Löschen angezeigt. Benötigt zusätzliche Berechtigungen &amp; Admin-Rollen
+    (siehe <code>docs/App-Registration.md</code>) — im Read-Only-Modus gesperrt.
+  </div>
+  <div class="off-table-wrap">
+    <table class="pol-table off-table" id="offTable">
+      <thead>
+        <tr>
+          <th style="width:34px;"><input type="checkbox" id="offCheckAll"></th>
+          <th>Gerät</th>
+          <th>Seriennr.</th>
+          <th>OS</th>
+          <th>Benutzer</th>
+          <th>Letzter Sync</th>
+          <th>Dienste</th>
+        </tr>
+      </thead>
+      <tbody id="offBody">
+        <tr><td colspan="7" class="pol-hint">Nach Geräten suchen…</td></tr>
       </tbody>
     </table>
   </div>
@@ -667,6 +750,13 @@
                 <span class="cg-mode-desc">Neue Required-Gruppe nach Naming-Schema erstellen und zuweisen.</span>
               </span>
             </label>
+            <label class="cg-mode">
+              <input type="radio" name="cgMode" value="req-existing">
+              <span class="cg-mode-body">
+                <span class="cg-mode-title">Bestehende Gruppe</span>
+                <span class="cg-mode-desc">Eine vorhandene Entra-Gruppe als Required zuweisen.</span>
+              </span>
+            </label>
             <label class="cg-mode">
               <input type="radio" name="cgMode" value="req-allusers">
               <span class="cg-mode-body">
@@ -695,6 +785,13 @@
                 <span class="cg-mode-desc">Neue Available-Gruppe nach Naming-Schema erstellen und zuweisen.</span>
               </span>
             </label>
+            <label class="cg-mode">
+              <input type="radio" name="cgMode" value="avail-existing">
+              <span class="cg-mode-body">
+                <span class="cg-mode-title">Bestehende Gruppe</span>
+                <span class="cg-mode-desc">Eine vorhandene Entra-Gruppe als Available zuweisen.</span>
+              </span>
+            </label>
             <label class="cg-mode">
               <input type="radio" name="cgMode" value="avail-allusers">
               <span class="cg-mode-body">
@@ -718,6 +815,12 @@
         <input type="text" id="cgGroupName" class="input">
         <div id="cgStatus" class="form-hint"></div>
       </div>
+      <div class="form-group" id="cgExistingGroup" hidden>
+        <label class="lbl" for="cgExistingSearch">Bestehende Gruppe suchen</label>
+        <input type="search" id="cgExistingSearch" class="input" placeholder="Gruppenname… (min. 2 Zeichen)" autocomplete="off">
+        <div id="cgExistingResults" class="cg-existing-results"></div>
+        <div id="cgExistingSelected" class="form-hint"></div>
+      </div>
       <label class="check-chip" id="cgAssignToAppWrap">
         <input type="checkbox" id="cgAssignToApp" checked>
         <span>Gruppe direkt der App zuweisen</span>
@@ -808,6 +911,269 @@
   </div>
 </div>
 
+<!-- MODAL: Policy-Import (optional umbenennen) -->
+<div id="modalPolImport" class="modal hidden">
+  <div class="modal-backdrop" data-close></div>
+  <div class="modal-box modal-lg">
+    <div class="modal-head">
+      <h3>Policies importieren</h3>
+      <button class="modal-close" data-close aria-label="Schließen">×</button>
+    </div>
+    <div class="modal-body">
+      <div class="form-hint" style="margin-bottom:12px;">
+        Namen können vor dem Import angepasst werden. Die Policies werden als
+        <b>Neuanlage</b> im verbundenen Tenant erstellt — bestehende bleiben unverändert.
+      </div>
+      <div id="polImportList"></div>
+    </div>
+    <div class="modal-foot">
+      <span id="polImportInfo" class="muted" style="margin-right:auto;"></span>
+      <button class="btn btn-secondary" data-close>Abbrechen</button>
+      <button class="btn btn-primary" id="polImportConfirm">Importieren</button>
+    </div>
+  </div>
+</div>
+
+<!-- MODAL: Policies konsolidieren (Settings Catalog) -->
+<div id="modalPolConsolidate" class="modal hidden">
+  <div class="modal-backdrop" data-close></div>
+  <div class="modal-box modal-lg">
+    <div class="modal-head">
+      <h3>Policies zusammenführen</h3>
+      <button class="modal-close" data-close aria-label="Schließen">×</button>
+    </div>
+    <div class="modal-body">
+      <div class="form-hint" style="margin-bottom:12px;">
+        Die Einstellungen der ausgewählten <b>Settings-Catalog</b>-Policies werden zu
+        <b>einer neuen</b> Policy vereint (Neuanlage — die Originale bleiben unverändert).
+      </div>
+      <div id="polConsSummary" class="pol-cons-summary"></div>
+      <div id="polConsConflicts"></div>
+      <div class="form-group" style="margin-top:12px;">
+        <label class="lbl" for="polConsName">Name der neuen Policy</label>
+        <input type="text" id="polConsName" class="input" placeholder="z. B. Konsolidiert – Defender macOS">
+      </div>
+      <div class="form-group">
+        <label class="lbl" for="polConsDesc">Beschreibung (optional)</label>
+        <input type="text" id="polConsDesc" class="input">
+      </div>
+    </div>
+    <div class="modal-foot">
+      <span id="polConsInfo" class="muted" style="margin-right:auto;"></span>
+      <button class="btn btn-secondary" data-close>Abbrechen</button>
+      <button class="btn btn-primary" id="polConsConfirm" disabled>Zusammenführen</button>
+    </div>
+  </div>
+</div>
+
+<!-- MODAL: Policy-Zuweisung nach Import -->
+<div id="modalPolAssign" class="modal hidden">
+  <div class="modal-backdrop" data-close></div>
+  <div class="modal-box modal-lg">
+    <div class="modal-head">
+      <h3>Importierte Policies zuweisen</h3>
+      <button class="modal-close" data-close aria-label="Schließen">×</button>
+    </div>
+    <div class="modal-body">
+      <div class="form-hint" style="margin-bottom:12px;">
+        Optional: jeder importierten Policy Include- und/oder Exclude-Gruppen im aktuellen Tenant zuweisen.
+        Felder leer lassen = keine Zuweisung. Original-Zuweisungen des Quell-Tenants werden nicht übernommen.
+      </div>
+      <div id="polAssignList"></div>
+    </div>
+    <div class="modal-foot">
+      <span id="polAssignInfo" class="muted" style="margin-right:auto;"></span>
+      <button class="btn btn-secondary" data-close>Überspringen</button>
+      <button class="btn btn-primary" id="polAssignApply">Zuweisen</button>
+    </div>
+  </div>
+</div>
+
+<!-- Bulk: mehreren ausgewählten Policies dieselben Gruppen zuweisen -->
+<div id="modalPolBulkAssign" class="modal hidden">
+  <div class="modal-backdrop" data-close></div>
+  <div class="modal-box modal-lg">
+    <div class="modal-head">
+      <h3>Gruppen zuweisen</h3>
+      <button class="modal-close" data-close aria-label="Schließen">×</button>
+    </div>
+    <div class="modal-body">
+      <div class="form-hint" style="margin-bottom:12px;">
+        Die gewählten Include-/Exclude-Gruppen werden auf <b><span id="polBulkCount">0</span></b> ausgewählte Policy(s) angewendet.
+      </div>
+      <div id="polBulkNames" class="pol-bulk-names"></div>
+      <div class="pol-assign-pickers" style="margin-top:12px;">
+        <div class="pol-assign-picker" data-kind="include">
+          <label class="lbl">Include-Gruppen</label>
+          <div class="pol-assign-chips" data-scope="bulk" data-kind="include"></div>
+          <div class="pol-assign-search-wrap">
+            <input type="text" class="input pol-bulk-search" data-kind="include" placeholder="Gruppe suchen…" autocomplete="off">
+            <div class="pol-assign-dropdown pol-bulk-dropdown hidden" data-kind="include"></div>
+          </div>
+        </div>
+        <div class="pol-assign-picker" data-kind="exclude">
+          <label class="lbl">Exclude-Gruppen</label>
+          <div class="pol-assign-chips" data-scope="bulk" data-kind="exclude"></div>
+          <div class="pol-assign-search-wrap">
+            <input type="text" class="input pol-bulk-search" data-kind="exclude" placeholder="Gruppe suchen…" autocomplete="off">
+            <div class="pol-assign-dropdown pol-bulk-dropdown hidden" data-kind="exclude"></div>
+          </div>
+        </div>
+      </div>
+      <div class="pol-bulk-builtin" style="margin-top:14px;">
+        <label class="lbl">Integrierte Ziele (Include)</label>
+        <label class="pol-bulk-check"><input type="checkbox" id="polBulkAllDevices"> Alle Geräte</label>
+        <label class="pol-bulk-check"><input type="checkbox" id="polBulkAllUsers"> Alle Benutzer</label>
+      </div>
+      <div class="pol-bulk-mode" style="margin-top:16px;">
+        <label class="lbl">Modus</label>
+        <label class="pol-bulk-radio"><input type="radio" name="polBulkMode" value="add" checked>
+          <span><b>Hinzufügen</b> — bestehende Zuweisungen bleiben erhalten, neue Gruppen kommen dazu.</span></label>
+        <label class="pol-bulk-radio"><input type="radio" name="polBulkMode" value="replace">
+          <span><b>Ersetzen</b> — alle bisherigen Zuweisungen der Policy werden durch die gewählten Gruppen ersetzt.</span></label>
+      </div>
+    </div>
+    <div class="modal-foot">
+      <span id="polBulkInfo" class="muted" style="margin-right:auto;"></span>
+      <button class="btn btn-secondary" data-close>Abbrechen</button>
+      <button class="btn btn-primary" id="polBulkApply" disabled>Zuweisen</button>
+    </div>
+  </div>
+</div>
+
+<!-- Zuweisungen einer Policy ansehen -->
+<div id="modalPolAssignView" class="modal hidden">
+  <div class="modal-backdrop" data-close></div>
+  <div class="modal-box">
+    <div class="modal-head">
+      <h3>Zuweisungen</h3>
+      <button class="modal-close" data-close aria-label="Schließen">×</button>
+    </div>
+    <div class="modal-body">
+      <div id="polAssignViewName" class="form-hint" style="margin-bottom:12px;"></div>
+      <div id="polAssignViewBody"></div>
+    </div>
+    <div class="modal-foot">
+      <button class="btn btn-secondary" data-close>Schließen</button>
+    </div>
+  </div>
+</div>
+
+<!-- Ergebnis der Bulk-Zuweisung -->
+<div id="modalPolBulkResult" class="modal hidden">
+  <div class="modal-backdrop" data-close></div>
+  <div class="modal-box modal-lg">
+    <div class="modal-head">
+      <h3>Ergebnis der Zuweisung</h3>
+      <button class="modal-close" data-close aria-label="Schließen">×</button>
+    </div>
+    <div class="modal-body">
+      <div id="polBulkResultSummary" class="form-hint" style="margin-bottom:12px;"></div>
+      <div id="polBulkResultBody" class="pol-result-list"></div>
+    </div>
+    <div class="modal-foot">
+      <button class="btn btn-primary" data-close>Schließen</button>
+    </div>
+  </div>
+</div>
+
+<!-- MODAL: Geräte-Offboarding -->
+<div id="modalOffboard" class="modal hidden">
+  <div class="modal-backdrop" data-close></div>
+  <div class="modal-box modal-lg">
+    <div class="modal-head">
+      <h3>Geräte offboarden</h3>
+      <button class="modal-close" data-close aria-label="Schließen">×</button>
+    </div>
+    <div class="modal-body">
+      <div class="off-warn">⚠ Entfernt die Geräte aus den gewählten Diensten. Löschen ist <b>nicht umkehrbar</b>. Recovery-Keys unbedingt vorher sichern.</div>
+      <div id="offConfirmList" class="off-confirm-list"></div>
+
+      <div class="off-services">
+        <div class="lbl">Dienste</div>
+        <div class="off-svc-row">
+          <span class="off-svc-label">Entra ID:</span>
+          <label class="off-radio"><input type="radio" name="offEntra" value="none" checked> nichts tun</label>
+          <label class="off-radio"><input type="radio" name="offEntra" value="disable"> deaktivieren</label>
+          <label class="off-radio"><input type="radio" name="offEntra" value="delete"> löschen</label>
+        </div>
+        <label class="check-chip"><input type="checkbox" id="offSvcIntune" checked><span>Aus Intune löschen</span></label>
+        <label class="check-chip"><input type="checkbox" id="offSvcAutopilot"><span>Aus Autopilot löschen</span></label>
+      </div>
+
+      <div id="offKeys" class="off-keys"></div>
+
+      <label class="check-chip off-confirm-chip"><input type="checkbox" id="offConfirmChk"><span>Ich verstehe, dass die Geräte gelöscht/entfernt werden.</span></label>
+      <div id="offResults"></div>
+    </div>
+    <div class="modal-foot">
+      <span id="offModalInfo" class="muted" style="margin-right:auto;"></span>
+      <button class="btn btn-secondary" data-close>Abbrechen</button>
+      <button class="btn btn-danger" id="offExecuteBtn" disabled>Offboarding ausführen</button>
+    </div>
+  </div>
+</div>
+<style>
+  /* Nutzt die Theme-Variablen der App -> passt sich Light/Dark automatisch an. */
+  .pol-assign-row { border:1px solid var(--hairline); border-radius:8px; padding:12px 14px; margin-bottom:12px; overflow-wrap:anywhere; }
+  .pol-assign-head { display:flex; align-items:baseline; gap:8px; margin-bottom:10px; flex-wrap:wrap; }
+  .pol-assign-head .pol-name { font-weight:600; color:var(--ink); min-width:0; word-break:break-word; overflow-wrap:anywhere; }
+  .pol-assign-head .pol-type-badge { flex:0 0 auto; }
+  .pol-assign-pickers { display:flex; gap:16px; flex-wrap:wrap; }
+  .pol-assign-picker { flex:1; min-width:220px; }
+  .pol-assign-picker > .lbl { display:block; font-size:12px; margin-bottom:4px; color:var(--body); }
+  .pol-assign-picker[data-kind="exclude"] > .lbl { color:var(--pink); }
+  .pol-assign-chips { display:flex; flex-wrap:wrap; gap:6px; margin-bottom:6px; }
+  .pol-assign-chip { display:inline-flex; align-items:center; gap:6px; padding:2px 8px; border-radius:12px;
+    background:var(--surface-strong); color:var(--ink); font-size:12px; }
+  .pol-assign-chip.exclude { background:rgba(236,72,153,0.18); color:var(--ink); }
+  .pol-assign-chip button { border:none; background:none; cursor:pointer; font-size:14px; line-height:1; padding:0; color:var(--muted); }
+  .pol-assign-chip button:hover { color:var(--ink); }
+  .pol-assign-search-wrap { position:relative; }
+  .pol-assign-dropdown { position:absolute; z-index:20; left:0; right:0; top:100%; margin-top:2px;
+    background:var(--canvas); border:1px solid var(--hairline); border-radius:6px;
+    max-height:200px; overflow-y:auto; box-shadow:0 6px 18px rgba(0,0,0,.25); }
+  .pol-assign-dropdown .opt { padding:6px 10px; cursor:pointer; font-size:13px; color:var(--body); }
+  .pol-assign-dropdown .opt:hover { background:var(--surface-soft); }
+  .pol-assign-dropdown .opt .desc { font-size:11px; color:var(--muted); }
+  .pol-assign-dropdown .msg { padding:6px 10px; font-size:12px; color:var(--muted); }
+  .pol-import-row { display:flex; align-items:center; gap:10px; padding:8px 0; border-bottom:1px solid var(--hairline); }
+  .pol-import-row:last-child { border-bottom:none; }
+  .pol-import-name { flex:1; min-width:0; }
+  .pol-import-row .pol-type-badge { flex:0 0 auto; }
+  /* Offboarding */
+  .off-view { padding:16px 20px; }
+  .off-bar { display:flex; align-items:center; gap:10px; margin-bottom:10px; flex-wrap:wrap; }
+  .off-note { font-size:12.5px; margin-bottom:12px; line-height:1.5; }
+  .off-table-wrap { overflow-x:auto; }
+  .off-table td, .off-table th { white-space:nowrap; }
+  .off-badge { display:inline-block; padding:1px 7px; border-radius:10px; font-size:11px; background:var(--surface-strong); color:var(--ink); margin-right:3px; }
+  .off-badge.warn { background:rgba(245,158,11,0.22); }
+  .off-warn { background:rgba(239,68,68,0.14); border:1px solid rgba(239,68,68,0.35); color:var(--ink);
+    border-radius:8px; padding:10px 12px; font-size:13px; margin-bottom:12px; }
+  .off-confirm-list { margin-bottom:12px; }
+  .off-confirm-row { font-size:13px; padding:4px 0; border-bottom:1px solid var(--hairline); overflow-wrap:anywhere; }
+  .off-confirm-row:last-child { border-bottom:none; }
+  .off-services { margin:12px 0; padding:12px; border:1px solid var(--hairline); border-radius:8px; }
+  .off-services .lbl { display:block; font-size:12px; color:var(--body); margin-bottom:8px; }
+  .off-svc-row { display:flex; align-items:center; gap:14px; flex-wrap:wrap; margin-bottom:10px; }
+  .off-svc-label { font-size:13px; color:var(--ink); font-weight:600; }
+  .off-radio { display:inline-flex; align-items:center; gap:5px; font-size:13px; cursor:pointer; }
+  .off-keys { margin:12px 0; }
+  .off-keys .lbl { display:block; font-size:12px; color:var(--pink); margin-bottom:6px; }
+  .off-key-dev { border:1px solid var(--hairline); border-radius:6px; padding:8px 10px; margin-bottom:6px; font-size:12.5px; overflow-wrap:anywhere; }
+  .off-key { margin-top:3px; }
+  .off-key code { background:var(--surface-strong); color:var(--ink); padding:1px 5px; border-radius:4px; user-select:all; }
+  .off-confirm-chip { margin-top:8px; }
+  .off-result { font-size:13px; padding:3px 0; overflow-wrap:anywhere; }
+  .off-result.ok { color:var(--success); }
+  .off-result.fail { color:var(--error); }
+  .off-result-dev { border:1px solid var(--hairline-soft, var(--hairline)); border-radius:8px; padding:8px 12px; margin-bottom:8px; }
+  .off-result-devname { font-weight:600; font-size:13px; margin-bottom:4px; display:flex; align-items:center; gap:8px; }
+  .off-result-badge { font-size:10.5px; font-weight:700; padding:1px 8px; border-radius:999px; background:rgba(245,80,80,0.18); color:var(--error); }
+  #offResults .lbl { display:block; font-size:12px; color:var(--body); margin:10px 0 4px; }
+</style>
+
 <!-- MODAL: Hilfe -->
 <div id="modalHelp" class="modal hidden">
   <div class="modal-backdrop" data-close></div>
@@ -912,7 +1278,7 @@
 
         <div id="setupBanner" class="banner-warning hidden">
           <strong>Erste Konfiguration noetig.</strong>
-          Bitte mindestens Tenant ID, Client ID und Abteilungs-Praefix setzen. Danach <em>Verbindung + Lookups testen</em> ganz unten, dann speichern.
+          Bitte mindestens Tenant ID und Client ID setzen. Abteilungs-Präfixe sind optional. Danach <em>Verbindung + Lookups testen</em> ganz unten, dann speichern.
         </div>
 
         <section class="settings-sec">
@@ -921,20 +1287,46 @@
             <div class="settings-sec-sub">Tenant- und App-Registrierung. Änderungen erzwingen einen Disconnect.</div>
           </div>
           <div class="form-group">
-            <label class="lbl" for="setTenantId">Tenant ID (GUID)</label>
-            <input type="text" id="setTenantId" class="input mono" placeholder="00000000-0000-0000-0000-000000000000" spellcheck="false" autocomplete="off">
-            <div class="form-hint">Findest du im Entra Admin Center → Übersicht → Tenant-Informationen.</div>
+            <label class="lbl" for="setConnMode">Verbindungsmodus</label>
+            <select id="setConnMode" class="input">
+              <option value="single">Single-Tenant (ein Mandant)</option>
+              <option value="multi">Multi-Tenant (mehrere Mandanten, Umschalten in der Topbar)</option>
+            </select>
+            <div class="form-hint">Im Multi-Tenant-Modus hinterlegst du mehrere Mandanten mit je eigener App-Registrierung und wechselst oben rechts zwischen ihnen.</div>
           </div>
-          <div class="form-group">
-            <label class="lbl" for="setClientId">Client ID – Read/Write (GUID)</label>
-            <input type="text" id="setClientId" class="input mono" placeholder="00000000-0000-0000-0000-000000000000" spellcheck="false" autocomplete="off">
-            <div class="form-hint">App-Registrierung mit Schreibrechten. Erforderlich: <em>Allow public client flows</em> = Ja, Redirect URI <code>http://localhost</code>.</div>
+
+          <!-- Single-Tenant Felder -->
+          <div id="setSingleConn">
+            <div class="form-group">
+              <label class="lbl" for="setTenantId">Tenant ID (GUID)</label>
+              <input type="text" id="setTenantId" class="input mono" placeholder="00000000-0000-0000-0000-000000000000" spellcheck="false" autocomplete="off">
+              <div class="form-hint">Findest du im Entra Admin Center → Übersicht → Tenant-Informationen.</div>
+            </div>
+            <div class="form-group">
+              <label class="lbl" for="setClientId">Client ID – Read/Write (GUID)</label>
+              <input type="text" id="setClientId" class="input mono" placeholder="00000000-0000-0000-0000-000000000000" spellcheck="false" autocomplete="off">
+              <div class="form-hint">App-Registrierung mit Schreibrechten. Erforderlich: <em>Allow public client flows</em> = Ja, Redirect URI <code>http://localhost</code>.</div>
+            </div>
+            <div class="form-group">
+              <label class="lbl" for="setClientIdRo">Client ID – Read Only (GUID, optional)</label>
+              <input type="text" id="setClientIdRo" class="input mono" placeholder="00000000-0000-0000-0000-000000000000" spellcheck="false" autocomplete="off">
+              <div class="form-hint">Separate App-Registrierung ohne Schreibrechte. Nutzer dieser App sehen alle Daten, können aber nichts ändern. Leer lassen wenn nicht benötigt.</div>
+            </div>
           </div>
-          <div class="form-group">
-            <label class="lbl" for="setClientIdRo">Client ID – Read Only (GUID, optional)</label>
-            <input type="text" id="setClientIdRo" class="input mono" placeholder="00000000-0000-0000-0000-000000000000" spellcheck="false" autocomplete="off">
-            <div class="form-hint">Separate App-Registrierung ohne Schreibrechte. Nutzer dieser App sehen alle Daten, können aber nichts ändern. Leer lassen wenn nicht benötigt.</div>
+
+          <!-- Multi-Tenant Profile -->
+          <div id="setMultiConn" class="hidden">
+            <div class="form-group">
+              <label class="lbl">Tenant-Profile</label>
+              <div class="form-hint" style="margin-bottom:8px;">Pro Mandant eine eigene App-Registrierung. Der aktive Mandant ist markiert; umschalten geht auch über die Topbar.</div>
+              <div id="setTenantList" class="tenant-list"></div>
+              <button type="button" id="btnAddTenant" class="btn btn-secondary btn-sm" style="margin-top:8px;">
+                <svg width="13" height="13" viewBox="0 0 24 24" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round"><line x1="12" y1="5" x2="12" y2="19"/><line x1="5" y1="12" x2="19" y2="12"/></svg>
+                Tenant hinzufügen
+              </button>
+            </div>
           </div>
+
           <div class="form-group">
             <label class="lbl" for="setScopes">Scopes Read/Write (eine pro Zeile)</label>
             <textarea id="setScopes" class="input mono" rows="4" spellcheck="false" placeholder="Group.ReadWrite.All&#10;GroupMember.ReadWrite.All&#10;User.Read.All&#10;DeviceManagementApps.ReadWrite.All"></textarea>
@@ -958,17 +1350,6 @@
           </div>
         </section>
 
-        <section class="settings-sec">
-          <div class="settings-sec-head">
-            <h4>RPA-Gruppen</h4>
-            <div class="settings-sec-sub">Genaue <code>displayName</code>-Werte der Gruppen, die im RPA-Tab angezeigt werden. Eine pro Zeile.</div>
-          </div>
-          <div class="form-group">
-            <label class="lbl" for="setRpaGroups">RPA-Gruppennamen</label>
-            <textarea id="setRpaGroups" class="input mono" rows="4" spellcheck="false" placeholder="intune-userrole-windowsclientuser-rpa&#10;intune-userrole-windowsclientuser-rpa-fbt&#10;intune-userrole-windowsclientuser-rpa-pro"></textarea>
-          </div>
-        </section>
-
         <section class="settings-sec">
           <div class="settings-sec-head">
             <h4>Benutzer-Suche</h4>
@@ -1018,6 +1399,25 @@
           <div class="form-hint">Vorschau: <code id="setAvailPreview" class="set-preview"></code></div>
         </section>
 
+        <section class="settings-sec">
+          <div class="settings-sec-head">
+            <h4>Policy-Backup (Git)</h4>
+            <div class="settings-sec-sub">Lokaler Git-Ordner für Policy-Snapshots. Der „Git-Snapshot"-Button im Policies-Tab schreibt alle Policies als JSON dorthin und committet sie (optional Push).</div>
+          </div>
+          <div class="form-group">
+            <label class="lbl" for="setPolicyGitPath">Git-Repo-Ordner (lokal)</label>
+            <div class="form-row" style="gap:8px;align-items:center;">
+              <input type="text" id="setPolicyGitPath" class="input mono" placeholder="z. B. C:\Intune-Backup" spellcheck="false" autocomplete="off" style="flex:1;">
+              <button type="button" class="btn btn-secondary btn-sm" id="btnPickPolicyGit">Ordner…</button>
+            </div>
+            <div class="form-hint">Wird bei Bedarf angelegt und als Git-Repo initialisiert. Leer = Funktion deaktiviert.</div>
+          </div>
+          <div class="form-group">
+            <label class="check-chip"><input type="checkbox" id="setPolicyGitPush"><span>Nach dem Commit automatisch <code>git push</code></span></label>
+            <div class="form-hint">Nutzt deinen vorhandenen Git-Credential-Helper (Remote muss im Repo konfiguriert sein). Kein Token in der App.</div>
+          </div>
+        </section>
+
         <section class="settings-sec">
           <div class="settings-sec-head">
             <h4>Branding — Logo</h4>
@@ -1131,7 +1531,7 @@
         <section class="settings-sec">
           <div class="settings-sec-head">
             <h4>Konfiguration pruefen</h4>
-            <div class="settings-sec-sub">Prueft die aktuell eingetragenen Werte gegen Microsoft Graph: Abteilungs-Gruppen-Lookup, RPA-Gruppen und Benutzer-Suche. Voraussetzung: Verbindung steht.</div>
+            <div class="settings-sec-sub">Prueft die aktuell eingetragenen Werte gegen Microsoft Graph: Abteilungs-Gruppen-Lookup und Benutzer-Suche. Voraussetzung: Verbindung steht.</div>
           </div>
           <div class="form-row">
             <button type="button" class="btn btn-secondary" id="btnSettingsTest">Verbindung + Lookups testen</button>

www/styles.css

@@ -335,6 +335,24 @@ h1, h2, h3 {
 
 .header-actions { display: flex; align-items: center; gap: 12px; }
 
+/* Update-Hinweis-Badge (neue Version verfuegbar) */
+.update-badge {
+  display: inline-flex;
+  align-items: center;
+  gap: 6px;
+  padding: 5px 11px;
+  border-radius: 999px;
+  background: var(--accent-soft);
+  color: var(--brand-accent);
+  border: 1px solid var(--brand-accent);
+  font-size: 12px;
+  font-weight: 600;
+  text-decoration: none;
+  white-space: nowrap;
+  transition: filter var(--tx, 0.15s ease-out);
+}
+.update-badge:hover { filter: brightness(0.96); }
+
 /* Theme-Toggle — Slide-Switch */
 .theme-toggle {
   appearance: none;
@@ -1129,6 +1147,21 @@ a.target-link:hover {
 }
 .target-row:hover .entra-link,
 .ex-member-row:hover .entra-link { opacity: 1; }
+
+/* Gruppen-Filter-Dropdown im Geraete-Tab (nutzt .cg-existing-item fuer die Zeilen) */
+.dev-group-results {
+  position: absolute;
+  z-index: 40;
+  top: 38px;
+  left: 0;
+  min-width: 220px;
+  max-height: 260px;
+  overflow-y: auto;
+  background: var(--canvas);
+  border: 1px solid var(--hairline);
+  border-radius: 6px;
+  box-shadow: 0 8px 24px rgba(0,0,0,0.28);
+}
 .entra-link:hover {
   background: var(--surface-soft);
   color: var(--brand-accent);
@@ -1327,6 +1360,7 @@ html[data-theme="dark"] .entra-link.teams-link:hover {
   border-radius: var(--r-md);
 }
 
+
 .member-row {
   display: flex;
   align-items: center;
@@ -4020,6 +4054,67 @@ body.members-page {
   color: var(--muted);
 }
 
+/* "Bestehende Gruppe" — Suchergebnis-Liste im Zuweisungs-Dialog */
+.cg-existing-results {
+  margin-top: 8px;
+  max-height: 220px;
+  overflow-y: auto;
+  border: 1px solid var(--hairline-soft);
+  border-radius: var(--r-xs);
+}
+.cg-existing-results:empty { display: none; }
+.cg-existing-item {
+  display: flex;
+  flex-direction: column;
+  gap: 2px;
+  width: 100%;
+  text-align: left;
+  padding: 8px 12px;
+  background: transparent;
+  border: none;
+  border-bottom: 1px solid var(--hairline-soft);
+  cursor: pointer;
+  color: inherit;
+}
+.cg-existing-item:last-child { border-bottom: none; }
+.cg-existing-item:hover { background: var(--hover, rgba(127,127,127,0.08)); }
+.cg-existing-item.is-selected { background: var(--accent-soft); }
+.cg-existing-name { font-size: 13px; font-weight: 600; }
+.cg-existing-desc { font-size: 11px; color: var(--muted); }
+.cg-existing-empty { padding: 10px 12px; font-size: 12px; color: var(--muted); }
+
+/* Ausgewaehlte Gruppen als Chips (Mehrfachauswahl) */
+.cg-existing-chips {
+  display: flex;
+  flex-wrap: wrap;
+  gap: 6px;
+  margin-top: 8px;
+}
+.cg-chip {
+  display: inline-flex;
+  align-items: center;
+  gap: 6px;
+  padding: 3px 6px 3px 10px;
+  background: var(--accent-soft);
+  color: var(--brand-accent);
+  border-radius: 999px;
+  font-size: 12px;
+  font-weight: 600;
+  max-width: 100%;
+}
+.cg-chip-name { overflow: hidden; text-overflow: ellipsis; white-space: nowrap; max-width: 220px; }
+.cg-chip-x {
+  border: none;
+  background: transparent;
+  color: inherit;
+  cursor: pointer;
+  font-size: 15px;
+  line-height: 1;
+  padding: 0 2px;
+  opacity: 0.75;
+}
+.cg-chip-x:hover { opacity: 1; }
+
 .cg-mode {
   display: flex;
   align-items: flex-start;
@@ -4554,6 +4649,25 @@ html[data-theme="dark"] .numInputWrapper span.arrowDown {
   flex-shrink: 0;
 }
 
+/* Umschalter Benutzer/Gruppen im "Hinzufuegen"-Pane */
+.gex-addmode { display: flex; gap: 6px; margin-bottom: 12px; }
+.gex-addmode-btn {
+  flex: 1;
+  padding: 6px 10px;
+  border: 1px solid var(--hairline);
+  border-radius: var(--r-sm, 6px);
+  background: var(--canvas);
+  color: var(--muted);
+  font-size: 12.5px;
+  font-weight: 600;
+  cursor: pointer;
+}
+.gex-addmode-btn.active {
+  background: var(--accent-soft);
+  color: var(--brand-accent);
+  border-color: var(--brand-accent);
+}
+
 .gex-tab {
   padding: 10px 18px;
   font-size: 13px;
@@ -4873,6 +4987,7 @@ body.read-only .gex-add-pane,
 body.read-only .gex-tab[data-tab="add"],
 body.read-only .gex-tab[data-tab="import"],
 body.read-only #gexPaneImport,
+body.read-only .dev-offboard-btn,
 body.read-only .pol-write {
   display: none !important;
 }
@@ -5277,6 +5392,8 @@ body.read-only .app-row {
 }
 .dev-table thead th.sortable { cursor: pointer; }
 .dev-table thead th.sortable:hover { color: var(--text); }
+.dev-col-check { width: 34px; text-align: center; padding-left: 6px; padding-right: 6px; }
+.dev-col-check input { cursor: pointer; }
 .dev-table tbody tr {
   cursor: pointer;
   border-bottom: 1px solid var(--hairline-soft);
@@ -5310,6 +5427,8 @@ body.read-only .app-row {
 .dev-badge-ok  { background: rgba(74,222,128,.15); color: #4ade80; }
 .dev-badge-err { background: rgba(248,113,113,.15); color: #f87171; }
 .dev-badge-unk { background: var(--hairline-soft);  color: var(--muted); }
+.dev-badge-intune { background: rgba(96,165,250,.15); color: #60a5fa; }
+.dev-badge-comgmt { background: rgba(251,191,36,.15); color: #fbbf24; }
 
 /* Detail-Panel */
 .dev-detail {
@@ -5367,6 +5486,31 @@ body.read-only .app-row {
   border: 1px solid var(--border);
   border-radius: 6px;
 }
+
+/* Policies konsolidieren — Modal */
+.pol-cons-summary { font-size: 13px; line-height: 1.6; }
+.pol-cons-summary .pol-cons-warn { color: var(--pink, #e0567a); }
+.pol-cons-err { color: var(--pink, #e0567a); font-size: 13px; }
+.pol-cons-src { margin: 6px 0 0; padding-left: 18px; font-size: 12px; }
+.pol-cons-src li { margin: 1px 0; }
+.pol-cons-conf-head { margin: 14px 0 6px; font-weight: 600; font-size: 13px; }
+.pol-cons-conf {
+  border: 1px solid var(--hairline-soft, var(--border));
+  border-radius: var(--r-xs, 6px);
+  padding: 8px 10px;
+  margin-bottom: 6px;
+}
+.pol-cons-def {
+  font-family: ui-monospace, SFMono-Regular, Menlo, monospace;
+  font-size: 11px;
+  color: var(--muted);
+  overflow: hidden;
+  text-overflow: ellipsis;
+  white-space: nowrap;
+  margin-bottom: 6px;
+}
+.pol-cons-opts { display: flex; flex-wrap: wrap; gap: 6px 16px; }
+.pol-cons-opt { display: inline-flex; align-items: center; gap: 6px; font-size: 12px; cursor: pointer; }
 .pol-table { width: 100%; border-collapse: collapse; font-size: 13px; }
 .pol-table thead { position: sticky; top: 0; z-index: 2; background: var(--bg2); }
 .pol-table th {
@@ -5407,3 +5551,117 @@ body.read-only .app-row {
   color: var(--text-dim, #888);
   font-size: 13px;
 }
+
+/* Gruppen-Zuweisungs-Picker (Post-Import & Bulk) */
+.pol-assign-pickers { display: flex; gap: 16px; flex-wrap: wrap; }
+.pol-assign-picker { flex: 1 1 240px; min-width: 220px; }
+.pol-assign-picker .lbl { display: block; font-size: 12px; font-weight: 600; margin-bottom: 6px; color: var(--text-dim, #888); }
+.pol-assign-chips { display: flex; flex-wrap: wrap; gap: 6px; margin-bottom: 6px; }
+.pol-assign-chip {
+  display: inline-flex; align-items: center; gap: 4px;
+  padding: 2px 4px 2px 9px; border-radius: var(--r-pill, 999px);
+  font-size: 12px; background: rgba(96,165,250,.15); color: #60a5fa;
+}
+.pol-assign-chip.exclude { background: rgba(248,113,113,.15); color: #f87171; }
+.pol-assign-chip button {
+  border: 0; background: transparent; color: inherit; cursor: pointer;
+  font-size: 15px; line-height: 1; padding: 0 3px; border-radius: 50%;
+}
+.pol-assign-chip button:hover { background: rgba(0,0,0,.15); }
+.pol-assign-search-wrap { position: relative; }
+.pol-assign-dropdown {
+  position: absolute; z-index: 20; left: 0; right: 0; top: calc(100% + 2px);
+  max-height: 240px; overflow-y: auto;
+  background: var(--canvas, #1b1b1b); border: 1px solid var(--hairline, #333);
+  border-radius: 8px; box-shadow: 0 8px 24px rgba(0,0,0,.35);
+}
+.pol-assign-dropdown .opt { padding: 7px 10px; cursor: pointer; font-size: 13px; }
+.pol-assign-dropdown .opt:hover { background: var(--hover, rgba(255,255,255,.06)); }
+.pol-assign-dropdown .opt .desc { font-size: 11px; color: var(--text-dim, #888); margin-top: 1px; }
+.pol-assign-dropdown .msg { padding: 8px 10px; font-size: 12px; color: var(--text-dim, #888); }
+.pol-assign-builtin { margin-top: 10px; }
+
+/* Bulk-Zuweisung: Policy-Liste + Modus */
+.pol-bulk-names { display: flex; flex-wrap: wrap; gap: 6px; max-height: 120px; overflow-y: auto; }
+.pol-bulk-name {
+  display: inline-flex; align-items: center; gap: 6px;
+  padding: 3px 9px; border-radius: 6px; font-size: 12.5px;
+  background: var(--bg3, var(--hover)); color: var(--ink, inherit);
+}
+.pol-bulk-mode .lbl { display: block; font-size: 12px; font-weight: 600; margin-bottom: 6px; color: var(--text-dim, #888); }
+.pol-bulk-radio { display: flex; gap: 8px; align-items: flex-start; margin-bottom: 8px; font-size: 13px; cursor: pointer; }
+.pol-bulk-radio input { margin-top: 2px; }
+.pol-bulk-builtin .lbl { display: block; font-size: 12px; font-weight: 600; margin-bottom: 6px; color: var(--text-dim, #888); }
+.pol-bulk-check { display: inline-flex; align-items: center; gap: 6px; margin-right: 18px; font-size: 13px; cursor: pointer; }
+/* Zuweisungs-Spalte + Detailansicht */
+.pol-asg-badge {
+  min-width: 24px; padding: 1px 8px; border: 1px solid var(--hairline, #333);
+  border-radius: var(--r-pill, 999px); background: var(--bg3, var(--hover));
+  color: var(--ink, inherit); font-size: 12px; font-weight: 600; cursor: pointer;
+}
+.pol-asg-badge:hover { border-color: var(--accent, #60a5fa); color: var(--accent, #60a5fa); }
+.pol-av-group .lbl { display: block; font-size: 12px; font-weight: 600; margin-bottom: 6px; color: var(--text-dim, #888); }
+/* Ergebnis-Report der Zuweisung */
+.pol-result-list { max-height: 50vh; overflow-y: auto; }
+.pol-res-row { display: flex; align-items: center; gap: 10px; padding: 6px 0; border-bottom: 1px solid var(--hairline-soft, rgba(255,255,255,.06)); font-size: 13px; }
+.pol-res-row:last-child { border-bottom: 0; }
+.pol-res-name { font-weight: 500; }
+.pol-res-msg { color: #f87171; font-size: 12px; margin-left: auto; text-align: right; }
+.pol-res-badge { flex: none; font-size: 11px; font-weight: 600; padding: 2px 8px; border-radius: var(--r-pill, 999px); }
+.pol-res-badge.ok   { background: rgba(74,222,128,.15); color: #4ade80; }
+.pol-res-badge.err  { background: rgba(248,113,113,.15); color: #f87171; }
+.pol-res-badge.skip { background: var(--hairline-soft); color: var(--muted, #999); }
+.pol-res-ok  { color: #4ade80; }
+.pol-res-err { color: #f87171; }
+
+/* =============================================================
+   Multi-Tenant: Topbar-Umschalter + Profil-Editor
+   ============================================================= */
+.tenant-switch {
+  height: 30px;
+  max-width: 200px;
+  padding: 0 8px;
+  border: 1px solid var(--hairline, var(--border));
+  border-radius: 6px;
+  background: var(--canvas, var(--bg2));
+  color: var(--ink, var(--text));
+  font-size: 12.5px;
+  font-family: inherit;
+  cursor: pointer;
+}
+.tenant-switch:hover { border-color: var(--brand, var(--accent)); }
+
+.tenant-list { display: flex; flex-direction: column; gap: 10px; }
+.tenant-row {
+  border: 1px solid var(--border);
+  border-radius: 8px;
+  padding: 10px;
+  background: var(--bg2, transparent);
+}
+.tenant-row-head {
+  display: flex;
+  align-items: center;
+  gap: 10px;
+  margin-bottom: 8px;
+}
+.tenant-row-head .tenant-label { flex: 1; }
+.tenant-active {
+  display: inline-flex;
+  align-items: center;
+  gap: 5px;
+  font-size: 12px;
+  color: var(--text-dim, #888);
+  white-space: nowrap;
+  cursor: pointer;
+}
+.tenant-active input { cursor: pointer; }
+.tenant-remove { flex: 0 0 auto; line-height: 1; padding: 4px 8px; }
+.tenant-row-grid { display: flex; flex-direction: column; gap: 6px; }
+.tenant-empty { padding: 8px 0; }
+
+/* Multi-Tenant: Pro-Profil Overrides (Präfixe/RPA) */
+.tenant-row-overrides { margin-top: 8px; display: flex; flex-direction: column; gap: 3px; }
+.tenant-sub-lbl { font-size: 11px; font-weight: 600; color: var(--text-dim, #888); margin-top: 4px; }
+.tenant-sub-hint { font-weight: 400; opacity: 0.8; }
+.tenant-row-overrides textarea { resize: vertical; }
+.tenant-naming-grid { display: grid; grid-template-columns: 1fr 1fr; gap: 6px; }